GCP Terraform Misconfiguration: Compute Engine Shielded VM Option Disabled

Terraform 配置设置了一个未启用所有推荐的 Shield VM 选项的 Compute Engine 实例。

每个云服务安全功能都具有防止或减少已知威胁的独特能力。任何故意禁用或错误禁用的功能都无法提供保护。

禁用任何 Shield VM 选项可使攻击者绕过针对 Compute Engine 实例上的来宾操作系统实施的安全限制。推荐的 Shield VM 选项（及其对应的 Terraform 配置标识符）如下所示：

- 完整性监控 (enable_integrity_monitoring)
- 安全启动 (enable_secure_boot)
- 虚拟可信平台模块 (enable_vtpm)

示例 1：以下 Terraform 配置在 shielded_instance_config 块中将 enable_integrity_monitoring 设置为 false。并未启用所有推荐的 Shield VM 选项。

resource "google_compute_instance" "compute_instance_demo" {
  ...
  shielded_instance_config {
    enable_integrity_monitoring = false
    enable_secure_boot = true
    enable_vtpm = true
  }
  ...
}