GCP Terraform Misconfiguration: Cloud SQL Database Publicly Accessible

Terraform 組態啟用了對 Google Cloud SQL Database 執行個體的公開存取。

未能封鎖不需要的網路流量，將會擴大雲端服務的受攻擊面。開放與公眾互動的服務會受到惡意實體幾乎連續的掃描和探測。

依預設，Terraform 會部署只接受來自私有 IP 位址連線的 Google Cloud SQL Database 執行個體。選用的 Authorized Networks 設定定義了可接受的公用 IP 位址範圍。

範例 1：以下 Terraform 組態在 authorized_networks 區塊中將 value 設為 0.0.0.0/0。/0 的 CIDR 區塊會接受來自 0.0.0.0 和 255.255.255.255 之間任何 IP 位址的連線。

resource "google_sql_database_instance" "db-demo" {
  ...
  settings {
  ...
    ip_configuration {
    ...
      authorized_networks {
        name  = "any ip"
        value = "0.0.0.0/0"
      }
    ...
    }
    ...
  }
  ...
}