Keista situacija, kai trūksta GCP VPC ugniasienės taisyklių, tačiau vis dar aktyvios

Ugniasienės taisyklės dingo, tačiau jų poveikis išlieka: supranta GCP paslėptą politiką

Įsivaizduokite, kad prisijunkite prie savo „Google Cloud“ platformos (GCP) projekto, tikėdamiesi pamatyti jūsų tiksliai apibrėžtas ugniasienės taisykles, tik norėdami jas rasti. 😲 Būtent taip nutiko mūsų organizacijai, kai po trejų metų peržiūrėjome ugniasienės nustatymus. Nepaisant jų nėra sąsajos, šios taisyklės vis tiek daro įtaką prieigai prie mūsų išteklių.

Šis klausimas tapo akivaizdus, ​​kai tam tikri IP gali sklandžiai sujungti, o kiti susidūrė su prieigos apribojimais. Pavyzdžiui, mūsų komandos nariai dirba nuotoliniu būdu be įmonės VPN negalėjo pasiekti „BigQuery“ ar „Storage Buckets“. VPN baltajame sąraše IP buvo vienintelis įvedimo raktas.

Toks scenarijus kelia kritinius klausimus: ar šios taisyklės buvo perkeltos? Ar neseniai atnaujinimas pakeitė jų matomumą? O gal tai yra šešėlinės politikos atvejis, išliekantis fone? Suprasti, kas vyksta, labai svarbu atgauti tinklo saugumo kontrolę.

Jei susidūrėte su panašia problema, nesate vienas. Šiame straipsnyje nagrinėjamos galimos priežastys, kodėl jūsų ugniasienės taisyklės galbūt išnyko, tačiau išlieka veikiančios, taip pat sprendimai, skirti jas efektyviai sekti ir modifikuoti. 🔍

Tiriant dingusių ugniasienės taisykles GCP

Kai reikia spręsti trūkstamas ugniasienės taisykles „Google Cloud“ platforma (GCP), Scenarijai, kuriuos sukūrėme, siekiama atskleisti paslėptas konfigūracijas, kurios vis dar gali vykdyti prieigos valdymą. Pirmasis požiūris naudoja „Python“ su „Google Cloud SDK“, kad būtų išvardytos aktyvios ugniasienės taisyklės. Pasinaudojant compute_v1.firewallSclient (), Mes galime užklausti visų ugniasienės nustatymų, taikomų projektui, net jei jie nėra standartinėje vartotojo sąsajoje. Šis scenarijus yra ypač naudingas administratoriams, įtariantiems, kad senosios taisyklės vis dar daro įtaką tinklo srautui. Įsivaizduokite kūrėją, stengiantį prisijungti prie „BigQuery“ už įmonės VPN ribų - šis scenarijus padeda atskleisti, ar pasenusi taisyklė vis dar riboja prieigą. 🔍

Antrasis požiūris naudoja „GCloud“ komandos linijos sąsaja (CLI) Norėdami gauti ugniasienės taisykles tiesiai iš GCP. Komanda „GCloud Compute Firewall-RULES“ sąrašas-filtro = "Sourceranges: Your_ip" Leidžia filtrauti rezultatus pagal IP diapazoną, o tai yra ypač vertinga diagnozuojant tinklo prieigos problemas. Pvz., Jei komandos draugas dirba nuotoliniu būdu užblokuotas pasiekti „Cloud Storage“, šios komandos vykdymas gali greitai nustatyti, ar jų IP yra baltas sąrašas, ar apribotas. Naudojant „GCloud Compute Security-Policies“ sąrašas, Mes taip pat tikriname visos organizacijos saugumo politiką, kuri gali būti svarbiausia konkrečiai projekto taisyklėms. Tai labai svarbu, nes tam tikros ugniasienės konfigūracijos nebegali būti valdomos projekto lygiu, o pati organizacija. 🏢

Kita galinga technika apima naudojimą Terraform Norėdami valdyti ugniasienės taisykles kaip infrastruktūrą kaip kodą. „TerraForm“ scenarijus gauna ugniasienės taisyklių apibrėžimus per Duomenys „google_compute_firewall“, palengvinant pokyčius laikui bėgant. Šis požiūris yra ypač naudingas komandoms, kurios teikia pirmenybę automatizavimui ir versijos valdymui. Pvz., Jei IT administratoriui reikia užtikrinti, kad visos saugos politika išliks nuoseklios visoje aplinkoje, jie gali naudoti „TerraForm“ užklausas ir patikrinti ugniasienės konfigūracijas. išvestis „firewall_details“ Tada komanda rodo gautas taisykles, padedančias komandoms palyginti numatomus, palyginti su faktiniais nustatymais. Tai naudinga sprendžiant netikėtus prieigos apribojimus debesų aplinkoje, kai keli inžinieriai valdo saugumo politiką.

Apibendrinant galima pasakyti, kad šie scenarijai padeda išspręsti dingusių ugniasienės taisyklių paslaptį, siūlant kelis metodus - „Pypory“ programinei analizei, CLI greitam patikrinimui ir struktūrizuoto infrastruktūros valdymo teritorijai. Šie sprendimai yra praktiniai būdai, kaip atgauti GCP ugniasienės nustatymų kontrolę, nesvarbu, ar tiriate užblokuotą API užklausą, derinant VPN prieigą ar saugumo politikos patvirtinimą. Derindamos šiuos metodus, organizacijos gali užtikrinti, kad jokia paslėpta taisyklė netrukdytų jų debesies operacijoms, užkirsdamos kelią nereikalingoms prastovoms ir pasiekti nusivylimą. 🚀

from google.cloud import compute_v1
def list_firewall_rules(project_id):
    client = compute_v1.FirewallsClient()
    request = compute_v1.ListFirewallsRequest(project=project_id)
    response = client.list(request=request)
    for rule in response:
        print(f"Name: {rule.name}, Source Ranges: {rule.source_ranges}")
if __name__ == "__main__":
    project_id = "your-gcp-project-id"
    list_firewall_rules(project_id)

# Authenticate with Google Cloud if not already done
gcloud auth login
# Set the project ID
gcloud config set project your-gcp-project-id
# List all firewall rules in the project
gcloud compute firewall-rules list --format=json
# Check if any rules apply to a specific IP
gcloud compute firewall-rules list --filter="sourceRanges:YOUR_IP"
# Check if rules are managed by an organization policy
gcloud compute security-policies list

provider "google" {
  project = "your-gcp-project-id"
  region  = "us-central1"
}
data "google_compute_firewall" "default" {
  name    = "firewall-rule-name"
}
output "firewall_details" {
  value = data.google_compute_firewall.default
}

Kaip GCP ugniasienės architektūra daro įtaką paslėptos taisyklėms

Vienas mažiau žinomas aspektas „Google Cloud Platform“ (GCP) ugniasienės taisyklės yra tai, kaip jie struktūrizuojami skirtinguose lygmenyse. GCP leidžia apibrėžti ugniasienės taisykles abiem projektas ir organizacija lygiai. Tai reiškia, kad net jei atrodo, kad konkretus projektas neturi ugniasienės taisyklių, vis tiek gali būti aktyvi politika, paveldima iš organizacijos ar tinklo hierarchijos. Pvz., Visos įmonės saugumo politika gali užkirsti kelią visam gaunamam srautui, išskyrus iš baltųjų sąrašų VPN IPS, o tai galėtų paaiškinti, kodėl kai kurie vartotojai turi prieigą, o kiti-ne. 🔍

Kitas svarbus veiksnys yra buvimas VPC paslaugų valdikliai, kurie prideda papildomą saugumo sluoksnį, apribodamas prieigą prie jautrių išteklių, tokių kaip „BigQuery“ ir „Cloud Storage“. Jei šie valdikliai bus įjungti, net tinkamai sukonfigūruotos ugniasienės taisyklės gali nepakakti, kad būtų galima suteikti prieigą. Realaus pasaulio scenarijuose įmonės, naudojančios GCP didelio masto duomenų apdorojimui, dažnai vykdo šias valdiklius, kad būtų išvengta neteisėtų duomenų. Tai gali sukelti painiavą, kai kūrėjai mano, kad jų užkardos nustatymai yra pagrindinis prieigos valdymo mechanizmas, nesuvokdami, kad yra keli sluoksniai. 🏢

Norėdami dar labiau apsunkinti reikalus, GCP taip pat naudoja dinamines ugniasienės taisykles, valdomas per IAM vaidmenis ir debesų šarvus. Nors IAM leidimai apibrėžia, kurie vartotojai gali pritaikyti ugniasienės taisykles, debesų šarvai gali dinamiškai įgyvendinti saugumo politiką, remdamiesi grėsmės žvalgybos ir geografinėmis taisyklėmis. Tai reiškia, kad taisyklė, kurią prieš kelis mėnesius pritaikėte, gali būti panaikinta saugos atnaujinimu, jos akivaizdžiai pašalinta iš vartotojo sąsajos. Suprasti šiuos skirtingus sluoksnius labai svarbu efektyviai valdyti tinklo saugumą GCP.