Hayat

Google Cloud Platform Audit- & Härtungs-Skript ~

Was bedeutet „Hayat“?

Nun, ich hatte ehrlich gesagt Schwierigkeiten, einen einzigartigen Namen zu finden. „Hayat“ ist ein türkisches Wort, das auf Englisch „Life“ bedeutet und auch der Name meiner Nichte ist. Bereit, sie zu treffen?

😍 😍 😍

---

Hayat ist ein Audit- & Härtungs-Skript für Google Cloud Platform-Dienste wie:

• Identity & Access Management
• Logging und Überwachung
• Netzwerke
• Virtuelle Maschinen
• Speicher
• Cloud SQL-Instanzen
• Kubernetes-Cluster

vorerst.

Identitäts- & Zugriffsverwaltung

• Stellen Sie sicher, dass anstelle von Gmail-Konten unternehmenseigene Anmeldeinformationen verwendet werden.
• Stellen Sie sicher, dass für jedes Dienstkonto nur von GCP verwaltete Dienstkontoschlüssel vorhanden sind.
• Stellen Sie sicher, dass das Dienstkonto keine Administratorrechte besitzt.
• Stellen Sie sicher, dass IAM-Nutzern nicht die Rolle „Dienstkonto-Nutzer“ auf Projektebene zugewiesen wird.
• Stellen Sie sicher, dass benutzermanagierte/externe Schlüssel für Dienstkonten alle 90 Tage oder weniger rotiert werden.
• Stellen Sie sicher, dass bei der Zuweisung dienstkontobezogener Rollen an Benutzer die Aufgabentrennung durchgesetzt wird.

Logging und Überwachung

• Stellen Sie sicher, dass Senken für alle Logeinträge konfiguriert sind.
• Stellen Sie sicher, dass die Objektversionierung für Log-Buckets aktiviert ist.

Netzwerke

• Stellen Sie sicher, dass das Standardnetzwerk in einem Projekt nicht existiert.
• Stellen Sie sicher, dass Legacy-Netzwerke für ein Projekt nicht existieren.
• Stellen Sie sicher, dass DNSSEC für Cloud DNS aktiviert ist.
• Stellen Sie sicher, dass RSASHA1 nicht für den Schlüsselsignierungsschlüssel in Cloud DNS DNSSEC verwendet wird.
• Stellen Sie sicher, dass RSASHA1 nicht für den Zonensignierungsschlüssel in Cloud DNS DNSSEC verwendet wird.
• Stellen Sie sicher, dass der RDP-Zugriff aus dem Internet eingeschränkt ist.
• Stellen Sie sicher, dass der SSH-Zugriff aus dem Internet eingeschränkt ist.
• Stellen Sie sicher, dass Private Google Access für alle Subnetze im VPC-Netzwerk aktiviert ist.
• Stellen Sie sicher, dass VPC-Flow-Logs für jedes Subnetz im VPC-Netzwerk aktiviert sind.

Virtuelle Maschinen

• Stellen Sie sicher, dass Instanzen nicht so konfiguriert sind, dass sie das Standard-Dienstkonto mit vollem Zugriff auf alle Cloud-APIs verwenden.
• Stellen Sie sicher, dass „Projektweite SSH-Schlüssel blockieren“ für VM-Instanzen aktiviert ist.
• Stellen Sie sicher, dass oslogin für ein Projekt aktiviert ist.
• Stellen Sie sicher, dass „Verbindung zu seriellen Anschlüssen aktivieren“ für VM-Instanzen nicht aktiviert ist.
• Stellen Sie sicher, dass IP-Weiterleitung auf Instanzen nicht aktiviert ist.
• Stellen Sie sicher, dass VM-Festplatten für kritische VMs mit kundenseitig bereitgestellten Verschlüsselungsschlüsseln (CSEK) verschlüsselt sind.

Speicher

• Stellen Sie sicher, dass Cloud Storage-Buckets nicht anonym oder öffentlich zugänglich sind.
• Stellen Sie sicher, dass Logging für Cloud Storage-Buckets aktiviert ist.

Cloud SQL-Datenbankdienste

• Stellen Sie sicher, dass die Cloud SQL-Datenbankinstanz für alle eingehenden Verbindungen SSL erfordert.
• Stellen Sie sicher, dass Cloud SQL-Datenbankinstanzen nicht für die Welt geöffnet sind.
• Stellen Sie sicher, dass die MySQL-Datenbankinstanz nicht zulässt, dass sich jemand mit Administratorrechten verbindet.
• Stellen Sie sicher, dass die MySQL-Datenbankinstanz keine Root-Anmeldung von einem beliebigen Host zulässt.

Kubernetes Engine

• Stellen Sie sicher, dass Stackdriver Logging in Kubernetes Engine-Clustern auf „Aktiviert“ gesetzt ist.
• Stellen Sie sicher, dass Stackdriver Monitoring in Kubernetes Engine-Clustern auf „Aktiviert“ gesetzt ist.
• Stellen Sie sicher, dass Legacy Authorization in Kubernetes Engine-Clustern auf „Deaktiviert“ gesetzt ist.
• Stellen Sie sicher, dass Autorisierte Master-Netzwerke in Kubernetes Engine-Clustern auf „Aktiviert“ gesetzt ist.
• Stellen Sie sicher, dass Kubernetes-Cluster mit Labels konfiguriert sind.
• Stellen Sie sicher, dass die Kubernetes-Web-Benutzeroberfläche bzw. das Dashboard deaktiviert ist.
• Stellen Sie sicher, dass „Automatische Knotenreparatur“ für Kubernetes-Cluster aktiviert ist.
• Stellen Sie sicher, dass automatische Knoten-Upgrades auf den Knoten von Kubernetes Engine-Clustern aktiviert ist.
• Stellen Sie sicher, dass Container-Optimized OS (cos) als Knoten-Image für Kubernetes Engine-Cluster verwendet wird.
• Stellen Sie sicher, dass die Basisauthentifizierung in Kubernetes Engine-Clustern deaktiviert ist.
• Stellen Sie sicher, dass die Netzwerkrichtlinie in Kubernetes Engine-Clustern aktiviert ist.
• Stellen Sie sicher, dass der Kubernetes-Cluster mit aktiviertem Client-Zertifikat erstellt wird.
• Stellen Sie sicher, dass der Kubernetes-Cluster mit aktivierten Alias-IP-Bereichen erstellt wird.
• Stellen Sie sicher, dass der PodSecurityPolicy-Controller in den Kubernetes Engine-Clustern aktiviert ist.
• Stellen Sie sicher, dass der Kubernetes-Cluster mit aktiviertem privaten Cluster erstellt wird.
• Stellen Sie sicher, dass Private Google Access in den Subnetzen des Kubernetes Engine-Clusters aktiviert ist.
• Stellen Sie sicher, dass das Standard-Dienstkonto nicht für den Projektzugriff in Kubernetes-Clustern verwendet wird.
• Stellen Sie sicher, dass Kubernetes-Cluster mit eingeschränkten Dienstkonto-Zugriffsbereichen für den Projektzugriff erstellt werden.

Voraussetzungen

Hayat wurde in Bash-Skript mit gcloud geschrieben und ist mit Linux und OSX kompatibel.

Verwendung

git clone https://github.com/DenizParlak/Hayat.git && cd Hayat && chmod +x hayat.sh && ./hayat.sh

Sie können es mit bestimmten Funktionen verwenden, z. B. wenn Sie nur Kubernetes-Cluster scannen möchten:

./hayat.sh --only-k8s

Screenshots