हयात

Google Cloud Platform ऑडिटिंग और हार्डनिंग स्क्रिप्ट ~

"हयात" का क्या अर्थ है?

खैर, ईमानदारी से कहूँ तो मुझे एक अनोखा नाम खोजने में कठिनाई हुई। "हयात" एक तुर्की शब्द है जिसका अंग्रेजी में अर्थ "जीवन" होता है और यह मेरी भतीजी का भी नाम है। क्या आप उससे मिलने के लिए तैयार हैं?

😍 😍 😍

---

हयात Google Cloud Platform सेवाओं के लिए एक ऑडिटिंग और हार्डनिंग स्क्रिप्ट है जैसे:

• पहचान और अभिगम प्रबंधन (Identity & Access Management)
• लॉगिंग और निगरानी (Logging and Monitoring)
• नेटवर्किंग (Networking)
• वर्चुअल मशीन (Virtual Machines)
• संग्रहण (Storage)
• Cloud SQL इंस्टेंस (Cloud SQL Instances)
• कुबरनेटीज़ क्लस्टर (Kubernetes Clusters)

अभी के लिए।

पहचान और अभिगम प्रबंधन

• सुनिश्चित करें कि Gmail खातों के बजाय कॉर्पोरेट लॉगिन क्रेडेंशियल का उपयोग किया जाए।
• सुनिश्चित करें कि प्रत्येक सेवा खाते के लिए केवल GCP-प्रबंधित सेवा खाता कुंजियाँ हों।
• सुनिश्चित करें कि ServiceAccount के पास कोई व्यवस्थापक विशेषाधिकार नहीं है।
• सुनिश्चित करें कि IAM उपयोगकर्ताओं को प्रोजेक्ट स्तर पर Service Account User भूमिका नहीं सौंपी गई है।
• सुनिश्चित करें कि सेवा खातों के लिए उपयोगकर्ता-प्रबंधित/बाहरी कुंजियाँ हर 90 दिन या उससे कम में घुमाई जाएँ।
• सुनिश्चित करें कि उपयोगकर्ताओं को सेवा खाता संबंधी भूमिकाएँ सौंपते समय कर्तव्यों का पृथक्करण लागू किया जाए।

लॉगिंग और निगरानी

• सुनिश्चित करें कि सभी लॉग प्रविष्टियों के लिए सिंक कॉन्फ़िगर किए गए हैं।
• सुनिश्चित करें कि लॉग-बकेट पर ऑब्जेक्ट संस्करणीकरण सक्षम है।

नेटवर्किंग

• सुनिश्चित करें कि किसी प्रोजेक्ट में डिफ़ॉल्ट नेटवर्क मौजूद नहीं है।
• सुनिश्चित करें कि किसी प्रोजेक्ट के लिए लीगेसी नेटवर्क मौजूद नहीं हैं।
• सुनिश्चित करें कि Cloud DNS के लिए DNSSEC सक्षम है।
• सुनिश्चित करें कि Cloud DNS DNSSEC में कुंजी-हस्ताक्षर कुंजी के लिए RSASHA1 का उपयोग नहीं किया गया है।
• सुनिश्चित करें कि Cloud DNS DNSSEC में ज़ोन-हस्ताक्षर कुंजी के लिए RSASHA1 का उपयोग नहीं किया गया है।
• सुनिश्चित करें कि इंटरनेट से RDP पहुंच प्रतिबंधित है।
• सुनिश्चित करें कि इंटरनेट से SSH पहुंच प्रतिबंधित है।
• सुनिश्चित करें कि VPC नेटवर्क में सभी उपनेटवर्क के लिए Private Google Access सक्षम है।
• सुनिश्चित करें कि VPC नेटवर्क में प्रत्येक सबनेट के लिए VPC फ़्लो लॉग्स सक्षम है।

वर्चुअल मशीन

• सुनिश्चित करें कि इंस्टेंस सभी Cloud APIs तक पूर्ण पहुंच के साथ डिफ़ॉल्ट सेवा खाते का उपयोग करने के लिए कॉन्फ़िगर नहीं किए गए हैं।
• सुनिश्चित करें कि VM इंस्टेंस के लिए "Block Project-wide SSH keys" सक्षम है।
• सुनिश्चित करें कि किसी प्रोजेक्ट के लिए oslogin सक्षम है।
• सुनिश्चित करें कि VM इंस्टेंस के लिए 'Enable connecting to serial ports' सक्षम नहीं है।
• सुनिश्चित करें कि इंस्टेंस पर IP फ़ॉरवर्डिंग सक्षम नहीं है।
• सुनिश्चित करें कि महत्वपूर्ण VMs के लिए VM डिस्क Customer-Supplied Encryption Keys (CSEK) से एन्क्रिप्ट की गई हैं।

संग्रहण

• सुनिश्चित करें कि Cloud Storage बकेट गुमनाम या सार्वजनिक रूप से सुलभ नहीं है।
• सुनिश्चित करें कि Cloud Storage बकेट के लिए लॉगिंग सक्षम है।

Cloud SQL डेटाबेस सेवाएँ

• सुनिश्चित करें कि Cloud SQL डेटाबेस इंस्टेंस को सभी इनकमिंग कनेक्शनों के लिए SSL का उपयोग करना आवश्यक है।
• सुनिश्चित करें कि Cloud SQL डेटाबेस इंस्टेंस दुनिया के लिए खुले नहीं हैं।
• सुनिश्चित करें कि MySQL डेटाबेस इंस्टेंस किसी को भी व्यवस्थापकीय विशेषाधिकारों से कनेक्ट करने की अनुमति नहीं देता है।
• सुनिश्चित करें कि MySQL डेटाबेस इंस्टेंस किसी भी होस्ट से रूट लॉगिन की अनुमति नहीं देता है।

कुबरनेटीज़ इंजन

• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर पर Stackdriver Logging सक्षम पर सेट है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर पर Stackdriver Monitoring सक्षम पर सेट है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर पर Legacy Authorization अक्षम पर सेट है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर पर Master authorized networks सक्षम पर सेट है।
• सुनिश्चित करें कि कुबरनेटीज़ क्लस्टर लेबल के साथ कॉन्फ़िगर किए गए हैं।
• सुनिश्चित करें कि कुबरनेटीज़ वेब UI / डैशबोर्ड अक्षम है।
• सुनिश्चित करें कि कुबरनेटीज़ क्लस्टर के लिए Automatic node repair सक्षम है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर नोड्स पर Automatic node upgrades सक्षम है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर नोड इमेज के लिए Container-Optimized OS (cos) का उपयोग किया गया है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर पर Basic Authentication अक्षम है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर पर Network policy सक्षम है।
• सुनिश्चित करें कि कुबरनेटीज़ क्लस्टर Client Certificate सक्षम करके बनाया गया है।
• सुनिश्चित करें कि कुबरनेटीज़ क्लस्टर Alias IP ranges सक्षम करके बनाया गया है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर पर PodSecurityPolicy नियंत्रक सक्षम है।
• सुनिश्चित करें कि कुबरनेटीज़ क्लस्टर Private cluster सक्षम करके बनाया गया है।
• सुनिश्चित करें कि कुबरनेटीज़ इंजन क्लस्टर सबनेट पर Private Google Access सेट है।
• सुनिश्चित करें कि कुबरनेटीज़ क्लस्टर में प्रोजेक्ट पहुंच के लिए डिफ़ॉल्ट सेवा खाते का उपयोग नहीं किया गया है।
• सुनिश्चित करें कि कुबरनेटीज़ क्लस्टर प्रोजेक्ट पहुंच के लिए सीमित सेवा खाता एक्सेस स्कोप के साथ बनाए गए हैं।

आवश्यकताएँ

हयात को gcloud का उपयोग करके bash स्क्रिप्ट में लिखा गया है और यह Linux और OSX के साथ संगत है।

उपयोग

git clone https://github.com/DenizParlak/Hayat.git && cd Hayat && chmod +x hayat.sh && ./hayat.sh

आप विशिष्ट फ़ंक्शन के साथ उपयोग कर सकते हैं, उदाहरण के लिए यदि आप केवल कुबरनेटीज़ क्लस्टर को स्कैन करना चाहते हैं:

./hayat.sh --only-k8s

स्क्रीनशॉट