Rede

• Garantir que a rede padrão não exista em um projeto.
• Garantir que redes legadas não existam para um projeto.
• Garantir que o DNSSEC esteja ativado para o Cloud DNS.
• Garantir que o RSASHA1 não seja usado para a chave de assinatura de chave no DNSSEC do Cloud DNS.
• Garantir que o RSASHA1 não seja usado para a chave de assinatura de zona no DNSSEC do Cloud DNS.
• Garantir que o acesso RDP seja restrito a partir da Internet.
• Garantir que o acesso SSH seja restrito a partir da Internet.
• Garantir que o Acesso Privado do Google esteja ativado para todas as sub-redes na Rede VPC.
• Garantir que os logs de fluxo VPC estejam ativados para cada sub-rede na Rede VPC.

Máquinas Virtuais

• Garantir que as instâncias não estejam configuradas para usar a conta de serviço padrão com acesso total a todas as APIs da nuvem.
• Garantir que "Bloquear chaves SSH de todo o projeto" esteja ativado para instâncias de VM.
• Garantir que o oslogin esteja ativado para um projeto.
• Garantir que 'Ativar conexão com portas seriais' não esteja ativado para a instância de VM.
• Garantir que o encaminhamento de IP não esteja ativado nas instâncias.
• Garantir que os discos de VM para VMs críticas estejam criptografados com Chaves de Criptografia Fornecidas pelo Cliente (CSEK)

Armazenamento

• Garantir que o bucket do Cloud Storage não seja acessível anonimamente ou publicamente.
• Garantir que o registro esteja ativado para o bucket do Cloud Storage.

Serviços de Banco de Dados Cloud SQL

• Garantir que a instância de banco de dados Cloud SQL exija que todas as conexões de entrada usem SSL.
• Garantir que as instâncias de banco de dados Cloud SQL não estejam abertas para o mundo.
• Garantir que a instância de banco de dados MySQL não permita que ninguém se conecte com privilégios administrativos.
• Garantir que a instância de banco de dados MySQL não permita login root de qualquer host.

Kubernetes Engine

• Garantir que o Stackdriver Logging esteja definido como Ativado nos Clusters do Kubernetes Engine.
• Garantir que o Stackdriver Monitoring esteja definido como Ativado nos Clusters do Kubernetes Engine.
• Garantir que a Autorização Legada esteja definida como Desativada nos Clusters do Kubernetes Engine.
• Garantir que as Redes autorizadas do mestre estejam definidas como Ativado nos Clusters do Kubernetes Engine.
• Garantir que os Clusters Kubernetes estejam configurados com Rótulos.
• Garantir que a IU web / Dashboard do Kubernetes esteja desativada.
• Garantir que o Reparo automático de nós esteja ativado para Clusters Kubernetes.
• Garantir que as atualizações automáticas de nós estejam ativadas nos nós dos Clusters do Kubernetes Engine.
• Garantir que o Sistema Operacional Otimizado para Contêiner (cos) seja usado para a imagem do nó dos Clusters do Kubernetes Engine.
• Garantir que a Autenticação Básica esteja desativada nos Clusters do Kubernetes Engine.
• Garantir que a política de rede esteja ativada nos Clusters do Kubernetes Engine.
• Garantir que o Cluster Kubernetes seja criado com o Certificado de Cliente ativado.
• Garantir que o Cluster Kubernetes seja criado com Intervalos de IP de alias ativados.
• Garantir que o controlador PodSecurityPolicy esteja ativado nos Clusters do Kubernetes Engine.
• Garantir que o Cluster Kubernetes seja criado com cluster privado ativado.
• Garantir que o Acesso Privado do Google esteja definido nas Sub-redes do Cluster do Kubernetes Engine.
• Garantir que a conta de serviço padrão não seja usada para acesso ao projeto em Clusters Kubernetes
• Garantir que os Clusters Kubernetes sejam criados com escopos de acesso limitados da conta de serviço para acesso ao projeto.

Requisitos

Hayat foi escrito em script bash usando gcloud e é compatível com Linux e OSX.

Uso

git clone https://github.com/DenizParlak/Hayat.git && cd Hayat && chmod +x hayat.sh && ./hayat.sh

Você pode usar com funções específicas, por exemplo, se quiser escanear apenas o Cluster Kubernetes:

./hayat.sh --only-k8s

Capturas de tela