Realizando Avaliação de Segurança do GCP com Forseti

Quando Usar

• Ao realizar avaliações de segurança periódicas de organizações e projetos GCP
• Ao integrar novos projetos GCP e estabelecer linhas de base de segurança
• Ao cumprir mandatos de avaliação do CIS GCP Foundations Benchmark
• Ao auditar vinculações IAM, regras de firewall e ACLs de armazenamento em vários projetos GCP
• Ao construir monitoramento contínuo de segurança para infraestrutura GCP

Não use como substituto para o GCP Security Command Center Premium para detecção de ameaças em tempo real, para varredura de vulnerabilidades em nível de aplicativo (use o Web Security Scanner) ou para segurança específica de GKE (use o GKE Security Posture).

Pré-requisitos

• Organização GCP com a função IAM de Administrador da Organização ou Administrador de Segurança
• gcloud CLI autenticado com permissões suficientes (roles/securitycenter.admin, roles/iam.securityReviewer)
• Security Command Center (SCC) habilitado no nível da organização
• ScoutSuite instalado para comparação multicloud (pip install scoutsuite)
• Python 3.8+ para scripts de auditoria personalizados usando as bibliotecas google-cloud-asset e google-cloud-securitycenter

Fluxo de Trabalho

Etapa 1: Habilitar Security Command Center e Cloud Asset Inventory

Habilite o SCC e configure o Cloud Asset Inventory para visibilidade abrangente de recursos.

# Enable Security Command Center API
gcloud services enable securitycenter.googleapis.com \
  --project=PROJECT_ID

# Enable Cloud Asset API
gcloud services enable cloudasset.googleapis.com \
  --project=PROJECT_ID

# List all assets in the organization
gcloud asset search-all-resources \
  --scope=organizations/ORG_ID \
  --asset-types="compute.googleapis.com/Instance,storage.googleapis.com/Bucket,iam.googleapis.com/ServiceAccount" \
  --format="table(name, assetType, location, project)"

# Export asset inventory to BigQuery for analysis
gcloud asset export \
  --organization=ORG_ID \
  --output-bigquery-force \
  --output-bigquery-dataset=projects/PROJECT_ID/datasets/asset_inventory \
  --output-bigquery-table=resources \
  --content-type=resource

Etapa 2: Auditar Políticas e Vinculações IAM

Revise as políticas IAM em toda a organização em busca de vinculações excessivamente permissivas, funções primitivas e uso indevido de contas de serviço.

# List all IAM policy bindings at org level
gcloud organizations get-iam-policy ORG_ID \
  --format=json > org-iam-policy.json

# Find all users with Owner or Editor roles across projects
gcloud asset search-all-iam-policies \
  --scope=organizations/ORG_ID \
  --query="policy:roles/owner OR policy:roles/editor" \
  --format="table(resource, policy.bindings.role, policy.bindings.members)"

# Identify service accounts with admin roles
gcloud asset search-all-iam-policies \
  --scope=organizations/ORG_ID \
  --query="policy.bindings.members:serviceAccount AND policy:roles/owner" \
  --format=json

# Check for allUsers or allAuthenticatedUsers bindings (public access)
gcloud asset search-all-iam-policies \
  --scope=organizations/ORG_ID \
  --query="policy:allUsers OR policy:allAuthenticatedUsers" \
  --format="table(resource, policy.bindings.role, policy.bindings.members)"

# List service account keys older than 90 days
gcloud iam service-accounts keys list \
  --iam-account=SA_EMAIL \
  --managed-by=user \
  --format="table(name,validAfterTime,validBeforeTime)"

Etapa 3: Avaliar Regras de Firewall e Configuração de Rede

Audite as regras de firewall da VPC em busca de regras de entrada excessivamente permissivas, falta de log e exposição de rede.

# List all firewall rules allowing ingress from 0.0.0.0/0
gcloud compute firewall-rules list \
  --filter="direction=INGRESS AND sourceRanges=0.0.0.0/0" \
  --format="table(name, network, allowed, sourceRanges, targetTags)"

# Find firewall rules allowing all protocols/ports
gcloud compute firewall-rules list \
  --filter="direction=INGRESS AND allowed[].IPProtocol=all" \
  --format="table(name, network, sourceRanges, targetTags)"

# Check for SSH (22) and RDP (3389) open to internet
gcloud compute firewall-rules list \
  --filter="direction=INGRESS AND sourceRanges=0.0.0.0/0 AND (allowed[].ports=22 OR allowed[].ports=3389)" \
  --format="table(name, network, allowed, sourceRanges)"

# Audit VPC flow log configuration
gcloud compute networks subnets list \
  --format="table(name, region, enableFlowLogs, logConfig.aggregationInterval)"

Etapa 4: Auditar Permissões de Bucket do Cloud Storage

Verifique se há buckets de armazenamento publicamente acessíveis e configurações de criptografia ausentes.

…