Являются ли правила брандмауэра GCP по умолчанию проблемой безопасности?

Question

Всякий раз, когда вы создаете проект в GCP, существует правило брандмауэра по умолчанию: «default-allow-ssh», которое разрешает 0.0.0.0/0 для порта 22, что упрощает ssh на машины с внешним ipиз браузера.Но это позволяет любой машине из Интернета получить доступ к моей машине через порт 22, и боты постоянно пытаются получить доступ ко всему, что они могут найти.Я полагаю, что им все еще нужно взломать пароль или ssh-ключ или что-то еще, но разве это не очень опасное правило по умолчанию?Нет никаких предупреждений, когда вы запускаете новую машину с external-ip, и я ожидал, что у GCP будет более ограниченный подход.Если кто-нибудь может помочь мне прояснить это, это будет высоко ценится.И если я удалю это правило по умолчанию и все еще захочу получить доступ к моим машинам через ssh, какой подход будет простым и безопасным?

Answer 1

Без этого правила, когда вы пытаетесь использовать SSH с помощью инструмента командной строки gcloud, запрос будет немедленно отклонен, поэтому AFAIK, выбранный здесь Compute Engine, был оптимизирован для облегчения начала работы с GCE.

Я также думаю, что аутентификация по паролю отключена по умолчанию, поэтому у любого злоумышленника есть два пути ввода:

1. Взломать закрытый ключ SSH
2. Использование уязвимости в двоичном файле агента SSH

Я думаю, что первое довольно надумано, учитывая современные технологии. Если бы это было достаточно легко, у нас были бы гораздо большие проблемы в мире.

Второе, похоже, вызывает беспокойство, если у вас не было автоматических исправлений безопасности, регулярно устанавливаемых Google Cloud Platform. Да, это все еще уязвимо для 0-дневных эксплойтов, но, учитывая, что команда безопасности Google была одной из тех, кто обнаружил несколько недавних уязвимостей в популярных проектах (например, я уверен, что Heartbleed был обнаружен, исправлен и раскрыт Google), вполне вероятно, что в случае ошибки безопасности в агенте SSH, который используется всеми виртуальными машинами GCE, Google исправит его быстрее, чем кто-либо другой.

Тем не менее, если вам действительно не нравится это правило, я вполне уверен, что вы можете зайти и изменить определение правила, чтобы оно разрешало только некоторый определенный список IP-адресов или подсетей по умолчанию для всех ваших виртуальных машин.