Le réseau GCP décide de ce qui est accessible : les règles de pare-feu qui ouvrent le trafic entrant vers internet, le peering VPC et le VPC partagé qui permettent à un point d'appui dans un réseau d'en atteindre un autre, les enregistrements Cloud DNS laissés orphelins pointant vers des ressources libérées, et les équilibreurs de charge qui exposent les backends. Le réseau compromet rarement un projet à lui seul, mais il transforme un point d'appui accessible en portée à travers l'environnement et capture des noms de confiance.
Ce qui est regroupé ici#
- Règles de pare-feu : ouvrir le trafic entrant avec
compute.firewalls.create/update, et trouver les règles déjà ouvertes à0.0.0.0/0. - VPC : peering, VPC partagé et routes pour pivoter vers des instances et services internes.
- Cloud DNS : détourner les enregistrements orphelins qui pointent vers des ressources GCP libérées.
- Équilibrage de charge : règles de transfert et services backend qui exposent ou atteignent les backends.
Le mouvement basé sur l'identité (usurpation d'identité et actAs entre projets) réside dans identity ; cette surface est la couche réseau.