Cloud SQL-Brute-Force-Schutz verwenden

Der Brute-Force-Schutz ist eine integrierte Sicherheitsfunktion, die Ihre Instanzen vor Brute-Force-Zugriffsversuchen schützt, indem sie unbefugten Zugriff auf Ihre Cloud SQL-Ressourcen verhindert. Brute-Force-Zugriffsversuche treten auf, wenn böswillige Akteure systematisch verschiedene Kombinationen aus Nutzernamen und Passwort ausprobieren, um wiederholte Anmeldeversuche zu automatisieren und Zugriff auf Ihre Datenbank zu erhalten.

Cloud SQL bietet die folgenden Optionen, um Ihre Datenbanken vor Brute-Force-Zugriffsversuchen zu schützen:

  • Erkennung von Brute-Force-Angriffen: Cloud SQL überwacht kontinuierlich fehlgeschlagene Anmeldeversuche für jede Instanz und erkennt die erste erfolgreiche Anmeldung. Wenn die Anzahl der aufeinanderfolgenden Anmeldeversuche den von Cloud SQL definierten Schwellenwert überschreitet, generiert Cloud SQL eine Warnmeldung in den Instanzlogs. In diesem Logeintrag wird der Brute-Force-Zugriffsversuch identifiziert, einschließlich der zugehörigen IP-Adresse und des Nutzernamens.

    Die Erkennung von Brute-Force-Zugriffen ist für alle Cloud SQL-Versionen verfügbar.

  • Schutz vor Brute-Force-Angriffen: Wenn Cloud SQL einen Brute-Force-Angriff erkennt, werden die Anmeldeversuche automatisch verlangsamt, indem die Anmeldeantwort verzögert und in Echtzeit gedrosselt wird. Wenn Cloud SQL eine Verbindung als Brute-Force-Zugriffsversuch identifiziert und diese Verbindung zu einer erfolgreichen Anmeldung führt, drosselt Cloud SQL sie und generiert ein Logereignis, um diese erfolgreiche Anmeldung zu identifizieren. Dieses Protokollereignis identifiziert den Brute-Force-Zugriffsversuch zusammen mit der zugehörigen IP-Adresse und dem Nutzernamen.

    Der Schutz vor Brute-Force-Angriffen ist nur für die Cloud SQL Enterprise Plus-Version verfügbar.

Durch die Erkennung von Brute-Force-Zugriffen und den Schutz Ihrer Instanzen hilft Cloud SQL, die Quelle dieser Brute-Force-Zugriffsversuche zu identifizieren und die dadurch verursachten Risiken zu minimieren. Verwenden Sie die IP-Adressen und Nutzernamen, die bei diesen Brute-Force-Zugriffsversuchen identifiziert wurden, um Ihre Instanz zu sichern und vor zukünftigen Brute-Force-Zugriffsversuchen zu schützen. Informationen zum Identifizieren von Brute-Force-Angriffen auf Ihre Instanz finden Sie unter Logs für Brute-Force-Angriffe ansehen.

Protokolle für Brute-Force-Zugriffsversuche ansehen

Wenn Cloud SQL einen Brute-Force-Angriff erkennt, wird ein Ereignis in Ihren Instanzlogs mit dem Text an anomaly was found protokolliert. Cloud SQL-Logs enthalten die folgenden detaillierten Ereignisse:

Ereignis Beschreibung
Erkennung von Brute-Force-Zugriffsversuchen Fehlgeschlagener Anmeldeversuch im Konto user von der IP-Adresse IP. Es wurde eine Anomalie gefunden: wiederholte fehlgeschlagene Anmeldeversuche von dieser IP-Adresse.
Automatische Drosselung zur Abwehr von Brute-Force-Angriffen (nur Enterprise Plus-Version) Fehlgeschlagener Anmeldeversuch im Konto user von der IP-Adresse IP. Es wurde eine Anomalie festgestellt: wiederholte fehlgeschlagene Anmeldeversuche von dieser IP-Adresse. Cloud SQL hat die Antwort gedrosselt, um einen potenziellen Brute-Force-Angriff abzuwehren.
Erkennung der ersten erfolgreichen Anmeldung nach wiederholten fehlgeschlagenen Anmeldeversuchen Es wurde eine Anomalie festgestellt: Nach wiederholten fehlgeschlagenen Anmeldeversuchen wurde eine erfolgreiche Anmeldung im Konto user über die IP-Adresse IP erkannt. Es wird empfohlen, das Nutzerpasswort zu ändern, wenn diese Aktivität unerwartet ist.
Automatische Drosselung der ersten erfolgreichen Anmeldung nach wiederholten fehlgeschlagenen Anmeldungen (nur Enterprise Plus-Version) Es wurde eine Anomalie festgestellt: erfolgreiche Anmeldung im Konto user von der IP-Adresse IP nach wiederholten fehlgeschlagenen Anmeldeversuchen. Cloud SQL hat die Antwort gedrosselt, um einen potenziellen Brute-Force-Angriff abzuwehren. Ändern Sie das Nutzerpasswort, wenn diese Aktivität unerwartet ist.

Wenn Sie Details zu diesen Brute-Force-Angriffen sehen möchten, rufen Sie die Logs Ihrer Instanz auf und suchen Sie im Text der einzelnen Logs nach An anomaly was found.

Logbasierte Benachrichtigungsrichtlinie einrichten

Sie können eine logbasierte Benachrichtigungsrichtlinie einrichten, um benachrichtigt zu werden, wenn ein Brute-Force-Zugriffsversuch für Ihre Cloud SQL-Instanzen erkannt oder gedrosselt wird. Weitere Informationen zum Einrichten dieser Benachrichtigung finden Sie unter Logbasierte Benachrichtigungsrichtlinie mit dem Log-Explorer konfigurieren.

Sie können beispielsweise die folgende Abfrage in der Benachrichtigungsrichtlinie verwenden, um Logs zu erfolgreichen Brute-Force-Zugriffsversuchen zu identifizieren:

resource.type="cloudsql_database"
textPayload =~ "An anomaly was found, successful login into the account"

Instanz sichern

Sie sollten Ihre Instanz sichern, wenn Brute-Force-Zugriffsversuche erkannt werden. Informationen zum Aufrufen potenzieller Brute-Force-Zugriffsversuche finden Sie unter Logs für Brute-Force-Zugriffsversuche ansehen.

Wenn Cloud SQL einen Brute-Force-Zugriffsversuch auf Ihre Instanz erkennt, gehen Sie so vor:

  • Wenn Cloud SQL einen Brute-Force-Angriff erkennt, die Anmeldung aber fehlgeschlagen ist, entfernen Sie die identifizierten IP-Adressen aus Ihren autorisierten Netzwerken, um zukünftige Anmeldeversuche von diesen IP-Adressen zu verhindern. Verwenden Sie dazu enge IP-Bereiche in den autorisierten Netzwerken für Ihre Instanz oder entfernen Sie die IP-Adresse aus der Liste der autorisierten Netzwerke.
  • Wenn Cloud SQL einen Brute-Force-Angriff erkennt und eine erfolgreiche Anmeldung von der identifizierten IP-Adresse und dem Nutzernamen erfolgt ist, ändern Sie das Passwort für das Nutzerkonto und entfernen Sie die IP-Adresse aus der Liste der autorisierten Netzwerke.

Zusätzlich können Sie auch den Auth-Proxy oder die Cloud SQL-Sprach-Connectors verwenden, um eine Verbindung zu Ihrer Instanz herzustellen, anstatt autorisierte Netzwerke zu verwenden. Der Auth-Proxy und die Cloud SQL-Sprach-Connectors verwenden die Authentifizierung über Identity and Access Management, um Verbindungen zu Ihrer Instanz zu verwalten. Dies bietet eine sicherere Verbindung und erfordert nicht, dass Sie der Liste der autorisierten Netzwerke Ihrer Instanz bestimmte IP-Adressen hinzufügen.

Verwenden Sie zum weiteren Schutz Ihrer Cloud SQL-Instanzen eine private IP-Adresse anstelle einer öffentlichen IP-Adresse und die IAM-basierte Datenbankauthentifizierung anstelle der Authentifizierung mit Nutzername und Passwort.

Brute-Force-Zugriffsversuche überwachen

Um Brute-Force-Zugriffsversuche zu überwachen, zählt Cloud SQL die Anzahl der Vorkommen jedes Typs von Verbindungsereignis zu Ihrer Instanz mit dem Messwert /database/network/connection_attempt_count. In diesem Messwert werden die folgenden Felder verwendet, um festzustellen, ob es sich bei einer Verbindung um einen Brute-Force-Zugriffsversuch handelt:

  • login_status: Erfasst, ob die Verbindung zu einer erfolgreichen Anmeldung geführt hat.
  • anomaly_detected: Gibt an, ob die Verbindung ein Brute-Force-Zugriffsversuch ist, je nachdem, ob die Verbindung den von Cloud SQL festgelegten Schwellenwert für Anmeldeversuche überschritten hat.
  • anomalous_connection_throttled: Gibt an, ob die Verbindung für den Brute-Force-Zugriffsversuch gedrosselt wird.

Sie können diesen Messwert überwachen, um die Anzahl der einzelnen Verbindungstypen zu ermitteln. In der folgenden Tabelle sind die von der Metrik erfassten Verbindungsereignisse und die entsprechenden Feldwerte aufgeführt:

Ereignis Beschreibung
Erfolgreiche Anmeldung Eine erfolgreiche Anmeldung bei Ihrer Instanz, ohne dass ein Brute-Force-Zugriffsversuch erkannt wurde. Nachverfolgte Feldwerte:
          login_status: succeeded
          anomaly_detected: none
          anomalous_connection_throttled: false
Fehler bei der Anmeldung Eine fehlgeschlagene Anmeldung bei Ihrer Instanz, bei der kein Brute-Force-Zugriffsversuch erkannt wurde. Nachverfolgte Feldwerte:
          login_status: failed
          anomaly_detected: none
          anomalous_connection_throttled: false
Brute-Force-Anmeldeversuch erkannt (nicht gedrosselt) Ein fehlgeschlagener Anmeldeversuch, der als Brute-Force-Zugriffsversuch identifiziert wird, da er den von Cloud SQL festgelegten Grenzwert für Anmeldeversuche überschreitet. Die Verbindung wurde nicht gedrosselt. Nachverfolgte Feldwerte:
          login_status: failed
          anomaly_detected: brute-force login
          anomalous_connection_throttled: false
Brute-Force-Anmeldeversuch erkannt und gedrosselt Ein fehlgeschlagener Anmeldeversuch, der als Brute-Force-Zugriffsversuch identifiziert wird, da er den von Cloud SQL festgelegten Schwellenwert für Anmeldeversuche überschreitet und gedrosselt wird, um die Anmeldung zu verhindern. Nachverfolgte Feldwerte:
          login_status: failed
          anomaly_detected: brute-force login
          anomalous_connection_throttled: true
Erfolgreiche Anmeldung nach erkanntem Brute-Force-Zugriffsversuch (nicht gedrosselt) Eine erfolgreiche Anmeldung bei Ihrer Instanz, nachdem die Verbindung als Brute-Force-Zugriffsversuch identifiziert wurde. Die Verbindung wurde nicht gedrosselt. Nachverfolgte Feldwerte:
          login_status: succeeded
          anomaly_detected: brute-force login
          anomalous_connection_throttled: false
Erfolgreiche Anmeldung nach erkanntem und gedrosseltem Brute-Force-Zugriffsversuch Eine erfolgreiche Anmeldung bei Ihrer Instanz, nachdem die Verbindung als Brute-Force-Zugriffsversuch identifiziert und gedrosselt wurde. Nachverfolgte Feldwerte:
          login_status: succeeded
          anomaly_detected: brute-force login
          anomalous_connection_throttled: true

Beschränkungen

  • Für den Brute-Force-Schutz ist mindestens die Wartungsversion MYSQL_$version.R20250531.01_23 erforderlich. Weitere Informationen finden Sie unter Selfservice-Wartung durchführen.
  • Der Brute-Force-Schutz ist nur für MySQL-Version 5.7 und höher verfügbar.

Nächste Schritte