La protezione dagli attacchi di forza bruta è una funzionalità di sicurezza integrata che protegge le tue istanze dai tentativi di accesso di forza bruta impedendo l'accesso non autorizzato alle tue risorse Cloud SQL. I tentativi di accesso brute-force si verificano quando i malintenzionati provano sistematicamente diverse combinazioni di nome utente e password per automatizzare i tentativi di accesso ripetuti e ottenere l'accesso al tuo database.
Cloud SQL offre le seguenti opzioni per proteggere i database da tentativi di accesso brute force:
Rilevamento degli accessi brute force: Cloud SQL monitora continuamente i tentativi di accesso non riusciti per ogni istanza e rileva il primo accesso riuscito. Se il numero di tentativi di accesso consecutivi supera la soglia definita da Cloud SQL, Cloud SQL genera un messaggio di avviso nei log dell'istanza. Questo messaggio di log identifica il tentativo di accesso brute-force, inclusi l'indirizzo IP e il nome utente associati.
Il rilevamento degli accessi brute force è disponibile per tutte le versioni di Cloud SQL.
Protezione dall'accesso tramite forza bruta: quando Cloud SQL rileva un tentativo di accesso tramite forza bruta, rallenta automaticamente i tentativi di accesso aggiungendo un ritardo alla risposta di accesso e limitandola in tempo reale. Se Cloud SQL identifica una connessione come un tentativo di accesso brute force e questa connessione porta a un accesso riuscito, Cloud SQL la limita e genera un evento di log per identificare l'accesso riuscito. Questo evento del log identifica il tentativo di accesso brute-force, insieme all'indirizzo IP e al nome utente associati.
La protezione dell'accesso tramite attacchi di forza bruta è disponibile solo per la versione Cloud SQL Enterprise Plus.
Fornendo il rilevamento e la protezione degli accessi brute force per le tue istanze, Cloud SQL aiuta a identificare l'origine e a mitigare i rischi causati da questi tentativi di accesso brute force. Utilizza gli indirizzi IP e i nomi utente identificati in questi tentativi di accesso brute-force per proteggere l'istanza e prevenire futuri tentativi di accesso brute-force. Per identificare i tentativi di attacco brute force per la tua istanza, consulta Visualizza i log per i tentativi di attacco brute force.
Visualizza i log per i tentativi di accesso brute-force
Quando Cloud SQL rileva un tentativo di accesso brute force, registra un evento nei log dell'istanza con un testo che indica an anomaly was found. Cloud SQL registra i seguenti eventi dettagliati:
| Evento | Descrizione |
|---|---|
| Rilevamento di un tentativo di accesso tramite attacco di forza bruta | Tentativo di accesso non riuscito all'account user
dall'IP IP. È stata rilevata un'anomalia: tentativi di accesso ripetuti non riusciti da questo IP. |
| Limitazione automatica per mitigare i tentativi di accesso brute-force (solo versione Enterprise Plus) | Tentativo di accesso non riuscito all'account user dall'IP IP. È stata rilevata un'anomalia: tentativi di accesso non riusciti ripetuti da questo IP. Cloud SQL ha limitato la risposta per mitigare un potenziale tentativo di attacco di forza bruta. |
| Rilevamento del primo accesso riuscito dopo ripetuti errori di accesso | È stata rilevata un'anomalia: accesso riuscito all'account user
dall'IP IP dopo ripetuti tentativi di accesso non riusciti. Se questa attività è imprevista, ti consigliamo di modificare la password dell'utente. |
| Limitazione automatica del primo accesso riuscito dopo ripetuti errori di accesso (solo versione Enterprise Plus) | È stata rilevata un'anomalia: accesso riuscito all'account
user dall'IP IP dopo ripetuti tentativi di accesso non riusciti. Cloud SQL ha limitato la risposta per mitigare un potenziale tentativo di attacco di forza bruta. Se questa attività è imprevista, modifica la password dell'utente. |
Per visualizzare i dettagli di questi tentativi di attacco brute force, visualizza i log dell'istanza e cerca An anomaly was found nel testo di ogni log.
Configura una policy di avviso basata su log
Puoi configurare una policy di avviso basata su log per ricevere una notifica quando viene rilevato o limitato un tentativo di accesso brute-force alle tue istanze Cloud SQL. Per saperne di più su come configurare questo avviso, consulta Configura la criterio di avviso basata su log utilizzando Esplora log.
Ad esempio, puoi utilizzare la seguente query nella policy di avviso per identificare i log dei tentativi di accesso brute-force riusciti:
resource.type="cloudsql_database"
textPayload =~ "An anomaly was found, successful login into the account"
Proteggi l'istanza
Se vengono identificati tentativi di accesso tramite forza bruta, ti consigliamo di proteggere l'istanza. Per visualizzare i potenziali tentativi di accesso brute force, consulta Visualizza i log per i tentativi di accesso brute force.
Se Cloud SQL identifica un tentativo di accesso brute force alla tua istanza, procedi nel seguente modo:
- Se Cloud SQL rileva un tentativo di accesso di forza bruta, ma l'accesso non è riuscito, rimuovi gli indirizzi IP identificati dalle reti autorizzate per impedire futuri tentativi di accesso da questi IP. Per farlo, utilizza intervalli IP ristretti nelle reti autorizzate per la tua istanza o rimuovi l'indirizzo IP dall'elenco delle reti autorizzate.
- Se Cloud SQL rileva un tentativo di accesso brute force e un accesso riuscito dall'indirizzo IP e dal nome utente identificati, cambia la password dell'account utente e rimuovi l'IP dall'elenco delle reti autorizzate.
Inoltre, puoi utilizzare il proxy di autenticazione o i connettori dei linguaggi di Cloud SQL per connetterti all'istanza anziché alle reti autorizzate. Il proxy di autenticazione e i connettori dei linguaggi di Cloud SQL utilizzano l'autenticazione Identity and Access Management per gestire le connessioni alla tua istanza, il che fornisce una connessione più sicura e non richiede l'aggiunta di indirizzi IP specifici all'elenco delle reti autorizzate dell'istanza.
Per proteggere ulteriormente le istanze Cloud SQL, utilizza l'IP privato anziché l'IP pubblico e l'autenticazione del database basata su IAM anziché l'autenticazione basata su nome utente e password.
Monitora i tentativi di accesso brute-force
Per monitorare i tentativi di accesso brute force, Cloud SQL conta il numero di occorrenze di ogni tipo di evento di connessione alla tua istanza utilizzando la metrica /database/network/connection_attempt_count. Questa metrica utilizza i seguenti campi per determinare se una connessione è un tentativo di accesso brute-force:
login_status: monitora se la connessione ha portato a un accesso riuscito.anomaly_detected: monitora se la connessione è un tentativo di accesso brute force in base al fatto che la connessione abbia superato o meno la soglia di tentativi di accesso impostata da Cloud SQL.anomalous_connection_throttled: monitora se la connessione del tentativo di accesso brute force è limitata.
Puoi monitorare questa metrica per identificare il conteggio di ogni tipo di evento di connessione. La tabella seguente mostra gli eventi di connessione monitorati dalla metrica e i relativi valori dei campi:
| Evento | Descrizione |
|---|---|
| Accesso riuscito | Un accesso riuscito alla tua istanza senza che sia stato rilevato alcun tentativo di accesso brute force. Valori dei campi monitorati: login_status: succeeded
anomaly_detected: none
anomalous_connection_throttled: false
|
| Accesso non riuscito | Un accesso non riuscito alla tua istanza senza alcun tentativo di accesso brute-force rilevato. Valori dei campi monitorati: login_status: failed
anomaly_detected: none
anomalous_connection_throttled: false
|
| Tentativo di accesso brute force rilevato (non limitato) | Un tentativo di accesso non riuscito identificato come tentativo di accesso brute force, in quanto supera la soglia di tentativi di accesso impostata da Cloud SQL. La connessione non è stata limitata. Valori dei campi monitorati: login_status: failed
anomaly_detected: brute-force login
anomalous_connection_throttled: false
|
| Tentativo di accesso brute-force rilevato e limitato | Un tentativo di accesso non riuscito che viene identificato come un tentativo di accesso brute-force in quanto supera la soglia dei tentativi di accesso impostata da Cloud SQL e viene limitato per impedire l'accesso.
Valori dei campi monitorati: login_status: failed
anomaly_detected: brute-force login
anomalous_connection_throttled: true
|
| Accesso riuscito dopo il rilevamento di un tentativo di accesso brute-force (non limitato) | Un accesso riuscito alla tua istanza dopo che la connessione è stata identificata come tentativo di accesso brute-force. La connessione non è stata limitata.
Valori dei campi monitorati: login_status: succeeded
anomaly_detected: brute-force login
anomalous_connection_throttled: false
|
| Accesso riuscito dopo il rilevamento e la limitazione di un tentativo di accesso brute-force | Un accesso riuscito alla tua istanza dopo che la connessione è stata identificata come tentativo di accesso brute force e limitata.
Valori dei campi monitorati: login_status: succeeded
anomaly_detected: brute-force login
anomalous_connection_throttled: true
|
Limitazioni
- La protezione dagli attacchi di forza bruta richiede una versione di manutenzione minima di
MYSQL_$version.R20250531.01_23Per saperne di più, consulta Esegui la manutenzione self-service. - La protezione da attacchi di forza bruta è disponibile solo per MySQL 5.7 e versioni successive.