Der Brute-Force-Schutz ist eine integrierte Sicherheitsfunktion, die Ihre Instanzen vor Brute-Force-Zugriffsversuchen schützt, indem sie unbefugten Zugriff auf Ihre Cloud SQL-Ressourcen verhindert. Brute-Force-Zugriffsversuche treten auf, wenn böswillige Akteure systematisch verschiedene Kombinationen aus Nutzernamen und Passwörtern ausprobieren, um wiederholte Anmeldeversuche zu automatisieren und Zugriff auf Ihre Datenbank zu erhalten.
Cloud SQL bietet die folgenden Optionen, um Ihre Datenbanken vor Brute-Force-Zugriffsversuchen zu schützen:
Erkennung von Brute-Force-Zugriffsversuchen: Cloud SQL überwacht kontinuierlich fehlgeschlagene Anmeldeversuche für jede Instanz und erkennt die erste erfolgreiche Anmeldung. Wenn die Anzahl der aufeinanderfolgenden Anmeldeversuche den von Cloud SQL festgelegten Schwellenwert überschreitet, generiert Cloud SQL eine Warnmeldung in den Instanzlogs. Diese Logmeldung identifiziert den Brute-Force-Zugriffsversuch, einschließlich der zugehörigen IP-Adresse und des Nutzernamens.
Die Erkennung von Brute-Force-Zugriffsversuchen ist für alle Cloud SQL-Versionen verfügbar.
Schutz vor Brute-Force-Zugriffsversuchen: Wenn Cloud SQL einen Brute-Force-Zugriffsversuch erkennt, verlangsamt Cloud SQL automatisch die Anmeldeversuche, indem es der Anmeldeantwort eine Verzögerung hinzufügt und sie in Echtzeit drosselt. Wenn Cloud SQL eine Verbindung als Brute-Force-Zugriffsversuch identifiziert und diese Verbindung zu einer erfolgreichen Anmeldung führt, drosselt Cloud SQL sie und generiert ein Logereignis, um diese erfolgreiche Anmeldung zu identifizieren. Dieses Logereignis identifiziert den Brute-Force-Zugriffsversuch zusammen mit der zugehörigen IP-Adresse und dem Nutzernamen.
Der Schutz vor Brute-Force-Zugriffsversuchen ist nur für die Cloud SQL Enterprise Plus-Version verfügbar.
Durch die Erkennung und den Schutz vor Brute-Force-Zugriffsversuchen für Ihre Instanzen hilft Cloud SQL, die Quelle zu identifizieren und die Risiken zu minimieren, die durch diese Brute-Force-Zugriffsversuche entstehen. Verwenden Sie die IP-Adressen und Nutzernamen die in diesen Brute-Force-Zugriffsversuchen identifiziert wurden, um Ihre Instanz zu sichern und sie vor zukünftigen Brute-Force- Zugriffsversuchen zu schützen. Informationen zum Erkennen von Brute-Force-Versuchen für Ihre Instanz finden Sie unter Logs für Brute-Force-Versuche ansehen.
Logs für Brute-Force-Zugriffsversuche ansehen
Wenn Cloud SQL einen Brute-Force-Zugriffsversuch erkennt, wird
ein Ereignis in den Instanzlogs protokolliert,
mit dem Text an anomaly was found. Cloud SQL protokolliert die folgenden detaillierten Ereignisse:
| Ereignis | Beschreibung |
|---|---|
| Erkennung eines Brute-Force-Zugriffsversuchs | Fehlgeschlagener Anmeldeversuch im Konto user
von der IP-Adresse IP. Es wurde eine Anomalie gefunden: wiederholte fehlgeschlagene
Anmeldeversuche von dieser IP-Adresse. |
| Automatische Drosselung zur Minimierung von Brute-Force-Zugriffsversuchen (nur Enterprise Plus-Version) | Fehlgeschlagener Anmeldeversuch im Konto user von der IP-Adresse
IP. Es wurde eine Anomalie gefunden: wiederholte fehlgeschlagene Anmeldeversuche
von dieser IP-Adresse. Cloud SQL hat die Antwort gedrosselt, um einen
potenziellen Brute-Force-Versuch zu minimieren. |
| Erkennung der ersten erfolgreichen Anmeldung nach wiederholten Anmeldefehlern | Es wurde eine Anomalie gefunden: erfolgreiche Anmeldung im Konto user
von der IP-Adresse IP nach wiederholten fehlgeschlagenen Anmeldeversuchen. Wenn diese Aktivität unerwartet ist, empfiehlt es sich, das Nutzerpasswort zu ändern. |
| Automatische Drosselung der ersten erfolgreichen Anmeldung nach wiederholten Anmelde fehlern (nur Enterprise Plus-Version) | Es wurde eine Anomalie gefunden: erfolgreiche Anmeldung im Konto
user von der IP-Adresse IP nach wiederholten fehlgeschlagenen Anmelde
versuchen. Cloud SQL hat die Antwort gedrosselt, um einen
potenziellen Brute-Force-Versuch zu minimieren. Ändern Sie das Nutzer
Passwort, wenn diese Aktivität unerwartet ist. |
Details zu diesen Brute-Force-Versuchen finden Sie
in den Logs Ihrer Instanz .Suchen Sie in den Logs
nach An anomaly was found.
Logbasierte Benachrichtigungsrichtlinie einrichten
Sie können eine logbasierte Benachrichtigungsrichtlinie einrichten, um benachrichtigt zu werden, wenn ein Brute-Force-Zugriffsversuch für Ihre Cloud SQL-Instanzen erkannt oder gedrosselt wird. Weitere Informationen zum Einrichten dieser Benachrichtigung finden Sie unter Logbasierte Benachrichtigungsrichtlinie mit dem Logs Explorer konfigurieren.
Sie können beispielsweise die folgende Abfrage in der Benachrichtigungsrichtlinie verwenden, um Logs für erfolgreiche Brute-Force-Zugriffsversuche zu identifizieren:
resource.type="cloudsql_database"
textPayload =~ "An anomaly was found, successful login into the account"
Instanz sichern
Sie sollten Ihre Instanz sichern, wenn Brute-Force-Zugriffsversuche erkannt werden. Informationen zum Aufrufen potenzieller Brute-Force-Zugriffsversuche finden Sie unter Logs für Brute-Force-Zugriffsversuche ansehen.
Wenn Cloud SQL einen Brute-Force-Zugriffsversuch auf Ihre Instanz erkennt, gehen Sie so vor:
- Wenn Cloud SQL einen Brute-Force-Zugriffsversuch erkennt, die Anmeldung aber fehlschlägt, entfernen Sie die identifizierten IP-Adressen aus Ihren autorisierten Netzwerken, um zukünftige Anmeldeversuche von diesen IP-Adressen zu verhindern. Verwenden Sie dazu enge IP-Bereiche in den autorisierten Netzwerken für Ihre Instanz oder entfernen Sie die IP-Adresse aus der Liste der autorisierten Netzwerke.
- Wenn Cloud SQL einen Brute-Force-Zugriffsversuch erkennt und eine erfolgreiche Anmeldung über die identifizierte IP-Adresse und den Nutzernamen erfolgt ist, dann ändern Sie das Passwort für das Nutzerkonto und entfernen Sie die IP-Adresse aus der Liste der autorisierten Netzwerke.
Außerdem können Sie anstelle von autorisierten Netzwerken auch den Auth-Proxy oder die Cloud SQL-Sprach-Connectors verwenden, um eine Verbindung zu Ihrer Instanz herzustellen. Der Auth-Proxy und die Cloud SQL-Sprach-Connectors verwenden die Identity and Access Management-Authentifizierung, um Verbindungen zu Ihrer Instanz zu verwalten. Dies bietet eine sicherere Verbindung und Sie müssen keine bestimmten IP-Adressen zur Liste der autorisierten Netzwerke Ihrer Instanz hinzufügen.
Um Ihre Cloud SQL-Instanzen weiter zu schützen, verwenden Sie eine private IP-Adresse anstelle einer öffentlichen IP-Adresse, und verwenden Sie die IAM-basierte Datenbankauthentifizierung anstelle der Authentifizierung mit Nutzername und Passwort.
Brute-Force-Zugriffsversuche überwachen
Um Brute-Force-Zugriffsversuche zu überwachen, zählt Cloud SQL die Anzahl der Vorkommen der einzelnen Arten von Verbindungsereignissen zu Ihrer Instanz mit dem Messwert /database/network/connection_attempt_count. Dieser Messwert verwendet die folgenden Felder, um zu ermitteln, ob es sich bei einer Verbindung um einen Brute-Force-Zugriffsversuch handelt:
login_status: verfolgt, ob die Verbindung zu einer erfolgreichen Anmeldung geführt hat.anomaly_detected: verfolgt, ob es sich bei der Verbindung um einen Brute-Force-Zugriffsversuch handelt, je nachdem, ob die Verbindung den von Cloud SQL festgelegten Schwellenwert für Anmeldeversuche überschritten hat.anomalous_connection_throttled: verfolgt, ob die Verbindung für den Brute-Force-Zugriffsversuch gedrosselt wird.
Sie können diesen Messwert verwenden, um die Anzahl der einzelnen Arten von Verbindungsereignissen zu ermitteln. In der folgenden Tabelle sind die Verbindungsereignisse aufgeführt, die vom Messwert erfasst werden, sowie die entsprechenden Feldwerte:
| Ereignis | Beschreibung |
|---|---|
| Erfolgreiche Anmeldung | Eine erfolgreiche Anmeldung in Ihrer Instanz ohne erkannte Brute-Force-Zugriffsversuche. Erfasste Feldwerte: login_status: succeeded
anomaly_detected: none
anomalous_connection_throttled: false
|
| Fehler bei der Anmeldung | Eine fehlgeschlagene Anmeldung in Ihrer Instanz ohne erkannte Brute-Force-Zugriffsversuche. Erfasste Feldwerte: login_status: failed
anomaly_detected: none
anomalous_connection_throttled: false
|
| Brute-Force-Anmeldeversuch erkannt (nicht gedrosselt) | Ein fehlgeschlagener Anmeldeversuch, der als Brute-Force-Zugriffs
versuch identifiziert wird, da er den von
Cloud SQL festgelegten Schwellenwert für Anmeldeversuche überschreitet. Die Verbindung wurde nicht gedrosselt. Erfasste Feldwerte: login_status: failed
anomaly_detected: brute-force login
anomalous_connection_throttled: false
|
| Brute-Force-Anmeldeversuch erkannt und gedrosselt | Ein fehlgeschlagener Anmeldeversuch, der als Brute-Force-Zugriffs
versuch identifiziert wird, da er den von
Cloud SQL festgelegten Schwellenwert für Anmeldeversuche überschreitet und gedrosselt wird, um die Anmeldung zu verhindern.
Erfasste Feldwerte: login_status: failed
anomaly_detected: brute-force login
anomalous_connection_throttled: true
|
| Erfolgreiche Anmeldung nach Erkennung eines Brute-Force-Zugriffsversuchs (nicht gedrosselt) | Eine erfolgreiche Anmeldung in Ihrer Instanz, nachdem die Verbindung als Brute-Force-Zugriffsversuch identifiziert wurde. Die Verbindung wurde nicht gedrosselt.
Erfasste Feldwerte: login_status: succeeded
anomaly_detected: brute-force login
anomalous_connection_throttled: false
|
| Erfolgreiche Anmeldung nach Erkennung und Drosselung eines Brute-Force-Zugriffsversuchs | Eine erfolgreiche Anmeldung in Ihrer Instanz, nachdem die Verbindung als Brute-Force-Zugriffsversuch identifiziert
und gedrosselt wurde.
Erfasste Feldwerte: login_status: succeeded
anomaly_detected: brute-force login
anomalous_connection_throttled: true
|
Beschränkungen
- Für den Brute-Force-Schutz ist mindestens die Wartungsversion
POSTGRES_$version.R20250727.00_14erforderlich. Weitere Informationen finden Sie unter Selbstverwaltete Wartung durchführen. - Der Brute-Force-Schutz ist nur für direkte Verbindungsversuche verfügbar, und gilt nicht für Verbindungen, die den Cloud SQL Auth-Proxy oder die Cloud SQL-Sprach-Connectors verwenden. Diese Verbindungen verwenden IAM-Berechtigungen, die mehr Schutz bieten als Verbindungen, für die ein Nutzername und ein Passwort erforderlich sind.