Shopify 推出 Overexposed 扫描器检测云服务公网暴露

Shopify 推出了内部安全扫描器 Overexposed，用于检测部署在 GKE 上的 Kubernetes Ingress 和 Cloud Run 服务是否存在未经身份验证即可从互联网访问的情况。扫描器结合 GCP Cloud Asset Inventory 与匿名 HTTP 探测，定位云资源并验证其公网访问权限。 Overexposed 保存检测结论、判断原因和负责团队信息，但不存储 HTTP 响应正文或凭据。为防止 DNS 重绑定等风险，它会验证 DNS 返回的所有 IP 地址，拒绝私有及回环地址，直接连接待检测 IP，并在每次重定向后重新检查。开发者还建议限制扫描器自身的网络出口，包括对云元数据端点的访问。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。