Trouvez qui a créé une instance GCE avec SSH ouvert à 0.0.0.0/0 dans un réseau nouvellement créé.

Pour identifier qui a créé une instance GCE avec SSH ouvert à 0.0.0.0/0, vous devez examiner les journaux d'audit. Cloud Logging est l'outil approprié pour cela. En filtrant les journaux d'audit de GCE et en recherchant l'événement « Insert/Create network » ou « Insert/Create firewall rule », vous pouvez voir qui a créé la règle de pare-feu permissive et, par association, l'instance. Les alertes Cloud Monitoring ne suivent pas les actions de création d'instances de cette manière. La catégorie "Accès aux données" dans l'activité ne contient pas les événements de création de ressources. Se connecter à la VM et inspecter les journaux système ne révélera pas qui a créé la ressource, mais plutôt qui s'y est connecté après sa création.