Artefaktanalyse – Übersicht

Artefaktanalyse ist eine Reihe von Diensten, die die Analyse der Softwarezusammensetzung sowie das Speichern und Abrufen von Metadaten ermöglichen. Die Erkennungspunkte sind in eine Reihe von Google Cloud Produkten wie Artifact Registry und Google Kubernetes Engine (GKE) integriert, um eine schnelle Aktivierung zu ermöglichen. Der Dienst funktioniert sowohl mit den eigenen Produkten von Google Google Cloudals auch mit Informationen aus Drittanbieterquellen. Die Scanservices verwenden einen gemeinsamen Speicher für Sicherheitslücken, um Dateien mit bekannten Sicherheitslücken abzugleichen.

Dieser Dienst hieß früher Container Analysis. Der neue Name ändert nichts an bestehenden Produkten oder APIs, spiegelt aber die erweiterte Palette an Funktionen des Produkts wider, die über Container hinausgeht.

Artefaktanalyse in CI/CD

Abbildung 1. Diagramm, das zeigt, wie Artefaktanalyse Metadaten in Quell-, Build-, Speicher-, Bereitstellungs- und Laufzeitumgebungen erstellt und mit ihnen interagiert.

Registry-Scans

In diesem Abschnitt werden die Funktionen zum Scannen auf Sicherheitslücken von Artefaktanalyse in Artifact Registry beschrieben. Außerdem werden verwandte Google CloudProdukte aufgeführt, in denen Sie ergänzende Funktionen aktivieren können, um Ihren Sicherheitsstatus zu unterstützen.

Automatische Scans in Artifact Registry

  • Der Scanvorgang wird jedes Mal automatisch ausgelöst, wenn Sie ein neues Image in Artifact Registry hochladen. Die Informationen zu Sicherheitslücken werden kontinuierlich aktualisiert, wenn neue Sicherheitslücken entdeckt werden. Artifact Registry umfasst das Scannen von Anwendungssprachpaketen. Aktivieren Sie dazu das automatische Scannen.

Zentralisiertes Risikomanagement mit Security Command Center

  • Security Command Center zentralisiert Ihre Cloud-Sicherheit und bietet Funktionen zum Scannen auf Sicherheitslücken, zur Bedrohungserkennung, zur Überwachung der Sicherheitslage und zur Datenverwaltung. Security Command Center aggregiert Ergebnisse von Scans auf Sicherheitslücken aus Artifact Registry. So können Sie Sicherheitslücken in Container-Images in Ihren laufenden Arbeitslasten in allen Projekten zusammen mit anderen Sicherheitsrisiken in Security Command Center ansehen. Sie können diese Ergebnisse auch zur detaillierten Analyse und langfristigen Speicherung nach BigQuery exportieren. Weitere Informationen finden Sie unter Sicherheitslücken in Artifact Registry bewerten.

On-Demand-Scans

  • Dieser Dienst ist nicht kontinuierlich. Sie müssen einen Befehl ausführen, um den Scan manuell zu starten. Scanergebnisse sind bis zu 48 Stunden nach Abschluss des Scans verfügbar. Die Informationen zu Sicherheitslücken werden nach Abschluss des Scans nicht aktualisiert. Sie können lokal gespeicherte Images scannen, ohne sie zuerst in Artifact Registry oder GKE-Laufzeiten hochladen zu müssen. Weitere Informationen finden Sie unter On-Demand-Scans.

Auf Metadaten zugreifen

  • Artefaktanalyse ist eine Google Cloud Infrastrukturkomponente, mit der Siestrukturierte Metadaten für Google CloudRessourcen speichern und abrufen können. In verschiedenen Phasen des Releaseprozesses können Personen oder automatisierte Systeme Metadaten hinzufügen, die das Ergebnis einer Aktivität beschreiben. Sie können Ihrem Image beispielsweise Metadaten hinzufügen, die angeben, dass es eine Integrations-Testsuite oder einen Scan auf Sicherheitslücken bestanden hat.

  • Durch das Einbinden von Artefaktanalyse in Ihre CI/CD-Pipeline können Sie auf der Grundlage von Metadaten Entscheidungen treffen. Sie können beispielsweise mit der Binärautorisierung Deployment-Richtlinien erstellen, die nur Deployments für konforme Images aus vertrauenswürdigen Registries zulassen.

  • Artefaktanalyse verknüpft Metadaten unter Einsatz von Hinweisen und Vorgängen zu Images. Weitere Informationen zu diesen Konzepten finden Sie auf der Seite Metadatenverwaltung.

Informationen zu den Kosten für Artefaktanalyse-Funktionen finden Sie unter Artefaktanalyse – Preise.

Nächste Schritte