Schwachstellen mit Gemini-Unterstützung untersuchen

In diesem Dokument wird beschrieben, wie Sie Gemini Cloud Assist verwenden können, um den Status Ihrer Artefakte zu ermitteln, Informationen zu Repositories und Artefaktmetadaten abzurufen und Informationen zur Artefaktanalyse zu verwenden, um Fragen zu Artefaktsicherheitslücken und Ihren Software-Stücklisten (Software Bill of Materials, SBOMs) zu beantworten.

Hinweis

  1. Achten Sie darauf, dass Gemini Cloud Assist in Ihrem Projekt in Google Cloud eingerichtet ist.
  2. Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

  3. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  4. Verify that billing is enabled for your Google Cloud project.

  5. Enable the Artifact Registry and Container Scanning APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  6. Install the Google Cloud CLI.

  7. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  8. To initialize the gcloud CLI, run the following command: 

    gcloud init

  9. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  10. Verify that billing is enabled for your Google Cloud project.

  11. Enable the Artifact Registry and Container Scanning APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  12. Install the Google Cloud CLI.

  13. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  14. To initialize the gcloud CLI, run the following command: 

    gcloud init

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie benötigen, um Gemini Cloud Assist nach Informationen zu Ihren Artefakten zu fragen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Gemini Cloud Assist öffnen

Sie können den Gemini Cloud Assist-Chat von überall in derGoogle Cloud Console aus öffnen.

  1. Wählen Sie in der Google Cloud Console ein Projekt aus, in dem Sie Container-Images in Artifact Registry gespeichert haben.

    Zur Projektauswahl

  2. Klicken Sie auf spark Gemini-KI-Chat öffnen oder schließen, um den Bereich Cloud Assist zu öffnen.
  3. Geben Sie den Prompt ein und klicken Sie auf Senden Senden.

Überlegungen zu Prompts

Im Folgenden finden Sie eine Liste mit spezifischen Überlegungen zur Artefaktanalyse, die Sie beim Generieren von Gemini Cloud Assist-Prompts berücksichtigen sollten. Weitere Informationen zum Schreiben von Prompts finden Sie unter Bessere Prompts für Gemini for Google Cloudschreiben.

  • Alle Prompts werden standardmäßig auf das ausgewählte Projekt angewendet. Sie können Ihren Prompt jedoch so ausrichten, dass er nach Standort, Repository oder Bild gefiltert wird.
  • Bei jeder Abfrage, die auf einem Container-Image-Namen basiert, wird der Container-Image-Name als Präfix behandelt. So können Sie innerhalb eines Projekts, Repositorys oder bestimmten Images (über verschiedene SHAs hinweg) filtern, aber nicht nach Tag.
  • Wenn Sie spezifischere Ergebnisse erhalten möchten, geben Sie einen Bereich an. Wenn Sie beispielsweise Ergebnisse für ein bestimmtes Image abrufen möchten, fügen Sie den Image-Namen in den Bereich ein. Sie können filtern, indem Sie dem Container-Image-Namen Details zu Projekt, Repository, Image oder Image@Digest hinzufügen.
  • Für Artefaktanalyse-Prompts sind keine Regionsqualifizierer erforderlich, da Artefaktanalyse kombinierte Ergebnisse aus allen Regionen liefert. Sie können einen Regions-Qualifier angeben, um die Ergebnisse zu filtern.

Führe meine häufigsten bekannten Sicherheitslücken auf.

Sie können Gemini Cloud Assist auffordern, die wichtigsten bekannten Sicherheitslücken in Ihrem aktuellen Projekt aufzulisten. Sicherheitslücken werden nach ihrem CVSS-Wert (Common Vulnerability Scoring System) in absteigender Reihenfolge sortiert und nach ihrer Sicherheitslücken-ID gruppiert. Es werden nur die 10 wichtigsten Sicherheitslücken angezeigt. Die Ergebnisse enthalten Sicherheitslücken aus allen Images, die in den letzten 30 Tagen gescannt wurden.

Sie können die Antwort nach dem Namen des Container-Images filtern.

Geben Sie im Gemini Cloud Assist-Chat den folgenden Prompt ein, um die wichtigsten bekannten Sicherheitslücken aufzulisten:

List artifact vulnerabilities for `CONTAINER_IMAGE_NAME`.

Ersetzen Sie CONTAINER_IMAGE_NAME durch den Namen des Container-Images, das Ihr Repository enthält, z. B. us-central1-docker.pkg.dev/my-project/my-repository.

Wenn Sie mehr Details in den Namen des Container-Images aufnehmen, erhalten Sie eine genauere Antwort. Beispiel: LOCATION-docker.pkg.dev/PROJECT-ID/REPOSITORY/IMAGE würde Details zu Sicherheitslücken für ein bestimmtes Image liefern.

Mit dem folgenden Prompt wird Gemini Cloud Assist aufgefordert, die wichtigsten bekannten Sicherheitslücken für das Repository us-central1-docker.pkg.dev/my-project/my-repository aufzulisten:

List artifact vulnerabilities for
`us-central1-docker.pkg.dev/my-project/my-repository`.

Die Antwort enthält eine Liste mit bis zu 10 Sicherheitslücken, die für das angegebene Repository nach CVSS-Wert in absteigender Reihenfolge sortiert sind.

Verwenden Sie den gcloud CLI-Befehl artifacts vulnerabilities list, um alle Ihre Sicherheitslücken aufzurufen. Sie können den nicht qualifizierten Image-Namen angeben oder einen Secure Hash Algorithm (SHA) angeben, um Sicherheitslücken aufzurufen.

Images nach Sicherheitslücke auflisten

Sie können Gemini Cloud Assist auffordern, alle Ihre Bilder anzuzeigen, die eine bestimmte Sicherheitslücke enthalten. Die Antwort ist in absteigender Reihenfolge nach dem Erstellungsdatum sortiert und enthält Images, die in den letzten 30 Tagen gescannt wurden. In diesem Prompt werden maximal 10 Bilder angezeigt. Es werden nur Bilder berücksichtigt, die von der Artefaktanalyse gescannt wurden.

Sie können die Antwort nach Folgendem filtern:

  • Sicherheitslücken-ID
  • Name des Container-Images

Wenn Sie eine Liste Ihrer Bilder mit einer bestimmten Sicherheitslücke aufrufen möchten, geben Sie im Cloud Assist-Chat den folgenden Prompt ein:

List docker container images that contain vulnerability
`VULNERABILITY_ID`.

Ersetzen Sie VULNERABILITY_ID durch die ID der Sicherheitslücke, die Sie finden möchten, z. B. CVE-2024-01234.

Im folgenden Prompt wird Gemini Cloud Assist aufgefordert, Bilder mit der Sicherheitslücke CVE-2024-01234 aufzulisten:

List artifact vulnerabilities for `CVE-2024-01234`.

Die Antwort enthält eine Liste mit bis zu 10 Bildern, die die angegebene Sicherheitslücke enthalten. Die Bilder sind nach CVSS-Schweregrad in absteigender Reihenfolge für das angegebene Repository sortiert.

Bilder nach Paket auflisten

Sie können Gemini Cloud Assist auffordern, eine Liste von Images zurückzugeben, die ein bestimmtes Paket enthalten. Die Bilder sind in absteigender Reihenfolge nach Erstellungsdatum sortiert und enthalten Bilder, die in den letzten 30 Tagen gescannt wurden. Bei diesem Prompt werden maximal 10 Bilder angezeigt und nur Bilder, die von der Artefaktanalyse gescannt wurden.

Sie können die Antwort nach dem Namen des Container-Images filtern.

Wenn Sie die Bilder auflisten möchten, die ein bestimmtes Paket enthalten, geben Sie im Cloud Assist-Chat den folgenden Prompt ein:

List docker container images that contain package
`PACKAGE_ID`.

Ersetzen Sie PACKAGE_ID durch die ID des Pakets, das Sie suchen möchten.

Mit dem folgenden Prompt wird Gemini Cloud Assist beispielsweise aufgefordert, Bilder mit dem Paket my-package-name aufzulisten:

List images that contain package `my-package-name`.

Die Antwort enthält eine Liste mit bis zu 10 Bildern, auf denen das angegebene Paket zu sehen ist.

Build-Herkunft auflisten

Sie können Gemini Cloud Assist auffordern, die 10 neuesten Build-Herkunftsdetails für ein bestimmtes Projekt und einen bestimmten Bereich zurückzugeben. Die Ergebnisse werden nach Erstellungsdatum in absteigender Reihenfolge sortiert, wobei die zuletzt erstellten Elemente oben in der Liste angezeigt werden. Es werden bis zu 10 Builds angezeigt. Damit Builds aufgeführt werden, müssen sie in den letzten 30 Tagen erstellt worden sein. Dieser Prompt unterstützt nur Builds mit SLSA 1.0-Herkunftsnachweis.

Sie können die Antwort nach dem Namen des Container-Images filtern.

Geben Sie im Cloud Assist-Chat den folgenden Prompt ein, um die Build-Herkunft aufzulisten:

List build provenance for CONTAINER_IMAGE_NAME.

Ersetzen Sie CONTAINER_IMAGE_NAME durch die ID des Bildes, dessen Herkunft Sie ermitteln möchten.

Mit dem folgenden Prompt wird Gemini Cloud Assist beispielsweise aufgefordert, die Build-Herkunft für us-central1-docker.pkg.dev/my-project/my-image aufzulisten:

List build provenance for `us-central1-docker.pkg.dev/my-project/my-image`.

Sie können die Standort-, Projekt- oder Image-Details aus dem Namen des Container-Images entfernen, um mehr Ergebnisse zu erhalten. Die Antwort enthält Details zur Build-Herkunft für die zehn neuesten Builds.

Wenn Sie sich Ihre Builds in der Google Cloud Console ansehen möchten, rufen Sie die Seite Build-Verlauf auf.

SBOMs auflisten

Sie können Gemini Cloud Assist auffordern, die neuesten SBOMs in Ihrem Repository zurückzugeben. Die Ergebnisse sind nach Erstellungsdatum in absteigender Reihenfolge sortiert. Die zuletzt erstellten Elemente werden oben in der Liste angezeigt. Es können bis zu 10 Builds angezeigt werden, die in den letzten 30 Tagen erstellt wurden.

Sie können die Antwort nach dem Namen des Container-Images filtern, einschließlich der Details zu „image@digest“.

Wenn Sie Ihre SBOMs auflisten möchten, geben Sie im Cloud Assist-Chat den folgenden Prompt ein:

List SBOMs for `CONTAINER_IMAGE_NAME`.

Ersetzen Sie CONTAINER_IMAGE_NAME durch den Namen des Container-Images, nach dem Sie suchen möchten, z. B. us-central1-docker.pkg.dev/my-project/my-repo.

Mit dem folgenden Prompt wird Gemini Cloud Assist aufgefordert, die SBOMs für das Repository us-central1-docker.pkg.dev/my-project/my-repo aufzulisten:

List SBOMs for `us-central1-docker.pkg.dev/my-project/my-repo`.

Die Antwort enthält SBOM-Details für die 10 neuesten Repositories. Sie können den Standort, das Projekt oder die Bilddetails aus dem Namen Ihres Container-Images entfernen, um eine größere Anzahl von Ergebnissen zu erhalten.

Sie können alle SBOMs mit dem gcloud CLI-Befehl artifacts SBOM list aufrufen.

Zusätzliche Prompts

Die folgenden Prompts veranschaulichen die Möglichkeiten der Filterung mit Variablen in Gemini Cloud Assist.

Wenn Sie Sicherheitslücken nach einer bestimmten Variablen auflisten möchten, geben Sie Folgendes in den Cloud Assist-Chat ein:

List vulnerabilities for `SCOPE`.

In diesem Prompt kann SCOPE auf ein Projekt, ein Repository, ein Image oder ein Image und einen Digest festgelegt werden.

Wenn Sie Images auflisten möchten, die ein bestimmtes Paket enthalten, geben Sie im Cloud Assist-Chat Folgendes ein:

List images that contain the log4j package.

Wenn Sie Bilder auflisten möchten, die eine bestimmte Sicherheitslücke enthalten, geben Sie Folgendes in den Cloud Assist-Chat ein:

List images that contain `VULNERABILITY_ID`.

Ersetzen Sie in diesem Prompt VULNERABILITY_ID durch eine CVE-Nummer.

Nächste Schritte