Ringkasan pemindaian paket

Pemindaian paket mengidentifikasi kerentanan yang ada dan baru, software berbahaya, dan secret dalam dependensi open source untuk paket berbasis bahasa di repositori Artifact Registry Anda.

Lihat harga untuk mempelajari lebih lanjut biaya yang terkait dengan pemindaian paket.

Ringkasan ini mengasumsikan bahwa Anda sudah memahami cara menggunakan repositori Docker di Artifact Registry.

Ringkasan

Artifact Analysis memindai file dalam paket saat paket dikirim ke Artifact Registry. Setelah pemindaian awal, Artifact Registry akan terus memantau metadata paket yang dipindai untuk mencari kerentanan baru, paket berbahaya, dan secret.

Untuk mengevaluasi potensi area risiko, Artifact Registry mencocokkan dependensi dalam file konfigurasi paket dengan kerentanan yang diketahui. Anda dapat meninjau potensi kerentanan dalam paket di Artifact Analysis.

Memindai paket untuk mengetahui adanya kerentanan

Artifact Analysis memindai paket di repositori Artifact Registry Anda untuk mengidentifikasi kerentanan, software berbahaya, secret, dan juga untuk mengidentifikasi dependensi dan lisensi sehingga Anda dapat memahami komposisi paket.

Artifact Analysis memindai paket baru saat paket tersebut dikirim ke Artifact Registry. Proses ini disebut pemindaian otomatis. Pemindaian ini mengekstrak informasi tentang file dalam paket. Setelah memindai paket, Artifact Analysis akan menghasilkan laporan kerentanan yang menunjukkan kemunculan kerentanan dan paket berbahaya untuk paket tersebut. Kerentanan dan software berbahaya hanya terdeteksi dalam paket yang dipantau secara publik.

Analisis berkelanjutan

Setelah paket dipindai, Artifact Analysis akan terus memantau metadata paket yang dipindai di Artifact Registry untuk mencari kerentanan baru dan paket berbahaya.

Artifact Analysis menerima informasi kerentanan baru dan yang diperbarui dari sumber kerentanan beberapa kali setiap hari. Saat data kerentanan baru tiba, Artifact Analysis akan memperbarui kemunculan kerentanan yang ada, membuat kemunculan kerentanan baru untuk catatan baru, dan menghapus kemunculan kerentanan yang tidak lagi valid.

Artifact Analysis akan terus memindai image dan paket selama image dan paket tersebut telah ditarik dalam 30 hari terakhir. Setelah 30 hari, metadata untuk image dan paket yang dipindai tidak akan lagi diperbarui, dan hasilnya akan menjadi tidak valid.

Artifact Analysis mengarsipkan metadata yang tidak valid selama lebih dari 90 hari. Metadata yang diarsipkan ini hanya dapat dievaluasi menggunakan API. Anda dapat memindai ulang image dengan metadata yang tidak valid atau diarsipkan dengan menarik image tersebut. Memperbarui metadata dapat memerlukan waktu hingga 24 jam. Paket dengan metadata yang tidak valid atau diarsipkan tidak dapat dipindai ulang.

Jenis paket yang didukung

Saat Anda mengirim paket ke Artifact Registry, Artifact Analysis dapat memindai kerentanan.

Tabel berikut menunjukkan jenis paket yang dapat dipindai oleh Artifact Analysis:

Pemindaian otomatis dengan Artifact Registry Pemindaian on-demand
Paket Java
Paket Python
Paket Node.js

Antarmuka Artifact Analysis

Di Google Cloud konsol, Anda dapat melihat kerentanan dan metadata untuk paket di Artifact Registry.

Anda dapat menggunakan gcloud CLI untuk melihat kerentanan dan metadata.

Anda juga dapat menggunakan Artifact Analysis REST API untuk melakukan salah satu tindakan ini. Seperti halnya Cloud Platform API lainnya, Anda harus mengautentikasi akses menggunakan OAuth2.

Artifact Analysis API mendukung gRPC dan REST/JSON. Anda dapat melakukan panggilan ke API menggunakan library klien atau menggunakan curl untuk REST/JSON.

Sumber kerentanan

Bagian berikut mencantumkan sumber kerentanan yang digunakan Artifact Analysis untuk mendapatkan CVE data.

Pemindaian paket bahasa

Artifact Analysis mendukung pemindaian kerentanan dan paket berbahaya untuk file dalam paket. Data kerentanan diperoleh dari GitHub Advisory Database, dan data paket berbahaya diperoleh dari OpenSSF Malicious Packages Repository.

Pada umumnya, setiap kerentanan diberi ID CVE dan ID ini menjadi ID utama untuk kerentanan tersebut. Jika tidak ada ID CVE yang ditetapkan untuk kerentanan, ID GHSA akan ditetapkan sebagai ID. Jika kerentanan tersebut kemudian mendapatkan ID CVE, ID kerentanan akan diperbarui agar sesuai dengan CVE. Advisory paket berbahaya memiliki ID dengan awalan MAL-. Lihat Memeriksa kerentanan tertentu dalam project untuk mengetahui informasi selengkapnya.

Pengelola paket dan pembuatan versi semantik

  • Java - Artifact Analysis mendukung paket Maven yang mengikuti konvensi penamaan Maven. Jika versi paket menyertakan spasi, paket tersebut tidak akan dipindai.
  • Node.js - Pencocokan versi paket mengikuti pembuatan versi semantik spesifikasi.
  • Python - Pencocokan versi Python mengikuti semantik PEP 440.

Batasan

  • Artifact Analysis hanya memindai paket dengan 100 file atau kurang.

  • Jika Anda mengirim paket yang sama ke beberapa repositori, Anda akan dikenai biaya untuk setiap pengiriman. Untuk mengetahui informasi selengkapnya, lihat Harga Artifact Analysis.

Langkah berikutnya