Artifact Analysis fornisce due funzionalità per la scansione dei container: la scansione on demand e la scansione automatica. Questo documento illustra i vantaggi di ciascuna. Artifact Analysis fornisce anche la gestione dei metadati. Per scoprire di più su come utilizzare la scansione e l'archiviazione dei metadati insieme per proteggere la pipeline CI/CD end-to-end, consulta la panoramica di Artifact Analysis.
La scansione on demand e automatica può identificare vulnerabilità e pacchetti dannosi nel sistema operativo e nei pacchetti di linguaggio (Java e Go). Tuttavia, la scansione automatica dei pacchetti di linguaggio è disponibile solo per Artifact Registry.
Per un elenco dei tipi di scansione supportati per ogni prodotto del registro, consulta la tabella comparativa.
Consulta i prezzi per scoprire di più sui costi associati alla scansione delle immagini container.
Scansione on demand
La scansione on demand consente di eseguire la scansione delle immagini container localmente sul computer o nel registro utilizzando gcloud CLI. In questo modo, puoi personalizzare la pipeline CI/CD a seconda di quando devi accedere ai risultati delle vulnerabilità.
Scansione automatica
Artifact Analysis esegue scansioni di vulnerabilità e pacchetti dannosi sugli artefatti in Artifact Registry. Artifact Analysis monitora anche le informazioni sulle vulnerabilità e sui pacchetti dannosi per mantenerle aggiornate. Questa procedura comprende due attività principali: la scansione on-push e l'analisi continua.
Scansione on-push
Artifact Analysis esegue la scansione delle nuove immagini quando vengono caricate in Artifact Registry. Questa scansione estrae informazioni sui pacchetti nel container, inclusi i pacchetti di linguaggio di sistema e dell'applicazione, e identifica eventuali software dannosi. Le immagini vengono sottoposte a scansione una sola volta, in base al digest dell'immagine. Ciò significa che l'aggiunta o la modifica dei tag non attiverà nuove scansioni, ma solo la modifica dei contenuti dell'immagine.
Artifact Analysis rileva solo i pacchetti monitorati pubblicamente per le vulnerabilità di sicurezza.
Al termine della scansione di un'immagine, il risultato della scansione mostra la raccolta delle occorrenze di vulnerabilità e pacchetti dannosi per l'immagine.
Analisi continua
Artifact Analysis crea occorrenze per le vulnerabilità e i pacchetti dannosi rilevati quando carichi l'immagine. Dopo la scansione iniziale, monitora continuamente i metadati delle immagini sottoposte a scansione in Artifact Registry per rilevare nuovi rischi.
Artifact Analysis riceve informazioni sulle vulnerabilità nuove e aggiornate da varie origini di vulnerabilità più volte al giorno. Quando arrivano nuovi dati sulle vulnerabilità, Artifact Analysis aggiorna i metadati delle immagini sottoposte a scansione per mantenerli aggiornati. Artifact Analysis aggiorna le occorrenze di vulnerabilità esistenti, crea nuove occorrenze di vulnerabilità per le nuove note ed elimina le occorrenze di vulnerabilità non più valide.
Artifact Analysis continua a eseguire la scansione di immagini e pacchetti purché sia stato eseguito il pull negli ultimi 30 giorni. Dopo 30 giorni, i metadati delle immagini e dei pacchetti sottoposti a scansione non verranno più aggiornati e i risultati saranno obsoleti.
Artifact Analysis archivia i metadati che sono rimasti inattivi per più di 90 giorni. Questi metadati archiviati possono essere valutati solo utilizzando l'API. Puoi eseguire di nuovo la scansione di un'immagine con metadati obsoleti o archiviati eseguendo il pull dell'immagine. L'aggiornamento dei metadati può richiedere fino a 24 ore. Non è possibile eseguire di nuovo la scansione dei pacchetti con metadati obsoleti o archiviati.
Origini delle vulnerabilità
Artifact Analysis ottiene i dati sulle vulnerabilità da vari fornitori upstream per identificare i rischi per la sicurezza nelle immagini container. Questi dati includono i dati sulle vulnerabilità per i pacchetti del sistema operativo e i pacchetti di linguaggio.
Artifact Analysis ottiene anche i dati per i pacchetti dannosi dal repository di pacchetti dannosi OpenSSF. I pacchetti dannosi vengono segnalati come risultati di gravità CRITICAL.
Per un elenco completo delle origini di vulnerabilità e pacchetti dannosi, consulta Origini delle vulnerabilità.
Architetture
Artifact Analysis può eseguire la scansione delle immagini su qualsiasi architettura basata su Linux.
Puoi anche utilizzare analisi delle vulnerabilità con gli elenchi di manifest. Un elenco di manifest è un elenco di puntatori ai manifest per diverse piattaforme. Consentono a una singola immagine di funzionare con più architetture o varianti di un sistema operativo.
Se l'elenco di manifest contiene un'immagine Linux amd64, Artifact Analysis eseguirà la scansione dell'immagine. In caso contrario, Artifact Analysis seleziona un'immagine diversa dall'elenco.