Sicherheitsstatistiken für Builds ansehen

Auf dieser Seite wird erläutert, wie Sie im Seitenbereich Sicherheitsstatistiken in der Google Cloud Console Sicherheitsinformationen zu Ihren Cloud Build Builds aufrufen.

Die Sicherheitsübersicht-Seitenleiste bietet eine allgemeine Übersicht über mehrere Sicherheitsmesswerte. Sie können die Seitenleiste verwenden, um Risiken in Ihrem Build-Prozess zu identifizieren und zu minimieren.

Bereich „Sicherheitsinformationen“

In diesem Bereich werden die folgenden Informationen angezeigt:

  • Supply Chain Levels for Software Artifacts (SLSA) Level: Gibt die Reifestufe Ihres Software-Build-Prozesses gemäß der SLSA Spezifikation an. Dieser Build hat beispielsweise SLSA Level 3 erreicht.
  • Sicherheitslücken: Eine Übersicht über alle in Ihren Artefakten gefundenen Sicherheitslücken und der Name des Bilds, das von der Artefaktanalyse gescannt wurde. Sie können auf den Bildnamen klicken, um die Details zu Sicherheitslücken aufzurufen. Im Screenshot können Sie beispielsweise auf java-guestbook-backend klicken.
  • **VEX-Status** (Vulnerability Exploitability eXchange) für die erstellten Artefakte.
  • **Software-Materialliste (SBOM)** für die Build-Artefakte.
  • Build-Details: Details des Builds wie der Builder und der Link zum Aufrufen von Logs.

Informationen dazu, wie Sie Cloud Build mit anderen Google Cloud Produkten und Funktionen verwenden können, um den Sicherheitsstatus Ihrer Softwarelieferkette zu verbessern, finden Sie unter Sicherheit der Softwarelieferkette.

Scannen auf Sicherheitslücken aktivieren

Im Bereich Sicherheitsstatistiken werden Daten aus Cloud Build und aus der Artefaktanalyse angezeigt. Die Artefaktanalyse ist ein Dienst, der beim Hochladen von Build-Artefakten in Artifact Registry nach Sicherheitslücken in Betriebssystem-, Java- (Maven-) und Go-Paketen sucht.

Sie müssen das Scannen auf Sicherheitslücken aktivieren, um alle Ergebnisse der Sicherheitsstatistiken zu erhalten.

  1. Aktivieren Sie die Container Scanning API, um das Scannen auf Sicherheitslücken zu aktivieren.

    Container Scanning API aktivieren

  2. Führen Sie einen Build aus und speichern Sie das Build-Artefakt in Artifact Registry. Die Artefaktanalyse scannt die Build-Artefakte automatisch.

Das Scannen auf Sicherheitslücken kann je nach Größe Ihres Builds einige Minuten dauern.

Weitere Informationen zum Scannen auf Sicherheitslücken finden Sie unter Automatisches Scannen.

Für das Scannen fallen Kosten an. Preisinformationen finden Sie auf der Pricing page.

Berechtigungen zum Aufrufen von Statistiken erteilen

Zum Aufrufen von Sicherheitsstatistiken in Google Cloud der Console benötigen Sie die folgenden IAM-Rollen oder eine Rolle mit entsprechenden Berechtigungen. Wenn Artifact Registry und die Artefaktanalyse in verschiedenen Projekten ausgeführt werden, müssen Sie die Rolle „Betrachter von Container Analysis-Vorkommen“ oder entsprechende Berechtigungen in dem Projekt hinzufügen, in dem die Artefaktanalyse ausgeführt wird.

Seitenleiste „Sicherheitsstatistiken“ ansehen

So rufen Sie den Bereich Sicherheitsstatistiken auf:

  1. Öffnen Sie in der Google Cloud Console die Seite Build-Verlauf.

    Zur Seite "Build-Verlauf"

  2. Wählen Sie Ihr Projekt aus und klicken Sie auf Öffnen.

  3. Wählen Sie im Drop-down-Menü Region die Region aus, in der Sie den Build ausgeführt haben.

  4. Suchen Sie in der Tabelle mit den Builds die Zeile mit dem Build, für den Sie Sicherheitsstatistiken aufrufen möchten.

  5. Klicken Sie in der Spalte Sicherheitsstatistiken auf Ansehen.

    Dadurch wird die Seitenleiste Sicherheitsstatistiken geöffnet.

  6. (Optional) Wenn Ihr Build mehrere Artefakte erzeugt, wählen Sie im Drop-down-Feld Artefakt das Artefakt aus, für das Sie Sicherheitsstatistiken aufrufen möchten.

    Bereich „Sicherheitsinformationen“ für Builds mit mehreren Containern

    Dadurch wird der Bereich Sicherheitsstatistiken für das ausgewählte Artefakt angezeigt.

SLSA-Ebene

Die SLSA-Ebene bewertet die aktuelle Sicherheitsstufe Ihres Builds anhand einer Reihe von Richtlinien.

Sicherheitslücken

Auf der Karte Sicherheitslücken werden die Sicherheitslückenvorkommen, verfügbaren Korrekturen und der VEX-Status für die Build-Artefakte angezeigt.

Die Artefaktanalyse unterstützt das Scannen von Container-Images, die in Artifact Registryhochgeladen wurden. Bei den Scans werden Sicherheitslücken in Betriebssystempaketen und in Anwendungspaketen erkannt, die in Java (Maven) oder Go erstellt wurden.

Die Scanergebnisse sind nach Schweregrad geordnet. Der Schweregrad ist eine qualitative Bewertung, die auf der Ausnutzbarkeit, dem Umfang, den Auswirkungen und dem Fortschritt der Sicherheitslücke basiert.

Klicken Sie auf den Bildnamen, um die Artefakte aufzurufen, die auf Sicherheitslücken gescannt wurden.

Für jedes Container-Image, das in Artifact Registry hochgeladen wird, kann die Artefaktanalyse eine zugehörige VEX-Erklärung speichern. VEX ist eine Art Sicherheitshinweis, der angibt, ob ein Produkt von einer bekannten Sicherheitslücke betroffen ist.

Jede VEX-Erklärung enthält folgende Informationen:

  • Der Publisher der VEX-Erklärung
  • Das Artefakt, für das die Erklärung geschrieben wurde
  • Die Sicherheitslückenbewertung (VEX-Status) für alle bekannten Sicherheitslücken

Abhängigkeiten

Auf der Karte Abhängigkeiten wird eine Liste von SBOMs mit einer Liste von Abhängigkeiten angezeigt.

Wenn Sie mit Cloud Build ein Container-Image erstellen und es in Artifact Registry hochladen, kann die Artefaktanalyse SBOM-Einträge für die hochgeladenen Images generieren.

Eine SBOM ist eine vollständige Bestandsaufnahme einer Anwendung, in der die Pakete aufgeführt sind, auf die Ihre Software angewiesen ist. Die Inhalte können Software von Drittanbietern, interne Artefakte und Open-Source-Bibliotheken umfassen.

Build

Die Karte „Build“ enthält die folgenden Informationen:

  • Logs : Links zu Ihren Build-Log-Informationen
  • Builder : Name des Builders
  • Abgeschlossen : Zeit, die seit Abschluss des Builds vergangen ist
  • Herkunft : Überprüfbare Metadaten zu einem Build

Herkunftsmetadaten enthalten Details wie die Digests der erstellten Images, die Eingangsquellen, die Build-Toolchain, die Build-Schritte und die Build-Dauer. Sie können die Build-Herkunft auch jederzeit validieren provenance.

Damit Ihre zukünftigen Builds Herkunftsinformationen enthalten, konfigurieren Sie Cloud Build so, dass Ihre Images Herkunfts metadaten enthalten müssen.

Nächste Schritte