Sicherheitslücken für Cloud Run bewerten

Mit der Sicherheitslückenbewertung für Google Cloud in Security Command Center können Sie kontinuierlich Software-Sicherheitslücken und offengelegte Secrets in Ihren laufenden Cloud Run-Arbeitslasten erkennen.

Hinweis

Damit Sie die Sicherheitslückenbewertung für Google Cloudverwenden können, müssen die folgenden Anforderungen erfüllt sein:

  • Aktivieren Sie die Container Scanning API (containerscanning.googleapis.com), um das Scannen von Containern mit Artefaktanalyse in den Projekten zu aktivieren, in denen Ihre Artifact Registry-Repositories gehostet werden. Wenn Sie die Container Scanning API aktivieren, wird auch die Artifact Analysis API (containeranalysis.googleapis.com) aktiviert.

    Rollen, die zum Aktivieren von APIs erforderlich sind

    Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Inhaberrolle (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

    API aktivieren

    Wenn Sie die Sicherheitslückenbewertung für Google Cloud aktivieren, wird das Scannen von Containern mit Artefaktanalyse in Ihren Image-Repositories nicht aktiviert. Wenn Sie die Container Scanning API nicht in den Projekten aktivieren, in denen Sie Ihre Container-Images hosten, kann die Sicherheitslückenbewertung für Google Cloud keine Ergebnisse zu Sicherheitslücken oder offengelegten Secrets für Ihre Cloud Run-Ressourcen generieren.

  • Aktivieren Sie Security Command Center für Ihre Organisation oder Ihr Projekt. In den Premium- und Enterprise-Stufen ist die Sicherheitslückenbewertung für Google Cloud standardmäßig aktiviert. In der Standard-Stufe müssen Sie die Sicherheitslückenbewertung für Google Cloud manuell auf Organisations-, Ordner- oder Projektebene aktivieren.

  • Speichern Sie Ihre Container-Images in einem Artifact Registry-Repository innerhalb derselben Google Cloud -Organisation wie Ihre Cloud Run-Arbeitslast. Images von externen Organisationen werden nicht gescannt, mit Ausnahme von verifizierten öffentlichen Google-Container-Spiegelungen.

Funktionsweise der Sicherheitslückenbewertung für Google Cloud

Zur Bewertung von Sicherheitslücken und offengelegten Secrets in Cloud Run-Arbeitslasten werden zwei Funktionen kombiniert:

  • Scannen von Containern mit Artefaktanalyse: Scant in Artifact Registry gespeicherte Container-Images auf bekannte Sicherheitslücken und Bedrohungen (CVEs) und offengelegte Secrets und zeichnet die Scanergebnisse als Vorkommen in Artefaktanalyse auf.
  • Sicherheitslückenbewertung für Google Cloud: Korreliert die Sicherheitslücken- und Secret-Vorkommen aus der Artefaktanalyse mit aktiven Cloud Run-Ressourcen.

Im Gegensatz zum statischen Container-Image-Scannen, bei dem Ergebnisse zu Container-Images in Artifact Registry gemeldet werden, werden bei der Sicherheitsbewertung für Google Cloud Ergebnisse direkt an Ihre laufenden Cloud Run-Arbeitslasten angehängt. Die Sicherheitslückenbewertung für Google Cloud führt die folgenden Aktionen aus:

  • Korreliert Laufzeitmetadaten: Gleicht den Container-Image-Digest mit dem aktiven Cloud Run-Dienst, -Job oder -Worker-Pool ab.
  • Identifiziert Versionen und Sidecars: Identifiziert die aktiven Versionen, die Traffic verarbeiten oder Instanzen ausführen, sowie die Container oder Sidecars mit mehreren Containern, die die Sicherheitslücke oder das Secret enthalten.
  • Verwaltet den Lebenszyklus von Ergebnissen: Das Ergebnis ACTIVE wird so lange beibehalten, wie eine aktive Überarbeitung oder ein ausgeführter Job auf das anfällige Image verweist. Wenn Sie eine gepatchte Version bereitstellen und Traffic oder Instanzen von der anfälligen Version wegleiten, wechselt das Ergebnis automatisch zu INACTIVE.

Unterstützte Ressourcen

Die Sicherheitslückenbewertung für Google Cloud erkennt Sicherheitslücken und offengelegte Secrets in den folgenden Cloud Run-Ressourcen:

  • Cloud Run-Dienste (run.googleapis.com/Service): Überwacht aktive Überarbeitungen, die Traffic verarbeiten. In den Ergebnissen werden die vollständigen Ressourcennamen von bis zu fünf aktiven Versionen aufgeführt, auf denen das anfällige Image ausgeführt wird.
  • Cloud Run-Jobs (run.googleapis.com/Job): Bewertet Batchjobs anhand des Container-Images, das in der letzten Ausführung verwendet wurde, die in den letzten 14 Tagen erfolgreich gestartet wurde. Jobs, die noch nie ausgeführt wurden oder bei der Initialisierung fehlgeschlagen sind, werden nicht gescannt.
  • Cloud Run-Worker-Pools (run.googleapis.com/WorkerPool): Überwacht aktive Versionen, die Instanzen ausführen. In den Ergebnissen werden die vollständigen Ressourcennamen aller aktiven Überarbeitungen aufgeführt, auf denen das anfällige Image ausgeführt wird.

Beschränkungen

Wenn ein Cloud Run-Dienst oder ein Worker-Pool länger als 30 Tage ohne Image-Pull, neue Überarbeitungsbereitstellung oder Kaltstart einer Instanz ausgeführt wird, pausiert Artefaktanalyse das Scannen nach neuen CVEs, bis ein neuer Pull oder eine neue Bereitstellung erfolgt. Vorhandene ACTIVE-Ergebnisse bleiben ACTIVE und unterliegen den Richtlinien zur Datenaufbewahrung von Security Command Center.

Ergebnisse werden nur angezeigt, wenn Artefaktanalyse ein Image scannt oder neu analysiert. Wenn Sie ein Image bereitstellen, das zuvor in Artifact Registry hochgeladen wurde, wird kein Scan ausgelöst. Die Ergebnisse für diese Arbeitslast werden daher erst nach der nächsten erneuten Analyse angezeigt, also innerhalb von etwa 4 Stunden.

Ergebnisse zu Sicherheitslücken und Secrets ansehen

So rufen Sie Sicherheitslücken und Secret-Ergebnisse für Cloud Run in derGoogle Cloud Console auf:

  1. Rufen Sie in der Google Cloud Console im Security Command Center die Seite Ergebnisse auf:

    Zu Ergebnissen

  2. Wählen Sie in der Projektauswahl Ihre Organisation, Ihren Ordner oder Ihr Projekt aus.

  3. Wählen Sie im Bereich Schnellfilter im Abschnitt Ressourcentyp die Option run.googleapis.com/Service, run.googleapis.com/Job oder run.googleapis.com/WorkerPool aus.

  4. Klicken Sie auf ein Ergebnis, um die Details aufzurufen, einschließlich des betroffenen Containernamens, des Image-Digests und der aktiven Überarbeitungs-URIs.

Sicherheitslücken und Secret-Ergebnisse beheben

So beheben Sie ein Sicherheitslücken- oder Secret-Ergebnis:

  1. Aktualisieren Sie Ihre Anwendungsabhängigkeiten oder Ihr Basis-Image auf eine Version, die die Sicherheitslücke behebt, oder entfernen Sie offengelegte Secrets aus dem Dateisystem, dem Dockerfile oder dem Quellcode Ihres Container-Images.
  2. Erstellen Sie das neue Container-Image und übertragen Sie es per Push in Artifact Registry.
  3. Stellen Sie eine neue Version Ihres Dienstes bereit oder aktualisieren Sie Ihren Job oder Worker-Pool.
  4. Wenn Sie die Aufteilung des Traffics oder die Instanzaufteilung verwenden, leiten Sie den gesamten Traffic an die gepatchte Version weiter oder weisen Sie ihr alle Instanzen zu. Wenn die alte Version keinen Traffic mehr verarbeitet oder keine Instanzen mehr ausführt, markiert die Sicherheitslückenbewertung für Google Cloud das Ergebnis als INACTIVE.

Nächste Schritte