Evalúa las vulnerabilidades de Cloud Run

La evaluación de vulnerabilidades para Google Cloud en Security Command Center te permite detectar de forma continua vulnerabilidades de software y secretos expuestos en tus cargas de trabajo de Cloud Run en ejecución.

Antes de comenzar

Para usar la Evaluación de vulnerabilidades para Google Cloud, debes cumplir con los siguientes requisitos:

  • Habilita la API de Container Scanning (containerscanning.googleapis.com) para activar el análisis de contenedores de Artifact Analysis en los proyectos que alojan tus repositorios de Artifact Registry. Cuando habilitas la API de Container Scanning, también se habilita la API de Artifact Analysis (containeranalysis.googleapis.com).

    Roles necesarios para habilitar las APIs

    Para habilitar las APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtenerlo a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.

    Habilitar la API

    Habilitar la evaluación de vulnerabilidades para Google Cloud no activa el análisis de contenedores de Artifact Analysis en tus repositorios de imágenes. Si no habilitas la API de Container Scanning en los proyectos en los que alojas tus imágenes de contenedor, la Evaluación de vulnerabilidades para Google Cloud no puede generar hallazgos de vulnerabilidades o secretos expuestos para tus recursos de Cloud Run.

  • Activa Security Command Center para tu organización o proyecto. Los niveles Premium y Enterprise habilitan la evaluación de vulnerabilidades para Google Cloud de forma predeterminada. En el nivel Estándar, debes habilitar de forma manual la evaluación de vulnerabilidades para Google Cloud a nivel de la organización, la carpeta o el proyecto.

  • Almacena tus imágenes de contenedor en un repositorio de Artifact Registry dentro de la misma organización de Google Cloud que tu carga de trabajo de Cloud Run. No se analizan las imágenes de organizaciones externas, excepto las duplicaciones públicas verificadas de contenedores de Google.

Cómo funciona la evaluación de vulnerabilidades para Google Cloud

Para evaluar las vulnerabilidades y los secretos expuestos en las cargas de trabajo de Cloud Run, dos funciones trabajan juntas:

  • Análisis de contenedores de Artifact Analysis: Analiza las imágenes de contenedor almacenadas en Artifact Registry en busca de vulnerabilidades y exposiciones comunes (CVE) conocidas y secretos expuestos, y registra los resultados del análisis como casos en Artifact Analysis.
  • Evaluación de vulnerabilidades para Google Cloud: Correlaciona las vulnerabilidades y los casos de secretos de Artifact Analysis con los recursos activos de Cloud Run.

A diferencia del análisis estático de imágenes de contenedor, que informa hallazgos sobre imágenes de contenedor en Artifact Registry, la evaluación de vulnerabilidades para Google Cloud adjunta hallazgos directamente a tus cargas de trabajo de Cloud Run en ejecución. La evaluación de vulnerabilidades para Google Cloud realiza las siguientes acciones:

  • Correlaciona los metadatos del entorno de ejecución: Hace coincidir el resumen de la imagen de contenedor con el servicio, el trabajo o el grupo de trabajadores de Cloud Run activo.
  • Identifica revisiones y sidecars: Identifica las revisiones activas que entregan tráfico o ejecutan instancias, y los contenedores o sidecars de varios contenedores que contienen la vulnerabilidad o el secreto.
  • Administra el ciclo de vida de los hallazgos: Mantiene el hallazgo ACTIVE siempre que una revisión activa o un trabajo ejecutado hagan referencia a la imagen vulnerable. Cuando implementas una revisión con parches y desvías el tráfico o las instancias de la revisión vulnerable, el hallazgo pasa automáticamente a INACTIVE.

Recursos admitidos

La evaluación de vulnerabilidades para Google Cloud descubre vulnerabilidades y secretos expuestos en los siguientes recursos de Cloud Run:

  • Servicios de Cloud Run (run.googleapis.com/Service): Supervisa las revisiones activas que entregan tráfico. En los hallazgos, se enumeran los nombres de recursos completos de hasta cinco revisiones activas que ejecutan la imagen vulnerable.
  • Trabajos de Cloud Run (run.googleapis.com/Job): Evalúa los trabajos por lotes en función de la imagen de contenedor que se usó en la última ejecución que se inició correctamente en los últimos 14 días. No se analizan los trabajos que nunca se ejecutaron o que fallaron durante la inicialización.
  • Grupos de trabajadores de Cloud Run (run.googleapis.com/WorkerPool): Supervisa las instancias en ejecución de las revisiones activas. En los hallazgos, se enumeran los nombres de recursos completos de todas las revisiones activas que ejecutan la imagen vulnerable.

Limitaciones

Si un servicio o grupo de trabajadores de Cloud Run se ejecuta durante más de 30 días sin una extracción de imagen, una implementación de revisión nueva o un inicio en frío de la instancia, Artifact Analysis detiene el análisis de CVE nuevas hasta que se produzca una nueva extracción o implementación. Los hallazgos de ACTIVE existentes permanecen como ACTIVE y están sujetos a las políticas de retención de datos de Security Command Center.

Los hallazgos aparecen solo cuando Artifact Analysis analiza o vuelve a analizar una imagen. Implementar una imagen que se envió a Artifact Registry antes no activa un análisis, por lo que los hallazgos de esa carga de trabajo aparecen después del siguiente re-análisis, en un plazo de aproximadamente 4 horas.

Visualiza los hallazgos de vulnerabilidades y secretos

Para ver los hallazgos de vulnerabilidades y secretos de Cloud Run en la consola deGoogle Cloud , sigue estos pasos:

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center:

    Ir a hallazgos

  2. En el selector de proyectos, elige tu organización, carpeta o proyecto.

  3. En el panel Filtros rápidos, en la sección Tipo de recurso, selecciona run.googleapis.com/Service, run.googleapis.com/Job o run.googleapis.com/WorkerPool.

  4. Haz clic en un hallazgo para ver sus detalles, incluidos el nombre del contenedor afectado, el resumen de la imagen y los URI de revisión activos.

Corrige los hallazgos de vulnerabilidades y secretos

Para corregir un hallazgo de vulnerabilidad o secreto, sigue estos pasos:

  1. Actualiza las dependencias de tu aplicación o la imagen base a una versión que parchee la vulnerabilidad, o quita los secretos expuestos del sistema de archivos de la imagen de contenedor, el Dockerfile o el código fuente.
  2. Compila y envía la nueva imagen de contenedor a Artifact Registry.
  3. Implementa una revisión nueva de tu servicio o actualiza tu trabajo o grupo de trabajadores.
  4. Si usas la división del tráfico o de instancias, enruta todo el tráfico o asigna todas las instancias a la revisión con parches. Después de que la revisión anterior ya no entregue tráfico ni ejecute instancias, la evaluación de vulnerabilidades de Google Cloud marcará el hallazgo como INACTIVE.

¿Qué sigue?