Évaluer les failles pour Cloud Run

L'évaluation des failles pour Google Cloud dans Security Command Center vous permet de détecter en continu les failles logicielles et les secrets exposés dans vos charges de travail Cloud Run en cours d'exécution.

Avant de commencer

Pour utiliser l'évaluation des failles pour Google Cloud, vous devez remplir les conditions suivantes :

  • Activez l'API Container Scanning (containerscanning.googleapis.com) pour activer l'analyse de conteneurs Artifact Analysis sur les projets hébergeant vos dépôts Artifact Registry. L'activation de l'API Container Scanning active également l'API Artifact Analysis (containeranalysis.googleapis.com).

    Rôles requis pour activer les API

    Pour activer des API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation via le rôle Propriétaire (roles/owner). Sinon, vous pouvez l'obtenir via le rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

    Activer l'API

    L'activation de l'évaluation des failles pour Google Cloud n'active pas l'analyse des conteneurs Artifact Analysis sur vos dépôts d'images. Si vous n'activez pas l'API Container Scanning sur les projets où vous hébergez vos images de conteneurs, l'évaluation des failles pour Google Cloud ne peut pas générer de résultats de failles ou de secrets exposés pour vos ressources Cloud Run.

  • Activez Security Command Center pour votre organisation ou votre projet. Les niveaux Premium et Enterprise activent l'évaluation des failles pour Google Cloud par défaut. Au niveau Standard, vous devez activer manuellement l'évaluation des failles pour Google Cloud au niveau de l'organisation, du dossier ou du projet.

  • Stockez vos images de conteneurs dans un dépôt Artifact Registry au sein de la même organisation Google Cloud que votre charge de travail Cloud Run. Les images d'organisations externes ne sont pas analysées, à l'exception des miroirs de conteneurs Google publics validés.

Fonctionnement de Vulnerability Assessment pour Google Cloud

Pour évaluer les failles et les secrets exposés dans les charges de travail Cloud Run, deux fonctionnalités fonctionnent ensemble :

  • Analyse de conteneurs Artifact Analysis : analyse les images de conteneurs stockées dans Artifact Registry à la recherche de failles et risques courants (CVE) connus et de secrets exposés, et enregistre les résultats de l'analyse en tant qu'occurrences dans Artifact Analysis.
  • Évaluation des failles pour Google Cloud : met en corrélation les occurrences de failles et de secrets d'Artifact Analysis avec les ressources Cloud Run actives.

Contrairement à l'analyse d'images de conteneurs statiques, qui signale les résultats sur les images de conteneurs dans Artifact Registry, l'évaluation des failles pour Google Cloud associe les résultats directement à vos charges de travail Cloud Run en cours d'exécution. Vulnerability Assessment pour Google Cloud effectue les actions suivantes :

  • Corrélation des métadonnées d'exécution : associe le condensé de l'image de conteneur au service, au job ou au pool de nœuds de calcul Cloud Run actif.
  • Identifie les révisions et les side-cars : identifie les révisions actives diffusant du trafic ou exécutant des instances, ainsi que les conteneurs ou les side-cars multiconteneurs qui contiennent la faille ou le secret.
  • Gère le cycle de vie des résultats : conserve le résultat ACTIVE tant qu'une révision active ou un job exécuté fait référence à l'image vulnérable. Lorsque vous déployez une révision corrigée et que vous déplacez le trafic ou les instances de la révision vulnérable, le résultat passe automatiquement à l'état INACTIVE.

Ressources compatibles

L'évaluation des failles pour Google Cloud détecte les failles et les secrets exposés dans les ressources Cloud Run suivantes :

  • Services Cloud Run (run.googleapis.com/Service) : surveille les révisions actives qui diffusent du trafic. Les résultats listent les noms de ressources complets de cinq révisions actives au maximum qui exécutent l'image vulnérable.
  • Jobs Cloud Run (run.googleapis.com/Job) : évalue les jobs par lot en fonction de l'image de conteneur utilisée lors de la dernière exécution qui a démarré avec succès au cours des 14 derniers jours. Les jobs qui n'ont jamais été exécutés ou qui ont échoué lors de l'initialisation ne sont pas analysés.
  • Pools de nœuds de calcul Cloud Run (run.googleapis.com/WorkerPool) : surveille les instances exécutant des révisions actives. Les résultats listent les noms de ressources complets de toutes les révisions actives qui exécutent l'image vulnérable.

Limites

Si un service ou un pool de nœuds de calcul Cloud Run s'exécute pendant plus de 30 jours sans extraction d'image, déploiement d'une nouvelle révision ou démarrage à froid d'une instance, Artifact Analysis suspend l'analyse des nouvelles failles et expositions courantes jusqu'à ce qu'une nouvelle extraction ou un nouveau déploiement se produise. Les résultats ACTIVE existants restent ACTIVE et sont soumis aux règles de conservation des données de Security Command Center.

Les résultats n'apparaissent que lorsqu'Artifact Analysis analyse ou réanalyse une image. Le déploiement d'une image qui a été transférée vers Artifact Registry plus tôt ne déclenche pas d'analyse. Par conséquent, les résultats pour cette charge de travail apparaissent après la nouvelle analyse suivante, dans un délai d'environ quatre heures.

Afficher les résultats concernant les failles et les secrets

Pour afficher les résultats de failles et de secrets pour Cloud Run dans la consoleGoogle Cloud , procédez comme suit :

  1. Dans la console Google Cloud , accédez à la page Résultats de Security Command Center :

    Accéder

  2. Dans le sélecteur de projet, sélectionnez votre organisation, votre dossier ou votre projet.

  3. Dans le panneau Filtres rapides, dans la section Type de ressource, sélectionnez run.googleapis.com/Service, run.googleapis.com/Job ou run.googleapis.com/WorkerPool.

  4. Cliquez sur un résultat pour afficher ses détails, y compris le nom du conteneur concerné, le condensé de l'image et les URI de révision actifs.

Corriger les failles et les secrets détectés

Pour corriger un résultat de vulnérabilité ou de secret, procédez comme suit :

  1. Mettez à jour les dépendances de votre application ou l'image de base vers une version qui corrige la faille, ou supprimez les secrets exposés du système de fichiers de votre image de conteneur, du fichier Dockerfile ou du code source.
  2. Créez la nouvelle image de conteneur et transférez-la vers Artifact Registry.
  3. Déployez une nouvelle révision de votre service, ou mettez à jour votre job ou votre pool de nœuds de calcul.
  4. Si vous utilisez la répartition du trafic ou la répartition des instances, acheminez tout le trafic ou allouez toutes les instances à la révision corrigée. Une fois que l'ancienne révision ne diffuse plus de trafic ni n'exécute d'instances, l'évaluation des failles pour Google Cloud marque le résultat comme INACTIVE.

Étapes suivantes