הערכת נקודות חולשה ב-Cloud Run

בעזרת הערכת נקודות החולשה של Google Cloud ב-Security Command Center, אתם יכולים לזהות באופן רציף נקודות חולשה בתוכנה וסודות חשופים בעומסי העבודה שפועלים ב-Cloud Run.

לפני שמתחילים

כדי להשתמש בהערכת נקודות חולשה ב- Google Cloud, אתם צריכים לעמוד בדרישות הבאות:

  • מפעילים את Container Scanning API (containerscanning.googleapis.com) כדי להפעיל את סריקת הקונטיינרים של Artifact Analysis בפרויקטים שמארחים את המאגרים של Artifact Registry. כשמפעילים את Container Scanning API, מופעל גם Artifact Analysis API (containeranalysis.googleapis.com).

    התפקידים שנדרשים כדי להפעיל ממשקי API

    כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם אתם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, אתם יכולים לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

    להפעלת ה-API

    הפעלת הערכת נקודות החולשה ב- Google Cloud לא מפעילה את סריקת הקונטיינרים של Artifact Analysis במאגרי קובצי האימג'. אם לא תפעילו את Container Scanning API בפרויקטים שבהם אתם מארחים את קובצי האימג' של הקונטיינרים, הכלי להערכת נקודות חולשה של Google Cloud לא יוכל ליצור ממצאים לגבי נקודות חולשה או סודות חשופים במשאבים של Cloud Run.

  • מפעילים את Security Command Center בארגון או בפרויקט. ברמות Premium ו-Enterprise, הערכת נקודות החולשה של Google Cloud מופעלת כברירת מחדל. ברמת Standard, צריך להפעיל ידנית את הערכת נקודות החולשה של Google Cloud ברמת הארגון, התיקייה או הפרויקט.

  • אחסנו את קובצי האימג' של הקונטיינרים במאגר של Artifact Registry באותו ארגון ב- Google Cloud שבו נמצא עומס העבודה של Cloud Run. תמונות מארגונים חיצוניים לא נסרקות, למעט מאגרי מכולות ציבוריים מאומתים של Google.

איך פועלת הערכת נקודות חולשה ב- Google Cloud

כדי להעריך את נקודות החולשה והסודות שנחשפו בעומסי העבודה ב-Cloud Run, שתי תכונות פועלות יחד:

  • סריקת קונטיינרים של Artifact Analysis: סריקת קובצי אימג' של קונטיינרים שמאוחסנים ב-Artifact Registry כדי לאתר חשיפות ונקודות חולשה נפוצות (CVE) וסודות שנחשפו, ותיעוד תוצאות הסריקה כמופעים ב-Artifact Analysis.
  • הערכת נקודות חולשה ב- Google Cloud: מתאימה בין מופעים של נקודות חולשה וסודות מ-Artifact Analysis לבין משאבים פעילים של Cloud Run.

בניגוד לסריקה סטטית של קובצי אימג' של קונטיינרים, שמדווחת על ממצאים בקובצי אימג' של קונטיינרים ב-Artifact Registry, הערכת נקודות החולשה של Google Cloud מצרפת ממצאים ישירות לעומסי העבודה הפעילים ב-Cloud Run. הערכת נקודות חולשה ב- Google Cloud מבצעת את הפעולות הבאות:

  • התאמה של מטא-נתונים בזמן הריצה: התאמה של סיכום קובץ האימג' של הקונטיינר לשירות, למשימה או למאגר ה-workers הפעילים ב-Cloud Run.
  • זיהוי גרסאות ו-sidecars: זיהוי הגרסאות הפעילות שמשרתות תנועה או מריצות מכונות, והקונטיינרים או ה-sidecars עם כמה קונטיינרים שמכילים את נקודת החולשה או הסוד.
  • ניהול מחזור החיים של הממצא: הממצא ACTIVE נשמר כל עוד גרסה פעילה או משימה שבוצעה מפנות לתמונה עם נקודת החולשה. כשפורסים גרסה מתוקנת ומעבירים את התנועה או המכונות מהגרסה הפגיעה, הממצא עובר באופן אוטומטי לסטטוס INACTIVE.

משאבים נתמכים

השירות "הערכת נקודות חולשה" ב- Google Cloud מזהה נקודות חולשה וסודות שנחשפו במשאבים הבאים של Cloud Run:

  • שירותי Cloud Run‏ (run.googleapis.com/Service): מעקב אחרי גרסאות פעילות שמטפלות בתנועה. בממצאים מפורטים שמות המשאבים המלאים של עד חמש גרסאות פעילות שמריצות את קובץ האימג' עם נקודת החולשה.
  • ‫Cloud Run jobs (run.googleapis.com/Job): הערכת משימות באצווה על סמך קובץ האימג' של הקונטיינר ששימש בהפעלה האחרונה שהתחילה בהצלחה ב-14 הימים האחרונים. משימות שלא הופעלו אף פעם או שנכשלו במהלך האתחול לא נסרקות.
  • מאגרי Worker של Cloud Run‏ (run.googleapis.com/WorkerPool): מעקב אחרי מכונות פעילות של גרסאות פעילות. בממצאים מופיעים שמות המשאבים המלאים של כל הגרסאות הפעילות שבהן פועל האימג' עם נקודת החולשה.

מגבלות

אם שירות Cloud Run או מאגר של Worker פועלים במשך יותר מ-30 ימים בלי משיכת קובץ אימג', פריסה של גרסה חדשה או הפעלה קרה של מכונה, Artifact Analysis משהה את הסריקה של CVE חדשים עד שמתרחשת משיכה או פריסה חדשה. ממצאים קיימים של ACTIVE נשארים ACTIVE וכפופים למדיניות שמירת הנתונים של Security Command Center.

הממצאים מופיעים רק כש-Artifact Analysis סורק או מנתח מחדש קובץ אימג'. פריסת קובץ אימג' שנדחף ל-Artifact Registry לפני כן לא מפעילה סריקה, ולכן הממצאים של עומס העבודה הזה מופיעים אחרי הניתוח החוזר הבא, תוך כ-4 שעות.

הצגת ממצאים לגבי נקודות חולשה וסודות

כדי לראות את הממצאים לגבי נקודות חולשה וסודות של Cloud Run במסוףGoogle Cloud :

  1. נכנסים לדף Findings ב-Security Command Center במסוף Google Cloud :

    כניסה לדף Findings

  2. בבורר הפרויקטים, בוחרים את הארגון, התיקייה או הפרויקט.

  3. בחלונית Quick filters, בקטע Resource type, בוחרים באפשרות run.googleapis.com/Service,‏ run.googleapis.com/Job או run.googleapis.com/WorkerPool.

  4. לוחצים על ממצא כדי לראות את הפרטים שלו, כולל שם הקונטיינר המושפע, תקציר קובץ האימג' ומזהי ה-URI של הגרסאות הפעילות.

תיקון ממצאים של נקודות חולשה וסודות

כדי לתקן ממצא של פרצה או סוד, פועלים לפי השלבים הבאים:

  1. מעדכנים את יחסי התלות של האפליקציה או את קובץ האימג' הבסיסי לגרסה שמתקנת את נקודת החולשה, או מסירים את הסודות החשופים ממערכת הקבצים של קובץ האימג' של הקונטיינר, מקובץ ה-Docker או מקוד המקור.
  2. יוצרים את קובץ האימג' החדש של הקונטיינר ומעבירים אותו בדחיפה ל-Artifact Registry.
  3. פורסים גרסה חדשה של השירות, או מעדכנים את המשימה או את מאגר ה-workers.
  4. אם אתם משתמשים בחלוקת תנועה או בחלוקת מכונות, נתבו את כל התנועה או הקצו את כל המכונות לגרסה המתוקנת. אחרי שהגרסה הישנה לא משרתת יותר תנועה או מריצה מכונות, הכלי להערכת נקודות חולשה ב- Google Cloud מסמן את הממצא כ-INACTIVE.

המאמרים הבאים