Menilai kerentanan untuk Cloud Run

Penilaian Kerentanan untuk Google Cloud di Security Command Center memungkinkan Anda terus mendeteksi kerentanan software dan rahasia yang terekspos dalam workload Cloud Run yang sedang berjalan.

Sebelum memulai

Untuk menggunakan Penilaian Kerentanan untuk Google Cloud, Anda harus memenuhi persyaratan berikut:

  • Aktifkan Container Scanning API (containerscanning.googleapis.com) untuk mengaktifkan pemindaian container Artifact Analysis pada project yang menghosting repositori Artifact Registry Anda. Mengaktifkan Container Scanning API juga akan mengaktifkan Artifact Analysis API (containeranalysis.googleapis.com).

    Peran yang diperlukan untuk mengaktifkan API

    Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Service Usage Admin (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

    Mengaktifkan API

    Mengaktifkan Penilaian Kerentanan untuk Google Cloud tidak mengaktifkan pemindaian container Artifact Analysis di repositori image Anda. Jika Anda tidak mengaktifkan Container Scanning API di project tempat Anda menghosting image container, Penilaian Kerentanan untuk Google Cloud tidak dapat menghasilkan temuan kerentanan atau rahasia yang terekspos untuk resource Cloud Run Anda.

  • Aktifkan Security Command Center untuk organisasi atau project Anda. Paket Premium dan Enterprise mengaktifkan Penilaian Kerentanan untuk Google Cloud secara default. Pada paket Standard, Anda harus mengaktifkan Penilaian Kerentanan secara manual untuk Google Cloud di level organisasi, folder, atau project.

  • Simpan image container Anda di repositori Artifact Registry dalam organisasi Google Cloud yang sama dengan workload Cloud Run Anda. Image dari organisasi eksternal tidak dipindai, kecuali untuk mirror container Google publik yang terverifikasi.

Cara kerja Vulnerability Assessment untuk Google Cloud

Untuk menilai kerentanan dan rahasia yang terekspos dalam workload Cloud Run, dua fitur bekerja sama:

  • Pemindaian container Artifact Analysis: Memindai image container yang disimpan di Artifact Registry untuk menemukan Common Vulnerabilities and Exposures (CVE) yang diketahui dan rahasia yang terekspos, serta mencatat hasil pemindaian sebagai kemunculan di Artifact Analysis.
  • Vulnerability Assessment for Google Cloud: Menghubungkan kemunculan kerentanan dan secret dari Artifact Analysis dengan resource Cloud Run yang aktif.

Tidak seperti pemindaian image container statis, yang melaporkan temuan pada image container di Artifact Registry, Penilaian Kerentanan untuk Google Cloud melampirkan temuan langsung ke workload Cloud Run yang sedang berjalan. Vulnerability Assessment for Google Cloud melakukan tindakan berikut:

  • Menghubungkan metadata runtime: Mencocokkan ringkasan image container dengan layanan, tugas, atau worker pool Cloud Run yang aktif.
  • Mengidentifikasi revisi dan sidecar: Mengidentifikasi revisi aktif yang menyalurkan traffic atau menjalankan instance dan container atau sidecar multi-container yang berisi kerentanan atau secret.
  • Mengelola siklus proses temuan: Mempertahankan temuan ACTIVE selama revisi aktif atau tugas yang dijalankan mereferensikan image yang rentan. Saat Anda men-deploy revisi yang di-patch dan mengalihkan traffic atau instance dari revisi yang rentan, temuan akan otomatis beralih ke INACTIVE.

Resource yang didukung

Vulnerability Assessment for Google Cloud menemukan kerentanan dan rahasia yang terekspos di resource Cloud Run berikut:

  • Layanan Cloud Run (run.googleapis.com/Service): Memantau revisi aktif yang menyalurkan traffic. Temuan mencantumkan nama resource lengkap hingga lima revisi aktif yang menjalankan image yang rentan.
  • Tugas Cloud Run (run.googleapis.com/Job): Mengevaluasi tugas batch berdasarkan image container yang digunakan dalam eksekusi terbaru yang berhasil dimulai dalam 14 hari terakhir. Tugas yang belum pernah dijalankan atau yang gagal selama inisialisasi tidak akan dipindai.
  • Cloud Run worker pools (run.googleapis.com/WorkerPool): Memantau instance yang menjalankan revisi aktif. Temuan mencantumkan nama resource lengkap dari semua revisi aktif yang menjalankan image yang rentan.

Batasan

Jika layanan Cloud Run atau worker pool berjalan selama lebih dari 30 hari tanpa pull image, deployment revisi baru, atau cold start instance, Artifact Analysis akan menjeda pemindaian CVE baru hingga pull atau deployment baru terjadi. Temuan ACTIVE yang ada tetap ACTIVE dan tunduk pada kebijakan retensi data Security Command Center.

Temuan hanya muncul saat Artifact Analysis memindai atau menganalisis ulang image. Men-deploy image yang sebelumnya dikirim ke Artifact Registry tidak akan memicu pemindaian, sehingga temuan untuk workload tersebut akan muncul setelah analisis ulang berikutnya, dalam waktu sekitar 4 jam.

Melihat temuan kerentanan dan secret

Untuk melihat temuan kerentanan dan secret untuk Cloud Run di konsolGoogle Cloud , ikuti langkah-langkah berikut:

  1. Di konsol Google Cloud , buka halaman Findings di Security Command Center:

    Buka Temuan

  2. Di pemilih project, pilih organisasi, folder, atau project Anda.

  3. Di panel Quick filters, di bagian Resource type, pilih run.googleapis.com/Service, run.googleapis.com/Job, atau run.googleapis.com/WorkerPool.

  4. Klik temuan untuk melihat detailnya, termasuk nama container yang terpengaruh, ringkasan image, dan URI revisi aktif.

Memperbaiki temuan kerentanan dan rahasia

Untuk memulihkan kerentanan atau temuan rahasia, ikuti langkah-langkah berikut:

  1. Update dependensi aplikasi atau image dasar Anda ke versi yang memperbaiki kerentanan, atau hapus rahasia yang terekspos dari sistem file image container, Dockerfile, atau kode sumber Anda.
  2. Bangun dan kirim image container baru ke Artifact Registry.
  3. Deploy revisi baru layanan Anda, atau update tugas atau worker pool Anda.
  4. Jika Anda menggunakan pemisahan traffic atau pemisahan instance, arahkan semua traffic atau alokasikan semua instance ke revisi yang di-patch. Setelah revisi lama tidak lagi menyajikan traffic atau menjalankan instance, Penilaian Kerentanan untuk Google Cloud menandai temuan sebagai INACTIVE.

Langkah berikutnya