Valuta le vulnerabilità per Cloud Run

Vulnerability Assessment for Google Cloud in Security Command Center ti consente di rilevare continuamente le vulnerabilità del software e i secret esposti nei workload Cloud Run in esecuzione.

Prima di iniziare

Per utilizzare Vulnerability Assessment per Google Cloud, devi soddisfare i seguenti requisiti:

  • Abilita l'API Container Scanning (containerscanning.googleapis.com) per attivare la scansione dei container di Artifact Analysis nei progetti che ospitano i repository Artifact Registry. L'abilitazione dell'API Scansione dei container abilita anche l'API Artifact Analysis (containeranalysis.googleapis.com).

    Ruoli richiesti per abilitare le API

    Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente hai già questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

    Abilitare l'API

    L'attivazione della valutazione delle vulnerabilità per Google Cloud non attiva la scansione dei container di Artifact Analysis nei repository di immagini. Se non abiliti l'API Scansione dei container nei progetti in cui ospiti le immagini container, Valutazione di vulnerabilità per Google Cloud non può generare risultati relativi a vulnerabilità o secret esposti per le tue risorse Cloud Run.

  • Attiva Security Command Center per la tua organizzazione o il tuo progetto. I livelli Premium ed Enterprise attivano Valutazione di vulnerabilità per Google Cloud per impostazione predefinita. Nel livello Standard, devi attivare manualmente Vulnerability Assessment for Google Cloud a livello di organizzazione, cartella o progetto.

  • Archivia le immagini container in un repository Artifact Registry all'interno della stessa organizzazione Google Cloud del tuo workload Cloud Run. Le immagini di organizzazioni esterne non vengono analizzate, ad eccezione dei mirror dei container Google pubblici verificati.

Come funziona Vulnerability Assessment per Google Cloud

Per valutare le vulnerabilità e i secret esposti nei workload di Cloud Run, collaborano due funzionalità:

  • Scansione dei container di Artifact Analysis: analizza le immagini container archiviate in Artifact Registry per individuare vulnerabilità ed esposizioni comuni (CVE) note e secret esposti e registra i risultati della scansione come occorrenze in Artifact Analysis.
  • Vulnerability Assessment for Google Cloud: mette in correlazione le occorrenze di vulnerabilità e secret di Artifact Analysis con le risorse Cloud Run attive.

A differenza della scansione statica delle immagini container, che segnala i risultati sulle immagini container in Artifact Registry, Vulnerability Assessment for Google Cloud collega i risultati direttamente ai workload Cloud Run in esecuzione. Vulnerability Assessment per Google Cloud esegue le seguenti azioni:

  • Correlazione dei metadati di runtime: associa il digest dell'immagine container al servizio, al job o al pool di worker Cloud Run attivo.
  • Identifica revisioni e sidecar: identifica le revisioni attive che gestiscono il traffico o eseguono istanze e i container o i sidecar multi-container che contengono la vulnerabilità o il secret.
  • Gestisce il ciclo di vita dei risultati: mantiene il risultato ACTIVE finché una revisione attiva o un job eseguito fa riferimento all'immagine vulnerabile. Quando esegui il deployment di una revisione con patch e sposti il traffico o le istanze dalla revisione vulnerabile, il risultato passa automaticamente a INACTIVE.

Risorse supportate

Vulnerability Assessment for Google Cloud rileva vulnerabilità e secret esposti nelle seguenti risorse Cloud Run:

  • Servizi Cloud Run (run.googleapis.com/Service): monitora le revisioni attive che gestiscono il traffico. I risultati elencano i nomi completi delle risorse di un massimo di cinque revisioni attive che eseguono l'immagine vulnerabile.
  • Job Cloud Run (run.googleapis.com/Job): valuta i job batch in base all'immagine container utilizzata nell'ultima esecuzione avviata correttamente negli ultimi 14 giorni. I job che non sono mai stati eseguiti o che non sono riusciti durante l'inizializzazione non vengono analizzati.
  • Pool di worker Cloud Run (run.googleapis.com/WorkerPool): monitora le istanze in esecuzione delle revisioni attive. I risultati elencano i nomi completi delle risorse di tutte le revisioni attive che eseguono l'immagine vulnerabile.

Limitazioni

Se un servizio Cloud Run o un pool di worker viene eseguito per più di 30 giorni senza un pull dell'immagine, un deployment di una nuova revisione o un cold start di un'istanza, Artifact Analysis mette in pausa l'analisi per nuove CVE fino a quando non si verifica un nuovo pull o deployment. I risultati ACTIVE esistenti rimangono ACTIVE e sono soggetti alle policy sulla conservazione dei dati di Security Command Center.

I risultati vengono visualizzati solo quando Artifact Analysis scansiona o analizza nuovamente un'immagine. Il deployment di un'immagine di cui è stato eseguito il push ad Artifact Registry in precedenza non attiva un'analisi, quindi i risultati per quel workload vengono visualizzati dopo la rianalisi successiva, entro circa 4 ore.

Visualizza i risultati relativi a vulnerabilità e secret

Per visualizzare i risultati relativi a vulnerabilità e secret per Cloud Run nella consoleGoogle Cloud , segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Risultati in Security Command Center:

    Vai ai risultati

  2. Nel selettore di progetti, seleziona l'organizzazione, la cartella o il progetto.

  3. Nel riquadro Filtri rapidi, nella sezione Tipo di risorsa, seleziona run.googleapis.com/Service, run.googleapis.com/Job o run.googleapis.com/WorkerPool.

  4. Fai clic su un risultato per visualizzarne i dettagli, tra cui il nome del container interessato, il digest dell'immagine e gli URI delle revisioni attive.

Correggi i risultati relativi a vulnerabilità e secret

Per correggere un risultato relativo a una vulnerabilità o un secret, segui questi passaggi:

  1. Aggiorna le dipendenze dell'applicazione o l'immagine di base a una versione che corregge la vulnerabilità oppure rimuovi i secret esposti dal file system dell'immagine container, dal Dockerfile o dal codice sorgente.
  2. Crea ed esegui il push della nuova immagine container in Artifact Registry.
  3. Esegui il deployment di una nuova revisione del servizio o aggiorna il job o il pool di worker.
  4. Se utilizzi la suddivisione del traffico o delle istanze, instrada tutto il traffico o assegna tutte le istanze alla revisione con patch. Quando la revisione precedente non gestisce più il traffico o non esegue più istanze, Vulnerability Assessment per Google Cloud contrassegna il risultato come INACTIVE.

Passaggi successivi