評估 Cloud Run 的安全漏洞

Security Command Center 的 Google Cloud安全漏洞評估功能，可持續偵測執行中 Cloud Run 工作負載的軟體安全漏洞和外洩密鑰。

事前準備

如要使用 Google Cloud的安全漏洞評估功能，必須符合下列條件：

  • 啟用 Container Scanning API (containerscanning.googleapis.com)，在託管 Artifact Registry 存放區的專案中，啟用 Artifact Analysis 容器掃描功能。啟用容器掃描 API 時，也會啟用 Artifact Analysis API (containeranalysis.googleapis.com)。

    啟用 API 所需的角色

    如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過擁有者角色 (roles/owner) 取得這項權限。否則，您可以透過 Service Usage 管理員角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

    啟用 API

    為 Google Cloud 啟用安全漏洞評估功能，並不會在映像檔存放區啟用 Artifact Analysis 容器掃描。如果未在託管容器映像檔的專案啟用 Container Scanning API， Google Cloud 的安全漏洞評估功能就無法為 Cloud Run 資源產生安全漏洞或外洩密鑰發現項目。

  • 為組織或專案啟用 Security Command Center。Premium 和 Enterprise 級別預設會啟用 Google Cloud 的安全漏洞評估功能。在標準級，您必須在組織、資料夾或專案層級，手動啟用 Google Cloud 的安全漏洞評估功能。

  • 將容器映像檔儲存在 Artifact Registry 存放區，該存放區與 Cloud Run 工作負載位於同一個 Google Cloud 組織。系統不會掃描外部組織的映像檔，但已驗證的公開 Google 容器鏡像除外。

Google Cloud 安全漏洞評估的運作方式

如要評估 Cloud Run 工作負載中的安全漏洞和外洩密鑰，請搭配使用下列兩項功能：

  • Artifact Analysis 容器掃描：掃描儲存在 Artifact Registry 中的容器映像檔，找出已知的常見安全漏洞與弱點 (CVE) 和公開的密鑰，並將掃描結果記錄為 Artifact Analysis 中的項目。
  • Google Cloud的安全漏洞評估：將 Artifact Analysis 的安全漏洞和 Secret 發生次數，與使用中的 Cloud Run 資源建立關聯。

靜態容器映像檔掃描會回報 Artifact Registry 中容器映像檔的發現項目，而 Google Cloud 的安全漏洞評估則會直接將發現項目附加至執行中的 Cloud Run 工作負載。 Google Cloud 的安全漏洞評估會執行下列動作：

  • 關聯執行階段中繼資料：將容器映像檔摘要與執行中的 Cloud Run 服務、工作或 worker 集區進行比對。
  • 識別修訂版本和 Sidecar：識別提供流量或執行執行個體的作用中修訂版本，以及含有安全漏洞或密鑰的容器或多容器 Sidecar。
  • 管理發現項目的生命週期：只要有使用中的修訂版本或已執行的工作參照有安全漏洞的映像檔，就會保留發現項目 ACTIVE。部署修補後的修訂版本，並將流量或執行個體從有安全漏洞的修訂版本轉移後，發現項目會自動轉換為 INACTIVE。

支援的資源

Google Cloud 的 Vulnerability Assessment 會在下列 Cloud Run 資源中，找出安全漏洞和外洩的密鑰：

  • Cloud Run 服務 (run.googleapis.com/Service)： 監控提供流量的有效修訂版本。發現項目會列出最多五個執行易受攻擊映像檔的有效修訂版本完整資源名稱。
  • Cloud Run 工作 (run.googleapis.com/Job)：根據過去 14 天內成功啟動的最新執行作業中使用的容器映像檔，評估批次工作。系統不會掃描從未執行或在初始化期間失敗的工作。
  • Cloud Run worker 集區 (run.googleapis.com/WorkerPool)： 監控執行中的執行個體修訂版本。發現項目會列出執行有安全漏洞映像檔的所有有效修訂版本完整資源名稱。

限制

如果 Cloud Run 服務或 worker 集區執行超過 30 天，期間未提取映像檔、部署新修訂版本或冷啟動執行個體，Artifact Analysis 會暫停掃描新的 CVE，直到有新的提取或部署作業為止。現有的ACTIVE發現項目仍為ACTIVE，並受 Security Command Center 資料保留政策規範。

只有在 Artifact Analysis 掃描或重新分析映像檔時，才會顯示發現項目。部署先前推送至 Artifact Registry 的映像檔不會觸發掃描，因此該工作負載的發現項目會在下次重新分析後顯示，約需 4 小時。

查看安全漏洞和 Secret 發現項目

如要在Google Cloud 控制台查看 Cloud Run 的安全漏洞和 Secret 發現項目，請按照下列步驟操作：

  1. 在 Google Cloud 控制台中，前往 Security Command Center 的「Findings」(發現項目) 頁面：

    前往「發現項目」

  2. 在專案選取器中，選取組織、資料夾或專案。

  3. 在「快速篩選器」面板的「資源類型」部分，選取 run.googleapis.com/Service、run.googleapis.com/Job 或 run.googleapis.com/WorkerPool。

  4. 按一下發現項目即可查看詳細資料，包括受影響的容器名稱、映像檔摘要和有效修訂版本 URI。

修復安全漏洞和 Secret 發現項目

如要修復安全漏洞或 Secret 發現項目，請按照下列步驟操作：

  1. 請將應用程式依附元件或基本映像檔更新至已修補安全漏洞的版本，或從容器映像檔檔案系統、Dockerfile 或原始碼中移除公開的密鑰。
  2. 建構新的容器映像檔，並推送至 Artifact Registry。
  3. 部署新的服務修訂版本，或更新工作或 worker 集區。
  4. 如果您使用流量拆分或執行個體拆分功能，請將所有流量轉送至修補後的修訂版本，或將所有執行個體分配給該版本。舊修訂版本不再提供流量或執行執行個體後，Vulnerability Assessment for Google Cloud 會將發現項目標示為INACTIVE。

後續步驟