O Artifact Guard é um serviço de segurança que detecta e gerencia vulnerabilidades de imagens de contêiner. Ele avalia imagens de contêiner em relação a políticas de segurança configuráveis durante a geração de build, o armazenamento de registro e a execução do ambiente de execução.
Principais recursos
O Artifact Guard aplica políticas de vulnerabilidade em três estágios principais do ciclo de vida do contêiner:
- Verificação no momento da build: integra-se diretamente às plataformas de CI/CD (como Cloud Build, GitHub Actions e Jenkins) para verificar contêineres à medida que são criados. Se uma imagem violar sua política de segurança, a build falhará antes que a imagem possa ser publicada.
- Controle de admissão de registro: avalia imagens armazenadas no Artifact Registry. Usando a autorização binária, o Artifact Guard impede que imagens não compatíveis sejam implantadas em clusters do Google Kubernetes Engine (GKE).
- Monitoramento do ambiente de execução: monitora continuamente contêineres em execução em clusters do GKE para detectar vulnerabilidades recém-divulgadas e enriquece as descobertas no Security Command Center.
Aplicação de políticas de segurança
O Artifact Guard permite definir políticas de vulnerabilidade centralizadas que ajudam a proteger seu ambiente fazendo o seguinte:
- Bloqueio de artefatos vulneráveis no início: ajuda a impedir que os desenvolvedores enviem
imagens de contêiner que contenham vulnerabilidades que excedam o limite de gravidade especificado (por exemplo, bloqueando imagens com
HIGHouCRITICALvulnerabilidades). - Restrição de pacotes e CVEs específicos: permite permitir ou negar explicitamente pacotes de software, versões de pacotes ou vulnerabilidades e exposições comuns (CVEs) específicos.
- Gerenciamento de exceções: oferece períodos de carência para CVEs específicos para que as equipes possam continuar a implantação enquanto as correções são desenvolvidas, sem comprometer permanentemente a segurança.
- Centralização de descobertas de segurança: combina resultados de verificação de pipelines de CI/CD registros de artefatos e clusters do GKE em execução em uma única visualização no Security Command Center.
Funções e responsabilidades de destino
O Artifact Guard foi projetado para as seguintes equipes:
- Administradores de segurança: definem e gerenciam políticas de vulnerabilidade centralizadas.
- Equipes de DevOps ou engenharia de plataforma: adicionam conectores de verificação de CI/CD para criar pipelines e configurar controladores de admissão do GKE.
- Desenvolvedores de aplicativos: visualizam registros de falhas de build para identificar e atualizar dependências vulneráveis antes de reimplantar.
Principais termos e conceitos
- Vulnerabilidades e exposições comuns (CVE): uma vulnerabilidade de segurança de computador divulgada publicamente que recebe um identificador exclusivo.
- Lista de materiais de software (SBOM): um inventário legível por máquina de componentes de software e dependências usadas para identificar CVEs e outros riscos de segurança.
- Artefato: no contexto do Artifact Guard, uma imagem de contêiner criada por um pipeline de CI/CD ou armazenada em um registro de contêiner.
Fluxo de trabalho de alto nível
As políticas do Artifact Guard se aplicam a três escopos distintos:
- Plataforma de CI/CD: pipelines do Cloud Build, GitHub Actions ou Jenkins.
- Registro: repositórios do Artifact Registry.
- Ambiente de execução: clusters do GKE.
Para proteger seu ambiente, conclua o seguinte fluxo de trabalho:
Para criar uma política para um pipeline de CI/CD, crie um conector para seu ambiente de CI/CD usando a integração de CI/CD. Para repositórios ou clusters do GKE, você define o escopo da política nativamente durante a configuração da política.
Configure as políticas do Artifact Guard para os escopos de destino (pipeline, registro ou ambiente de execução).
Execute avaliações em relação às suas políticas:
- Pipeline: quando uma build de CI/CD é executada, a verificação no momento da build avalia a imagem do contêiner em relação à sua política. Se a imagem violar sua política de segurança, a build falhará antes que a imagem possa ser publicada. Os desenvolvedores podem examinar os detalhes da falha nos registros de build e atualizar as dependências.
- Registro: durante a implantação de uma imagem armazenada no Artifact Registry, o controle de admissão de registro usa a autorização binária para avaliar a política e impedir que imagens não compatíveis sejam implantadas em clusters do GKE.
- Ambiente de execução: o monitoramento do ambiente de execução avalia continuamente contêineres em execução em clusters do GKE para detectar vulnerabilidades recém-divulgadas e enriquece as descobertas no Security Command Center para violações de políticas.
A seguir
Saiba como configurar políticas do Artifact Guard.