La evaluación de vulnerabilidades de Artifact Registry te permite detectar vulnerabilidades en imágenes de contenedores implementadas en Google Kubernetes Engine, Cloud Run o App Engine. El servicio genera hallazgos de Security Command Center para vulnerabilidades con gravedad HIGH y CRITICAL en imágenes de contenedores almacenadas en Artifact Registry. Puedes administrar las vulnerabilidades de gravedad MEDIUM y LOW en la evaluación de vulnerabilidades de Artifact Registry, pero Security Command Center no las muestra.
Ciclo de vida de los hallazgos
La evaluación de vulnerabilidades de Artifact Registry solo analiza las imágenes que se extrajeron en los últimos 30 días. Continúa analizando la imagen y creando o actualizando los resultados hasta que la imagen no se haya extraído durante más de 30 días.
Después de que se crean los hallazgos de la evaluación de vulnerabilidades de Artifact Registry, permanecen disponibles para que los consultes hasta 30 días después de la última actualización de los hallazgos. Security Command Center mantiene los resultados de la evaluación de vulnerabilidades de Artifact Registry en el estado ACTIVE durante 30 días después de la última actualización.
Si el recurso relacionado con el hallazgo se borra en un plazo de 3 días a partir de la última actualización, la evaluación de vulnerabilidades de Artifact Registry cambia el hallazgo state a INACTIVE. Si el activo se borra más de 3 días después del último análisis, el hallazgo permanece como ACTIVE durante 7 días, después de los cuales el estado cambia a INACTIVE.
Security Command Center borra los resultados de la evaluación de vulnerabilidades de Artifact Registry 7 días después de que se desactivan.
Para obtener más información sobre la retención de datos de Security Command Center, consulta Retención de datos.
Habilita la evaluación de vulnerabilidades de Artifact Registry
Para que la evaluación de vulnerabilidades de Artifact Registry genere hallazgos en Security Command Center para las imágenes de contenedor implementadas almacenadas en Artifact Registry, se debe habilitar la API de Container Scanning para tu proyecto y se debe activar Security Command Center a nivel de la organización.
Si no habilitaste la API de Container Scanning, haz lo siguiente:
En la consola de Google Cloud , ve a la página de la API de Container Scanning.
Selecciona el proyecto para el que deseas habilitar la API de Container Scanning.
Haz clic en Habilitar.
Security Command Center muestra los hallazgos de las imágenes de contenedor vulnerables analizadas que se implementan de forma activa en los recursos de tiempo de ejecución compatibles. Sin embargo, el servicio de detección se comporta de manera diferente según cuándo habilitaste Security Command Center y cuándo habilitaste la API de Container Scanning.
| Situación de habilitación | Comportamiento del servicio de detección |
|---|---|
|
Habilitaste Security Command Center después de habilitar la API de Container Scanning y de implementar una imagen de contenedor. |
La evaluación de vulnerabilidades de Artifact Registry genera hallazgos para las vulnerabilidades existentes que se encontraron con análisis anteriores de Artifact Registry en un plazo de 24 horas después de la habilitación. |
|
Habilitaste Security Command Center y, luego, implementaste una imagen de contenedor antes de habilitar la API de Container Scanning. |
La evaluación de vulnerabilidades de Artifact Registry no genera automáticamente hallazgos de vulnerabilidades para las imágenes de contenedor que implementaste antes de habilitar la API hasta que se active un análisis nuevo. Para activar manualmente un análisis nuevo, vuelve a implementar la imagen de contenedor en el mismo recurso de tiempo de ejecución. La evaluación de vulnerabilidades de Artifact Registry genera resultados de inmediato si se detectan vulnerabilidades durante el análisis. |
|
Habilitaste Security Command Center y la API de Container Scanning antes de implementar una imagen de contenedor. |
La imagen de contenedor recién implementada se analiza de inmediato en Artifact Registry, y la evaluación de vulnerabilidades de Artifact Registry genera resultados si el análisis detecta alguna vulnerabilidad. |
Inhabilita la evaluación de vulnerabilidades de Artifact Registry
Para inhabilitar la evaluación de vulnerabilidades de Artifact Registry, haz lo siguiente:
En la consola de Google Cloud , ve a la página Detalles de la API/servicio de la API de Container Scanning.
Selecciona el proyecto para el que deseas inhabilitar la API de Container Scanning.
Haz clic en Inhabilitar API.
Security Command Center no muestra los resultados de las vulnerabilidades detectadas en futuros análisis de imágenes de contenedores.
También puedes inhabilitar la evaluación de vulnerabilidades de Artifact Registry. Para ello, inhabilita el ID de la fuente de Vulnerability Assessment en la configuración de Security Command Center. Sin embargo, no lo recomendamos. Si inhabilitas el ID de la fuente de Evaluación de vulnerabilidades, se inhabilitarán todos los servicios de detección clasificados en ese ID. Por lo tanto, te recomendamos que inhabilite la API de Container Scanning con el procedimiento anterior.
Visualiza los resultados de la evaluación de vulnerabilidades de Artifact Registry en la consola
-
En la consola de Google Cloud , ve a la página Resultados de Security Command Center.
- Selecciona tu Google Cloud organización o proyecto.
- En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Evaluación de vulnerabilidades. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un hallazgo específico, haz clic en el nombre del hallazgo en la columna Categoría. Se abre el panel de detalles del hallazgo y se muestra la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para corregir el hallazgo.
- Opcional: Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON.