Ativar e usar a avaliação de vulnerabilidades do Artifact Registry

Com a avaliação de vulnerabilidades do Artifact Registry, é possível detectar vulnerabilidades em imagens de contêiner implantadas no Google Kubernetes Engine, no Cloud Run ou no App Engine. O serviço gera descobertas do Security Command Center para vulnerabilidades de gravidade HIGH e CRITICAL em imagens de contêiner armazenadas no Artifact Registry. É possível gerenciar vulnerabilidades de gravidade MEDIUM e LOW na avaliação de vulnerabilidades do Artifact Registry, mas o Security Command Center não as mostra.

Ciclo de vida da descoberta

A avaliação de vulnerabilidades do Artifact Registry só verifica imagens extraídas nos últimos 30 dias. Ele continua verificando a imagem e criando ou atualizando descobertas até que a imagem não seja extraída por mais de 30 dias.

Depois que as descobertas da avaliação de vulnerabilidades do Artifact Registry são criadas, elas ficam disponíveis para consulta por até 30 dias após a última atualização. O Security Command Center mantém as descobertas da avaliação de vulnerabilidade do Artifact Registry no estado ACTIVE por 30 dias após a última atualização.

Se o recurso relacionado à descoberta for excluído em até três dias após a última atualização, a avaliação de vulnerabilidades do Artifact Registry mudará a descoberta state para INACTIVE. Se o recurso for excluído mais de três dias após a última verificação, a descoberta vai permanecer ACTIVE por sete dias. Depois disso, o estado muda para INACTIVE.

O Security Command Center exclui as descobertas da avaliação de vulnerabilidades do Artifact Registry sete dias após a desativação delas.

Para saber mais sobre a retenção de dados do Security Command Center, consulte Retenção de dados.

Ativar a avaliação de vulnerabilidades do Artifact Registry

Para que a avaliação de vulnerabilidades do Artifact Registry gere descobertas no Security Command Center para imagens de contêiner implantadas armazenadas no Artifact Registry, a API Container Scanning precisa estar ativada no seu projeto, e o Security Command Center precisa estar ativado no nível da organização.

Se você não ativou a API Container Scanning, faça o seguinte:

  1. No console do Google Cloud , acesse a página da API Container Scanning.

    Acessar a API Container Scanning

  2. Selecione o projeto em que você quer ativar a API Container Scanning.

  3. Clique em Ativar.

O Security Command Center mostra descobertas de imagens de contêineres vulneráveis verificadas que estão ativas em recursos de tempo de execução compatíveis. No entanto, o serviço de detecção se comporta de maneira diferente dependendo de quando você ativou o Security Command Center e a API Container Scanning.

Cenário de ativação Comportamento do serviço de detecção

Você ativou o Security Command Center depois de ativar a API Container Scanning e implantar uma imagem do contêiner.

A avaliação de vulnerabilidades do Artifact Registry gera descobertas para vulnerabilidades encontradas em verificações anteriores do Artifact Registry em até 24 horas após a ativação.

Você ativou o Security Command Center e implantou uma imagem de contêiner antes de ativar a API Container Scanning.

A avaliação de vulnerabilidades do Artifact Registry não gera automaticamente descobertas de vulnerabilidades para imagens de contêiner implantadas antes da ativação da API até que uma nova verificação seja acionada. Para acionar manualmente uma nova verificação, reimplante a imagem do contêiner no mesmo recurso de ambiente de execução. A avaliação de vulnerabilidades do Artifact Registry gera descobertas imediatamente se alguma vulnerabilidade for detectada durante a verificação.

Você ativou o Security Command Center e a API Container Scanning antes de implantar uma imagem de contêiner.

A imagem do contêiner recém-implantada é verificada imediatamente no Artifact Registry, e a avaliação de vulnerabilidade do Artifact Registry gera descobertas se alguma vulnerabilidade for detectada pela verificação.

Desativar a avaliação de vulnerabilidades do Artifact Registry

Para desativar a avaliação de vulnerabilidades do Artifact Registry, faça o seguinte:

  1. No console do Google Cloud , acesse a página Detalhes da API/serviço da API Container Scanning.

    Acessar Detalhes da API/serviço

  2. Selecione o projeto em que você quer desativar a API Container Scanning.

  3. Clique em Desativar API.

O Security Command Center não mostra descobertas de vulnerabilidades detectadas em futuras verificações de imagens de contêiner.

Também é possível desativar a avaliação de vulnerabilidades do Artifact Registry desativando o ID da fonte de avaliação de vulnerabilidades nas configurações do Security Command Center. No entanto, não recomendamos isso. Desativar o ID da fonte da Avaliação de vulnerabilidades desativa todos os serviços de detecção classificados no ID da fonte da Avaliação de vulnerabilidades. Portanto, recomendamos desativar a API Container Scanning com o procedimento anterior.

Conferir as descobertas da avaliação de vulnerabilidades do Artifact Registry no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Avaliação de vulnerabilidades. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.