La valutazione delle vulnerabilità di Artifact Registry è un servizio di rilevamento che ti avvisa delle vulnerabilità nelle immagini container di cui hai eseguito il deployment.
Questo servizio di rilevamento genera risultati di vulnerabilità per le immagini container nelle seguenti condizioni:
- L'immagine container è archiviata in Artifact Registry.
L'immagine container viene sottoposta a deployment in una delle seguenti risorse:
- Cluster di Google Kubernetes Engine
- Servizio Cloud Run
- Job Cloud Run
- App Engine
La valutazione delle vulnerabilità di Artifact Registry crea risultati per le vulnerabilità classificate come gravità HIGH o CRITICAL. La valutazione delle vulnerabilità di Artifact Registry non genera risultati per le vulnerabilità con una gravità inferiore.
Se le immagini container presentano vulnerabilità di gravità MEDIUM o LOW, puoi gestirle nella valutazione delle vulnerabilità di Artifact Registry, ma Security Command Center non le visualizza.
Ciclo di vita dei risultati
La valutazione delle vulnerabilità di Artifact Registry esegue la scansione solo delle immagini di cui è stato eseguito il pull negli ultimi 30 giorni. Continua a eseguire la scansione dell'immagine e a creare o aggiornare i risultati finché non è stato eseguito il pull dell'immagine per più di 30 giorni.
Dopo la creazione dei risultati della valutazione delle vulnerabilità di Artifact Registry, questi rimangono disponibili per le query fino a 30 giorni dopo l'ultimo aggiornamento dei risultati. Security Command Center mantiene i risultati della valutazione delle vulnerabilità di Artifact Registry nello stato ACTIVE per 30 giorni dopo l'ultimo aggiornamento.
Se la risorsa correlata al risultato viene eliminata entro 3 giorni dall'ultima ora di aggiornamento, la valutazione delle vulnerabilità di Artifact Registry modifica lo state del risultato in INACTIVE. Se
la risorsa viene eliminata più di 3 giorni dopo l'ultima scansione, il risultato rimane
ACTIVE per 7 giorni, dopodiché lo stato cambia in INACTIVE.
Security Command Center elimina i risultati della valutazione delle vulnerabilità di Artifact Registry 7 giorni dopo la loro disattivazione.
Per ulteriori informazioni sulla conservazione dei dati di Security Command Center, consulta Conservazione dei dati.
Abilitare la valutazione delle vulnerabilità di Artifact Registry
Affinché la valutazione delle vulnerabilità di Artifact Registry generi risultati in Security Command Center per le immagini container di cui è stato eseguito il deployment e archiviate in Artifact Registry, l'API Container Scanning deve essere abilitata per il progetto e Security Command Center deve essere attivato a livello di organizzazione.
Se non hai abilitato l'API Container Scanning:
Nella Google Cloud console, vai alla pagina API Container Scanning.
Seleziona il progetto per cui vuoi abilitare l'API Container Scanning.
Fai clic su Attiva.
Security Command Center mostra i risultati per le immagini container vulnerabili sottoposte a scansione di cui è stato eseguito il deployment attivo nelle risorse di runtime supportate. Tuttavia, il servizio di rilevamento si comporta in modo diverso a seconda di quando hai abilitato Security Command Center e quando hai abilitato l'API Container Scanning.
| Scenario di abilitazione | Comportamento del servizio di rilevamento |
|---|---|
|
Hai abilitato Security Command Center dopo aver abilitato l' API Container Scanning e aver eseguito il deployment di un'immagine container. |
La valutazione delle vulnerabilità di Artifact Registry genera risultati per le vulnerabilità esistenti rilevate con le scansioni precedenti di Artifact Registry entro 24 ore dall'abilitazione. |
|
Hai abilitato Security Command Center e hai eseguito il deployment di un'immagine container prima di abilitare l'API Container Scanning. |
La valutazione delle vulnerabilità di Artifact Registry non genera automaticamente risultati di vulnerabilità per le immagini container di cui hai eseguito il deployment prima di abilitare l'API finché non viene attivata una nuova scansione. Per attivare manualmente una nuova scansione, esegui di nuovo il deployment dell'immagine container nella stessa risorsa di runtime. La valutazione delle vulnerabilità di Artifact Registry genera immediatamente i risultati se vengono rilevate vulnerabilità durante la scansione. |
|
Hai abilitato Security Command Center e l'API Container Scanning prima di eseguire il deployment di un'immagine container. |
L'immagine container di cui è stato eseguito il deployment viene immediatamente sottoposta a scansione in Artifact Registry e la valutazione delle vulnerabilità di Artifact Registry genera risultati se la scansione rileva vulnerabilità. |
Disabilitare la valutazione delle vulnerabilità di Artifact Registry
Per disabilitare la valutazione delle vulnerabilità di Artifact Registry:
Nella Google Cloud console, vai alla pagina Dettagli API/servizio per l' API Container Scanning.
Seleziona il progetto per cui vuoi disabilitare l'API Container Scanning.
Fai clic su Disabilita API.
Security Command Center non mostra i risultati per le vulnerabilità rilevate nelle future scansioni delle immagini container.
Puoi anche disabilitare la valutazione delle vulnerabilità di Artifact Registry disabilitando l'ID origine Vulnerability Assessment nelle impostazioni di Security Command Center. Tuttavia, non è consigliabile. La disabilitazione dell'ID origine Valutazione di vulnerabilità disabilita tutti i servizi di rilevamento classificati con questo ID origine. Pertanto, ti consigliamo di disabilitare l'API Container Scanning con la procedura precedente.
Visualizzare i risultati della valutazione delle vulnerabilità di Artifact Registry nella console
-
Nella Google Cloud console, vai alla pagina Risultati di Security Command Center.
- Seleziona il tuo Google Cloud progetto o la tua organizzazione.
- Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Valutazione di vulnerabilità. I risultati della query sui risultati vengono aggiornati in modo da mostrare solo i risultati da questa origine.
- Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
- Nella scheda Riepilogo , esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi intraprendere per correggere il risultato.
- (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.