La valutazione delle vulnerabilità di Artifact Registry è un servizio di rilevamento che ti avvisa delle vulnerabilità nelle immagini container di cui hai eseguito il deployment.
Questo servizio di rilevamento genera risultati di vulnerabilità per le immagini container nelle seguenti condizioni:
- L'immagine container è archiviata in Artifact Registry.
L'immagine container viene sottoposta a deployment in una delle seguenti risorse:
- Cluster di Google Kubernetes Engine
- Servizio Cloud Run
- Job Cloud Run
- App Engine
La valutazione delle vulnerabilità di Artifact Registry mostra i risultati per le vulnerabilità classificate con gravità HIGH o CRITICAL. La valutazione delle vulnerabilità di Artifact Registry non genera risultati per le vulnerabilità con una gravità inferiore.
Se abiliti la valutazione delle vulnerabilità di Artifact Registry con Security Command Center, la valutazione delle vulnerabilità di Artifact Registry scrive automaticamente i risultati di gravità alta e critica in Security Command Center. Se le tue immagini container presentano vulnerabilità classificate come medie o basse, puoi gestirle nella valutazione delle vulnerabilità di Artifact Registry, ma Security Command Center non le visualizza.
La valutazione delle vulnerabilità di Artifact Registry esegue la scansione solo delle immagini di cui è stato eseguito il pull negli ultimi 30 giorni. La valutazione delle vulnerabilità di Artifact Registry continua a eseguire la scansione dell'immagine e a creare nuovi risultati finché non è stato eseguito il pull dell'immagine per più di 30 giorni.
Dopo la generazione dei risultati della valutazione delle vulnerabilità di Artifact Registry, questi rimangono disponibili per le query fino a 30 giorni dopo l'ultimo aggiornamento dei risultati di vulnerabilità. Per ulteriori informazioni sulla conservazione dei dati di Security Command Center, consulta Conservazione dei dati.
Abilitare la valutazione delle vulnerabilità di Artifact Registry
Affinché la valutazione delle vulnerabilità di Artifact Registry generi risultati in Security Command Center per le immagini container di cui è stato eseguito il deployment e archiviate in Artifact Registry, l'API Container Scanning deve essere abilitata per il tuo progetto e Security Command Center deve essere attivato a livello di organizzazione.
Se non hai abilitato l'API Container Scanning:
Nella Google Cloud console, vai alla pagina API Container Scanning.
Seleziona il progetto per cui vuoi abilitare l'API Container Scanning.
Fai clic su Attiva.
Security Command Center mostra i risultati per le immagini container vulnerabili sottoposte a scansione di cui è stato eseguito il deployment attivo nelle risorse di runtime applicabili. Tuttavia, il servizio di rilevamento si comporta in modo diverso a seconda di quando hai abilitato Security Command Center e quando hai abilitato l'API Container Scanning.
| Scenario di abilitazione | Comportamento del servizio di rilevamento |
|---|---|
|
Hai abilitato Security Command Center dopo aver abilitato l' API Container Scanning e aver eseguito il deployment di un'immagine container. |
La valutazione delle vulnerabilità di Artifact Registry genera risultati per le vulnerabilità esistenti rilevate con le scansioni precedenti di Artifact Registry entro 24 ore dall'abilitazione. |
|
Hai abilitato Security Command Center e hai eseguito il deployment di un'immagine container prima di abilitare l'API Container Scanning. |
La valutazione delle vulnerabilità di Artifact Registry non genera automaticamente risultati di vulnerabilità per le immagini container di cui hai eseguito il deployment prima di abilitare l'API finché non viene attivata una nuova scansione. Per attivare manualmente una nuova scansione, riesegui il deployment dell'immagine container nella stessa risorsa di runtime. La valutazione delle vulnerabilità di Artifact Registry genera immediatamente i risultati se vengono rilevate vulnerabilità durante la scansione. |
|
Hai abilitato Security Command Center e l'API Container Scanning prima di eseguire il deployment di un'immagine container. |
L'immagine container di cui è stato eseguito il deployment di recente viene sottoposta immediatamente a scansione in Artifact Registry e la valutazione delle vulnerabilità di Artifact Registry genera risultati se la scansione rileva vulnerabilità. |
Disabilitare la valutazione delle vulnerabilità di Artifact Registry
Per disabilitare la valutazione delle vulnerabilità di Artifact Registry:
Nella Google Cloud console, vai alla pagina Dettagli API/servizio dell' API Container Scanning.
Seleziona il progetto per cui vuoi disabilitare l'API Container Scanning.
Fai clic su Disabilita API.
Security Command Center non mostra i risultati per le vulnerabilità rilevate nelle future scansioni delle immagini container. Security Command Center mantiene attivi i risultati della valutazione delle vulnerabilità di Artifact Registry per 30 giorni dopo l'ultimo aggiornamento dei risultati di vulnerabilità. I risultati vengono quindi disattivati e vengono eliminati 7 giorni dopo la disattivazione. Per ulteriori informazioni sulla conservazione dei dati di Security Command Center, consulta Conservazione dei dati.
Puoi anche disabilitare la valutazione delle vulnerabilità di Artifact Registry disabilitando l'ID origine Vulnerability Assessment nelle impostazioni di Security Command Center. Tuttavia, non è consigliabile. La disabilitazione dell'ID origine Valutazione di vulnerabilità disabilita tutti i servizi di rilevamento classificati con questo ID origine. Pertanto, ti consigliamo di disabilitare l'API Container Scanning con la procedura precedente.
Visualizzare i risultati della valutazione delle vulnerabilità di Artifact Registry nella console
-
Nella Google Cloud console, vai alla pagina Risultati di Security Command Center.
- Seleziona il tuo Google Cloud progetto o la tua organizzazione.
- Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Valutazione di vulnerabilità. I risultati della query sui risultati vengono aggiornati in modo da mostrare solo i risultati da questa origine.
- Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Viene visualizzato il riquadro dei dettagli del risultato e viene selezionata la scheda Riepilogo.
- Nella scheda Riepilogo , esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi intraprendere per correggere il risultato.
- (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.