Artifact Registry の脆弱性評価は、デプロイされたコンテナ イメージの脆弱性を検出してアラートを送信する検出サービスです。
この検出サービスは、次の条件でコンテナ イメージの脆弱性の検出結果を生成します。
- コンテナ イメージが Artifact Registry に保存されている。
コンテナ イメージが次のいずれかのアセットにデプロイされている。
- Google Kubernetes Engine クラスタ
- Cloud Run サービス
- Cloud Run ジョブ
- App Engine
Artifact Registry の脆弱性評価では、重大度が HIGH または CRITICAL に分類されている脆弱性の検出結果が表示されます。Artifact Registry の脆弱性評価では、重大度が低い脆弱性の検出結果は生成されません。
Security Command Center で Artifact Registry の脆弱性評価を有効にすると、Artifact Registry の脆弱性評価は、重大度「高」と「緊急」の検出結果を Security Command Center に自動的に書き込みます。コンテナ イメージに「中」または「低」と分類された脆弱性がある場合、Artifact Registry の脆弱性評価で管理できますが、Security Command Center には表示されません。
Artifact Registry の脆弱性評価では、過去 30 日間に pull されたイメージのみがスキャンされます。Artifact Registry の脆弱性評価は、イメージが 30 日以上 pull されなくなるまで、イメージのスキャンと新しい検出の作成を継続します。
Artifact Registry の脆弱性評価の検出結果が生成されると、最後に脆弱性検出結果が更新されてから最大 30 日間、クエリを実行できます。Security Command Center のデータ保持の詳細については、データの保持をご覧ください。
Artifact Registry の脆弱性評価を有効にする
Artifact Registry の脆弱性評価で、Artifact Registry に保存されているデプロイ済みコンテナ イメージの検出結果を Security Command Center に生成するには、プロジェクトで Container Scanning API を有効にし、Security Command Center を組織レベルで有効にする必要があります。
Container Scanning API を有効にしていない場合は、次の操作を行います。
Google Cloud コンソールで、[Container Scanning API] ページに移動します。
Container Scanning API を有効にするプロジェクトを選択します。
[有効にする] をクリックします。
Security Command Center には、該当するランタイム アセットにデプロイされ、スキャンされた脆弱なコンテナ イメージの検出結果が表示されます。ただし、検出サービスの動作は、Security Command Center を有効にした時期と Container Scanning API を有効にした時期によって異なります。
| 有効化のシナリオ | 検出サービスの動作 |
|---|---|
|
Container Scanning API を有効にしてコンテナ イメージをデプロイした後に、Security Command Center を有効にした。 |
Artifact Registry の脆弱性評価では、有効にしてから 24 時間以内に、以前の Artifact Registry スキャンで検出された既存の脆弱性に関する検出結果が生成されます。 |
|
Container Scanning API を有効にする前に、Security Command Center を有効にしてコンテナ イメージをデプロイした。 |
Artifact Registry の脆弱性評価では、API を有効にする前にデプロイしたコンテナ イメージの脆弱性検出は、新しいスキャンがトリガーされるまで自動的に生成されません。新しいスキャンを手動でトリガーするには、コンテナ イメージを同じランタイム リソースに再デプロイします。Artifact Registry の脆弱性評価では、スキャン中に脆弱性が検出されると、すぐに検出結果が生成されます。 |
|
コンテナ イメージをデプロイする前に、Security Command Center と Container Scanning API を有効にしている。 |
新しくデプロイされたコンテナ イメージは Artifact Registry で直ちにスキャンされます。スキャンで脆弱性が検出されると、Artifact Registry の脆弱性評価で検出結果が生成されます。 |
Artifact Registry の脆弱性評価を無効にする
Artifact Registry の脆弱性評価を無効にするには、次の操作を行います。
Google Cloud コンソールで、Container Scanning API の [API / サービスの詳細] ページに移動します。
Container Scanning API を無効にするプロジェクトを選択します。
[API を無効にする] をクリックします。
Security Command Center には、今後のコンテナ イメージ スキャンで検出された脆弱性の検出結果は表示されません。Security Command Center は、最後に脆弱性の検出結果が更新されてから 30 日間、Artifact Registry の脆弱性評価の検出結果をアクティブな状態に保ちます。検出結果は非アクティブ化され、非アクティブ化から 7 日後に削除されます。Security Command Center のデータ保持の詳細については、データの保持をご覧ください。
Security Command Center の設定で脆弱性評価のソース ID を無効にすることで、Artifact Registry の脆弱性評価を無効にすることもできます。ただし、この方法はおすすめしません。脆弱性評価のソース ID を無効にすると、脆弱性評価のソース ID に分類されているすべての検出サービスが無効になります。そのため、上記の手順で Container Scanning API を無効にすることをおすすめします。
コンソールで Artifact Registry の脆弱性評価の検出結果を表示する
-
Google Cloud コンソールで、Security Command Center の [検出結果] ページに移動します。
- Google Cloud プロジェクトまたは組織を選択します。
- [クイック フィルタ] セクションの [ソースの表示名] サブセクションで、[脆弱性評価] を選択します。検出結果クエリの結果が更新され、このソースからの検出結果のみが表示されます。
- 特定の検出結果の詳細を表示するには、[カテゴリ] 列にある検出結果の名前をクリックします。検出結果の詳細パネルが開き、[概要] タブが表示されます。
- [概要] タブで、検出された内容、影響を受けるリソース、検出結果の修正手順（ある場合）など、検出結果の詳細を確認します。
- 省略可: 検出結果の完全な JSON 定義を表示するには、[JSON] タブをクリックします。