La scansione dei pacchetti identifica le vulnerabilità esistenti e nuove, il software dannoso e i secret nelle dipendenze open source per i pacchetti basati su linguaggio nei repository Artifact Registry.
Consulta i prezzi per scoprire di più sui costi associati alla scansione dei pacchetti.
Questa panoramica presuppone che tu abbia già familiarità con l'utilizzo dei repository Docker in Artifact Registry.
Panoramica
Artifact Analysis esegue la scansione dei file in un pacchetto quando viene eseguito il push del pacchetto in Artifact Registry. Dopo la scansione iniziale, Artifact Registry continua a monitorare i metadati dei pacchetti sottoposti a scansione per rilevare nuove vulnerabilità, pacchetti dannosi e secret.
Per valutare le potenziali aree di rischio, Artifact Registry confronta le dipendenze in un file di configurazione del pacchetto con le vulnerabilità note. Puoi esaminare le potenziali vulnerabilità nel pacchetto in Artifact Analysis.
Esegui la scansione dei pacchetti per rilevare le vulnerabilità
Artifact Analysis esegue la scansione dei pacchetti nei repository Artifact Registry per identificare vulnerabilità, software dannoso, secret e anche per identificare dipendenze e licenze in modo da poter comprendere la composizione del pacchetto.
Artifact Analysis esegue la scansione dei nuovi pacchetti quando viene eseguito il push in Artifact Registry. Questa procedura è chiamata scansione automatica. La scansione estrae informazioni sui file nel pacchetto. Dopo la scansione di un pacchetto, Artifact Analysis genera un report sulle vulnerabilità, che mostra le occorrenze di vulnerabilità e pacchetti dannosi per quel pacchetto. Le vulnerabilità e il software dannoso vengono rilevati solo nei pacchetti monitorati pubblicamente.
Analisi continua
Dopo la scansione di un pacchetto, Artifact Analysis monitora continuamente i metadati del pacchetto sottoposto a scansione in Artifact Registry per rilevare nuove vulnerabilità e pacchetti dannosi.
Artifact Analysis riceve informazioni sulle vulnerabilità nuove e aggiornate da fonti di vulnerabilità più volte al giorno. Quando arrivano nuovi dati sulle vulnerabilità, Artifact Analysis aggiorna le occorrenze di vulnerabilità esistenti, crea nuove occorrenze di vulnerabilità per le nuove note ed elimina le occorrenze di vulnerabilità non più valide.
Artifact Analysis continua a eseguire la scansione di immagini e pacchetti purché sia stato eseguito il pull negli ultimi 30 giorni. Dopo 30 giorni, i metadati delle immagini e dei pacchetti sottoposti a scansione non verranno più aggiornati e i risultati saranno obsoleti.
Artifact Analysis archivia i metadati che sono rimasti inattivi per più di 90 giorni. Questi metadati archiviati possono essere valutati solo utilizzando l'API. Puoi eseguire di nuovo la scansione di un'immagine con metadati obsoleti o archiviati eseguendo il pull dell'immagine. L'aggiornamento dei metadati può richiedere fino a 24 ore. Non è possibile eseguire di nuovo la scansione dei pacchetti con metadati obsoleti o archiviati.
Tipi di pacchetti supportati
Quando esegui il push dei pacchetti in Artifact Registry, Artifact Analysis può eseguire la scansione per rilevare le vulnerabilità.
La tabella seguente mostra i tipi di pacchetti che Artifact Analysis può analizzare:
| Scansione automatica con Artifact Registry | Scansione on demand | |
|---|---|---|
| Pacchetti Java | ||
| Pacchetti Python | ||
| Pacchetti Node.js |
Interfacce di Artifact Analysis
nella Google Cloud console puoi visualizzare le vulnerabilità e i metadati dei pacchetti in Artifact Registry.
Puoi utilizzare gcloud CLI per visualizzare le vulnerabilità e i metadati.
Puoi anche utilizzare l' API REST di Artifact Analysis per eseguire una di queste azioni. Come per le altre API di Google Cloud, devi autenticare l'accesso utilizzando OAuth2.
L'API Artifact Analysis supporta sia gRPC sia REST/JSON. Puoi effettuare chiamate all'API utilizzando le librerie client o curl per REST/JSON.
Fonti di vulnerabilità
La sezione seguente elenca le fonti di vulnerabilità che Artifact Analysis utilizza per ottenere i dati CVE.
Scansioni dei pacchetti di linguaggio
Artifact Analysis supporta la scansione di vulnerabilità e pacchetti dannosi per i file all'interno di un pacchetto. I dati sulle vulnerabilità vengono ottenuti dal database di avvisi di GitHub, mentre i dati sui pacchetti dannosi vengono ottenuti dal repository di pacchetti dannosi OpenSSF.
Nella maggior parte dei casi, a ogni vulnerabilità viene assegnato un ID CVE e questo ID
diventa l'identificatore principale per quella vulnerabilità. Nei casi in cui non viene assegnato un
ID CVE a una vulnerabilità, viene assegnato un ID GHSA come
identificatore. Se in un secondo momento alla vulnerabilità viene assegnato un ID CVE, l'ID della vulnerabilità viene aggiornato in modo che corrisponda al CVE. Gli avvisi sui pacchetti dannosi hanno ID con prefisso MAL-. Per ulteriori informazioni, consulta
Controllare una vulnerabilità specifica in un progetto per più
informazioni.
Gestori di pacchetti e versioni semantiche
- Java: Artifact Analysis supporta i pacchetti Maven che seguono le convenzioni di denominazione di Maven. Se la versione del pacchetto include spazi, non verrà eseguita la scansione.
- Node.js: la corrispondenza della versione del pacchetto segue la specifica di versioning semantico.
- Python: la corrispondenza della versione di Python segue la semantica PEP 440.
Limitazioni
Artifact Analysis esegue la scansione solo dei pacchetti con un massimo di 100 file.
Se esegui il push dello stesso pacchetto in più repository, ti verrà addebitato un costo per ogni push. Per ulteriori informazioni, consulta Prezzi di Artifact Analysis.
Passaggi successivi
- Per informazioni su come visualizzare le vulnerabilità dei pacchetti e filtrare le occorrenze di vulnerabilità, consulta Eseguire automaticamente la scansione dei pacetti.