Die Artefaktanalyse bietet zwei Funktionen zum Scannen Ihrer Container: On-Demand-Scanning und automatisches Scannen. In diesem Dokument werden die Vorteile der einzelnen Funktionen vorgestellt. Die Artefaktanalyse bietet auch Metadatenverwaltung. Weitere Informationen dazu, wie Sie Scannen und Metadatenspeicher gemeinsam verwenden können, um Ihre CI/CD-Pipeline durchgängig zu schützen, finden Sie in der Übersicht zur Artefaktanalyse.
Mit On-Demand- und automatischem Scannen können Sicherheitslücken und schädliche Pakete in Ihrem Betriebssystem, und in Sprachpaketen (Java und Go) identifiziert werden. Das automatische Scannen von Sprachpaketen ist jedoch nur für Artifact Registry verfügbar.
Eine Liste der unterstützten Scan-Typen für jedes Registry-Produkt finden Sie in der Vergleichstabelle.
Weitere Informationen zu den Kosten für das Scannen von Container-Images finden Sie unter Preise.
On-Demand-Scanning
Mit dem On-Demand-Scanning können Sie Container-Images lokal auf Ihrem Computer oder in Ihrer Registry mit der gcloud CLI scannen. So können Sie Ihre CI/CD-Pipeline anpassen, je nachdem, wann Sie auf die Ergebnisse zu Sicherheitslücken zugreifen müssen.
Automatisches Scannen
Die Artefaktanalyse führt Scans auf Sicherheitslücken und schädliche Pakete für Ihre Artefakte in Artifact Registry durch. Die Artefaktanalyse überwacht außerdem die Informationen zu Sicherheitslücken und schädlichen Paketen, um sie auf dem neuesten Stand zu halten. Dieser Vorgang umfasst zwei Hauptaufgaben: Scannen beim Push und kontinuierliche Analyse.
Scannen beim Push
Die Artefaktanalyse scannt neue Images, sobald diese in Artifact Registry hochgeladen werden. Bei diesem Scan werden Informationen zu den Paketen im Container extrahiert, einschließlich System- und Anwendungssprachpaketen, und es wird nach schädlicher Software gesucht. Die Images werden nur einmal gescannt und zwar anhand des Digest des Images. Das Hinzufügen oder Ändern von Tags löst also keine neuen Scans aus, nur das Ändern des Inhalts des Images.
Die Artefaktanalyse ermittelt nur Pakete, die öffentlich auf Sicherheitslücken überwacht werden.
Wenn der Scan eines Images abgeschlossen ist, zeigt das Scanergebnis die Sammlung der Vorkommen von Sicherheitslücken und schädlichen Paketen für dieses Image.
Kontinuierliche Analyse
Die Artefaktanalyse erstellt Vorkommen für Sicherheitslücken und schädliche Pakete, die beim Hochladen des Images gefunden wurden. Nach dem ersten Scan werden die Metadaten für gescannte Images in Artifact Registry kontinuierlich auf neue Risiken geprüft.
Die Artefaktanalyse erhält mehrmals täglich neue und aktualisierte Informationen zu Sicherheitslücken aus Sicherheitslückenquellen. Wenn neue Daten zu Sicherheitslücken eingehen, aktualisiert die Artefaktanalyse die Metadaten der gescannten Images, um sie auf dem neuesten Stand zu halten. Die Artefaktanalyse aktualisiert vorhandene Vorkommen von Sicherheitslücken, erstellt neue Vorkommen für neue Hinweise und löscht Vorkommen, die nicht mehr gültig sind.
Die Artefaktanalyse scannt Images und Pakete so lange, wie sie in den letzten 30 Tagen abgerufen wurden. Nach 30 Tagen werden die Metadaten für gescannte Images und Pakete nicht mehr aktualisiert und die Ergebnisse sind veraltet.
Die Artefaktanalyse archiviert Metadaten, die seit mehr als 90 Tagen veraltet sind. Diese archivierten Metadaten können nur über die API ausgewertet werden. Sie können ein Image mit veralteten oder archivierten Metadaten noch einmal scannen, indem Sie es abrufen. Das Aktualisieren von Metadaten kann bis zu 24 Stunden dauern. Pakete mit veralteten oder archivierten Metadaten können nicht noch einmal gescannt werden.
Sicherheitslückenquellen
Die Artefaktanalyse ruft Daten zu Sicherheitslücken von verschiedenen Upstream-Anbietern ab, um Sicherheitsrisiken in Ihren Container-Images zu identifizieren. Diese Daten umfassen Daten zu Sicherheitslücken für Betriebssystempakete und Sprachpakete.
Die Artefaktanalyse ruft auch Daten für schädliche Pakete aus dem OpenSSF Malicious Packages Repository ab. Schädliche Pakete werden als Ergebnisse mit dem Schweregrad CRITICAL gemeldet.
Eine vollständige Liste der Quellen für Sicherheitslücken und schädliche Pakete finden Sie unter Sicherheitslückenquellen.
Architekturen
Die Artefaktanalyse kann Images auf jeder Linux-basierten Architektur scannen.
Sie können das Scannen auf Sicherheitslücken auch mit Manifestlisten verwenden. Eine Manifest liste ist eine Liste von Verweisen auf Manifeste für mehrere Plattformen. So kann ein einzelnes Image mit mehreren Architekturen oder Varianten eines Betriebssystems verwendet werden.
Wenn Ihre Manifestliste ein Linux-amd64-Image enthält, wird dieses von der Artefaktanalyse gescannt. Andernfalls wählt die Artefaktanalyse ein anderes Image aus der Liste aus.