Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Informazioni sull'analisi delle vulnerabilità dei workload

Autopilot Standard

Questa pagina descrive l'analisi delle vulnerabilità dei workload, una funzionalità della dashboard della security posture di Google Kubernetes Engine (GKE). Questa funzionalità ti aiuta a migliorare la sicurezza dei tuoi deployment eseguendo automaticamente la scansione delle vulnerabilità nelle immagini container e nei pacchetti di linguaggio durante il runtime. Puoi visualizzare i problemi di vulnerabilità identificati e le azioni consigliate nella dashboard della security posture.

Questa pagina è destinata agli esperti della sicurezza e contiene informazioni per prendere decisioni consapevoli e dettagli sull'utilizzo dell'analisi delle vulnerabilità dei workload durante l'implementazione di una soluzione di rilevamento delle vulnerabilità proprietaria all'interno di Google Cloud. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti di Google Cloud , consulta Ruoli e attività comuni degli utenti GKE.

Prima di leggere questa pagina, assicurati di conoscere le informazioni su come la dashboard della security posture si inserisce nella tua strategia di sicurezza leggendo Utilizzo nell'ambito di una strategia di sicurezza ampia.

Tipi di analisi delle vulnerabilità

L'analisi delle vulnerabilità dei workload include le seguenti funzionalità:

Analisi delle vulnerabilità del sistema operativo (OS) dei container
Analisi delle vulnerabilità dei pacchetti di linguaggio

Se viene rilevata una vulnerabilità nelle immagini container o nei pacchetti di linguaggio, GKE visualizza i risultati nella dashboard della security posture nella console Google Cloud . GKE aggiunge anche voci a Cloud Logging per l'audit e la tracciabilità.

Analisi delle vulnerabilità del sistema operativo dei container

GKE analizza continuamente le immagini container eseguite sui cluster GKE registrati. GKE utilizza i dati sulle vulnerabilità provenienti da database CVE pubblici come NIST. Le immagini possono provenire da qualsiasi registry di immagini. La versione del sistema operativo deve essere supportata per la scansione. Per un elenco dei sistemi operativi supportati, consulta Versioni di Linux supportate.

Per istruzioni, consulta Attiva l'analisi delle vulnerabilità del sistema operativo dei container.

Analisi delle vulnerabilità dei pacchetti di linguaggio

GKE analizza continuamente i container per rilevare vulnerabilità note nei pacchetti di linguaggio, come i pacchetti Go o Maven. Otteniamo i dati sulle vulnerabilità da fonti pubbliche come il GitHub Advisory Database. Lo scanner è quello di Artifact Analysis, che puoi implementare separatamente per proteggere i tuoi repository Artifact Registry. Nella dashboard della security posture, le immagini container possono provenire da qualsiasi registry di immagini perché GKE le scansiona durante l'esecuzione dei workload. Per informazioni sulla scansione di Artifact Analysis, consulta Tipi di scansione.

GKE fornisce l'analisi continua dei pacchetti di linguaggio anziché solo on demand o quando i flussi di lavoro eseguono il push delle modifiche alle immagini container. La scansione continua garantisce la ricezione di notifiche relative a nuove vulnerabilità non appena sono disponibili le correzioni, riducendo i tempi di rilevamento e correzione.

GKE analizza i seguenti pacchetti di linguaggi:

Vai
Maven
JavaScript
Python

Nella dashboard della security posture vengono visualizzate solo le vulnerabilità con un numero CVE associato.

Abilita l'analisi delle vulnerabilità in GKE

Puoi attivare l'analisi delle vulnerabilità per i cluster GKE nel seguente modo:

Livello	Funzionalità abilitate	Requisito della versione di GKE
Standard `standard`	Analisi delle vulnerabilità del sistema operativo dei container	Versione GKE Enterprise: abilitata per impostazione predefinita in tutti i nuovi cluster che eseguono la versione 1.27 e successive Versione GKE Standard: disabilitata per impostazione predefinita in tutti i nuovi cluster.
Insight avanzati sulle vulnerabilità `enterprise`	Analisi delle vulnerabilità del sistema operativo dei container Analisi delle vulnerabilità dei pacchetti di linguaggio	Versione GKE Enterprise: abilitata per impostazione predefinita in tutti i nuovi cluster che eseguono la versione 1.27 e successive Versione GKE Standard: disabilitata per impostazione predefinita in tutti i nuovi cluster.

Per istruzioni sull'attivazione, consulta Esegui automaticamente la scansione dei workload per individuare vulnerabilità note.

Prezzi

Per informazioni sui prezzi, consulta Prezzi della dashboard della security posture di GKE

Quali azioni suggerisce GKE?

Ogni vulnerabilità nella dashboard della security posture contiene informazioni dettagliate, ad esempio:

Una descrizione completa della vulnerabilità, inclusi il potenziale impatto, i percorsi di attacco e la gravità.
Pacchetti corretti e numeri di versione.
Link alle voci pertinenti nei database CVE pubblici.

GKE non mostra una vulnerabilità se non esiste una CVE corrispondente con una mitigazione applicabile.

Per una panoramica dell'interfaccia della dashboard della postura di sicurezza, consulta Informazioni sulla dashboard della postura di sicurezza.

Limitazioni

GKE non supporta l'analisi dei pacchetti proprietari e delle relative dipendenze.
GKE mostra solo i risultati per le vulnerabilità che hanno una correzione disponibile e un numero CVE disponibile nella dashboard della postura di sicurezza. Se analizzi le stesse immagini container in un container registry, potresti visualizzare più risultati, ad esempio vulnerabilità senza una correzione disponibile.
GKE utilizza la seguente memoria su ogni nodo worker per l'analisi delle vulnerabilità dei workload:
- Scansione del sistema operativo del container: 50 MiB
- Insight avanzati sulle vulnerabilità: 100 MiB
GKE presenta le seguenti limitazioni relative alle dimensioni di ogni file che contiene i dati dei pacchetti nelle immagini. GKE non eseguirà la scansione dei file che superano il limite di dimensioni.
- Analisi del sistema operativo del container: 30 MiB
- Advanced Vulnerability Insights: 60 MiB
I container Windows Server non sono supportati.
L'analisi delle vulnerabilità dei workload è disponibile solo per i cluster con meno di 1000 nodi.
GKE non analizza i nodi che utilizzano l'architettura Arm, ad esempio il tipo di macchina T2A.
La dashboard della security posture supporta fino a 150.000 risultati attivi dell'analisi delle vulnerabilità dei workload per ogni cluster. Quando il numero di risultati per un cluster supera questo valore massimo, la dashboard della security posture smette di mostrare i risultati delle vulnerabilità per quel cluster.

Per risolvere questo problema, utilizza un meccanismo di scansione a livello di registry per identificare le vulnerabilità nelle immagini e applicare le patch. In alternativa, in un nuovo cluster, esegui il deployment dei workload in batch per identificare e mitigare le vulnerabilità. Quando il numero di risultati relativi alle vulnerabilità è inferiore a 150.000, la dashboard della security posture inizia a visualizzare i risultati per il cluster.
Per ogni cluster, il database della security posture di GKE monitora tutti gli oggetti workload di primo livello nell'API Kubernetes. Ad esempio, un deployment che gestisce 20 repliche viene monitorato come un singolo oggetto. Anche un pod statico è un oggetto singolo.

Il database può elaborare fino a 5000 operazioni di eliminazione e creazione di oggetti in una singola transazione. Ad esempio, l'eliminazione di un deployment è una singola operazione, mentre la nuova creazione di un pod statico richiede due operazioni (eliminazione e creazione). Se il numero di operazioni supera 5000, la dashboard della security posture smette di mostrare i risultati per quel cluster.

Se la dashboard non si aggiorna e di recente hai scalato il numero di workload di primo livello nel cluster, puoi creare una richiesta di assistenza con l'assistenza clienti Google Cloud per reimpostare lo stato del database.