Panoramica di Protezione artefatti

Protezione artefatti è un servizio di sicurezza che rileva e gestisce le vulnerabilità delle immagini container. Valuta le immagini container in base alle policy di sicurezza configurabili durante la generazione della build, l'archiviazione del registro e l'esecuzione del runtime.

Funzionalità chiave

Protezione artefatti applica le policy sulle vulnerabilità in tre fasi principali del ciclo di vita dei container:

  • Scansione in fase di build: si integra direttamente nelle piattaforme CI/CD (come Cloud Build, GitHub Actions e Jenkins) per eseguire la scansione dei container durante la loro creazione. Se un'immagine viola la tua policy di sicurezza, la build non riesce prima che l'immagine possa essere pubblicata.
  • Controllo dell'ammissione al registro: valuta le immagini archiviate in Artifact Registry. Utilizzando Autorizzazione binaria, la protezione artefatti impedisce il deployment di immagini non conformi nei cluster Google Kubernetes Engine (GKE).
  • Monitoraggio del runtime: monitora continuamente i container in esecuzione nei cluster GKE per rilevare le vulnerabilità appena divulgate e arricchisce i risultati in Security Command Center.

Applicazione delle policy di sicurezza

Protezione artefatti consente di definire policy sulle vulnerabilità centralizzate che contribuiscono a proteggere l'ambiente nei seguenti modi:

  • Blocco anticipato degli artefatti vulnerabili: impedisce agli sviluppatori di eseguire il push di immagini container che contengono vulnerabilità che superano la soglia di gravità specificata (ad esempio, blocca le immagini con HIGH o CRITICAL vulnerabilità).
  • Limitazione di pacchetti e CVE specifici: consente di consentire o negare esplicitamente pacchetti software, versioni di pacchetti o vulnerabilità ed esposizioni comuni (CVE) specifici.
  • Gestione delle eccezioni: fornisce periodi di tolleranza per CVE specifiche, in modo che i team possano continuare a eseguire il deployment mentre vengono sviluppate le correzioni, senza compromettere in modo permanente la sicurezza.
  • Centralizzazione dei risultati di sicurezza: combina i risultati delle scansioni da pipeline CI/CD registri di artefatti e cluster GKE in esecuzione in un'unica visualizzazione in Security Command Center.

Ruoli e responsabilità target

Protezione artefatti è progettato per i seguenti team:

  • Amministratori della sicurezza: definiscono e gestiscono le policy sulle vulnerabilità centralizzate.
  • Team DevOps o di ingegneria della piattaforma: aggiungono connettori di scansione CI/CD alle pipeline di build e configurano i controller di ammissione GKE.
  • Sviluppatori di applicazioni: visualizzano i log di errore di build per identificare e aggiornare le dipendenze vulnerabili prima di eseguire nuovamente il deployment.

Termini e concetti chiave

  • Vulnerabilità ed esposizioni comuni (CVE): una vulnerabilità di sicurezza informatica divulgata pubblicamente a cui viene assegnato un identificatore univoco.
  • Software Bill of Materials (SBOM): un inventario leggibile dalla macchina dei componenti software e delle dipendenze utilizzati per identificare le CVE e altri rischi per la sicurezza.
  • Artefatto: nel contesto di protezione artefatti, un'immagine container creata da una pipeline CI/CD o archiviata in un registro container.

Workflow di alto livello

Le policy di protezione artefatti si applicano a tre ambiti distinti:

  • Piattaforma CI/CD: pipeline Cloud Build, GitHub Actions o Jenkins.
  • Registro: repository Artifact Registry.
  • Runtime: cluster GKE.

Per proteggere l'ambiente, completa il seguente workflow:

  1. Per creare una policy per una pipeline CI/CD, crea un connettore al tuo ambiente CI/CD utilizzando l'integrazione CI/CD. Per i repository o i cluster GKE, definisci l'ambito della policy in modo nativo durante la configurazione della policy.

  2. Configura le policy di protezione artefatti per gli ambiti target (pipeline, registry o runtime).

  3. Esegui le valutazioni in base alle tue policy:

    • Pipeline: quando viene eseguita una build CI/CD, la scansione in fase di build valuta l' immagine container in base alla tua policy. Se l'immagine viola la tua policy di sicurezza, la build non riesce prima che l'immagine possa essere pubblicata. Gli sviluppatori possono esaminare i dettagli dell'errore nei log di build e aggiornare le dipendenze.
    • Registro: durante il deployment di un'immagine archiviata in Artifact Registry, il controllo dell'ammissione al registro utilizza Autorizzazione binaria per valutare la policy e impedire il deployment di immagini non conformi nei cluster GKE.
    • Runtime: il monitoraggio del runtime valuta continuamente i container in esecuzione nei cluster GKE per rilevare le vulnerabilità appena divulgate e arricchisce i risultati in Security Command Center per le violazioni delle policy.

Passaggi successivi

Scopri come configurare le policy di protezione artefatti.