L'analisi dei container identifica le vulnerabilità e i pacchetti dannosi nuovi ed esistenti nelle dipendenze open source per le immagini container nei repository Artifact Registry. Artifact Analysis offre due modi per analizzare i pacchetti: analisi automatica e analisi on demand. Questo documento descrive entrambi i tipi di analisi.
Artifact Analysis fornisce anche la gestione dei metadati. Per scoprire di più su come utilizzare insieme l'analisi e l'archiviazione dei metadati per proteggere la pipeline CI/CD end-to-end, consulta la panoramica di Artifact Analysis.
Consulta i prezzi per scoprire di più sui costi associati all'analisi delle immagini container.
Questa panoramica presuppone che tu abbia già familiarità con l'utilizzo dei repository Docker in Artifact Registry.
Analizzare le immagini per rilevare le vulnerabilità
Artifact Analysis esegue analisi delle vulnerabilità e dei pacchetti dannosi sugli artefatti in Artifact Registry. Artifact Analysis identifica anche le dipendenze e le licenze per aiutarti a comprendere la composizione del software.
L'analisi automatica comprende due attività principali: analisi automatica e analisi continua.
Analisi automatica
Artifact Analysis analizza le nuove immagini quando vengono caricate in Artifact Registry. Questa analisi estrae informazioni sui pacchetti nel container. Le immagini vengono analizzate una sola volta, in base al digest dell'immagine. Ciò significa che l'aggiunta o la modifica dei tag non attiverà nuove analisi.
Artifact Analysis rileva solo le vulnerabilità e il software dannoso nei pacchetti monitorati pubblicamente. I dati sulle vulnerabilità provengono da vari provider upstream, mentre i dati sui pacchetti dannosi provengono dal repository OpenSSF Malicious Packages. I pacchetti dannosi vengono segnalati come vulnerabilità di gravità CRITICAL.
Al termine dell'analisi di un'immagine, il risultato della vulnerabilità prodotto è la raccolta delle occorrenze di vulnerabilità per quell'immagine.
Le analisi automatiche delle vulnerabilità rilevano anche i secret, come le chiavi API e le chiavi dei account di servizio, in modo da impedire l'esposizione dei dati sensibili. Questa funzionalità è in anteprima pubblica. Per ulteriori informazioni, consulta Analizzare la presenza di secret.
Analisi continua
Artifact Analysis crea occorrenze per le vulnerabilità e i pacchetti dannosi rilevati quando carichi l'immagine. Dopo l'analisi iniziale, monitora continuamente i metadati delle immagini analizzate in Artifact Registry per rilevare nuove vulnerabilità e pacchetti dannosi.
Artifact Analysis riceve informazioni nuove e aggiornate sulle vulnerabilità e sui pacchetti dannosi dalle origini delle vulnerabilità più volte al giorno. Quando arrivano nuovi dati sulle vulnerabilità o sui pacchetti dannosi, Artifact Analysis aggiorna i metadati delle immagini analizzate per mantenerli aggiornati. Artifact Analysis aggiorna le occorrenze esistenti, crea nuove occorrenze per le nuove note ed elimina le occorrenze non più valide.
Artifact Analysis continua ad analizzare immagini e pacchetti purché sia stato eseguito il pull negli ultimi 30 giorni. Dopo 30 giorni, i metadati delle immagini e dei pacchetti analizzati non verranno più aggiornati e i risultati saranno obsoleti.
Artifact Analysis archivia i metadati che sono rimasti inattivi per più di 90 giorni. Questi metadati archiviati possono essere valutati solo utilizzando l'API. Puoi analizzare di nuovo un'immagine con metadati obsoleti o archiviati eseguendo il pull dell'immagine. L'aggiornamento dei metadati può richiedere fino a 24 ore. I pacchetti con metadati obsoleti o archiviati non possono essere analizzati di nuovo.
Architetture
Artifact Analysis può analizzare le immagini su qualsiasi architettura basata su Linux.
Puoi anche utilizzare l'analisi delle vulnerabilità con gli elenchi di manifest. Un elenco di manifest è un elenco di puntatori ai manifest per diverse piattaforme. Consentono a una singola immagine di funzionare con più architetture o varianti di un sistema operativo.
Se l'elenco di manifest contiene un'immagine Linux amd64, Artifact Analysis la analizzerà. In caso contrario, Artifact Analysis seleziona un'immagine diversa dall'elenco.
Analisi on demand
L'analisi on demand ti consente di analizzare le immagini container localmente sul computer o nel registro, utilizzando gcloud CLI. In questo modo puoi personalizzare la pipeline CI/CD, a seconda di quando devi accedere ai risultati delle vulnerabilità.
Tipi di pacchetti supportati
Quando esegui il push delle immagini container nei repository Docker in Artifact Registry, Artifact Analysis può analizzare le vulnerabilità in diversi tipi di pacchetti del sistema operativo e pacchetti di linguaggio dell'applicazione.
Le tabelle seguenti confrontano i tipi di pacchetti che Artifact Analysis può analizzare con ogni servizio di analisi:
Pacchetti del sistema operativo supportati
| Analisi automatica con Artifact Registry | Analisi on demand | |
|---|---|---|
| Sistema operativo AlmaLinux | ||
| Alpina | ||
| CentOS | ||
| Chainguard | ||
| Debian | ||
| Google Distroless | ||
| MinimOS | ||
| Red Hat Enterprise Linux (RHEL) | ||
| Red Hat Universal Base Image (UBI) | ||
| Rocky Linux | ||
| SUSE Linux Enterprise Server (SLES) | ||
| Ubuntu | ||
| Wolfi |
Pacchetti di linguaggio dell'applicazione supportati
| Analisi automatica con Artifact Registry | Analisi on demand | |
|---|---|---|
| Pacchetti Go | ||
| Pacchetti Java | ||
| Pacchetti Node.js | ||
| Pacchetti PHP | ||
| Pacchetti Python | ||
| Pacchetti Ruby |