Beim Scannen von Paketen werden vorhandene und neue Sicherheitslücken, schädliche Software und Geheimnisse in den Open-Source-Abhängigkeiten für sprachbasierte Pakete in Ihren Artifact Registry-Repositories identifiziert.
Weitere Informationen zu den Kosten für das Scannen von Paketen finden Sie unter Preise.
In dieser Übersicht wird davon ausgegangen, dass Sie bereits mit der Verwendung von Docker-Repositories in Artifact Registry vertraut sind.
Übersicht
Die Artefaktanalyse scannt die Dateien in einem Paket, wenn das Paket in Artifact Registry hochgeladen wird. Nach dem ersten Scan überwacht Artifact Registry weiterhin die Metadaten gescannter Pakete auf neue Sicherheitslücken, schädliche Pakete und Geheimnisse.
Um potenzielle Risikobereiche zu bewerten, vergleicht Artifact Registry die Abhängigkeiten in einer Paketkonfigurationsdatei mit bekannten Sicherheitslücken. Sie können potenzielle Sicherheitslücken in Ihrem Paket in der Artefaktanalyse überprüfen.
Pakete auf Sicherheitslücken scannen
Die Artefaktanalyse scannt Pakete in Ihren Artifact Registry-Repositories, um Sicherheitslücken, schädliche Software und Geheimnisse zu identifizieren. Außerdem werden Abhängigkeiten und Lizenzen identifiziert, damit Sie die Zusammensetzung Ihres Pakets nachvollziehen können.
Die Artefaktanalyse scannt neue Pakete, wenn sie in Artifact Registry hochgeladen werden. Dieser Vorgang wird als automatisches Scannen bezeichnet. Beim Scan werden Informationen zu den Dateien im Paket extrahiert. Nach dem Scannen eines Pakets erstellt die Artefaktanalyse einen Bericht zu Sicherheitslücken, in dem die Vorkommen von Sicherheitslücken und schädlichen Paketen für dieses Paket aufgeführt sind. Sicherheitslücken und schädliche Software werden nur in Paketen erkannt, die öffentlich überwacht werden.
Kontinuierliche Analyse
Nachdem ein Paket gescannt wurde, überwacht die Artefaktanalyse kontinuierlich die Metadaten des gescannten Pakets in Artifact Registry auf neue Sicherheitslücken und schädliche Pakete.
Die Artefaktanalyse erhält mehrmals täglich neue und aktualisierte Informationen zu Sicherheitslücken aus den entsprechenden Quellen. Wenn neue Daten zu Sicherheitslücken eingehen, aktualisiert die Artefaktanalyse vorhandene Vorkommen von Sicherheitslücken, erstellt neue Vorkommen für neue Hinweise und löscht Vorkommen, die nicht mehr gültig sind.
Die Artefaktanalyse scannt weiterhin Images und Pakete, solange sie in den letzten 30 Tagen abgerufen wurden. Nach 30 Tagen werden die Metadaten für gescannte Images und Pakete nicht mehr aktualisiert und die Ergebnisse sind veraltet.
Die Artefaktanalyse archiviert Metadaten, die seit mehr als 90 Tagen veraltet sind. Diese archivierten Metadaten können nur über die API ausgewertet werden. Sie können ein Image mit veralteten oder archivierten Metadaten noch einmal scannen, indem Sie es abrufen. Das Aktualisieren der Metadaten kann bis zu 24 Stunden dauern. Pakete mit veralteten oder archivierten Metadaten können nicht noch einmal gescannt werden.
Unterstützte Pakettypen
Wenn Sie Pakete in Artifact Registry hochladen, kann die Artefaktanalyse sie auf Sicherheitslücken scannen.
In der folgenden Tabelle sind die Pakettypen aufgeführt, die von der Artefaktanalyse gescannt werden können:
| Automatisches Scannen mit Artifact Registry | On-Demand-Scans | |
|---|---|---|
| Java-Pakete | ||
| Python-Pakete | ||
| Node.js-Pakete |
Artefaktanalyse-Schnittstellen
In der Google Cloud Console können Sie Sicherheitslücken und Metadaten für Pakete in Artifact Registry ansehen.
Mit der gcloud CLI können Sie Sicherheitslücken und Metadaten ansehen.
Sie können zu diesem Zweck auch die Artefaktanalyse REST API verwenden, um eine dieser Aktionen auszuführen. Wie bei anderen Cloud Platform-APIs müssen Sie sich vor dem Zugriff mit OAuth2 authentifizieren.
Die Artefaktanalyse API unterstützt sowohl gRPC als auch REST/JSON. Sie können die API entweder über die Clientbibliotheken oder über cURL für REST/JSON aufrufen.
Quellen für Sicherheitslücken
Im folgenden Abschnitt sind die Quellen für Sicherheitslücken aufgeführt, die von der Artefaktanalyse zum Abrufen von CVE-Daten verwendet werden.
Scans von Sprachpaketen
Die Artefaktanalyse unterstützt das Scannen auf Sicherheitslücken und schädliche Pakete für Dateien in einem Paket. Daten zu Sicherheitslücken werden aus der GitHub Advisory Database und Daten zu schädlichen Paketen werden aus dem OpenSSF Malicious Packages Repository abgerufen.
In den meisten Fällen wird jeder Sicherheitslücke eine CVE-ID zugewiesen. Diese ID
wird zur Hauptkennung für diese Sicherheitslücke. Wenn einer Sicherheitslücke keine
CVE-ID zugewiesen ist, wird stattdessen eine GHSA-ID als
Kennung zugewiesen. Wenn diese Sicherheitslücke später eine CVE-ID erhält, wird die ID der Sicherheitslücke entsprechend aktualisiert. Hinweise zu schädlichen Paketen haben IDs mit dem Präfix MAL-. Weitere Informationen finden Sie unter
Auf eine bestimmte Sicherheitslücke in einem Projekt prüfen.
Paketmanager und semantische Versionierung
- Java: Die Artefaktanalyse unterstützt Maven-Pakete, die den Maven-Benennungskonventionen folgen. Wenn die Paketversion Leerzeichen enthält, wird sie nicht gescannt.
- Node.js: Der Abgleich der Paketversion folgt der Spezifikation für die semantische Versionierung.
- Python: Der Abgleich der Python-Version folgt der Semantik von PEP 440.
Beschränkungen
Die Artefaktanalyse scannt nur Pakete mit maximal 100 Dateien.
Wenn Sie dasselbe Paket in mehrere Repositories hochladen, wird Ihnen jeder Upload in Rechnung gestellt. Weitere Informationen finden Sie unter Artefaktanalyse – Preise.
Nächste Schritte
- Informationen zum Ansehen von Sicherheitslücken in Paketen und zum Filtern von Vorkommen von Sicherheitslücken finden Sie unter Pakete automatisch scannen.