Artifact Analysis には、コンテナをスキャンするための 2 つの機能（オンデマンド スキャンと自動スキャン）が用意されています。このドキュメントでは、それぞれの特典について説明します。Artifact Analysis には、メタデータ管理機能もあります。スキャンとメタデータ ストレージを組み合わせて CI/CD パイプラインをエンドツーエンドで保護する方法については、Artifact Analysis の概要をご覧ください。
オンデマンド スキャンと自動スキャンでは、オペレーティング システムと言語パッケージ（Java、Go）の脆弱性や悪意のある パッケージを特定できます。 ただし、言語パッケージの自動スキャンは Artifact Registry でのみ使用できます。
各レジストリ プロダクトでサポートされているスキャンタイプのリストについては、比較表をご覧ください。
コンテナ イメージのスキャンに関連する費用の詳細については、料金を ご覧ください。
オンデマンド スキャン
オンデマンド スキャンを使用すると、gcloud CLI を使用して、コンピュータまたはレジストリでコンテナ イメージをローカルにスキャンできます。これにより、脆弱性結果にアクセスする必要があるタイミングに応じて、CI/CD パイプラインを柔軟にカスタマイズできます。
自動スキャン
Artifact Analysis は、Artifact Registry 内のアーティファクトに対して脆弱性と悪意のあるパッケージのスキャンを実行します。Artifact Analysis は、脆弱性と悪意のあるパッケージの情報をモニタリングして、最新の状態に保ちます。このプロセスは、push 時のスキャンと継続分析の 2 つの主要なタスクで構成されます。
push 時のスキャン
Artifact Analysis は、Artifact Registry にアップロードされた新しいイメージをスキャンします。このスキャンでは、システム言語パッケージとアプリケーション言語パッケージの両方を含む、コンテナ内のパッケージに関する情報が抽出され、悪意のあるソフトウェアが特定されます。イメージは、イメージのダイジェストに基づいて 1 回だけスキャンされます。 つまり、タグを追加または変更しても新しいスキャンはトリガーされず、イメージの内容を変更した場合にのみトリガーされます。
Artifact Analysis は、セキュリティ脆弱性に関して公開で監視されているパッケージのみを検出します。
イメージのスキャンが完了すると、結果のスキャン結果 に、そのイメージの脆弱性と悪意のあるパッケージのオカレンスのコレクションが表示されます。
継続分析
Artifact Analysis は、イメージのアップロード時に検出された脆弱性と悪意のあるパッケージのオカレンスを作成します。最初のスキャンの後、Artifact Analysis は、Artifact Registry 内でスキャンされたイメージのメタデータに新たなリスクがないか継続的にモニタリングを行います。
Artifact Analysis は、脆弱性ソースから新しい脆弱性情報と更新された脆弱性情報 を 1 日に複数回受け取ります。新しい脆弱性データが届くと、Artifact Analysis はスキャンされたイメージのメタデータを更新して最新の状態に保ちます。Artifact Analysis は、既存の脆弱性オカレンスを更新し、新しいメモの脆弱性オカレンスを新規に生成し、無効になった脆弱性オカレンスを削除します。
Artifact Analysis は、過去 30 日以内に pull されたイメージとパッケージのスキャンを継続します。30 日が経過すると、スキャンされたイメージとパッケージのメタデータは更新されなくなり、結果は古くなります。
Artifact Analysis は、90 日以上前のメタデータをアーカイブします。このアーカイブされたメタデータは、API を使用してのみ評価できます。 古いメタデータまたはアーカイブされたメタデータを含むイメージを再スキャンするには、そのイメージを pull します。 メタデータの更新には、最長で 24 時間ほどかかることがあります。古いメタデータまたはアーカイブされたメタデータを含むパッケージを再スキャンすることはできません。
脆弱性のあるソース
Artifact Analysis は、さまざまなアップストリーム プロバイダから脆弱性データを取得して、コンテナ イメージのセキュリティ リスクを特定します。このデータには、オペレーティング システム パッケージと言語パッケージの脆弱性データが含まれます。
Artifact Analysis は、OpenSSF Malicious Packages Repository から悪意のあるパッケージのデータも取得します。悪意のあるパッケージは、重大度「CRITICAL 」の検出結果として報告されます。
脆弱性と悪意のあるパッケージのソースの完全なリストについては、 脆弱性ソースをご覧ください。
アーキテクチャ
Artifact Analysis は、Linux ベースのアーキテクチャ上のイメージをスキャンできます。
マニフェスト リストで脆弱性スキャンを使用することもできます。マニフェスト リストは、複数のプラットフォームのマニフェスト へのポインタのリストです。これにより、1 つのイメージで複数のアーキテクチャまたはオペレーティング システムのバリエーションを使用できます。
マニフェスト リストに Linux amd64 イメージが含まれている場合、Artifact Analysis はそのイメージをスキャンします。それ以外の場合、Artifact Analysis はリストから別のイメージを選択します。