Una empresa crea imágenes de Docker a partir de varias bases de SO de código abierto y debe escanear las imágenes publicadas en busca de CVE sin ralentizar a los desarrolladores, prefiriendo los servicios gestionados. ¿Qué debería habilitar?

La habilitación del escaneo de vulnerabilidades en Container Registry es la solución más adecuada porque es un servicio gestionado que escanea automáticamente las imágenes de Docker en busca de CVEs (Vulnerabilidades y Exposiciones Comunes) cuando se publican. Esto no ralentiza a los desarrolladores y se integra directamente en el flujo de trabajo de Container Registry. Crear una Cloud Function para escanear el código es menos eficiente, ya que el escaneo de imágenes es posterior a la construcción y no se enfoca en el código fuente. Prohibir imágenes base sin soporte comercial no aborda el escaneo de CVEs en las imágenes que sí se utilizan. Usar Cloud Monitoring para revisar la salida de Cloud Build es una solución reactiva y manual, no un escaneo proactivo y automatizado de vulnerabilidades en las imágenes.