Une entreprise crée des images Docker à partir de diverses bases de systèmes d'exploitation open source et doit analyser les images publiées à la recherche de CVE sans ralentir les développeurs, en privilégiant les services gérés. Que devez-vous activer ?

L'activation de l'analyse des vulnérabilités (Vulnerability scanning) dans Container Registry est la solution la plus efficace et gérée. Cette fonctionnalité intégrée à Artifact Registry (qui a remplacé Container Registry pour les nouvelles fonctionnalités) analyse automatiquement les images Docker stockées pour détecter les vulnérabilités connues (CVE) sans intervention manuelle, répondant ainsi au besoin de services gérés et de non-ralentissement des développeurs. Créer une Cloud Function pour analyser le code est insuffisant car les vulnérabilités se trouvent souvent dans les dépendances ou les images de base, pas seulement dans le code applicatif. Interdire les images de base non prises en charge commercialement est une mesure préventive, mais ne garantit pas l'absence de CVE dans les images autorisées. Utiliser Cloud Monitoring pour examiner la sortie de Cloud Build est une approche réactive et manuelle, qui ne fournit pas une analyse proactive et automatisée des vulnérabilités.