L'azienda crea immagini Docker da varie basi OS open source e deve scansionare le immagini pubblicate alla ricerca di CVE senza rallentare gli sviluppatori, preferendo i servizi gestiti. Cosa dovresti abilitare?

L'abilitazione della scansione delle vulnerabilità in Container Registry (o Artifact Registry, il suo successore) è la soluzione più diretta ed efficiente. Questo servizio gestito esegue automaticamente la scansione delle immagini Docker per identificare le CVE note non appena vengono caricate, senza richiedere interventi manuali o rallentare il flusso di lavoro degli sviluppatori. La scansione avviene in modo asincrono e fornisce report dettagliati. Creare una Cloud Function per scansionare il codice al check-in è meno efficace perché le CVE sono associate alle dipendenze e alle immagini base, non al codice applicativo stesso. Impedire l'uso di immagini base non supportate commercialmente potrebbe limitare la flessibilità e non risolve il problema delle CVE nelle immagini supportate. Usare Cloud Monitoring per rivedere l'output di Cloud Build richiederebbe un'implementazione complessa e reattiva, non proattiva, per la scansione delle vulnerabilità.