Een bedrijf bouwt Docker-images op basis van verschillende open-source OS-bases en moet gepubliceerde images scannen op CVE's zonder ontwikkelaars te vertragen, waarbij de voorkeur uitgaat naar managed services. Wat moet u inschakelen?

De Container Registry (nu onderdeel van Artifact Registry) heeft een ingebouwde kwetsbaarheidsscanfunctie die automatisch Docker-images scant op bekende CVE's wanneer ze worden geüpload. Dit is een beheerde service die ontwikkelaars niet vertraagt en voldoet aan de vereiste om gepubliceerde images te scannen. Het maken van een Cloud Function voor code-check-ins scant de code, niet de gepubliceerde Docker-images, en vereist handmatige implementatie en onderhoud. Het verbieden van niet-commerciële basisimages is een beleidsmaatregel, geen technische oplossing voor het scannen van bestaande of nieuwe kwetsbaarheden. Cloud Monitoring om de uitvoer van Cloud Build te controleren, is reactief en vereist complexe configuratie om kwetsbaarheden te detecteren, in plaats van proactief te scannen.