Firma tworzy obrazy Docker z różnych baz systemów operacyjnych open-source i musi skanować opublikowane obrazy pod kątem CVE bez spowalniania programistów, preferując usługi zarządzane. Co należy włączyć?

Włączenie skanowania luk w zabezpieczeniach w Container Registry (obecnie Artifact Registry) to najbardziej efektywne i zarządzane rozwiązanie. Google Cloud oferuje wbudowane skanowanie luk w zabezpieczeniach dla obrazów Docker, które automatycznie identyfikuje znane CVE w zależnościach systemu operacyjnego. Działa to po opublikowaniu obrazu, nie spowalniając programistów, i jest usługą zarządzaną. Tworzenie Cloud Function do skanowania kodu jest mniej efektywne, ponieważ skanowanie powinno odbywać się na obrazie po jego zbudowaniu, a nie na kodzie źródłowym, aby wykryć luki w zależnościach obrazu. Zabranianie używania obrazów open-source jest niepraktyczne i ogranicza elastyczność, a także nie rozwiązuje problemu luk w dozwolonych obrazach. Użycie Cloud Monitoring do przeglądania danych wyjściowych Cloud Build jest reaktywne i wymaga ręcznej analizy lub skomplikowanej konfiguracji, co jest mniej efektywne niż automatyczne skanowanie w rejestrze.