Googleが今日（米国時間9/19）、同社のCD/CIプラットホームCloud Buildの重要なアップデートを発表した。それにより、このサービスを利用して構築されるすべてのコンテナイメージに対し脆弱性スキャンが行われる。Container Registryに対するその脆弱性スキャンはまだベータだが、現代的なDevOpsの実践手法を採用した企業に対し、彼らがデプロイするコンテナに確実に、既知の脆弱性がないようにすることがそのねらいだ。
Googleがいみじくも言うように、セキュリティプロトコルがつねに確実に実践されているようにするための唯一の方法は、その工程を自動化することだ。今回の場合では、Cloud Buildの新しいイメージはすべて、Cloud Buildがそのイメージを作ってそれをContainer Rgistryに保存するそのときに、自動的にスキャンされる。
このサービスは、セキュリティ関連の標準的ないくつかのデータベースを利用して脆弱性を見つける。現在、脆弱性を見つけることのできるのは、Ubuntu、Debian、そしてAlpineのパッケージだ。CentOSとRHELにも、近く対応する。
問題を見つけたらユーザーに通知するが、ユーザー企業が自動化のルールを決めて、自動的にアクションをさせることもできる。アクションへのメッセージングとアクションの実行にはそれぞれ、Google CloudのPub/Sub通知と、サーバーレスのCloud Functionsを用いる。ユーザーは、脆弱性の重度やCVSSのスコア、どのパッケージが危ないか、有効な対策の有無、などに関する詳細レポートを受け取る。
