ビルドセキュリティの分析情報を表示

このページでは、Google Cloud コンソールの [セキュリティ分析情報] サイドパネルを使用して、Cloud Build ビルドのセキュリティ情報を表示する方法について説明します。

[セキュリティ分析情報] サイドパネルには、複数のセキュリティ指標の概要が表示されます。サイドパネルを使用して、ビルドプロセスにおけるリスクを特定して軽減できます。

[セキュリティ分析情報] パネルのスクリーンショット

このパネルには、次の情報が表示されます。

ソフトウェアアーティファクトのためのサプライチェーンレベル（SLSA）: SLSA 仕様に従って、ソフトウェアビルドプロセスの成熟度を示します。たとえば、このビルドは SLSA レベル 3 を取得しています。
脆弱性: アーティファクトで見つかった脆弱性の概要と、Artifact Analysis によってスキャンされたイメージの名前。イメージ名をクリックすると、脆弱性の詳細が表示されます。たとえば、このスクリーンショットでは java-guestbook-backend をクリックします。
ビルド済みアーティファクトの脆弱性の悪用に関する eXchange（VEX）ステータス。
ビルドアーティファクトのソフトウェア部品構成表（SBOM）。
ビルドの詳細: ビルダーやログのリンクなど、ビルドの詳細。

脆弱性スキャンを有効にする

[セキュリティ分析情報] パネルには、Cloud Build と Artifact Analysis のデータが表示されます。Artifact Analysis は、Artifact Registry にビルドアーティファクトをアップロードするときに、OS、Java（Maven）、Go パッケージの脆弱性をスキャンするサービスです。

セキュリティ分析情報の結果の全体を受け取るには、脆弱性スキャンを有効にする必要があります。

Container Scanning API を有効にして、脆弱性スキャンを有効にします。

Container Scanning API を有効にする
ビルドを実行し、ビルドアーティファクトを Artifact Registry に保存します。Artifact Analysis は、ビルドアーティファクトを自動的にスキャンします。

ビルドのサイズによっては、脆弱性スキャンに数分かかることがあります。

脆弱性スキャンの詳細については、自動スキャンをご覧ください。

スキャンには費用がかかります。詳しい料金情報については、料金ページをご覧ください。

分析情報を表示する権限を付与する

Google Cloud コンソールでセキュリティ分析情報を表示するには、次の IAM ロール、または同等の権限を持つロールを付与されていることが必要です。Artifact Registry と Artifact Analysis が別々のプロジェクトで実行されている場合は、Artifact Analysis が実行されているプロジェクトに Container Analysis Occurrences 閲覧者のロールまたは同等の権限を追加する必要があります。

Cloud Build 閲覧者（roles/cloudbuild.builds.viewer）: ビルドの分析情報を閲覧できます。
Container Analysis Occurrences 閲覧者（roles/containeranalysis.occurrences.viewer）: 脆弱性と依存関係の情報を閲覧できます。

[セキュリティ分析情報] サイドパネルを表示する

[セキュリティ分析情報] パネルを表示するには:

Google Cloud コンソールで [ビルド履歴] ページを開きます。

[ビルド履歴] ページを開く
プロジェクトを選択し、[開く] をクリックします。
[リージョン] プルダウンメニューで、ビルドを実行したリージョンを選択します。
ビルドがあるテーブルで、セキュリティ分析情報を表示するビルドの行を探します。
[セキュリティ分析情報] 列で、[表示] をクリックします。

[セキュリティ分析情報] サイドパネルが開きます。
（省略可）ビルドで複数のアーティファクトが生成される場合は、[アーティファクト] プルダウンからセキュリティ分析情報を表示するアーティファクトを選択します。

選択したアーティファクトの [セキュリティ分析情報] パネルが表示されます。

SLSA レベル

SLSA レベルは、ガイドラインのコレクションに基づいて、ビルドの現在のセキュリティ保証レベルを評価します。

脆弱性

[脆弱性] カードには、ビルドアーティファクトの脆弱性の発生回数、利用可能な修正、VEX のステータスが表示されます。

Artifact Analysis は、Artifact Registry に push されたコンテナイメージのスキャンをサポートします。このスキャンにより、オペレーティングシステムパッケージと、Java（Maven）または Go で作成されたアプリケーションパッケージの脆弱性が検出されます。

スキャン結果は重大度ごとに整理されます。重大度は、脆弱性が悪用される可能性、その範囲、影響、成熟度に基づく定性的な評価です。

イメージ名をクリックすると、脆弱性スキャンが完了したアーティファクトが表示されます。

Artifact Analysis は、関連する VEX ステートメントを Artifact Registry に push されたコンテナイメージごとに保存できます。VEX は、プロダクトが既知の脆弱性の影響を受けているかどうかを示すセキュリティアドバイザリの一種です。

各 VEX ステートメントの内容は次のとおりです。

VEX ステートメントのパブリッシャー
ステートメントが書き込まれるアーティファクト
既知の脆弱性の脆弱性評価（VEX ステータス）

依存関係

[依存関係] カードには、依存関係のリストを含む SBOM のリストが表示されます。

Cloud Build でコンテナイメージを作成して Artifact Registry に push すると、Artifact Analysis は push されたイメージの SBOM レコードを生成できます。

SBOM は、アプリケーションの完全なインベントリであり、ソフトウェアが依存するパッケージを特定します。その内容には、ベンダーのサードパーティソフトウェア、内部アーティファクト、オープンソースライブラリが含まれます。

ビルド

ビルドカードには次の情報が含まれます。

ログ - ビルドログ情報へのリンク
ビルダー - ビルダー名
完了 - ビルドが完了してからの経過時間
来歴 - ビルドに関する検証可能なメタデータ

来歴のメタデータには、ビルドされたイメージのダイジェスト、入力ソースの場所、ビルドツールチェーン、ビルドステップ、ビルド時間などの詳細情報が含まれます。また、いつでもビルドの来歴を検証できます。

今後のビルドに来歴情報が含まれるようにするには、イメージに来歴メタデータが含まれることを要求するように Cloud Build を構成します。

ソフトウェアデリバリーシールドで Cloud Build を使用する

Cloud Build の [セキュリティ分析情報] サイドパネルは、ソフトウェアデリバリーシールドソリューションのコンポーネントの一つです。ソフトウェアデリバリーシールドは、フルマネージドのエンドツーエンドソフトウェアサプライチェーンセキュリティソリューションです。ソフトウェアの構築とデプロイに使用するデベロッパーワークフローとツール、ソフトウェアの依存関係、CI/CD システム、およびランタイム環境（Google Kubernetes Engine や Cloud Run など）のセキュリティ対策の改善に役立ちます。

ソフトウェアデリバリーシールドのその他のコンポーネントで Cloud Build を使用して、ソフトウェアサプライチェーンのセキュリティ体制を改善する方法については、ソフトウェアデリバリーシールドの概要をご覧ください。

次のステップ

ソフトウェアデリバリーシールドを使用する方法を確認する。
ソフトウェアサプライチェーンのセキュリティに関するベストプラクティスを確認する。
ビルドログの保存と表示に関する方法を確認する。
ビルドエラーをトラブルシューティングする方法について学習する。

ビルド セキュリティの分析情報を表示