이 페이지에서는 Google Kubernetes Engine(GKE) 보안 상황 대시보드의 기능인 워크로드 취약점 스캔에 대해 설명합니다. 이 기능을 사용하면 런타임 중에 컨테이너 이미지 및 언어 패키지의 취약점을 자동으로 스캔하여 배포의 보안을 개선할 수 있습니다. 보안 상황 대시보드에서 식별된 취약점 문제와 권장 조치를 확인할 수 있습니다.
이 페이지는 Google Cloud내에서 퍼스트 파티 취약점 감지 솔루션을 구현할 때 정보에 입각한 결정을 내릴 수 있는 정보와 워크로드 취약점 스캔 사용에 관한 세부정보를 제공하는 보안 전문가를 위해 작성되었습니다. Google Cloud 콘텐츠에서 참조하는 일반적인 역할 및 예시 태스크에 대해 자세히 알아보려면 일반 GKE Enterprise 사용자 역할 및 태스크를 참조하세요.
컨테이너 이미지 또는 언어 패키지에서 취약점이 발견되면 GKE가 Google Cloud 콘솔의 보안 상황 대시보드에 결과를 표시합니다. GKE는 또한 감사 및 추적을 위해 Cloud Logging에 항목을 추가합니다.
컨테이너 OS 취약점 스캔
GKE는 등록된 GKE 클러스터에서 실행되는 컨테이너 이미지를 지속적으로 스캔합니다. GKE는 NIST와 같은 공개 CVE 데이터베이스의 취약점 데이터를 사용합니다.
이미지는 모든 이미지 레지스트리에서 가져올 수 있습니다. OS 버전은 스캔이 지원되어야 합니다. 지원되는 운영체제 목록은 지원되는 Linux 버전을 참조하세요.
GKE는 Go 또는 Maven 패키지와 같은 언어 패키지에서 컨테이너의 알려진 취약점을 지속적으로 스캔합니다. Google은 GitHub Advisory Database와 같은 공개 소스에서 취약점 데이터를 얻습니다.
스캐너는 Artifact Registry 저장소 보호를 위해 개별적으로 구현할 수 있는 Artifact Analysis 스캐너입니다. 워크로드가 실행되는 동안 GKE가 이미지를 스캔하기 때문에 보안 상황 대시보드에서 컨테이너 이미지는 모든 이미지 레지스트리에서 가져올 수 있습니다.
Artifact Analysis 스캔에 대한 자세한 내용은 스캔 유형을 참조하세요.
GKE는 워크로드가 컨테이너 이미지에 변경사항을 푸시할 때나 주문형으로만 스캔을 수행하는 대신 언어 패키지에 대해 지속적인 스캔을 제공합니다. 지속적인 스캔을 통해 수정 사항이 제공되는 즉시 새로운 취약점 알림을 받음으로써 검색과 해결에 걸리는 시간을 줄일 수 있습니다.
GKE는 보안 상황 대시보드에 사용 가능한 수정과 사용 가능한 CVE 번호가 있는 취약점에 대해서만 결과를 표시합니다.
Container Registry에서 동일한 컨테이너 이미지를 스캔하면 사용 가능한 수정이 없는 취약점과 같은 더 많은 결과가 표시될 수 있습니다.
GKE는 각 워커 노드에서 다음 메모리를 사용하여 워크로드 취약점 스캔을 수행합니다.
컨테이너 OS 스캔: 50MiB
Advanced Vulnerability Insights: 100MiB
GKE에서 이미지의 패키지 데이터를 포함하는 각 파일의 크기가 다음과 같이 제한됩니다. 크기 제한을 초과하는 파일은 GKE에서 스캔되지 않습니다.
컨테이너 OS 스캔: 30 MiB
Advanced Vulnerability Insights: 60MiB
Windows Server 컨테이너는 지원되지 않습니다.
워크로드 취약점 스캔은 노드가 1000개 미만인 클러스터에만 사용 가능합니다.
GKE는 T2A 머신 유형과 같은 Arm 아키텍처를 사용하는 노드를 스캔하지 않습니다.
보안 상황 대시보드는 각 클러스터에 대해 최대 150,000개의 활성 워크로드 취약점 스캔 발견 항목을 지원합니다. 클러스터에 대한 발견 항목 수가 이 최댓값을 초과하면 보안 상황 대시보드에 해당 클러스터에 대한 취약점 발견 항목이 표시되지 않습니다.
이 문제를 해결하려면 레지스트리 수준의 스캔 메커니즘을 사용하여 이미지의 취약점을 식별하고 패치를 적용합니다. 또는 새 클러스터에서 워크로드를 일괄적으로 배포하여 취약점을 식별하고 완화합니다. 취약점 발견 항목 수가 150,000개 미만이면 보안 상황 대시보드에 클러스터에 대한 발견 항목이 표시되기 시작합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-07-01(UTC)"],[],[],null,["# About workload vulnerability scanning\n\n[Autopilot](/kubernetes-engine/docs/concepts/autopilot-overview) [Standard](/kubernetes-engine/docs/concepts/choose-cluster-mode)\n\n*** ** * ** ***\n\n| **Caution:** Starting on July 23, 2024, container OS vulnerability scanning is deprecated and is scheduled for shutdown on July 31, 2025. Starting on June 16, 2025, Advanced Vulnerability Insights is deprecated and is scheduled for shutdown on June 16, 2026. For more information about deprecation and shutdown dates, see [Vulnerability scanning removal from GKE](/kubernetes-engine/docs/deprecations/vulnerability-scanning-gkee).\n\nThis page describes workload vulnerability scanning, a feature of the Google Kubernetes Engine (GKE)\nsecurity posture dashboard. This feature helps you improve the security of your\ndeployments by automatically scanning for vulnerabilities in your container\nimages and language packages during runtime. You can view identified vulnerability\nissues and recommended actions in the security posture dashboard.\n\nThis page is for Security specialists with information for making informed\ndecisions and details about using workload vulnerability scanning when\nimplementing a first-party vulnerability detection solution within Google Cloud. To learn more about\ncommon roles and example tasks that we reference in Google Cloud content, see\n[Common GKE user roles and tasks](/kubernetes-engine/enterprise/docs/concepts/roles-tasks).\n\nBefore reading this page, ensure that you're familiar with information about how the security posture dashboard fits into your\nsecurity strategy by reading\n[Usage as part of a broad security strategy](/kubernetes-engine/docs/concepts/about-security-posture-dashboard#broad-security-strategy).\n\nTypes of vulnerability scanning\n-------------------------------\n\nWorkload vulnerability scanning includes the following capabilities:\n\n- Container operating system (OS) vulnerability scanning\n- Language package vulnerability scanning\n\nIf a vulnerability is found in your container images or language packages,\nGKE displays the results in the security posture dashboard in\nthe Google Cloud console. GKE also adds entries to Cloud Logging\nfor auditing and traceability.\n\n### Container OS vulnerability scanning\n\nGKE continuously scans container images that run on enrolled\nGKE clusters. GKE uses vulnerability data from\npublic CVE databases such as [NIST](https://nvd.nist.gov/vuln/search).\nThe images can come from any image registry. The OS version must be supported\nfor scanning. For a list of supported operating systems, see\n[Supported Linux versions](/artifact-analysis/docs/os-overview#linux-versions).\n\nFor instructions, see\n[Enable container OS vulnerability scanning](/kubernetes-engine/docs/how-to/security-posture-vulnerability-scanning#enable).\n\n### Language package vulnerability scanning\n\nGKE continuously scans containers for known vulnerabilities in\nlanguage packages, such as Go or Maven packages. We get vulnerability data\nfrom public sources such as the\n[GitHub Advisory Database](https://github.com/advisories).\nThe scanner is the Artifact Analysis scanner, which you can separately\nimplement to safeguard your Artifact Registry repositories. In the\nsecurity posture dashboard, the container images can come from any image\nregistry because GKE scans the images while the workloads run.\nFor information about Artifact Analysis scanning, see\n[Types of scanning](/artifact-analysis/docs/scanning-types).\n\nGKE provides *continuous* scanning of your language packages\ninstead of only scanning on-demand or when your workflows push changes to your\ncontainer images. Continuous scanning ensures that you're notified of new\nvulnerabilities as soon as fixes are available, which reduces your time to\ndiscovery and remediation.\n\nGKE scans the following language packages:\n\n- Go\n- Maven\n- Javascript\n- Python\n\nOnly vulnerabilities that have an associated CVE number are displayed in the\nsecurity posture dashboard.\n\nEnable vulnerability scanning in GKE\n------------------------------------\n\nYou can enable vulnerability scanning for GKE\nclusters as follows:\n\nFor enablement instructions, see\n[Automatically scan workloads for known vulnerabilities](/kubernetes-engine/docs/how-to/security-posture-vulnerability-scanning).\n\nPricing\n-------\n\nFor pricing information, see\n[GKE security posture dashboard pricing](/kubernetes-engine/docs/concepts/about-security-posture-dashboard#pricing)\n\nWhat actions does GKE suggest?\n------------------------------\n\nEach vulnerability in the security posture dashboard has detailed information\nsuch as the following:\n\n- A full description of the vulnerability, including potential impact, attack pathways, and severity.\n- Fixed packages and version numbers.\n- Links to the relevant entries in public CVE databases.\n\nGKE doesn't show a vulnerability if there is no corresponding\nCVE with an actionable mitigation.\n\nFor an overview of the security posture dashboard interface, see\n[About the security posture dashboard](/kubernetes-engine/docs/concepts/about-security-posture-dashboard#about-interface).\n\nLimitations\n-----------\n\n- GKE doesn't support scanning of proprietary packages and their dependencies.\n- GKE only displays results for vulnerabilities that have an available fix and an available CVE number in the security posture dashboard. You might see more results, such as vulnerabilities without an available fix, if you scan the same container images in a container registry.\n- GKE uses the following memory on each worker node for workload vulnerability scanning:\n - Container OS scanning: 50 MiB\n - Advanced vulnerability insights: 100 MiB\n- GKE has the following limitations on the size of each file that contains package data in your images. GKE won't scan files that exceed the size limit.\n - Container OS scanning: 30 MiB\n - Advanced vulnerability insights: 60 MiB\n- Windows Server containers aren't supported.\n- Workload vulnerability scanning is only available for clusters with less than 1000 nodes.\n- GKE doesn't scan nodes that use Arm architecture, such as the T2A machine type.\n- The security posture dashboard supports up to 150,000 active\n workload vulnerability scanning findings for each cluster. When the number of\n findings for a cluster exceeds this maximum, the\n security posture dashboard stops showing vulnerability findings for that\n cluster.\n\n To resolve this issue, use a scanning mechanism at the registry level to\n identify vulnerabilities in images and apply patches. Alternatively, in a new\n cluster, deploy your workloads in batches to identify and mitigate\n vulnerabilities. When the number of vulnerability findings is less than\n 150,000, the security posture dashboard starts displaying findings for the\n cluster.\n\nWhat's next\n-----------\n\n- [Enable and use workload vulnerability scanning](/kubernetes-engine/docs/how-to/security-posture-vulnerability-scanning)\n- [Learn about other scanning capabilities in the security posture dashboard](/kubernetes-engine/docs/concepts/about-security-posture-dashboard#how-it-works)"]]
