Übernehmen von Updates für Open-Source-Softwarekomponenten (OSS)

KI verkürzt die Zeit von der öffentlichen Open Source CVE-Offenlegung bis zur Ausnutzung, sodass das Fenster für Sicherheitsupdates oder Patches nun bei Tagen liegt. Die meisten Apps hängen auch von weit mehr Open Source ab, als Teams erkennen (insbesondere transitive Abhängigkeiten), und öffentliche Registrierungen sollten aufgrund von Abhängigkeitsverwechslungen und Tippfehlerrisiken als nicht vertrauenswürdige Eingaben behandelt werden.

Erwarten Sie, dass verlorene Anmeldeinformationen schnell missbraucht werden, scannen und aktualisieren Sie daher Bilder, IaC-Module und Buildtools auf die gleiche Weise wie Bibliotheken. Da viele Vorfälle CI/CD kompromittieren, die Pipeline härten und die Korrekturen gemäß Bereitstellung und Erreichbarkeit priorisieren – und nicht nur basierend auf den reinen CVSS-Wertungen des Common Vulnerability Scoring Systems (CVSS). Im Folgenden sind die wichtigsten Aktionen aufgeführt, um zuerst die größten Angriffspfade zu blockieren.

Zentralisierte Open-Source-Integration

Zentralisieren Sie die Open-Source-Einspeisung über einen geregelten Feed, sodass jedes Paket zwischengespeichert, gescannt und unter Ihrer Kontrolle aufbewahrt wird.

  • Verwenden Sie Azure Artifacts-Feeds mit Upstream-Quellen als einzelnen Aufnahmepunkt für Open-Source-Pakete. Weitere Informationen finden Sie unter „Was sind Upstream-Quellen“ und „Azure Artifacts Best Practices“.
  • Verweisen Sie in Konfigurationsdateien auf einen einzelnen Feed pro Repository (z. B. nuget.config, .npmrc und settings.xml). Fügen Sie für NuGet ein <clear />-Element ein, damit Konfigurationen auf höherer Ebene keine öffentlichen Quellen erneut einführen können.
  • Standardmäßiges Blockieren externer Versionen. Weitere Informationen finden Sie unter Schutz vor böswilligen öffentlichen Paketen.
  • Vorgelagerte Vorgänge mit Absicht arrangieren. Stellen Sie intern modifizierte oder gehärtete Upstreams vor öffentliche Registrierungen, sodass gehärtete Kopien gegenüber öffentlichen Kopien bevorzugt werden.
  • Wenden Sie Aufbewahrungsrichtlinien auf Feeds an, um alte, nicht gepatchte Paketversionen automatisch zu entfernen. Stufen Sie freigegebene Versionen in eine unveränderliche Ansicht hoch, sodass sie vor der Bereinigung geschützt sind. Weitere Informationen finden Sie unter bewährte Methoden für Azure Artifacts.

Aktivieren der Abhängigkeitsüberprüfung und automatisierter Updates

Aktivieren Sie die Abhängigkeitsüberprüfung und automatisierte Updates für jedes Repository.

Erstellen einer Software-Stückliste (SBOM)

Generieren Sie eine Software Bill of Materials (SBOM) auf jedem Build, damit Sie die Frage "wo ist CVE-X in unserem Nachlass?" in Minuten beantworten können.

Scannen von Containern und IaC

Scannen Sie Container und IaC sowohl in den Pipelines als auch in Container-Registrierungen.

  • Scannen Sie IaC-Vorlagen (Terraform, Bicep, ARM, CloudFormation, Kubernetes-Manifeste, Helmdiagramme und Docker-Dateien) in der Pipeline mithilfe der Erweiterung Microsoft Security DevOps Azure DevOps. Weitere Informationen finden Sie unter Konfigurieren der Microsoft Security DevOps Azure DevOps-Erweiterung.
  • Scannen Sie Container-Images in der Pipeline und im Registry. Die Microsoft Security DevOps-Erweiterung umfasst containerscans für die Pipelineverwendung; Defender für Container überprüft Images in der Azure-Containerregistrierung und schützt ausgeführte Workloads. Weitere Informationen finden Sie unter Übersicht über Microsoft Defender für Container.
  • Aktivieren Sie Pull-Request-Anmerkungen für IaC und Code-Scan-Ergebnisse, damit Probleme im Pull-Request-Diff kommentiert werden, mit der Möglichkeit, die Zusammenführung bei einem konfigurierten Schweregrad zu blockieren. Weitere Informationen finden Sie unter Aktivieren von Anmerkungen zur Pullanforderung.
  • Aktivieren sie die Containerimagezuordnung. Wenn Sie Azure DevOps mit Defender für Cloud verbinden, werden Containerimages wieder der Pipeline und dem Repository zugeordnet, die sie erstellt haben. Weitere Informationen finden Sie unter Verbinden Ihrer Azure DevOps-Organisationen.

Entdecken und Schützen von KI-Bereitstellungen

Verwenden Sie AI Security Posture Management (AI-SPM) in Defender for Cloud, um alle bereitgestellten KI-Modelle und -Dienste (z. B. Azure OpenAI, Copilot Studio, AWS Bedrock oder GCP Vertex AI) automatisch zu inventarisieren, eine KI-Liste von Materialien zu generieren, Angriffspfade für KI-Workloads zu analysieren und Bedrohungen wie ein promptes Einfügen und Datenlecks zu erkennen. Weitere Informationen finden Sie unter Übersicht – KI-Sicherheitsstatusverwaltung.

Beschleunigen Sie mit KI-basierten Agenten

Der Threat Intelligence Briefing Agent in Microsoft Defender generiert maßgeschneiderte Briefings zur Bedrohungserkennung basierend auf Echtzeit-Bedrohungsakteuraktivitäten, einschließlich neuer Supply-Chain- und CI/CD-Angriffskampagnen, die für Ihre Umgebung relevant sind, mit Handlungsempfehlungen und MITRE ATT&CK-Frameworkzuordnung. Weitere Informationen finden Sie im Microsoft Security Copilot Threat Intelligence Briefing Agent.

Verwandte Inhalte

  • Last updated on