Adottare gli aggiornamenti per i componenti software open source (OSS)

L'intelligenza artificiale comprime il tempo tra la divulgazione CVE open-source pubblica e lo sfruttamento, quindi la finestra di aggiornamento della sicurezza o delle patch è ora di pochi giorni. La maggior parte delle app dipende anche da molto più open source di quanto i team si rendano conto (specialmente dalle dipendenze transitive) e i registri pubblici devono essere considerati come input non attendibili a causa della confusione delle dipendenze e dei rischi di typosquatting.

Si prevede che le credenziali trapelate vengano abusate rapidamente, quindi analizzare e aggiornare immagini, moduli IaC e strumenti di build allo stesso modo in cui gestisci le librerie. Poiché molti incidenti compromettono CI/CD, rafforzare la pipeline e dare priorità alle correzioni in base a ciò che è distribuito e raggiungibile, non solo il punteggio puro del Common Vulnerability Scoring System (CVSS). Di seguito sono riportate le azioni principali per bloccare prima i percorsi di attacco più grandi.

Centralizzare l'inserimento open source

Centralizzare l'inserimento open source tramite un feed regolato in modo che ogni pacchetto venga memorizzato nella cache, analizzato e conservato sotto il controllo.

  • Usare i feed di Azure Artifacts con origini upstream come singolo punto di inserimento per i pacchetti open source. Per altre informazioni, vedere Informazioni sulle origini upstream e sulle procedure consigliate per Azure Artifacts.
  • Fare riferimento a un singolo feed per repository nei file di configurazione, ad esempio, nuget.config, .npmrc e settings.xml. Per NuGet, includere un <clear /> elemento in modo che le configurazioni di livello superiore non possano reintrodurre le origini pubbliche.
  • Blocca le versioni con origine esterna per impostazione predefinita. Per altre informazioni, vedere Proteggere da pacchetti pubblici dannosi.
  • Ordinare intenzionalmente gli upstream. Posizionare gli upstream modificati internamente o con protezione avanzata prima dei registri pubblici, in modo che le copie con protezione avanzata siano preferite rispetto a quelle pubbliche.
  • Applicare i criteri di conservazione ai feed per rimuovere automaticamente le versioni precedenti e senza patch dei pacchetti. Alzare di livello le versioni rilasciate a una visualizzazione non modificabile in modo che siano protette dalla pulizia. Per altre informazioni, vedere Procedure consigliate per Azure Artifacts.

Attivare l'analisi delle dipendenze e gli aggiornamenti automatizzati

Attivare l'analisi delle dipendenze e gli aggiornamenti automatizzati per ogni repository.

Generare una fattura software di materiali (SBOM)

Generare una fattura software di materiali (SBOM) su ogni costruzione in modo da poter rispondere alla domanda "dov'è CVE-X nel nostro patrimonio?" in pochi minuti.

  • Generare un SBOM conforme a SPDX (Software Package Data Exchange) in ogni compilazione usando lo strumento Microsoft SBOM open source, a cui viene fatto riferimento dalla documentazione Microsoft o da Defender for Cloud. Spedire SBOM come artefatto di compilazione insieme al file binario. Per altre informazioni, vedere Microsoft/sbom-tool su GitHub e Riferimento alla CLI di Defender for Cloud.
  • Applicare la generazione SBOM in un modello di pipeline centrale. Per altre informazioni, vedere Usare modelli YAML nelle pipeline per processi riutilizzabili e sicuri.
  • Misurare la conformità SBOM (percentuale di compilazioni di produzione che producono automaticamente un SBOM) come metrica a livello di programma.

Scansionare contenitori e IaC

Scansionare container e IaC sia nelle pipeline che nei registri dei container.

  • Analizzare i modelli IaC (Terraform, Bicep, ARM, CloudFormation, manifesti Kubernetes, grafici Helm e file Docker) nella pipeline usando l'estensione Microsoft Security DevOps di Azure DevOps. Per altre informazioni, vedere Configurare l'estensione Microsoft Security DevOps di Azure DevOps.
  • Analizzare le immagini dei container nella pipeline e nel registro. L'estensione Microsoft Security DevOps include l'analisi dei contenitori per l'uso della pipeline; Defender per contenitori analizza le immagini in Registro Azure Container e protegge i carichi di lavoro in esecuzione. Per altre informazioni, vedere Panoramica di Microsoft Defender per contenitori.
  • Abilitare le annotazioni della richiesta pull per i risultati di IaC e scansione del codice in modo che i problemi siano commentati nel diff della richiesta pull, con la possibilità di bloccare l'unione a un livello di severità configurato. Per altre informazioni, vedere Abilitare le annotazioni delle richieste pull.
  • Abilitare il mapping dell'immagine del contenitore. Quando si connette Azure DevOps a Defender for Cloud, le immagini del contenitore vengono mappate nuovamente alla pipeline e al repository che li ha generati. Per altre informazioni, vedere Connettere le organizzazioni di Azure DevOps.

Individuare e proteggere le implementazioni di intelligenza artificiale

Usare Ai Security Posture Management (AI-SPM) in Defender for Cloud per inventariare tutti i modelli e i servizi di intelligenza artificiale distribuiti (ad esempio, Azure OpenAI, Copilot Studio, AWS Bedrock o GCP Vertex AI) automaticamente, generare una fattura di intelligenza artificiale, analizzare i percorsi di attacco destinati ai carichi di lavoro di intelligenza artificiale e rilevare minacce come l'inserimento dei prompt e la perdita di dati. Per altre informazioni, vedere Panoramica - Gestione del comportamento di sicurezza dell'intelligenza artificiale.

Accelerare con gli agenti basati su intelligenza artificiale

L'agente di briefing sull'intelligence delle minacce in Microsoft Defender genera briefing personalizzati sull'intelligence delle minacce basati sull'attività in tempo reale degli attori delle minacce, incluse le campagne di attacco emergenti nella catena di fornitura e nei CI/CD rilevanti per il tuo ambiente, con raccomandazioni utili e mappatura del framework MITRE ATT&CK. Per altre informazioni, vedere Microsoft Security Copilot Threat Intelligence Briefing Agent.

Contenuti correlati

  • Last updated on