Containerafbeeldingen van code naar runtime in kaart brengen

Wanneer Defender voor Cloud een beveiligingsprobleem in een containerinstallatiekopie vindt, kan het lastig zijn om die installatiekopie terug te traceren naar de oorspronkelijke CI/CD-pijplijnuitvoering. Deze uitdaging komt vaak voor, ongeacht of de image in een containerregister is opgeslagen of in een Kubernetes-cluster draait. Zonder pijplijncontext is het moeilijker om de juiste ontwikkelaar te vinden en snel herstel te starten. Defender CsPM (Cloud Security Posture Management) bevat DevOps-beveiligingsmogelijkheden waarmee containerworkloads van code naar de cloud worden toegewezen, zodat teams sneller kunnen beginnen met herstel.

Dit artikel legt de beschikbare mappingmethoden uit, de vereisten voor elk en hoe je de resulterende code-naar-runtime mapping in het Azure-portaal kunt verifiëren. Voordat je begint, zorg ervoor dat aan de vereiste Defender CSPM- of Defender for Containers-vereisten is voldaan.

Code to runtime : technische vereisten

De volgende vereisten zijn vereist voor het tot stand brengen van code voor runtimerelaties.

Algemene vereisten (alle methoden)

De volgende vereisten zijn van toepassing, ongeacht de gebruikte toewijzingsmethode:

• Defender CSPM (Cloud Security Posture Management) of Defender voor containers moet zijn ingeschakeld in uw cloudomgeving.
  • Een beperkte set van koppelmogelijkheden is opgenomen in Defender for Containers.
• Containerimages moeten met behulp van een CI/CD-pijplijn worden gebouwd.
  • Images die handmatig zijn gebouwd en gepusht, worden niet ondersteund, hoewel sommige handmatig gebouwde images nog steeds in de koppelingsresultaten kunnen worden weergegeven.
• Containerafbeeldingen moeten zichtbaar of vindbaar zijn voor Defender voor Cloud, ofwel door:
  • Worden opgeslagen in een ondersteund containerregister of
  • Uitvoeren in een ondersteunde Kubernetes-omgeving

Optie 1: Uw codeomgeving verbinden met Defender voor Cloud

Wanneer je een Azure DevOps- of GitHub-omgeving verbindt met Defender voor Cloud, wordt er automatisch een set geautomatiseerde tools geactiveerd. De geautomatiseerde tools beïnvloeden je bestaande DevOps-workflows niet en maken code-naar-runtime mapping mogelijk.

Voor stappen om een codeomgeving te verbinden met Defender voor Cloud, zie:

• Azure DevOps verbinden met Defender voor Cloud
• GitHub verbinden met Defender voor Cloud

Optie 2: Toewijzing op basis van Docker-labels

Koppeling op basis van Docker-labels is afhankelijk van metagegevens die tijdens het bouwen rechtstreeks in de containerimage worden opgenomen. Defender voor Cloud haalt deze metagegevens uit het OCI/Docker image-manifest en gebruikt deze om de images te correleren met de bronrepository.

Voor meer informatie over Docker-labels-gebaseerde mapping, zie:

• Specificatie van annotaties voor OCI Docker-afbeeldingen
• OCI/Docker-labels toevoegen in Azure DevOps
• Labels toevoegen in GitHub
• Handmatig labels opgeven met behulp van de Dockerfile-instructie LABEL

Optie 3: Toewijzing op basis van GitHub-attestations

Toewijzing op basis van Attestation maakt gebruik van cryptografisch verifieerbare herkomstmetagegevens die zijn gegenereerd tijdens GitHub Actions-werkstromen. Deze attestaties koppelen containerafbeeldingen aan hun exacte bronnenrepository, commit en build-identiteit.

Voor meer informatie over attestatie-gebaseerde mapping, zie:

• Artefactattestaties gebruiken om herkomst voor builds tot stand te brengen - GitHub Docs

Verifieer uw code voor de runtimetoewijzing (Azure Portal)

Ongeacht welke mappingmethode je gebruikt (DevOps connector, Docker-labels of GitHub-attestaties), kun je de resulterende code-naar-runtime mapping verifiëren in het Azure-portaal. Het volgende voorbeeld laat zien hoe je mappingresultaten kunt bekijken nadat je een containerimage hebt gebouwd in een Azure DevOps CI/CD-pipeline en deze naar een register hebt gepusht. Gebruik Cloud Security Explorer om de mapping te bekijken:

1. Meld u aan bij het Azure-portaal.

2. Ga naar Microsoft Defender voor Cloud>Cloud Security Explorer. Het kan tot vier uur duren voordat de toewijzing van containerimages wordt weergegeven.

3. Als u de basistoewijzing wilt zien, selecteert u Container Images>+>gepusht door code repositories.

   

4. (Optioneel) Selecteer + by Container Images om filters toe te voegen aan uw query, zoals Beveiligingsproblemen, om alleen containerinstallatiekopieën weer te geven met veelvoorkomende beveiligingsproblemen en blootstellingen (CVE's).

5. Nadat u de query hebt uitgevoerd, ziet u de koppeling tussen het containerregister en de pijplijn. Selecteer ... naast de verbindingslijn (rand) voor meer informatie.

   

Volgende stappen 

• Zie DevOps-beveiliging in Defender voor Cloud voor meer informatie.
• Zie Code to Runtime voor aanbevelingen voor meer informatie.