Skanowanie połączonego repozytorium GitHub lub projektu usługi Azure DevOps

Możesz skonfigurować usługę rozwiązania zabezpieczające firmy Microsoft DevOps do skanowania połączonego repozytorium GitHub lub projektu usługi Azure DevOps. Użyj akcji GitHub lub rozszerzenia Azure DevOps, aby uruchomić rozwiązania zabezpieczające firmy Microsoft DevOps tylko na kodzie źródłowym infrastruktury jako kodu (IaC) i pomóc zmniejszyć czas działania potoku.

W tym artykule pokazano, jak zastosować plik konfiguracji YAML szablonu w celu zeskanowania połączonego repozytorium lub projektu specjalnie pod kątem problemów z zabezpieczeniami IaC z użyciem reguły rozwiązania zabezpieczające firmy Microsoft DevOps. Zanim zaczniesz, upewnij się, że masz podłączone repozytorium GitHub lub projekt Azure DevOps i przejrzyj wymagania wstępne.

Wymagania wstępne

Skonfiguruj i uruchom akcję GitHub, aby skanować połączony kod źródłowy IaC

Aby skonfigurować akcję i wyświetlić wyniki skanowania w usłudze GitHub:

  1. Zaloguj się do usługi GitHub.

  2. Przejdź do strony głównej repozytorium.

  3. W katalogu plików wybierz pozycję .github>workflows>msdevopssec.yml.

    Aby uzyskać więcej informacji na temat pracy z akcją w usłudze GitHub, zobacz Wymagania wstępne.

  4. Wybierz ikonę Edytuj ten plik (ołówek).

    Zrzut ekranu przedstawiający ikonę Edytuj ten plik dla pliku msdevopssec.yml.

  5. W sekcji Run analyzers pliku YAML dodaj następujący kod, aby umożliwić skanowanie Infrastructure as Code:

    with:
    categories: 'IaC'

    Note

    Wartości są rozróżniane według wielkości liter.

    Poniższy zrzut ekranu pokazuje przykład zaktualizowanej konfiguracji YAML:

    Zrzut ekranu przedstawiający informacje do dodania do pliku YAML.

  6. Wybierz Zatwierdź zmiany . .

  7. Wybierz pozycję Zatwierdź zmiany.

    Zrzut ekranu pokazujący, gdzie wybrać pozycję Zatwierdź zmiany na stronie usługi GitHub.

  8. (Opcjonalnie) Dodaj szablon IaC do repozytorium. Jeśli masz już szablon IaC w repozytorium, pomiń ten krok.

    Na przykład zatwierdź szablon IaC, którego można użyć do wdrożenia podstawowej aplikacji internetowej systemu Linux.

    1. Wybierz plik azuredeploy.json .

      Zrzut ekranu przedstawiający lokalizację pliku azuredeploy.json.

    2. Wybierz Surowe.

    3. Skopiuj wszystkie informacje w pliku, tak jak w poniższym przykładzie:

      {
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "webAppName": {
      "type": "string",
      "defaultValue": "AzureLinuxApp",
      "metadata": {
        "description": "The base name of the resource, such as the web app name or the App Service plan."
      },
      "minLength": 2
    },
    "sku": {
      "type": "string",
      "defaultValue": "S1",
      "metadata": {
        "description": "The SKU of the App Service plan."
      }
    },
    "linuxFxVersion": {
      "type": "string",
      "defaultValue": "php|7.4",
      "metadata": {
        "description": "The runtime stack of the current web app."
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "The location for all resources."
      }
    }
  },
  "variables": {
    "webAppPortalName": "[concat(parameters('webAppName'), '-webapp')]",
    "appServicePlanName": "[concat('AppServicePlan-', parameters('webAppName'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Web/serverfarms",
      "apiVersion": "2020-06-01",
      "name": "[variables('appServicePlanName')]",
      "location": "[parameters('location')]",
      "sku": {
        "name": "[parameters('sku')]"
      },
      "kind": "linux",
      "properties": {
        "reserved": true
      }
    },
    {
      "type": "Microsoft.Web/sites",
      "apiVersion": "2020-06-01",
      "name": "[variables('webAppPortalName')]",
      "location": "[parameters('location')]",
      "kind": "app",
      "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('appServicePlanName'))]"
      ],
      "properties": {
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('appServicePlanName'))]",
        "siteConfig": {
          "linuxFxVersion": "[parameters('linuxFxVersion')]"
        }
      }
    }
  ]
}

    4. W repozytorium GitHub przejdź do folderu .github/workflows .

    5. Wybierz pozycję Dodaj plik>Utwórz nowy plik.

      Zrzut ekranu przedstawiający sposób tworzenia nowego pliku.

    6. Wprowadź nazwę pliku.

    7. Wklej skopiowane informacje w pliku.

    8. Wybierz pozycję Zatwierdź nowy plik.

    Plik szablonu jest dodawany do repozytorium.

    Zrzut ekranu przedstawiający dodanie nowego utworzonego pliku do repozytorium.

  9. Sprawdź, czy skanowanie usługi rozwiązania zabezpieczające firmy Microsoft DevOps zostało zakończone:

    1. W repozytorium wybierz pozycję Akcje.

    2. Wybierz przepływ pracy, aby wyświetlić stan akcji.

  10. Aby zobaczyć wyniki skanowania, użyj jednej z następujących opcji:

    • Przejdź do Defender for> security. Ta opcja nie wymaga licencji GitHub Advanced Security (GHAS).
    • Jeśli masz licencję GitHub Advanced Security (GHAS), przejdź do> Natywnego skanowaniaalertów Security Code w GitHub.

Konfigurowanie i uruchamianie rozszerzenia usługi Azure DevOps w celu skanowania połączonego kodu źródłowego IaC

Aby skonfigurować rozszerzenie i wyświetlić wyniki skanowania w usłudze Azure DevOps:

  1. Zaloguj się do Azure DevOps.

  2. Wybierz projekt.

  3. Wybierz pozycję Potoki danych.

  4. Wybierz potok, w którym skonfigurowano rozszerzenie usługi Azure DevOps dla usługi rozwiązania zabezpieczające firmy Microsoft DevOps.

  5. Wybierz Edytuj pipeline.

  6. W pliku displayName konfiguracyjnym YAML potoku poniżej linii zadania MicrosoftSecurityDevOps@1 dodaj następujący kod, aby umożliwić skanowanie Infrastructure as Code:

    inputs:
    categories: 'IaC'

    Poniższy zrzut ekranu pokazuje przykład konfiguracji YAML potoku z dodaną kategorią IaC:

    Zrzut ekranu pokazujący, gdzie dodać wiersz kategorii IaC w pliku konfiguracji potoku YAML.

  7. Wybierz opcję Zapisz.

  8. (Opcjonalnie) Dodaj szablon IaC do projektu usługi Azure DevOps. Jeśli masz już szablon IaC w projekcie, pomiń ten krok.

  9. Wybierz, czy zatwierdzić bezpośrednio do gałęzi głównej, czy utworzyć nową gałąź dla zatwierdzenia, a następnie wybierz pozycję Zapisz.

  10. Aby wyświetlić wyniki skanowania IaC, wybierz pozycję Potoki, a następnie wybierz zmodyfikowany potok.

  11. Aby zobaczyć więcej szczegółów, wybierz wybrane uruchomienie potoku.

Wyświetlanie szczegółów i informacji dotyczących działań naprawczych dla zastosowanych reguł IaC

Narzędzia do skanowania IaC dołączone do metodyki rozwiązania zabezpieczające firmy Microsoft DevOps to Analizator szablonów (PSRule jest dołączony do analizatora szablonów), Checkov i Terrascan.

Analizator szablonów uruchamia reguły w szablonach usługi Azure Resource Manager (szablonach usługi ARM) i szablonach Bicep. Zobacz reguły Template Analyzer i szczegóły korygowania.

Narzędzie Terrascan uruchamia reguły dotyczące szablonów ARM oraz szablonów CloudFormation, Docker, Helm, Kubernetes, Kustomize i Terraform. Zobacz reguły Terrascan.

Chekov uruchamia reguły dotyczące szablonów ARM oraz szablonów CloudFormation, Docker, Helm, Kubernetes, Kustomize i Terraform. Zobacz reguły checkov.

Aby dowiedzieć się więcej na temat narzędzi do skanowania IaC dołączonych do usługi rozwiązania zabezpieczające firmy Microsoft DevOps, zobacz:

Treści powiązane

W tym artykule przedstawiono sposób konfigurowania akcji usługi GitHub i rozszerzenia usługi Azure DevOps dla usługi rozwiązania zabezpieczające firmy Microsoft DevOps w celu skanowania pod kątem błędów konfiguracji zabezpieczeń IaC i wyświetlania wyników.

Aby uzyskać więcej informacji:

  • Last updated on