Konfigurieren der Azure DevOps-Erweiterung von Microsoft Security DevOps

• Administratorberechtigungen für die Projektsammlung für die Azure DevOps-Organisation sind erforderlich, um die Erweiterung zu installieren.

Wenn Sie keinen Zugriff zum Installieren der Erweiterung haben, müssen Sie während des Installationsvorgangs den Zugriff vom Administrator Ihrer Azure DevOps-Organisation anfordern.

So konfigurieren Sie die Azure DevOps-Erweiterung von Microsoft Security DevOps

1. Melden Sie sich bei Azure DevOps an.

2. Navigieren Sie zu Warenkorb>Erweiterungen verwalten.

   

3. Wählen Sie Freigegeben aus.

   Hinweis

   Wenn Sie die Microsoft Security DevOps-Erweiterung bereits installiert haben, ist sie auf der Registerkarte Installiert aufgeführt.

4. Wählen Sie Microsoft Security DevOps aus.

   

5. Wählen Sie Installieren aus.

6. Wählen Sie im Dropdownmenü die entsprechende Organisation aus.

7. Wählen Sie Installieren aus.

8. Wählen Sie Mit Organisation fortfahren aus.

So konfigurieren Sie Ihre Pipeline mithilfe von YAML

1. Melden Sie sich bei Azure DevOps an.

2. Wählen Sie Ihr Projekt aus.

3. Navigieren Sie zu Pipelines.

4. Wählen Sie Neue Pipeline aus.

   

5. Wählen sie Azure Repos Git aus.

   

6. Wählen Sie das relevante Repository aus.

   

7. Wählen Sie Starterpipeline aus.

   

8. Fügen Sie den folgenden YAML-Code in die Pipeline ein:

   # Starter pipeline
   # Start with a minimal pipeline that you can customize to build and deploy your code.
   # Add steps that build, run tests, deploy, and more:
   # https://aka.ms/yaml
   trigger: none
   pool:
     # ubuntu-latest also supported.
     vmImage: 'windows-latest'
   steps:
   - task: MicrosoftSecurityDevOps@1
     displayName: 'Microsoft Security DevOps'
     # inputs:    
       # config: string. Optional. A file path to an MSDO configuration file ('*.gdnconfig'). Vist the MSDO GitHub wiki linked below for additional configuration instructions
       # policy: 'azuredevops' | 'microsoft' | 'none'. Optional. The name of a well-known Microsoft policy to determine the tools/checks to run. If no configuration file or list of tools is provided, the policy may instruct MSDO which tools to run. Default: azuredevops.
       # categories: string. Optional. A comma-separated list of analyzer categories to run. Values: 'code', 'artifacts', 'IaC', 'containers'. Example: 'IaC, containers'. Defaults to all.
       # languages: string. Optional. A comma-separated list of languages to analyze. Example: 'javascript,typescript'. Defaults to all.
       # tools: string. Optional. A comma-separated list of analyzer tools to run. Values: 'bandit', 'binskim', 'checkov', 'eslint', 'templateanalyzer', 'terrascan', 'trivy'. Example 'templateanalyzer, trivy'
       # break: boolean. Optional. If true, will fail this build step if any high severity level results are found. Default: false.
       # publish: boolean. Optional. If true, will publish the output SARIF results file to the chosen pipeline artifact. Default: true.
       # artifactName: string. Optional. The name of the pipeline artifact to publish the SARIF result file to. Default: CodeAnalysisLogs*.
     
   

   Hinweis

   Der artifactName „CodeAnalysisLogs“ ist für die Integration in Defender for Cloud erforderlich. Weitere Toolkonfigurationsoptionen und Umgebungsvariablen finden Sie im Wiki zu Microsoft Security DevOps

9. Wählen Sie Speichern und ausführen aus, um die Pipeline zu committen.

   Die Pipeline wird einige Minuten lang ausgeführt und speichert die Ergebnisse.

   Hinweis

   Installieren Sie die SARIF SAST-Erweiterung für die Registerkarte „Überprüfungen“ in der Azure DevOps-Organisation, um sicherzustellen, dass die generierten Analyseergebnisse automatisch auf der Registerkarte „Überprüfungen“ angezeigt werden.

Während Defender for Cloud die MSDO CLI für standardisierte Funktionen und Richtlinienkontrollen für eine Reihe von Open-Source-Sicherheitsanalysatoren bereitstellt, haben Sie die Flexibilität, Ergebnisse von anderen Sicherheitstools von Drittanbietern, die Sie möglicherweise in CI/CD-Pipelines konfiguriert haben, in Defender for Cloud hochzuladen, um eine umfassende Code-to-Cloud-Kontextualisierung zu erhalten. Alle in Defender for Cloud hochgeladenen Ergebnisse müssen im standardmäßigen SARIF-Format vorliegen.

Stellen Sie zunächst sicher, dass für Ihre Azure DevOps-Repositorys in Defender for Cloud das Onboarding durchgeführt wurde. Nach dem erfolgreichen Onboarding überwacht Defender for Cloud kontinuierlich das „CodeAnalysisLogs“-Artefakt auf die SARIF-Ausgabe.

Sie können die Aufgabe „PublishBuildArtifacts@1“ verwenden, um sicherzustellen, dass die SARIF-Ausgabe auf das richtige Artefakt veröffentlicht wird. Wenn ein Sicherheitsanalysator beispielsweise die Datei results.sarif ausgibt, können Sie die folgende Aufgabe in Ihrem Auftrag konfigurieren, um sicherzustellen, dass die Ergebnisse in Defender for Cloud hochgeladen werden: