Compartir a través de

Proteja sus DevOps de Azure

  • Artículo

Azure DevOps Services | Azure DevOps Server 2022: Azure DevOps Server 2019

Al controlar la información y los datos, especialmente en una solución basada en la nube, como Azure DevOps Services, la seguridad debe ser la prioridad más alta. Aunque Microsoft garantiza la seguridad de la infraestructura de nube subyacente, es su responsabilidad configurar la seguridad en Azure DevOps. En este artículo se proporciona información general sobre las configuraciones necesarias relacionadas con la seguridad para proteger el entorno de Azure DevOps frente a amenazas y vulnerabilidades.

Protección de la red

La protección de la red es fundamental cuando se trabaja con Azure DevOps para proteger los datos y los recursos frente al acceso no autorizado y las posibles amenazas. Implemente medidas de seguridad de red para garantizar que solo los orígenes de confianza puedan acceder al entorno de Azure DevOps. Para proteger la red cuando trabaje con Azure DevOps, realice las siguientes acciones:

  • Configurar la lista de permitidos de IP: Restringir el acceso a direcciones IP específicas para permitir el tráfico solo desde orígenes de confianza, lo que reduce la superficie expuesta a ataques. Para obtener más información, consulte Configuración de la lista de direcciones IP permitidas.
  • Usar cifrado de datos: cifrar siempre los datos en tránsito y en reposo. Proteger los canales de comunicación mediante protocolos como HTTPS. Para obtener más información, consulte Uso del cifrado de datos.
  • Validar certificados: Asegurarse de que los certificados son válidos y emitidos por las autoridades de confianza al establecer conexiones. Para obtener mayor información, consulte Validar certificados.
  • Implementar firewalls de aplicaciones web (WAF): Filtro, Supervisión y Bloqueo de tráfico malintencionado en internet mediante WAF para una capa adicional de protección contra ataques comunes. Para obtener más información, consulte Implementación de firewalls de aplicaciones web (WAFs).
  • Habilitar grupos de seguridad de red (NSGs): Use los NSGs para controlar el tráfico entrante y saliente a los recursos de Azure, lo que garantiza que solo se permita el tráfico autorizado. Para obtener más información, consulte la descripción general de los grupos de seguridad de red (NSG) .
  • Uso de Azure Firewall: Implementación de Azure Firewall para proporcionar una directiva de seguridad de red centralizada en varias suscripciones y redes virtuales de Azure. Para obtener mayor información, consulte la Descripción general de Azure Firewall.
  • Supervisar el tráfico de red: Use Azure Network Watcher para supervisar y diagnosticar problemas de red, lo que garantiza la seguridad y el rendimiento de la red. Para obtener mayor información, consulte la Descripción general de Azure Network Watcher.
  • Implementación de la protección contra DDoS: Habilitación de Azure DDoS Protection para proteger las aplicaciones frente a ataques de denegación de servicio distribuido (DDoS). Para más información, consulte Azure DDoS Protection.

Para obtener más información, consulte Procedimientos recomendados de administración de aplicaciones.

Protección del entorno de Azure DevOps

Para asegurarse de que el entorno de Azure DevOps cumple con los estándares y las regulaciones del sector, implemente las medidas de seguridad y las directivas. El cumplimiento de estándares como ISO/IEC 27001, SOC 1/2/3 y el Reglamento general de protección de datos (RGPD) ayuda a proteger su entorno y mantener la confianza con los usuarios.

  • Garantizar el cumplimiento de los estándares del sector: Azure DevOps cumple con diversos estándares y reglamentos del sector, como ISO/IEC 27001, SOC 1/2/3 y RGPD. Asegúrese de que el entorno cumple estos estándares.
  • Aplicar directivas: Implementar directivas para aplicar procedimientos recomendados de seguridad en toda la organización. Esta acción incluye requerir revisiones de código y la aplicación de directivas de rama , políticas de cumplimiento para canalizaciones, y políticas de seguridad .
  • Incorporación de la Gobernanza de componentes para CI / CD debido a las siguientes razones:
    • Detección de vulnerabilidades de seguridad: le avisa de las vulnerabilidades conocidas en los componentes de código abierto.
    • Cumplimiento de licencias: garantiza que los componentes cumplan las directivas de licencias de su organización.
    • Cumplimiento de directivas: garantiza que solo se usan versiones aprobadas.
    • Visibilidad con seguimiento: proporciona visibilidad de los componentes entre repositorios para facilitar la administración.

Administración de permisos de proyecto y de nivel de organización

  • Limitar el acceso a proyectos y repositorios: Reducir el riesgo de pérdida de información confidencial e implementar código no seguro limitando el acceso a proyectos y repositorios. Use grupos de seguridad integrados o personalizados para administrar permisos. Para obtener más información, consulte Limitar el acceso a proyectos y repositorios.
  • Deshabilitar "Permitir proyectos públicos": En la configuración de directiva de la organización, deshabilite la opción para crear proyectos públicos. Cambie la visibilidad del proyecto de público a privado según sea necesario. Los usuarios que nunca han iniciado sesión tienen acceso de solo lectura a proyectos públicos, mientras que a los usuarios que han iniciado sesión se les puede conceder acceso a proyectos privados y realizar cambios permitidos. Para obtener más información, consulte Cambie las políticas de conexión y seguridad de aplicaciones para su organización.
  • Restringir la creación de la organización: Impedir que los usuarios creen nuevos proyectos para mantener el control sobre el entorno. Para obtener mayor información, consulte Restringir la creación de organizaciones a través de la directiva de inquilinos de Microsoft Entra.

Uso de características y herramientas de seguridad

Las siguientes características y herramientas de seguridad pueden ayudarle a supervisar, administrar y mejorar la seguridad de los proyectos:

  • Usar OAuth en lugar de tokens de acceso personal (PAT): Usar flujo de OAuth en lugar de PAT y no usar cuentas personales de GitHub como conexiones de servicio. Para obtener mayor información, consulte la Descripción general de OAuth.
  • Utilizar el escaneo y análisis de código: Utilizar herramientas como Microsoft Defender para examinar el código en busca de vulnerabilidades, secretos y configuraciones incorrectas. Esta acción ayuda a identificar y corregir problemas de seguridad al principio del proceso de desarrollo.
  • Use el Administrador de Credenciales de Git: Soporte de autenticación de dos factores con repositorios GitHub y autentique en los repositorios de Azure. Para obtener más información, consulte Configuración del Administrador de credenciales de Git.
  • Usar el analizador de credenciales de Azure DevOps (CredScan) para GitHub: Cuando se usa una identidad administrada no es una opción, asegúrese de que las credenciales se almacenan en ubicaciones seguras, como Azure Key Vault, en lugar de insertarlas en los archivos de código y configuración. Implemente El analizador de credenciales de Azure DevOps para identificar las credenciales en el código. Para obtener más información, consulte Introducción a CredScan.
  • Usar el escaneo de secretos nativos para GitHub: Cuando usar una identidad administrada no es una opción, asegúrese de que los secretos se almacenen en ubicaciones seguras, como Azure Key Vault, en lugar de integrarlos en los archivos de código y configuración. Use la característica de análisis de secretos nativos para identificar secretos dentro del código. Para obtener mayor información, consulte Acerca del escaneo secreto.

Para obtener mayor información, consulte la Descripción general de la seguridad avanzada de GitHub.

Asegura tus servicios

Para garantizar la seguridad e integridad de los servicios en Azure DevOps, implemente medidas de seguridad para cada servicio. Estas medidas incluyen la configuración de permisos, la administración del acceso y el uso de características de seguridad específicas de cada servicio.

Control del acceso

Proporcione los permisos mínimos necesarios y niveles de acceso para asegurarse de que solo los usuarios y servicios autorizados puedan acceder a la información confidencial y realizar acciones críticas. Esta práctica ayuda a minimizar el riesgo de acceso no autorizado y posibles infracciones de datos.

Revise y actualice periódicamente esta configuración para adaptarse a los cambios de su organización, como cambios de rol, nuevas contrataciones o salidas. La implementación de una auditoría periódica de permisos y niveles de acceso puede ayudar a identificar y corregir las discrepancias, lo que garantiza que la posición de seguridad sigue siendo sólida y alineada con los procedimientos recomendados.

Permisos de ámbito

Para garantizar una administración segura y eficaz de los permisos, delimite correctamente los permisos dentro del entorno de Azure DevOps. Los permisos de ámbito implican definir y asignar el nivel de acceso adecuado a los usuarios y grupos en función de sus roles y responsabilidades. Esta práctica ayuda a minimizar el riesgo de acceso no autorizado y posibles infracciones de datos al garantizar que solo las personas autorizadas tengan acceso a información confidencial y acciones críticas.

Para definir el ámbito de los permisos de forma eficaz, realice las siguientes acciones:

  • Deshabilitar herencia: Evitar herencia, lo que impide el acceso no deseado. La herencia puede otorgar permisos inadvertidamente a los usuarios que no deben tenerlos, debido a su naturaleza al permitirlo de forma predeterminada. Administre y establezca explícitamente los permisos para asegurarse de que solo los usuarios previstos tengan acceso. Para obtener mayor información, consulte los Permisos de herencia.
  • entornos de segmento: Usar cuentas de Azure independientes para distintos entornos, como desarrollo, pruebas y producción, para mejorar la seguridad y evitar conflictos. Este enfoque minimiza el riesgo de conflictos de recursos y contaminación de datos entre entornos y permite una mejor administración y aislamiento de los recursos. Para obtener mayor información, consulte la Zona de Aterrizaje Azul.
  • Controlar el acceso y garantizar el cumplimiento: Use Azure Policy para restringir el acceso a las regiones y servicios de Azure sin usar, lo que garantiza el cumplimiento de los estándares de la organización. Esta acción ayuda a aplicar los procedimientos recomendados y a mantener un entorno seguro evitando el acceso y el uso no autorizados. Para obtener mayor información, consulte la Política general de Azure Firewall.
  • Implementación del control basado en rol (ABAC) de Azure: Uso de ABAC con recursos etiquetados correctamente, lo que limita el acceso no autorizado. Esta acción garantiza que se concedan permisos de acceso en función de atributos específicos, lo que mejora la seguridad al impedir la creación y el acceso no autorizados de recursos. Para más información, consulte Implementación del control basado en rol (ABAC) de Azure.
  • Usar grupos de seguridad: Usar grupos de seguridad para administrar de forma eficaz los permisos de varios usuarios. Este método simplifica la concesión y revocación de acceso en comparación con la asignación de permisos individualmente y garantiza la coherencia y la administración más sencilla en toda la organización.
    • Use microsoft Entra ID, Active Directory o grupos de seguridad de Windows cuando administre muchos usuarios.
    • Aproveche las ventajas de los roles integrados y use por defecto el rol de Colaborador para desarrolladores. Los administradores se asignan al grupo de seguridad Administrador de proyectos para permisos elevados, lo que les permite configurar permisos de seguridad.
    • Mantenga los grupos lo más pequeños posible y restrinja el acceso.
    • Para obtener más información, consulte Administrar grupos de seguridad.
  • Elija el método de autenticación correcto: Configurar métodos de autenticación seguros y administrar directivas de autorización. Para obtener más información, consulte la sección Elegir el método de autenticación correcto de este artículo y métodos de autenticación.
  • Integrar con Microsoft Entra ID: Usar Microsoft Entra ID para la administración unificada de identidades. Para obtener más información, consulte Conexión de la organización a Microsoft Entra ID.
  • Habilitar la autenticación multifactor de Microsoft Entra (MFA): Agregar una capa adicional de seguridad con MFA. Para obtener más información, consulte Habilitación de la autenticación multifactor de Microsoft Entra.
  • Cambiar directivas de seguridad: Administrar directivas de seguridad, incluido el acceso condicional. para obtener mayor información, consulte Cambiar la conexión de la aplicación & y las políticas de seguridad de su organización.

Para obtener más información sobre los permisos, consulte los artículos siguientes:

Elección del método de autenticación adecuado

Al elegir el método de autenticación adecuado para el entorno de Azure DevOps, tenga en cuenta las ventajas de seguridad y administración de diferentes opciones. El uso de métodos de autenticación seguros ayuda a proteger los recursos y garantiza que solo los usuarios y servicios autorizados puedan acceder al entorno de Azure DevOps. Considere la posibilidad de usar entidades de servicio, identidades administradas y Microsoft Entra para mejorar la seguridad y simplificar la administración del acceso.

  • Use las entidades de servicio: Represente objetos de seguridad dentro de la aplicación Microsoft Entra. Defina lo que una aplicación puede hacer en un inquilino determinado. Configúrelo durante el registro de la aplicación en el portal de Azure. Configurar para acceder a recursos de Azure, incluyendo Azure DevOps. Resulta útil para las aplicaciones que necesitan acceso y control específicos.
  • Use identidades administradas: Similar al principal del servicio de la aplicación. Proporcione identidades para los recursos de Azure. Permitir que los servicios que admiten la autenticación de Microsoft Entra compartan credenciales. Azure controla automáticamente la administración y la rotación de credenciales. Ideal para lograr una gestión perfecta de los detalles de inicio de sesión.
  • Use la identificación de Microsoft Entra:

Administrar el acceso de invitado externo

Para garantizar la seguridad y la administración adecuada del acceso de invitado externo, implemente medidas específicas que controlen y supervisen cómo interactúan los usuarios externos con el entorno de Azure DevOps. El acceso de invitado externo puede presentar posibles riesgos de seguridad si no se administra correctamente. Al seguir estas acciones, puede minimizar estos riesgos y asegurarse de que los invitados externos tengan el nivel de acceso adecuado sin poner en peligro la seguridad de su entorno.

  • Bloquee el acceso de los invitados externos: Deshabilite la Política de "Permitir que se envíen invitaciones a cualquier dominio" para evitar el acceso de los invitados externos de no ser necesario para el negocio.
  • Usar correos electrónicos o UPN distintos: Usar diferentes direcciones de correo electrónico o nombres principales de usuario (UPN) para cuentas personales y empresariales para eliminar la ambigüedad entre cuentas personales y relacionadas con el trabajo.
  • Agrupar usuarios invitados externos: Colocar todos los usuarios invitados externos en un único grupo de Microsoft Entra y administrar los permisos de este grupo de forma adecuada. Quite las asignaciones directas para asegurarse de que las reglas de grupo se aplican a estos usuarios.
  • Reevaluar reglas periódicamente: revisar regularmente las reglas en la pestaña Reglas de grupo de la página Usuarios. Considere cualquier cambio de pertenencia a grupos en el identificador de Microsoft Entra que pueda afectar a su organización. El id. de Entra de Microsoft puede tardar hasta 24 horas en actualizar la pertenencia dinámica a grupos y las reglas se vuelven a evaluar automáticamente cada 24 horas y cada vez que cambia una regla de grupo.

Para obtener mayor información, consulte los Invitados de negocio a negocio (B2B por sus siglas en inglés) en la identificación de Microsoft Entra.

Implementar confianza cero

Para mejorar la seguridad, adopte principios de confianza cero en los procesos de DevOps. Este enfoque garantiza que todas las solicitudes de acceso se comprueben exhaustivamente, independientemente de su origen. Confianza cero funciona en el principio de "nunca confiar, comprobar siempre", lo que significa que ninguna entidad, ya sea dentro o fuera de la red, es de confianza de forma predeterminada. Al implementar Confianza cero, puede reducir significativamente el riesgo de infracciones de seguridad y asegurarse de que solo los usuarios y dispositivos autorizados puedan acceder a los recursos.

Para obtener más información, consulte la guía de evaluación de confianza cero .

Quitar usuarios

Para asegurarse de que solo los usuarios activos y autorizados tengan acceso al entorno de Azure DevOps, revise y administre periódicamente el acceso de los usuarios. La eliminación de usuarios inactivos o no autorizados ayuda a mantener un entorno seguro y reduce el riesgo de posibles infracciones de seguridad. Al seguir estas acciones, puede asegurarse de que el entorno de Azure DevOps permanece seguro y que solo los usuarios necesarios tienen acceso.

  • Elimine los usuarios inactivos de las cuentas de Microsoft (MSA por sus siglas en inglés): Elimine directamente a los usuarios inactivos de su organización si están utilizando MSAs. No se pueden crear consultas para elementos de trabajo asignados a cuentas de MSA eliminadas. Para obtener mayor información, consulte Eliminar usuarios de su organización.
  • Deshabilitar o eliminar cuentas de usuario de Microsoft Entra: Si está conectado a Microsoft Entra ID, deshabilite o elimine la cuenta de usuario de Microsoft Entra mientras mantiene activa la cuenta de usuario de Azure DevOps. Esta acción le permite seguir consultando el historial de elementos de trabajo mediante el identificador de usuario de Azure DevOps.
  • Revocar PAT de usuario: Garantizar la administración segura de estos tokens de autenticación críticos revisando y revocando periódicamente las PAT de usuario existentes. Para obtener mayor información, consulte Revocar PATs del usuario para administradores.
  • revocar permisos especiales concedidos a usuarios individuales: Auditar y revocar los permisos especiales concedidos a usuarios individuales para garantizar la alineación con el principio de privilegios mínimos.
  • Reasignar el trabajo de los usuarios eliminados: Antes de eliminar usuarios, reasigne sus elementos de trabajo a los miembros actuales del equipo para distribuir la carga de forma eficaz.

Cuentas de servicio de ámbito

Las cuentas de servicio se usan para ejecutar procesos y servicios automatizados, y a menudo tienen permisos elevados. Al determinar y administrar correctamente las cuentas de servicio, puede minimizar los riesgos de seguridad y asegurarse de que estas cuentas se usan correctamente.

  • Crear cuentas de servicio de uso único: Cada servicio debe tener su cuenta dedicada para minimizar el riesgo. Evite usar cuentas de usuario normales como cuentas de servicio .
  • Use el Administrador de los Recursos de Azure: Autentique con los recursos de Azure mediante la federación de identidades de carga de trabajo con un registro de aplicación o una identidad administrada en lugar de usar el registro de aplicación con un secreto. Para más información, consulte Utilice Azure Resource Manager.
  • Identifique y deshabilite las cuentas de servicio que no se usan: Revise e identifique regularmente las cuentas que ya no se usan. Deshabilite las cuentas sin usar antes de considerar la eliminación.
  • Restringir privilegios: Limitar los privilegios de la cuenta de servicio al mínimo necesario. Evite derechos de inicio de sesión interactivos para las cuentas de servicio.
  • Usar identidades independientes para lectores de informes: Si utiliza cuentas de dominio para cuentas de servicio, emplee una identidad distinta para los lectores de informes para aislar los permisos y evitar accesos innecesarios.
  • Usar cuentas locales para instalaciones de grupo de trabajo: Al instalar componentes en un grupo de trabajo, use cuentas locales para cuentas de usuario. Evite las cuentas de dominio en este escenario.
  • Usar conexiones de servicio: Usar conexiones de servicio siempre que sea posible para conectarse de forma segura a los servicios sin pasar variables secretas directamente a las compilaciones. Restringir las conexiones a casos de uso específicos. para obtener mayor información, consulte la sección de las Conexiones de servicio de alcance en este artículo.
  • Supervisión de la actividad de la cuenta de servicio: Implementar auditoría y crear flujos de auditoría para supervisar la actividad de la cuenta de servicio.

Conexiones de servicio de ámbito

Para garantizar un acceso seguro y eficaz a los recursos de Azure, debe definir correctamente el ámbito de las conexiones de servicio. Las conexiones de servicio permiten a Azure DevOps conectarse a servicios y recursos externos y, al definir el ámbito de estas conexiones, puede limitar el acceso solo a los recursos necesarios y reducir el riesgo de acceso no autorizado.

  • Limite el acceso: Limite el acceso al determinar el alcance de las conexiones de servicio a recursos y grupos específicos de su Administrador de Recursos de Azure. No conceda derechos de colaborador amplios en toda la suscripción de Azure.
  • Use el Administrador de los Recursos de Azure: Autentique con los recursos de Azure mediante la federación de identidades de carga de trabajo con un registro de aplicación o una identidad administrada en lugar de usar el registro de aplicación con un secreto. Para más información, consulte Creación de una conexión de servicio de Azure Resource Manager que usa la federación de identidades de carga de trabajo.
  • Alcance de los grupos de recursos: Asegúrese de que los grupos de recursos contienen únicamente las Máquinas Virtuales (VM) o los recursos necesarios para el proceso de compilación.
  • Evitar conexiones de servicio clásicas: Optar por conexiones de servicio modernas de Azure Resource Manager en lugar de las clásicas, que carecen de opciones de ámbito.
  • Use las cuentas de servicio del equipo específicas para un propósito: Autentique las conexiones del servicio usando cuentas del servicio del equipo específicas para mantener la seguridad y el control.

Para más información, consulte Tipos de conexión de servicio comunes.

Habilitación y revisión de eventos de auditoría

Para mejorar la seguridad y supervisar los patrones de uso dentro de su organización, habilite y revise periódicamente los eventos de auditoría. La auditoría ayuda a realizar un seguimiento de las acciones del usuario, los cambios de permisos y los incidentes de seguridad, lo que le permite identificar y solucionar posibles problemas de seguridad rápidamente.

  • Habilitar auditoría: Seguimiento y visualización de eventos relacionados con acciones de usuario, permisos, cambios e incidentes de seguridad. Para obtener más información, vea Habilitar o deshabilitar la auditoría.
  • Revisar eventos de auditoría periódicamente: revisar periódicamente los registros de auditoría para supervisar las actividades del usuario y detectar cualquier comportamiento sospechoso. Busca patrones de uso inesperados, especialmente por parte de los administradores y otros usuarios. Esta acción ayuda a identificar posibles infracciones de seguridad y a tomar medidas correctivas. Para obtener mayor información, consulte Revisar el registro de auditoría y los Eventos de auditoría.
  • Configurar alertas de seguridad: Configurar alertas para notificarle cualquier incidente de seguridad o infracciones de directiva. Esta acción garantiza una respuesta oportuna a posibles amenazas.

Protección de los datos

Para garantizar la seguridad e integridad de los datos, implemente medidas de protección de datos. La protección de los datos implica estrategias de cifrado, copia de seguridad y recuperación para proteger contra la pérdida de datos y el acceso no autorizado.

  • Proteger los datos: Proteger los datos mediante estrategias de cifrado, copia de seguridad y recuperación. Para obtener más información, consulte Protección de datos.
  • Agregar direcciones IP y direcciones URL a la lista de permitidos: Si la organización está protegida con un firewall o servidor proxy, agregue direcciones IP y direcciones URL a la lista de permitidos. Para obtener más información, consulte Direcciones IP permitidas y direcciones URL de dominio.