Azure DevOps용 GitHub Advanced Security 구성

아티클
10/24/2024

Azure DevOps용 GitHub Advanced Security는 Azure Repos에 GitHub Advanced Security의 보안 기능 제품군을 추가합니다.

Azure DevOps용 GitHub Advanced Security에는 다음이 포함됩니다.

비밀 검색 푸시 보호: 코드 푸시에 자격 증명과 같은 비밀을 노출하는 커밋이 포함되어 있는지 확인합니다.
비밀 검사 리포지토리 검사: 리포지토리를 스캔하고 실수로 커밋된 노출된 비밀을 찾습니다.
종속성 검사 – 오픈 소스 종속성에서 알려진 취약성 검색(직접 및 전이적)
코드 검색 – CodeQL 정적 분석 엔진을 사용하여 SQL 삽입 및 인증 바이패스와 같은 코드 수준 애플리케이션 취약성 식별

현재 Azure DevOps용 GitHub Advanced Security는 Azure DevOps Services에서만 사용할 수 있으며 이 제품을 Azure DevOps Server로 가져올 계획은 없습니다. Azure DevOps용 GitHub Advanced Security는 코드 Git 리포지토리에만 사용할 수 있습니다.

Azure DevOps용 GitHub Advanced Security는 Azure Repos에서 작동합니다. GitHub 리포지토리에서 GitHub Advanced Security를 사용하려면 GitHub Advanced Security를 참조하세요.

필수 조건

프로젝트 컬렉션 관리자 그룹의 구성원으로 할당된 권한이 있어야 합니다. 프로젝트 컬렉션 관리자 그룹에 구성원을 추가하거나 프로젝트 컬렉션 수준 권한을 변경하려면 프로젝트 컬렉션 수준 권한 변경을 참조하세요.

자체 호스팅 에이전트에 대한 추가 필수 구성 요소

조직에서 자체 호스팅 에이전트를 사용하는 경우 더 많은 요구 사항이 있습니다.

종속성 검사 태스크가 취약성 권고 데이터를 가져올 수 있도록 허용 목록에 이러한 URL을 추가합니다. 허용된 IP 주소 및 도메인 URL에 대해 자세히 알아봅니다.

도메인 URL	설명
`https://governance.dev.azure.com`	dev.azure.com 도메인을 사용하여 DevOps 인스턴스에 액세스하는 조직의 경우
`https://dev.azure.com`	dev.azure.com 도메인을 사용하여 DevOps 인스턴스에 액세스하는 조직의 경우
`https://advsec.dev.azure.com`	dev.azure.com 도메인을 사용하여 DevOps 인스턴스에 액세스하는 조직의 경우
`https://{organization_name}.governance.visualstudio.com`	{organization_name}.visualstudio.com 도메인을 사용하여 DevOps 인스턴스에 액세스하는 조직의 경우
`https://{organization_name}.visualstudio.com`	{organization_name}.visualstudio.com 도메인을 사용하여 DevOps 인스턴스에 액세스하는 조직의 경우
`https://{organization_name}.advsec.visualstudio.com`	{organization_name}.visualstudio.com 도메인을 사용하여 DevOps 인스턴스에 액세스하는 조직의 경우

호환되는 버전의 .NET 런타임(현재 .NET 8.x)을 실행합니다. 에이전트에 호환되는 버전이 없는 경우 종속성 검사 빌드 작업에서 .NET를 다운로드합니다.
CodeQL 번들을 에이전트의 에이전트 도구 캐시에 설치해야 합니다. YAML 파이프라인에 enableAutomaticCodeQLInstall: true 대한 파이프라인 작업으로 Advanced-Security-CodeQL@1 변수를 활용하거나 클래식 파이프라인에 대한 확인란을 Enable automatic CodeQL detection and installation 선택할 수 있습니다. 또는 수동 설치 지침은 Azure DevOps용 GitHub 고급 보안에 대한 코드 검색을 참조 하세요.

GitHub Advanced Security를 사용하도록 설정

조직, 프로젝트 또는 리포지토리 수준에서 고급 보안을 사용하도록 설정할 수 있습니다. 각 검사 도구 및 결과에 액세스하려면 먼저 고급 보안을 사용하도록 설정해야 합니다. Advanced Security를 사용하도록 설정하면 이 정책을 사용하도록 설정된 리포지토리에 대한 비밀이 포함된 이후 푸시가 차단되고 리포지토리 비밀 검색이 백그라운드에서 수행됩니다.

리포지토리 수준 온보딩

Azure DevOps 프로젝트에 대한 프로젝트 설정으로 이동합니다.
리포지>토리를 선택합니다.
고급 보안을 사용하도록 설정할 리포지토리를 선택합니다.
고급 보안을 활성화하려면 청구 사용 및 시작을 선택합니다. 이제 고급 보안을 사용하도록 설정된 모든 리포지토리의 리포지토리 보기에 방패 아이콘이 표시됩니다.

프로젝트 수준 온보딩

Azure DevOps 프로젝트에 대한 프로젝트 설정으로 이동합니다.
리포지토리를 선택합니다.
설정 탭을 선택합니다.
모두 사용을 선택하고 프로젝트에 대한 활성 커밋자 수에 대한 예상을 확인합니다.
프로젝트의 모든 기존 리포지토리에 대해 고급 보안을 활성화하려면 청구 시작을 선택합니다.
필요에 따라 새로 만든 리포지토리가 생성 시 고급 보안을 사용하도록 설정되도록 새 리포 지토리에 대해 자동으로 고급 보안을 사용하도록 설정합니다.

조직 수준 온보딩

Azure DevOps 조직의 조직 설정으로 이동합니다.
리포지토리를 선택합니다.
모두 사용을 선택하고 조직에 대한 활성 커밋자 수에 대한 예상을 확인합니다.
조직의 각 프로젝트에 있는 모든 기존 리포지토리에 대해 고급 보안을 활성화하려면 청구 시작을 선택합니다.
필요에 따라 새로 만든 모든 프로젝트가 생성 시 고급 보안을 사용하도록 설정되도록 새 리포지 토리에 대해 자동으로 고급 보안을 사용하도록 설정합니다.

비밀 검사 설정

고급 보안을 켜면 비밀 검색 푸시 보호 및 리포지토리 검색이 자동으로 활성화됩니다. 리포지토리 설정 페이지에서 비밀 푸시 보호를 사용하거나 사용하지 않도록 설정할 수 있습니다.

앞서 설명한 것처럼 선택한 리포지토리에 대해 고급 보안을 사용하도록 설정하면 비밀 검사 리포지토리 검색이 자동으로 시작됩니다.

종속성 검사 설정

종속성 검사는 파이프라인 기반 검사 도구입니다. 결과는 리포지토리별로 집계됩니다. 검사하려는 모든 파이프라인에 종속성 검사 작업을 추가하는 것이 좋습니다.

팁

가장 정확한 검색 결과를 얻으려면 검색하려는 코드를 빌드하는 파이프라인의 빌드 단계 및/또는 패키지 복원 단계에 따라 종속성 검사 작업을 추가해야 합니다.

YAML
클래식

고급 보안 종속성 검사 작업(AdvancedSecurity-Dependency-Scanning@1)을 YAML 파이프라인 파일에 직접 추가하거나 작업 도우미 에서 고급 보안 종속성 검사 작업을 선택합니다.

코드 검사 설정

코드 검사는 결과가 리포지토리별로 집계되는 파이프라인 기반 검사 도구이기도 합니다.

팁

코드 검색 작업을 주 프로덕션 파이프라인의 복제된 별도의 파이프라인에 추가하거나 새 파이프라인을 만드는 것이 좋습니다. 코드 검색은 시간이 더 많이 걸리는 빌드 작업이 될 수 있기 때문입니다.

YAML
클래식

다음 순서로 작업을 추가합니다.

Advanced Security Initialize CodeQL(AdvancedSecurity-Codeql-Init@1)
사용자 지정 빌드 단계
Advanced Security Perform CodeQL Analysis(AdvancedSecurity-Codeql-Analyze@1)

또한 CodeQL 초기화 작업에서 분석할 언어를 지정해야 합니다. 쉼표로 구분된 목록을 사용하여 여러 언어를 한 번에 분석할 수 있습니다. 지원되는 언어는 다음과 같습니다 csharp, cpp, go, java, javascript, python, ruby, swift. 자체 호스팅 에이전트를 활용하는 경우 변수를 추가하여 enableAutomaticCodeQLInstall: true 에이전트에 대한 최신 CodeQL 비트를 자동으로 설치할 수도 있습니다.

다음은 시작 파이프라인 예제입니다.

trigger:
  - main

pool:
  # Additional hosted image options are available: https://learn.microsoft.com/en-us/azure/devops/pipelines/agents/hosted#software
  vmImage: ubuntu-latest

steps:

  - task: AdvancedSecurity-Codeql-Init@1
    inputs:
      languages: "java"
      # Supported languages: csharp, cpp, go, java, javascript, python, ruby, swift
      # You can customize the initialize task: https://learn.microsoft.com/en-us/azure/devops/pipelines/tasks/reference/advanced-security-codeql-init-v1?view=azure-pipelines
      # If you're using a self-hosted agent to run CodeQL, use `enableAutomaticCodeQLInstall` to automatically use the latest CodeQL bits on your agent:
      enableAutomaticCodeQLInstall: true

#   Add your custom build steps here
# - Ensure that all code to be scanned is compiled (often using a `clean` command to ensure you're building from a clean state).
# - Disable the use of any build caching mechanisms as this can interfere with CodeQL's ability to capture all the necessary data during the build.
# - Disable the use of any distributed/multithreaded/incremental builds as CodeQL needs to monitor executions of the compiler to construct an accurate representation of the application.
# - For dependency scanning, ensure you have a package restore step for more accurate results.

# If you had a Maven app:
#   - task: Maven@4
#     inputs:
#       mavenPomFile: 'pom.xml'
#       goals: 'clean package'
#       publishJUnitResults: true
#       testResultsFiles: '**/TEST-*.xml'
#       javaHomeOption: 'JDKVersion'
#       jdkVersionOption: '1.17'
#       mavenVersionOption: 'Default'

# Or a general script:
#   - script: |
#       echo "Run, Build Application using script"
#       ./location_of_script_within_repo/buildscript.sh

  - task: AdvancedSecurity-Dependency-Scanning@1 # More details on this task: https://learn.microsoft.com/en-us/azure/devops/pipelines/tasks/reference/advanced-security-dependency-scanning-v1?view=azure-pipelines

  - task: AdvancedSecurity-Codeql-Analyze@1 # More details on this task: https://learn.microsoft.com/en-us/azure/devops/pipelines/tasks/reference/advanced-security-codeql-analyze-v1?view=azure-pipelines

팁

Kotlin/Swift에 대한 CodeQL 분석은 현재 베타 버전입니다. 베타 중에 이러한 언어의 분석은 다른 언어의 CodeQL 분석보다 덜 포괄적입니다. Java, Kotlin 또는 둘 다로 작성된 코드를 분석하는 데 사용합니다 java . JavaScript, TypeScript 또는 둘 다로 작성된 코드를 분석하는 데 사용합니다 javascript .

지정된 cpp, java, csharp 언어 또는 swift 사용자 지정 빌드 단계가 필요한 경우

다음 순서로 작업을 추가합니다.

Advanced Security Initialize CodeQL
사용자 고유의 사용자 지정 빌드 단계 추가
Advanced Security Perform CodeQL Analysis

또한 CodeQL 초기화 작업에서 분석할 언어를 지정해야 합니다. 지정된 cpp, java, csharp 언어 또는 swift, 사용자 지정 빌드 단계가 필요한 경우

자체 호스팅 에이전트에서 실행하는 경우 에이전트 도구 캐시에 최신 CodeQL 번들을 수동으로 설치하지 않은 경우 에이전트에서 최신 CodeQL 비트를 자동으로 사용하도록 선택합니다 Enable automatic CodeQL detection and installation .

경고를 생성하려면 코드 검색 작업이 포함된 파이프라인을 사용하여 첫 번째 검사를 실행합니다.

끌어오기 요청 주석 설정

종속성 검사 및 코드 검색의 경우 빌드 유효성 검사 정책이 종속성 검사 및/또는 파이프라인에 포함된 코드 검색 작업과 함께 적용되는 끌어오기 요청에 대해 주석이 자동으로 구성됩니다. 빌드 유효성 검사 정책을 구성하는 방법에 대한 자세한 내용은 빌드 유효성 검사를 참조 하세요.

끌어오기 요청 주석에는 원본(끌어오기 요청) 분기를 검사하기 전에 기본 분기 및 대상 분기에 대한 고급 보안 검사도 필요합니다. 끌어오기 요청 분기에 대한 경고를 해결하는 방법에 대한 자세한 내용은 끌어오기 요청에 대한 종속성 검사 경고 관리 및 끌어오기 요청에 대한 코드 검색 경고 관리를 참조하세요.

어떤 이유로든 고급 보안을 사용하지 않도록 설정해야 하는 경우 다음에 리포지토리에 고급 보안을 다시 사용하도록 설정할 때 고급 보안 탭에 경고 및 경고 상태가 유지됩니다.

다음을 통해 공유