Integrar o GitHub Advanced Security ao Microsoft Defender para Nuvem
O Microsoft Defender para Nuvem é uma solução de segurança abrangente que ajuda as organizações a proteger suas cargas de trabalho, aplicativos e infraestrutura locais e baseadas em nuvem. Um de seus componentes é o Microsoft Defender para DevOps, uma solução de segurança baseada em nuvem que fornece monitoramento contínuo e análise de código, builds e versões hospedadas no GitHub e no Azure DevOps para identificar e proteger contra vulnerabilidades e ameaças de segurança. O Microsoft Defender para DevOps integra-se ao GitHub Advanced Security, aproveitando os pontos fortes de ambos os serviços para oferecer uma experiência unificada que ajude as equipes do DevOps a melhorar sua postura de segurança e reduzir o risco de violações de segurança e perda de dados.
O Defender para DevOps fornece uma interface centralizada que agrega dados de várias fontes, incluindo a Segurança Avançada do GitHub. Além disso, ele oferece o utilitário de linha de comando Microsoft Security DevOps, que facilita a incorporação de ferramentas de análise estática no GitHub Actions. Os resultados da análise são exibidos automaticamente no portal do Defender para DevOps.
Integrando o Microsoft Defender para Nuvem com o GitHub Advanced Security
Para implementar a integração entre o Microsoft Defender para Nuvem e o GitHub Advanced Security, integre sua organização do GitHub ao Defender para DevOps. Isso habilitará o suporte para dois conjuntos de recursos:
- O CSPM (Foundational Cloud Security Posture Management), que facilita a avaliação da postura de segurança do GitHub por meio de recomendações detalhadas de segurança.
- O Defender CSPM, que aprimora os recursos básicos do CSPM oferecendo avaliação de risco e insights sobre pontos fracos exploráveis mais críticos no ambiente do GitHub.
Para conectar suas organizações do GitHub, no portal do Azure, navegue até a seção Configurações de Ambiente da página Microsoft Defender para Nuvem. Selecione Adicionar ambiente e, em seguida, selecione GitHub. Insira um nome arbitrário que será atribuído à conexão e especifique as configurações, incluindo a assinatura, o grupo de recursos e a região em que a conexão será armazenada. Além disso, selecione o plano do CSPM do Defender para a conexão. Quando solicitado, autorize sua assinatura do Azure a acessar sua organização do GitHub. Após a autorização, instale o aplicativo GitHub e selecione os repositórios aos quais o Defender para DevOps deve ter acesso. Depois de criado, o conector do GitHub será exibido na página configurações de ambiente e o Defender para Nuvem descobrirá automaticamente os repositórios nas organizações do GitHub de destino.
Como resultado, o painel Defender para DevOps exibirá repositórios integrados agrupados pela organização. O painel Recomendações exibirá todas as avaliações de segurança relacionadas aos repositórios do GitHub correspondentes.
Integrando o Microsoft Security DevOps ao GitHub Actions
O Microsoft Security DevOps é um aplicativo de linha de comando que instala, configura e executa as versões mais recentes das ferramentas de análise estática, segurança e conformidade de software livre, incluindo Bandit, BinSkim, ESlint, Terrascan e Trivy. Ao invocar o Microsoft Security DevOps de um fluxo de trabalho do GitHub Actions (usando a ação microsoft/security-devops-action@latest), você pode usar a saída gerada por qualquer uma de suas ferramentas para controlar o caminho de execução do fluxo de trabalho.
Além disso, após a conclusão da ação, seus resultados serão exibidos automaticamente na guia segurança do repositório GitHub. Você pode filtrar o resultado de segurança fazendo referência a ferramentas individuais. Além disso, os resultados também aparecerão no console do Microsoft Defender para Nuvem no portal do Azure, incluindo vulnerabilidades de segurança do DevOps, resultados de segurança do DevOps e cobertura de DevOps.