Настройте действие Microsoft Security DevOps на GitHub

Завершено

Microsoft Security DevOps — это приложение командной строки, которое интегрирует статические средства анализа в жизненный цикл разработки. DevOps безопасности устанавливает, настраивает и запускает последние версии инструментов статического анализа, таких как жизненный цикл разработки безопасности (SDL), а также инструменты безопасности и обеспечения соответствия. DevOps по безопасности ориентирован на данные с конфигурациями, которые можно переносить, что обеспечивает детерминированное выполнение по нескольким средам.

Имя	Язык	Лицензия
Антивредоносное ПО	Защита от вредоносных программ в Windows от Microsoft Defender для конечной точки, которая проверяет наличие вредоносных программ и прерывает сборку, если вредоносные программы найдены. Это средство по умолчанию сканирует на агенте windows-latest.	Не открытый исходный код
Бандит	Питон	Лицензия Apache 2.0
BinSkim	Binary—Windows, ELF	Лицензия MIT
ESlint	JavaScript	Лицензия MIT
Анализатор шаблонов	Шаблон ARM, Bicep	Лицензия MIT
Terrascan	Terraform (HCL2), Kubernetes (JSON/YAML), Helm v3, Kustomize, Dockerfiles, CloudFormation	Лицензия Apache 2.0
Триви	образы контейнеров, инфраструктура как код (IaC)	Лицензия Apache 2.0

Предпосылки

• Подписка Azure. Если у вас еще нет подписки Azure, создайте бесплатную учетную запись, прежде чем начинать работу.
• Подключите репозитории GitHub.
• Следуйте указаниям по настройке GitHub Advanced Security для просмотра оценок о позе DevOps в Defender для облака.
• Откройте действие Microsoft Security DevOps GitHub в новом окне.
• Убедитесь, что разрешения рабочего процесса заданы для чтения и записи в репозитории GitHub. В это входит настройка разрешений "id-token: write" в рабочем процессе GitHub для интеграции с Defender for Cloud.

Настройте действие Microsoft Security DevOps на GitHub

Настроить действие GitHub:

1. Войдите в GitHub.

2. Выберите репозиторий, для которого нужно настроить действие GitHub.

3. Выберите Действия.

   

4. Выберите Новый рабочий процесс.

5. На странице "Начало работы с GitHub Actions" выберите рабочий процесс самостоятельно.

   

6. В текстовом поле введите имя файла рабочего процесса. Например, msdevopssec.yml.

   

7. Скопируйте и вставьте следующий пример рабочего процесса действия на вкладку "Изменить новый файл".

8. Выберите начать коммит.

   

9. Выберите Commit new file (Зафиксировать новый файл).

   

10. Выберите Действия и убедитесь, что запущено новое действие.

    

Просмотр результатов сканирования

Чтобы просмотреть результаты сканирования, выполните приведенные далее действия.

1. Войдите в GitHub.
2. Перейдите к предупреждениям о сканировании кода>средства>.
3. В выпадающем меню выберите Фильтр по инструменту.

Результаты сканирования кода будут отфильтрованы определенными средствами MSDO в GitHub. Эти результаты сканирования кода также включены в рекомендации Defender for Cloud.