Konfigurera Microsoft Security DevOps GitHub-åtgärden
Microsoft Security DevOps är ett kommandoradsprogram som integrerar statiska analysverktyg i utvecklingslivscykeln. Security DevOps installerar, konfigurerar och kör de senaste versionerna av statiska analysverktyg som SDL (Security Development Lifecycle), säkerhets- och efterlevnadsverktyg. Security DevOps är datadriven med portabla konfigurationer som möjliggör deterministisk körning i flera miljöer.
| Namn | Språk | Licens |
|---|---|---|
| Program mot skadlig kod | Skydd mot skadlig kod i Windows från Microsoft Defender för Endpoint, som söker efter skadlig kod och bryter bygget om skadlig kod har hittats. Det här verktyget genomsöker som standard den senaste Windows-agenten. | Inte öppen källkod |
| Bandit | Python | Apache License 2.0 |
| BinSkim | Binärt – Windows, ELF | MIT-licens |
| ESlint | JavaScript | MIT-licens |
| Mallanalys | ARM-mall, Bicep | MIT-licens |
| Terrascan | Terraform (HCL2), Kubernetes (JSON/YAML), Helm v3, Kustomize, Dockerfiles, CloudFormation | Apache License 2.0 |
| Trivy | containeravbildningar, Infrastruktur som kod (IaC) | Apache License 2.0 |
Förutsättningar
- En Azure-prenumeration Om du inte har en Azure-prenumeration skapar du ett kostnadsfritt konto innan du börjar.
- Anslut dina GitHub-lagringsplatser.
- Följ riktlinjerna för att konfigurera GitHub Advanced Security för att visa DevOps-hållningsutvärderingar i Defender för molnet.
- Öppna GitHub-åtgärden Microsoft Security DevOps i ett nytt fönster.
- Kontrollera att Arbetsflödesbehörigheter är inställda på Läs och skriv på GitHub-lagringsplatsen. Detta inkluderar inställningen "id-token: write"-behörigheter i GitHub-arbetsflödet för federation med Defender för molnet.
Konfigurera Microsoft Security DevOps GitHub-åtgärden
Så här konfigurerar du GitHub-åtgärden:
Logga in på GitHub.
Välj en lagringsplats som du vill konfigurera GitHub-åtgärden till.
Välj Åtgärder.
Välj Nytt arbetsflöde.
På sidan Kom igång med GitHub Actions väljer du konfigurera ett arbetsflöde själv.
I textrutan anger du ett namn för arbetsflödesfilen. Exempel:
msdevopssec.yml
Kopiera och klistra in följande exempelåtgärdsarbetsflöde på fliken Redigera ny fil.
Välj Start commit (Starta incheckning).
Välj Checka in ny fil.
Välj Åtgärder och kontrollera att den nya åtgärden körs.
Visa genomsökningsresultat
Så här visar du genomsökningsresultatet:
- Logga in på GitHub.
- Gå till Verktyget för säkerhetskodgenomsökningsaviseringar>>.
- I den nedrullningsbara menyn väljer du Filtrera efter verktyg.
Kodgenomsökningsresultat filtreras efter specifika MSDO-verktyg i GitHub. Dessa kodgenomsökningsresultat hämtas också i Defender för molnet rekommendationer.