你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn

改善 DevOps 环境安全态势

随着对源代码管理系统和持续集成/持续交付管道的网络攻击的增加,保护 DevOps 平台免受 DevOps 威胁矩阵中识别的各种威胁至关重要。 此类网络攻击可以启用代码注入、特权提升和数据外泄,可能会造成广泛影响。

DevOps 态势管理是 Microsoft Defender for Cloud 中的一项功能,特点有:

  • 提供有关整个软件供应链生命周期安全状况的见解。
  • 使用高级扫描程序进行深入评估。
  • 涵盖组织、管道和存储库的各种资源。
  • 允许客户通过发现并执行所提供的建议来减少攻击面。

DevOps 扫描程序

为了提供调查结果,DevOps 态势管理使用 DevOps 扫描程序通过针对安全配置和访问控制运行检查,以此识别源代码管理和持续集成/持续交付管道中的弱点。

Microsoft 内部使用 Azure DevOps 和 GitHub 扫描程序来识别与 DevOps 资源相关的风险,减少攻击面并增强公司 DevOps 系统。

连接 DevOps 环境后,Defender for Cloud 会自动配置这些扫描程序,在多个 DevOps 资源中每 24 小时执行一次定期扫描,包括:

  • 内部版本
  • 安全文件
  • 变量组
  • 服务连接
  • 组织
  • 存储库

DevOps 威胁矩阵风险降低

DevOps 态势管理可帮助组织发现和修正 DevOps 平台中的有害错误配置。 这会导致可复原的零信任 DevOps 环境,该环境针对 DevOps 威胁矩阵中定义的一系列威胁进行了强化。 主要态势管理控制措施包括:

  • 作用域内机密访问:通过确保每个管道仅有权访问其功能所需的机密,尽量减少敏感信息的泄露,并减少未经授权的访问、数据泄漏和横向移动的风险。

  • 自托管运行程序和高权限的限制:通过避免自托管运行程序并确保管道权限默认为只读,防止未经授权的执行和潜在升级。

  • 增强的分支保护:通过强制实施分支保护规则并防止恶意代码注入,维护代码的完整性。

  • 优化的权限和安全存储库:通过跟踪最低基本权限以及为存储库启用机密推送保护,降低未经授权的访问、修改的风险。

  • 详细了解 DevOps 威胁矩阵

DevOps 态势管理建议

当 DevOps 扫描程序发现源代码管理系统和持续集成/持续交付管道中的安全最佳做法出现偏差时,Defender for Cloud 会输出精确且可行的建议。 这些建议具有以下优势:

  • 增强可见性:深入了解 DevOps 环境的安全态势,确保全面掌握任何现有漏洞。 确定缺少的分支保护规则、特权提升风险和不安全的连接,以防止攻击。
  • 基于优先级的操作:首先解决最关键的漏洞,按严重性筛选结果,从而更有效地花费资源和精力。
  • 攻击面减少:解决突出的安全漏洞,大幅减少易受攻击的攻击面,从而强化针对潜在威胁的防御。
  • 实时通知:能够与工作流自动化集成,以便在安全配置发生更改时接收即时警报,从而允许提示操作并确保持续符合安全协议。

后续步骤