Konfigurera Microsoft Security DevOps Azure DevOps-tillägget

• Administratörsbehörigheter för projektsamling till Azure DevOps-organisationen krävs för att installera tillägget.

Om du inte har åtkomst till att installera tillägget måste du begära åtkomst från din Azure DevOps-organisations administratör under installationsprocessen.

Så här konfigurerar du Microsoft Security DevOps Azure DevOps-tillägget:

1. Logga in på Azure DevOps.

2. Gå till Shopping Bag>Hantera tillägg.

   

3. Välj Delat.

   Kommentar

   Om du redan har installerat Tillägget Microsoft Security DevOps visas det på fliken Installerad.

4. Välj Microsoft Security DevOps.

   

5. Välj Installera.

6. Välj lämplig organisation på den nedrullningsbara menyn.

7. Välj Installera.

8. Välj Fortsätt till organisation.

Så här konfigurerar du din pipeline med YAML:

1. Logga in på Azure DevOps

2. Välj ditt projekt.

3. Gå till Pipelines

4. Välj Ny pipeline.

   

5. Välj Azure Repos Git.

   

6. Välj relevant lagringsplats.

   

7. Välj Startpipeline.

   

8. Klistra in följande YAML i pipelinen:

   # Starter pipeline
   # Start with a minimal pipeline that you can customize to build and deploy your code.
   # Add steps that build, run tests, deploy, and more:
   # https://aka.ms/yaml
   trigger: none
   pool:
     # ubuntu-latest also supported.
     vmImage: 'windows-latest'
   steps:
   - task: MicrosoftSecurityDevOps@1
     displayName: 'Microsoft Security DevOps'
     # inputs:    
       # config: string. Optional. A file path to an MSDO configuration file ('*.gdnconfig'). Vist the MSDO GitHub wiki linked below for additional configuration instructions
       # policy: 'azuredevops' | 'microsoft' | 'none'. Optional. The name of a well-known Microsoft policy to determine the tools/checks to run. If no configuration file or list of tools is provided, the policy may instruct MSDO which tools to run. Default: azuredevops.
       # categories: string. Optional. A comma-separated list of analyzer categories to run. Values: 'code', 'artifacts', 'IaC', 'containers'. Example: 'IaC, containers'. Defaults to all.
       # languages: string. Optional. A comma-separated list of languages to analyze. Example: 'javascript,typescript'. Defaults to all.
       # tools: string. Optional. A comma-separated list of analyzer tools to run. Values: 'bandit', 'binskim', 'checkov', 'eslint', 'templateanalyzer', 'terrascan', 'trivy'. Example 'templateanalyzer, trivy'
       # break: boolean. Optional. If true, will fail this build step if any high severity level results are found. Default: false.
       # publish: boolean. Optional. If true, will publish the output SARIF results file to the chosen pipeline artifact. Default: true.
       # artifactName: string. Optional. The name of the pipeline artifact to publish the SARIF result file to. Default: CodeAnalysisLogs*.
     
   

   Kommentar

   ArtifactName "CodeAnalysisLogs" krävs för integrering med Defender för molnet. Ytterligare konfigurationsalternativ för verktyg och miljövariabler finns i Wikin för Microsoft Security DevOps

9. Om du vill checka in pipelinen väljer du Spara och kör.

   Pipelinen körs i några minuter och sparar resultatet.

   Kommentar

   Installera SARIF SAST Scans Tab-tillägget i Azure DevOps-organisationen för att säkerställa att de genererade analysresultaten visas automatiskt under fliken Genomsökningar.

Defender for Cloud tillhandahåller MSDO CLI för standardiserade funktioner och principkontroller i en uppsättning säkerhetsanalysverktyg med öppen källkod, men du har flexibiliteten att ladda upp resultat från andra säkerhetsverktyg från tredje part som du kanske har konfigurerat i CI/CD-pipelines till Defender for Cloud för omfattande kod-till-moln-kontextualisering. Alla resultat som laddas upp till Defender för molnet måste vara i standard-SARIF-format.

Kontrollera först att dina Azure DevOps-lagringsplatser är registrerade i Defender för molnet. När du har registrerat Defender för molnet övervakar den kontinuerligt artefakten "CodeAnalysisLogs" för SARIF-utdata.

Du kan använda uppgiften "PublishBuildArtifacts@1" för att se till att SARIF-utdata publiceras till rätt artefakt. Om en säkerhetsanalys till exempel matar ut results.sarifkan du konfigurera följande uppgift i jobbet för att säkerställa att resultaten laddas upp till Defender för molnet: