Scannen und Sichern des Quellcodes

Sichern Sie Ihren Entwicklungslebenszyklus von Code zu Cloud, indem Sie Ihre Quellcoderepositorys, CI/CD-Pipelines, Containerregistrierungen und Laufzeitworkloads mit DevOps-Sicherheit in Microsoft Defender für Cloud verbinden. Dadurch erhalten Ihre Sicherheits- und Entwicklungsteams eine einzige Ansicht, um Risiken frühzeitig abzufangen, sich auf das zu konzentrieren, was tatsächlich in der Produktion ausgenutzt werden kann, und Probleme zu beheben, ohne Entwickler zu blockieren.

Verbinden, Scannen und Verfolgen vom Code zur Cloud

  • Verbinden Sie Ihre Repositorys und Pipelines – integrieren Sie Ihre GitHub-, Azure DevOps- und GitLab-Umgebungen in Defender for Cloud, um einheitliche Sichtbarkeit in Coderepositorys, Pipelines, Infrastructure as Code (IaC)-Vorlagen und Containerimages an einem zentralen Ort zu erhalten.
  • Scannen Sie Code und Infrastruktur, bevor sie ausgeliefert wird– Aktivieren Sie agentlosen Code und IaC-Überprüfungen, um Fehlkonfigurationen und Sicherheitsrisiken in der Pullanforderungsphase abzufangen. Für eine engere Kontrolle fügen Sie die Defender for Cloud CLI direkt zu Ihren CI/CD-Pipelines hinzu, um die Überprüfung als Teil jedes Builds zu erzwingen.
  • Verfolgen Sie Schwachstellen vom Code bis zur ausgeführten Arbeitslast – Nutzen Sie die Code-to-Cloud-Kontextualisierung, um Ergebnisse durch Buildartefakte, Registries und Laufzeitumgebungen zuzuordnen. Auf diese Weise können Sie die Schwachstellen priorisieren, die tatsächlich in der Produktion erreichbar sind, anstatt jeden Befund zu verfolgen.
  • Sichern Sie Ihre Container-Lieferkette – Scannen Sie Containerbilder während der Build-Phase, erzwingen Sie eine auf Richtlinien basierende Kontrolle, um anfällige Containerbilder an der Bereitstellung zu hindern, und verknüpfen Sie Ergebnisse aus der Build-Phase mit Laufzeitverhalten, um Bedrohungen aufzuspüren, die nach der Bereitstellung auftreten. Weitere Informationen finden Sie unter Aktivieren Sie die gesteuerte Bereitstellung in Defender for Containers.

Betreiben, Routen und Schützen der Laufzeit

  • Überwachen Sie Ihren DevOps-Stand – Überprüfen Sie Ihre CI/CD-Pipelines, Repositorykonfigurationen und Dienstverbindungen auf unsichere Einstellungen, übermäßige Berechtigungen und schwache Zugriffssteuerungen. Verwenden Sie die DevOps-Haltungsverwaltungsempfehlungen, um Ihre Entwicklungsinfrastruktur systematisch zu härten.
  • Leiten Sie Korrekturen an die richtigen Entwickler weiter – Aktivieren Sie Anmerkungen zur Pullanforderung, damit Entwickler Sicherheitsergebnisse direkt in ihrem Workflow sehen. Verwenden Sie die Besitzerzuordnung und Workflowautomatisierung, um den Teams, die den Code besitzen, Korrekturen zuzuweisen, die mit den tools integriert sind, die sie bereits verwenden.
  • Bringen Sie GitHub Advanced Security-Ergebnisse in Defender mit – Wenn Sie GitHub Advanced Security verwenden, verbinden Sie es mit Defender for Cloud, um Codeüberprüfungen, geheime Erkennungs- und Abhängigkeitsergebnisse zusammen mit Ihrem Cloudstatus und Laufzeitrisiko anzuzeigen, sodass Ihr Security Operations Center (SOC) vollständig sichtbar ist, von commit zu Produktion.
  • Verringern Sie das Lieferkettenrisiko von Entwicklercomputern – Verwenden Sie GitHub Codespaces oder Microsoft Dev Box , um vorab gehärtete, isolierte Cloudentwicklungsumgebungen mit bereichsbezogenem Repositoryzugriff, verschlüsselter geheimer Verwaltung und vollständiger Überwachungsprotokollierung bereitzustellen. Erzwingen sie Endpunktschutz- und Richtlinien für bedingten Zugriff für Entwicklerkonten. Weitere Informationen finden Sie unter:
  • Bedrohungen in laufenden Kubernetes-Workloads erkennen – Gehen Sie über die Erkennung von Sicherheitsrisiken zur Laufzeit hinaus, indem Sie den Laufzeitschutz von Microsoft Defender für Container aktivieren. Ein einfacher Sensor, der für Kubernetes-Knoten bereitgestellt wird – z. B. Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS), Google Kubernetes Engine (GKE) und Arc-fähige Cluster – überwacht auf bösartige Aktivitäten wie Kryptowährungsmining, Lateralbewegung und driftierte Binärdateien mit Echtzeitwarnungen, die dem MITRE ATT&CK-Framework zugeordnet sind. Weitere Informationen finden Sie unter Containerschutz in Defender für Cloud.

Geheime Schlüssel und Pipelinehärtung

  • Aktivieren Sie geheimen Scan- und Pushschutz auf Organisationsebene, mit automatischer Aktivierung für neue Repositorys.
  • Härten Sie die Build-Pipeline mit zentral verwalteten Vorlagen, Identitäten mit minimalen Rechten und OpenID Connect (OIDC)-basierter Authentifizierung zur Cloud.
    • Verwenden Sie zentral verwaltete Pipelinevorlagen, um in allen Pipelines erforderliche Scanner, SBOM-Erstellung (Software Bill of Materials), Signierung und Compliance-Gates einzufügen. Weitere Informationen finden Sie unter Verwenden von YAML-Vorlagen in Pipelines für wiederverwendbare und sichere Prozesse.
    • Erforderlich ist die Genehmigung eines Pull-Requests durch zwei Prüfer sowie die Code-Signierung in der zentralen Vorlage, bevor ein Release-Artefakt erstellt wird.
    • Ersetzen Sie langlebige Anmeldeinformationen durch die Workload Identity Federation (OIDC) für die Pipeline-zu-Cloud-Authentifizierung. Weitere Informationen finden Sie unter Workload-Identitätsverbundkonzepte.
    • Verwenden Sie eine dedizierte Dienstidentität für den Defender für Cloud DevOps-Connector, der auf die geringsten Berechtigungen ausgerichtet ist. Weitere Informationen finden Sie unter Verbinden von Azure DevOps-Umgebungen mit Defender for Cloud.
    • Härten Sie selbstgehostete Build-Agents. Beschränken Sie den ausgehenden Netzwerkzugriff nur auf die erforderlichen Advanced Security- und Defender-Endpunkte, und stellen Sie sicher, dass das CodeQL-Bündel vorhanden ist. Weitere Informationen finden Sie unter Konfigurieren von GitHub Advanced Security für Azure DevOps.

KI-gestützte Codeüberprüfung und Expositionskorrelation

  • KI-gestützte Codeüberprüfung – Sie können GitHub Copilot als PR-Prüfer zuweisen, um Sicherheitsprobleme mithilfe von AI und CodeQL abzufangen. GitHub Copilot hat mehr als 60 Millionen Rezensionen abgeschlossen. Weitere Informationen finden Sie unter Verwenden der Codeüberprüfung von GitHub Copilot.
  • Korrelieren Sie Codeergebnisse mit der Cloud-Exposition mit Defender für Cloud, damit Sie zuerst das beheben können, was wirklich erreichbar ist.
  • Verbinden Sie Ihre Quellcodeverwaltungsorganisationen mit Defender für Cloud, und aktivieren Sie die Defender Cloud Security Posture Management (CSPM). Weitere Informationen finden Sie unter:
  • Verfolgen Sie organisationsweite Sicherheitsrisiken in Microsoft Security Exposure Management, das Signal von Defender-Produkten aggregiert, um eine End-to-End-Gefährdungsbewertung zu erstellen und priorisierte Korrekturen zu erstellen. Sehen Sie sich an, was ist Microsoft Security Exposure Management?

Beschleunigen Sie mit KI-basierten Agenten

  • Der Bedrohungssuche-Assistent in Microsoft Defender ermöglicht Es Analysten, verdächtige Aktivitäten über Code, Pipelines und Laufzeitworkloads hinweg mithilfe natürlicher Sprachabfragen zu untersuchen, sie in Kusto Query Language (KQL) zu übersetzen und kontextbezogene Einblicke zu erkennen, ohne dass eine manuelle Abfragekomposition erforderlich ist. Weitere Informationen finden Sie unter Microsoft Security Copilot Bedrohungssuche-Assistent in der erweiterten Suche.

Verwandte Inhalte

  • Last updated on