Integratie van GitHub Advanced Security implementeren

Deze handleiding bevat installatiestappen en andere acties om u te helpen bij het integreren van GitHub Advanced Security (GHAS) en Microsoft Defender voor Cloud en vervolgens het end-to-end van de integratie valideren. De integratie helpt bij het maximaliseren van de cloudeigen toepassingsbeveiliging van Microsoft door runtimerisico's en context te correleren met de oorspronkelijke code voor snellere herstel op basis van AI.

Door deze handleiding te volgen, gaat u als volgt te werk:

  • Stel uw GitHub-opslagplaats in voor Defender voor Cloud-dekking.
  • Maak een runtime-risicofactor.
  • Test echte gebruiksscenario's in Defender voor Cloud.
  • Koppel code aan runtime-resources.
  • Start een beveiligingscampagne op GitHub. Deze campagne maakt gebruik van runtimecontext om prioriteit te geven aan beveiligingswaarschuwingen van GHAS.
  • Maak GitHub-issues vanuit de Defender voor Cloud om met de remediëring te beginnen.
  • Sluit de lus tussen technische en beveiligingsteams.

Prerequisites

Aspect Details
Milieuvereisten - GitHub-account met een connector die is gemaakt in Defender voor Cloud
- GitHub GHAS-licentie (Advanced Security) voor verbonden opslagplaatsen
- Defender Cloud Security Posture Management-plan ingeschakeld voor het abonnement
- Microsoft Security Copilot (optioneel voor geautomatiseerd herstel op basis van AI)
Rollen en machtigingen - Machtigingen voor beveiligingsbeheerders
- Security Admin op het Azure-abonnement om bevindingen in Defender voor Cloud te bekijken
- GitHub-organisatie-eigenaar voor het verbinden van repositories en het configureren van beveiligingscampagnes
Cloudomgevingen - Alleen beschikbaar in commerciële clouds (niet in Azure Government, Azure beheerd door 21Vianet of andere onafhankelijke clouds)

Uw omgeving voorbereiden

Voltooi de volgende stappen om je GitHub-repository en Defender voor Cloud-instellingen te configureren voordat je de integratie valideert.

Stap 1: De GitHub-opslagplaats instellen en de werkstroom uitvoeren

Om de integratie te testen, gebruik je je eigen repositories of een voorbeeld van een sandboxproject. Het sandbox-project biedt een test-GitHub-repository met alles wat je nodig hebt om een kwetsbare containerimage te bouwen.

  1. Meld u aan bij het Azure-portaal.

  2. Ga naar Microsoft Defender voor Cloud>DevOps-beveiliging.

  3. Voer bijvoorbeeld de naam van je coderepository in de zoekbalk, zava-webshop.

  4. Controleer of deze deel uitmaakt van de organisatie die u bewaakt, bijvoorbeeld de zava-corporation-organisatie .

  5. Controleer of er bevindingen zijn voor de repository.

  6. Zorg ervoor dat de geavanceerde beveiligingsstatus is ingeschakeld. Deze instelling geeft aan dat GitHub Advanced Security is ingeschakeld op de gemonitorde repository.

  7. Als je repository niet wordt gevonden, bekijk dan de GitHub connector onboarding quickstart voor probleemoplossing en setup-richtlijnen.

  8. Zorg ervoor dat scannen zonder agent is ingeschakeld voor uw GitHub-connector.

    Schermafbeelding van planconfiguratie in Defender CSPM met agentloze code scannen en alle scanneropties ingeschakeld.

Stap 2: Controleer of uw omgeving gereed is

Deze omgevingsvalidatie bevestigt dat je repository en cloudbronnen correct zijn ingesteld. Hiermee wordt gecontroleerd of Defender aanbevelingen van code naar runtime kan tonen en nuttige resultaten kan opleveren. Tijdens de stap voor omgevingsvalidatie controleert Defender het volgende:

  • Microsoft Defender voor Cloud continu broncodeopslagplaatsen bewaakt op beveiligingsproblemen.
  • Build-artifacts, zoals container images, worden in containerregisters gescand vóór de implementatie.
  • Runtime-workloads die geïmplementeerd zijn in Kubernetes-clusters worden gecontroleerd op beveiligingsrisico's.
  • Defender voor Cloud correleert en traceert elk artefact vanuit code, via build en implementatie, naar runtime en terug.

Note

Het kan tot 24 uur duren nadat de vorige stappen zijn uitgevoerd voordat je resultaat ziet.

Valideer volledige code-tot-runtime zichtbaarheid

Test of het scannen zonder agent van GitHub de opslagplaats ophaalt.

Ga naar Microsoft Defender voor Cloud>Cloud Security Explorer en voer de query uit. De validatiequery's testen of Defender artefacten kan identificeren die door uw pijplijnen en workloads zijn geproduceerd. Als de query's resultaten retourneren, geeft dit aan dat scannen en correlatie werken zoals verwacht.

Schermafbeelding van de Cloud Security Explorer van Defender voor Cloud met een query voor pushes van GitHub-opslagplaatsen naar containerinstallatiekopieën.

Note

Als er geen resultaten worden geretourneerd, kan dit erop wijzen dat artefacten nog niet zijn gegenereerd, dat scannen niet is geconfigureerd of dat er machtigingen ontbreken. Zie Gebruikersrollen en -machtigingen voor meer informatie.

  1. Controleer in Azure Container Registry of Defender voor Cloud de containerimage heeft gescand en gebruikt om een container te maken.

  2. Voeg in uw query de voorwaarden voor uw specifieke implementatie toe.

    Screenshot van Defender voor Cloud's Cloud Security Explorer toont een query voor een GitHub-repository die naar containerimages met kwetsbaarheden wordt gestuurd.

  3. Controleer of de container wordt uitgevoerd en of Defender voor Cloud het AKS-cluster heeft gescand.

    Screenshot van Defender voor Cloud's Cloud Security Explorer waarop een query voor GitHub wordt gepusht naar containerimages met kwetsbaarheden.

  4. Controleer of de risicofactoren correct zijn geconfigureerd aan de zijde van Defender voor Cloud. Zoek op de naam van je container op de Defender voor Cloud inventarispagina. Je zou moeten zien dat het als kritiek is gemarkeerd.

Note

Deze stap is alleen vereist als risicofactoren nog niet zijn geconfigureerd in uw omgeving. Als je al risicofactoren gebruikt, kun je hun configuratie verifiëren onder Instellingen>Resource criticality.

Geslaagde validatie zorgt ervoor dat de volgende stappen, zoals aanbevelingen, campagnes en het genereren van GitHub problemen, zinvolle resultaten opleveren.

Note

Nadat u uw resource als kritiek hebt geclassificeerd, kan het tot 12 uur duren voordat Defender voor Cloud de gegevens naar GitHub verzendt. Voor meer informatie, zie Prioritering van Dependabot en code scanning alerts.

Stap 3: Een GitHub campagne maken

Om een scancampagne te maken, werk je op het niveau van de GitHub-organisatie. Deze ervaring is niet beschikbaar op het niveau van de afzonderlijke opslagplaats.

  1. Ga in GitHub naar de GitHub-organisatie die u hebt gebruikt voor het testen van de installatie.

  2. Selecteer Beveiliging>Campagnes>Campagne maken>Van codescanfilters.

    De runtime-risicocampagne helpt bij het prioriteren van GitHub Advanced Security (GHAS)-bevindingen die horen bij code die daadwerkelijk is uitgerold en draaiend.

  3. Selecteer runtimerisicofilters voor de campagne.

    Schermopname van het maken van de GitHub-codescancampagne met een filterbalk, filterknop en tooltips over het filteren op artefactmetagegevens.

    Schermopname van het dialoogvenster voor geavanceerde filters in de GitHub-campagnecreatie met Runtime-risicofilter en een selecteerbaar menu met risicofactoren geopend.

  4. Selecteer Publiceren opslaan>als campagne. Voer de vereiste gegevens in en publiceer de campagne.

  5. Houd de voortgang van de campagne bij.

    Schermafbeelding van de GitHub-campagnepagina met achterstallige status, campagne-voortgangsbalk, lijst met kritieke waarschuwingen en filteropties.

Stap 4: Onderneem actie op aanbevelingen

Gebruik de actieve VA-aanbevelingen voor containers, de code-naar-runtime-functionaliteit en de correlatie van de geïdentificeerde CVE's met Dependabot-beveiligingswaarschuwingen om inzicht te krijgen in de status van beveiligingsproblemen. Vervolgens kunt u de aanbeveling voor oplossing toewijzen aan het relevante technische team op basis van code-naar-runtime-toewijzing.

  1. Ga in de Defender voor Cloud-portal naar het tabblad Aanbevelingen .

  2. Zoek de naam van de container die u hebt gemaakt op basis van uw codeopslagplaats.

  3. Open een van de aanbevelingen voor Software bijwerken. De aanbevelingsnaam begint met Update.

  4. Selecteer Bijbehorende CVE's.

    Beveiligingswaarschuwingen worden weergegeven als onderdeel van de evaluatiestroom voor aanbevelingen. Deze waarschuwingen bevatten aanwijzingen over GitHub geavanceerde beveiligingsresultaten die al bekend zijn bij engineering. Sommige CVE-ID's hebben een View on GitHub-link in de kolom Gerelateerde GitHub Alerts.

    Schermafbeelding van Defender voor Cloud Bevindingen-tabblad met CVE-2024-21409-waarschuwingen, fix-status, CVSS-scores en GitHub-waarschuwingsgegevenspop-up.

Selecteer de koppeling om de relevante beveiligingswaarschuwing van GHAS te openen. Om de GHAS-alertinhoud in GitHub te bekijken, moet je toegangsrechten hebben tot de relevante GitHub-repository. Als je geen toegangsrechten hebt, kun je altijd de link kopiëren voor volgend gebruik of contact opnemen met je GitHub-beheerder.

Als de kolom Gerelateerde GitHub Alerts een gematchte Dependabot-waarschuwing toont, is de kwetsbaarheid al bekend bij de engineering. Als de waarschuwingsstatus Actief is, heeft niemand het nog opgelost en moet het probleem geprioriteerd worden voor een oplossing.

Als er geen overeenkomende GitHub-melding in de kolom verschijnt, vertegenwoordigt de CVE een runtime-risico dat onbekend is bij engineering en dat geprioriteerd moet worden voor een oplossing.

Een GitHub-probleem maken

Als u de lus tussen beveiligings- en technische teams wilt sluiten, kunt u een GitHub-probleem maken dat prioriteit geeft aan de beveiligingsproblemen waarop het technische team zich moet richten. Deze prioriteitsaanduiding kan bestaan uit het doorgeven van bevindingen die GHAS niet heeft opgehaald, maar die Defender voor Cloud heeft gedetecteerd voor CVE-id's die geen deel uitmaken van directe afhankelijkheden. Deze bevindingen kunnen beveiligingsproblemen bevatten in de basisinstallatiekopieën, het besturingssysteem of software zoals NGINX.

Het GitHub probleem wordt automatisch gegenereerd in de broncodeopslagplaats met alle CVE-id's die zijn gevonden in het bereik van de aanbeveling, inclusief andere runtime- en container-SDLC-gerelateerde contexten die kunnen helpen bij het oplossen en testen.

In de aanbevelingsweergave kunt u expliciet een GitHub probleem genereren om herstelwerkzaamheden bij te houden.

  1. Ga naar Remediation Insights en bekijk het code-naar-runtime-diagram. Het diagram koppelt uw lopende container aan de containerimage in de codeopslagplaats en aan de oorspronkelijke codeopslagplaats in GitHub.

    Schermopname van Herstelinzichten met een code-naar-runtime-diagram met risiconiveaus en het menu Actie ondernemen geopend in het vak Runtime.

    1. Controleer op het tabblad Herstelinzichten het betreffende vak Runtime.

    2. Validate of er al een GitHub probleem bestaat. Als er al een GitHub probleem bestaat, wordt in het vak een GitHub-pictogram weergegeven. Beweeg de muisaanwijzer over het pictogram om details van het probleem weer te geven.

    3. Als er geen probleem bestaat en u over de vereiste machtigingen beschikt, kunt u een nieuw GitHub probleem genereren. Selecteer Actie ondernemen.

    4. Selecteer de optie Generate GitHub issue in de pop-up.

    5. Als het probleem succesvol is aangemaakt, zie je een pop-up melding met een link naar het probleem. Het probleem wordt gemaakt in de codeopslagplaats van oorsprong.

      Schermafbeelding van GitHub problemenlijst met openstaande problemen met labels zoals Defender voor Cloud en security.

    Note

    Als de optie 'GitHub genereren niet beschikbaar is, kun je geen GitHub- of repository-rechten hebben. Neem contact op met de beheerder van uw GitHub of opslagplaats om toegang te vragen.

    Schermafbeelding met een gegenereerd GitHub probleem voor een geopende afhankelijkheid met Defender voor Cloud en beveiligingslabels.

    1. Houd eigendoms- en statusupdates bij. Wijzigingen in de status van of toewijzing aan een issue die in GitHub zijn aangebracht, worden weergegeven in Microsoft Defender voor Cloud. Met dit gegeven kun je het eigenaarschap en de voortgang van herstel volgen in de Aanbevelingen-weergave.

      Schermopname van de pagina Aanbevelingen voor Microsoft Defender voor Cloud waarin problemen met een hoog risico worden getoond, met een pop-up met details over GitHub-issues.

Agentgerelateerde oplossingen toepassen

Als je een GitHub Copilot-licentie hebt, kun je het probleem oplossen met behulp van de GitHub-codeeragent:

  1. Wijs een GitHub-coderingsagent toe aan het probleem.
  2. Bekijk de gegenereerde oplossing.
  3. Als de oplossing redelijk lijkt, past u deze toe.
  4. Bekijk wanneer Defender voor Cloud de status van het probleem bijwerken naar Gesloten.

Verwante onderwerpen

  • Laatst bijgewerkt om