Integracja GitHub Advanced Security z usługą Microsoft Defender dla Chmury — Projekt Sandbox

Ten przewodnik zawiera kroki konfiguracji dla projektu piaskownicy, który pomaga ocenić integrację GitHub Advanced Security (GHAS) i Microsoft Defender dla Chmury od początku do końca z użyciem prostego przypadku użycia.

Integracja GHAS i Defender dla Chmury pomaga maksymalizować bezpieczeństwo aplikacji natywnych w chmurze Microsoft, korelując ryzyka działania i kontekst z oryginalnym kodem, co pozwala na szybsze naprawy, oparte na AI.

Postępując zgodnie z tym przewodnikiem, wykonasz następujące czynności:

  • Skonfiguruj repozytorium GitHub na potrzeby pokrycia usługi Defender dla Chmury.
  • Utwórz czynnik ryzyka środowiska uruchomieniowego.
  • Połącz kod z zasobami środowiska uruchomieniowego.
  • Przetestuj rzeczywiste przypadki użycia w usłudze Defender dla Chmury.

Wymagania wstępne

Aspect Details
Wymagania środowiskowe — Konto usługi GitHub z łącznikiem utworzonym w usłudze Defender dla Chmury
- Licencja GHAS
— Zarządzanie stanem zabezpieczeń w chmurze (DCSPM) w usłudze Defender włączone w ramach subskrypcji
— Microsoft Security Copilot (opcjonalnie do automatycznego korygowania)
Role i uprawnienia — Uprawnienia administratora zabezpieczeń
— Administrator zabezpieczeń w subskrypcji Azure (aby wyświetlić wyniki w usłudze Defender dla Chmury)
- właściciel GitHub organizacji
Środowiska chmury Dostępne tylko w chmurach komercyjnych (nie w Azure Government, Azure obsługiwane przez firmę 21Vianet lub inne suwerenne chmury).

Przygotowywanie środowiska

Krok 1. Konfigurowanie repozytorium GitHub i uruchamianie przepływu pracy

Do przetestowania integracji, użyj przykładowego repozytorium GitHub Sandbox, które już zawiera wszystkie elementy potrzebne do stworzenia obrazu kontenera podatnego na ataki.

Zanim założysz repozytorium:

  1. Sklonuj następujące repozytorium do organizacji GitHub:

    To repozytorium ma włączony GHAS i jest wdrożone do tenanta Azure z włączonym Defender Cloud Security Posture Management.

  2. W repozytorium wykonaj następujące kroki:

    1. Przejdź do Ustawienia.
    2. W okienku po lewej stronie wybierz pozycję Tajemnice i zmienne>Akcje. Następnie wybierz Nowy sekret repozytorium.
    3. Dodaj następujące sekrety na poziomie repozytorium lub organizacji:
    Variable Opis
    ACR_ENDPOINT Serwer uwierzytelniania rejestru kontenerów.
    ACR_USERNAME Nazwa użytkownika rejestru kontenerów.
    ACR_PASSWORD Hasło rejestru kontenerów.

    Note

    Dla tych zmiennych można wybrać dowolne nazwy. Nie muszą przestrzegać określonego wzorca.

Serwer uwierzytelniania rejestru kontenerów, nazwę użytkownika i hasło znajdziesz w portalu Azure, wykonując następujące kroki:

  1. Wybierz rejestr kontenerów, do którego chcesz wdrożyć.
  2. W obszarze Ustawienia wybierz pozycję Klucze dostępu.
  3. W okienku Klucze dostępu są wyświetlane klucze dla serwera uwierzytelniania, nazwy użytkownika i hasła.

W repozytorium wybierz pozycję Akcje, wybierz przepływ pracy Kompilacja i wysyłanie do usługi ACR, a następnie wybierz pozycję Uruchom przepływ pracy.

Sprawdź, czy obraz został przesłany do rejestru kontenerów. W przykładowym repozytorium obraz powinien znajdować się w rejestrze o nazwie mdc-mock-0001 z tagiem mdc-ghas-integration.

Wdróż obraz mdc-mock-0001:mdc-ghas-integration jako uruchomiony kontener w klastrze. Jednym ze sposobów wdrożenia obrazu kontenera do klastra jest połączenie się z klastrem i użycie polecenia kubectl run. Oto przykład dla usługi Azure Kubernetes Service (AKS):

  1. Ustaw subskrypcję klastra:

    az account set --subscription $subscriptionID

  2. Ustaw poświadczenia dla klastra:

    az aks get-credentials --resource-group $resourceGroupName --name $kubernetesClusterName --overwrite-existing

  3. Wdróż obraz:

    kubectl run $containerName --image=$registryName.azurecr.io/mdc-mock-0001:mdc-ghas-integration

Krok 2. Tworzenie przykładowego czynnika ryzyka (reguła krytyczna dla działania firmy)

Jednym z czynników ryzyka wykrywanych przez usługę Defender dla Chmury dla tej integracji jest kluczowość biznesowa. Organizacje mogą tworzyć reguły oznaczania zasobów jako krytycznych dla działania firmy.

  1. W portalu usługi Defender dla Chmury przejdź do pozycji Ustawienia> środowiskaKrytyczne zasoby.
  2. W okienku po prawej stronie wybierz link, aby otworzyć Microsoft Defender.
  3. Wybierz pozycję Utwórz nową klasyfikację.
  4. Wprowadź nazwę i opis.
  5. W konstruktorze zapytań wybierz pozycję Zasób w chmurze. Napisz zapytanie, aby ustawić nazwę zasobu równą nazwie kontenera wdrożonego w klastrze na potrzeby weryfikacji. Następnie wybierz Dalej.
  6. Na stronie Przegląd zasobów jeśli Microsoft Defender już wykrył zasób, nazwa kontenera jest wyświetlana z typem zasobu K8s-container lub K8s-pod. Nawet jeśli nazwa nie jest jeszcze widoczna, przejdź do następnego kroku.
  7. Wybierz poziom krytyczny, a następnie przejrzyj i prześlij regułę klasyfikacji.

Note

Defender przypisuje etykietę krytyczności do kontenera po jego wykryciu. Ten proces może potrwać do 24 godzin.

Krok 3. Sprawdzanie, czy środowisko jest gotowe

Walidacja potwierdza, że twoje środowisko jest poprawnie skonfigurowane do wyświetlania rekomendacji dotyczących przejścia od kodu do środowiska uruchomieniowego oraz generowania wyników, na podstawie których można podejmować działania.

Podczas walidacji Defender weryfikuje pełną widoczność od kodu po środowisko uruchomieniowe.

  • Defender dla Chmury nieustannie monitoruje repozytoria kodu źródłowego pod kątem luk bezpieczeństwa.
  • Artefakty kompilacji, takie jak obrazy kontenerów, są skanowane w rejestrach kontenerów przed wdrożeniem.
  • Obciążenia środowiska uruchomieniowego wdrożone w klastrach Kubernetes są monitorowane pod kątem zagrożeń bezpieczeństwa.
  • Defender dla Chmury koreluje i śledzi każdy artefakt z kodu, przez kompilowanie i wdrażanie, do środowiska uruchomieniowego i z powrotem.

Note

Po zastosowaniu poprzednich kroków, może minąć do 24 godzin, zanim zobaczą Państwo następujące wyniki.

Przetestuj, czy skanowanie bezagentowe GitHub wykrywa repozytorium.

Przejdź do Cloud Security Explorer i uruchom zapytania walidacyjne opisane na poniższej liście. Te zapytania walidacyjne sprawdzają, czy Defender dla Chmury potrafi zidentyfikować artefakty powstałe w Twoich potokach i obciążeniach. Jeśli zapytania zwracają wyniki, oznacza to, że skanowanie i korelacja działają zgodnie z oczekiwaniami.

Note

Jeśli nie zostaną zwrócone żadne wyniki, może to oznaczać, że artefakty nie są jeszcze generowane, skanowanie nie jest skonfigurowane lub brakuje uprawnień.

  • Zweryfikowaj, że Defender dla Chmury w Azure Container Registry zeskanował obraz kontenera i użył go do utworzenia kontenera.
  • W zapytaniu dodaj warunki określonego wdrożenia.
  • Sprawdź, czy kontener jest uruchomiony i czy usługa Defender dla Chmury przeskanowała klaster usługi AKS.
  • Sprawdź, czy czynniki ryzyka są prawidłowo skonfigurowane po stronie usługi Defender dla Chmury. Wyszukaj nazwę kontenera na stronie spisu usługi Defender dla Chmury i powinna zostać wyświetlona jako krytyczna.

Note

Weryfikacja konfiguracji czynników ryzyka jest wymagana tylko wtedy, gdy czynniki ryzyka nie są już skonfigurowane w Twoim środowisku.

Pomyślna walidacja gwarantuje, że kolejne kroki, takie jak rekomendacje, kampanie i generowanie problemów GitHub, dają znaczące wyniki.

Treści powiązane

  • Ostatnia aktualizacja o