Configurar a extensão Microsoft Security DevOps Azure DevOps

• Os privilégios de Administrador da Coleção de Projetos para a organização do Azure DevOps são necessários para instalar a extensão.

Se você não tiver acesso para instalar a extensão, deverá solicitar acesso do administrador da sua organização do Azure DevOps durante o processo de instalação.

Para configurar a extensão Microsoft Security DevOps Azure DevOps:

1. Iniciar sessão no Azure DevOps.

2. Navegue até Gerenciar extensões do Shopping Bag>.

   

3. Selecione Compartilhado.

   Nota

   Se você já tiver instalado a extensão Microsoft Security DevOps, ela será listada na guia Instalado.

4. Selecione Microsoft Security DevOps.

   

5. Selecione Instalar.

6. Selecione a organização apropriada no menu suspenso.

7. Selecione Instalar.

8. Selecione Prosseguir para a organização.

Para configurar seu pipeline usando YAML:

1. Entrar no Azure DevOps

2. Selecione o seu projeto.

3. Navegue até Pipelines

4. Selecione Novo pipeline.

   

5. Selecione Azure Repos Git.

   

6. Selecione o repositório relevante.

   

7. Selecione Pipeline inicial.

   

8. Cole o seguinte YAML no pipeline:

   # Starter pipeline
   # Start with a minimal pipeline that you can customize to build and deploy your code.
   # Add steps that build, run tests, deploy, and more:
   # https://aka.ms/yaml
   trigger: none
   pool:
     # ubuntu-latest also supported.
     vmImage: 'windows-latest'
   steps:
   - task: MicrosoftSecurityDevOps@1
     displayName: 'Microsoft Security DevOps'
     inputs:    
     # command: 'run' | 'pre-job' | 'post-job'. Optional. The command to run. Default: run
     # config: string. Optional. A file path to an MSDO configuration file ('*.gdnconfig').
     # policy: 'azuredevops' | 'microsoft' | 'none'. Optional. The name of a well-known Microsoft policy. If no configuration file or list of tools is provided, the policy may instruct MSDO which tools to run. Default: azuredevops.
     # categories: string. Optional. A comma-separated list of analyzer categories to run. Values: 'code', 'artifacts', 'IaC', 'containers'. Example: 'IaC, containers'. Defaults to all.
     # languages: string. Optional. A comma-separated list of languages to analyze. Example: 'javascript,typescript'. Defaults to all.
     # tools: string. Optional. A comma-separated list of analyzer tools to run. Values: 'bandit', 'binskim', 'eslint', 'templateanalyzer', 'terrascan', 'trivy'.
     # break: boolean. Optional. If true, will fail this build step if any error level results are found. Default: false.
     # publish: boolean. Optional. If true, will publish the output SARIF results file to the chosen pipeline artifact. Default: true.
     # artifactName: string. Optional. The name of the pipeline artifact to publish the SARIF result file to. Default: CodeAnalysisLogs*.
   
   

   Nota

   O artifactName 'CodeAnalysisLogs' é necessário para a integração com o Defender for Cloud. Para obter opções adicionais de configuração de ferramentas e variáveis de ambiente, consulte o wiki Microsoft Security DevOps

9. Para confirmar o pipeline, selecione Salvar e executar.

   O pipeline será executado por alguns minutos e salvará os resultados.

   Nota

   Instale a extensão SARIF SAST Scans Tab na organização do Azure DevOps para garantir que os resultados da análise gerados serão exibidos automaticamente na guia Verificações.

Embora o Defender for Cloud forneça a CLI do MSDO para funcionalidade padronizada e controles de política em um conjunto de analisadores de segurança de código aberto, você tem a flexibilidade de carregar resultados de outras ferramentas de segurança de terceiros que você pode ter configurado em pipelines de CI/CD para o Defender for Cloud para contextualização abrangente de código para nuvem. Todos os resultados carregados no Defender for Cloud devem estar no formato SARIF padrão.

Primeiro, certifique-se de que seus repositórios de DevOps do Azure estejam integrados ao Defender for Cloud. Depois de integrar com êxito o Defender for Cloud, ele monitora continuamente o artefato 'CodeAnalysisLogs' para a saída SARIF.

Você pode usar a tarefa 'PublishBuildArtifacts@1' para garantir que a saída SARIF seja publicada no artefato correto. Por exemplo, se um analisador de segurança gerar 'results.sarif', você poderá configurar a seguinte tarefa em seu trabalho para garantir que os resultados sejam carregados no Defender for Cloud: