Поддержка и предварительные требования: безопасность DevOps

В этой статье приведены сведения о поддержке возможностей безопасности DevOps в Microsoft Defender для облака.

Безопасность DevOps обеспечивает видимость сред DevOps, помогая командам безопасности обнаруживать неправильные настройки, уязвимые секреты и уязвимости в коде в репозиториях и конвейерах CI/CD в Azure DevOps, GitHub и GitLab.

Поддержка облака и региона

Безопасность DevOps доступна в коммерческом облаке Azure в следующих регионах:

• Азия (Восточная Азия)
• Австралия (Восточная Австралия)
• Канада (Центральная Канада)
• Европа (Западная Европа, Северная Европа, Центральная Швеция)
• Великобритания (южная часть Великобритании)
• США (восточная часть США, центральная часть США)

Поддержка платформы DevOps

В настоящее время безопасность DevOps поддерживает следующие платформы DevOps:

• Azure DevOps Services
• GitHub Enterprise Cloud
• GitLab SaaS

Замечание

Defender для DevOps в настоящее время не поддерживает GitHub Enterprise Cloud с конфигурацией хранения данных.

Необходимые разрешения

Для безопасности DevOps требуются следующие разрешения:

Функция	Разрешения
Подключение сред DevOps к Defender для облака	Azure: участник подписки или администратор безопасности Azure DevOps: администратор коллекции проектов в целевой организации GitHub: владелец организации GitLab: владелец группы в целевой группе
Просмотр аналитических данных и выводов по безопасности	Обозреватель безопасности
Настройка аннотаций pull request	Участник подписки или владелец
Установка расширения Microsoft Security DevOps в Azure DevOps	Администратор коллекции проектов Azure DevOps
Установка действия Microsoft Security DevOps в GitHub	Редактирование на GitHub

Замечание

Чтобы избежать настройки разрешений с высоким уровнем привилегий для подписки для доступа к аналитике безопасности DevOps и выводам, примените роль читателя безопасности в группе ресурсов или области соединителя.

Доступность функций

Возможности безопасности DevOps, такие как контекстуализация кода в облако, обозреватель безопасности, анализ пути атаки и заметки запросов на вытягивание для выводов безопасности "Инфраструктура как код", доступны при включении плана платного управления cloud Security Posture Management (CSPM Defender).

В следующих таблицах приведены сведения о доступности и предварительных требованиях для каждой функции на поддерживаемых платформах DevOps:

Azure DevOps

Функция	Базовый CSPM	CSPM в Defender	Предпосылки
Подключение репозиториев Azure DevOps	Да	Да	Предварительные требования для подключения Azure DevOps
Инвентаризация ресурсов Azure DevOps	Да	Да	Соединитель Azure DevOps
Рекомендации по безопасности для исправления неправильной настройки среды DevOps	Да	Да	Соединитель Azure DevOps
Рекомендации по безопасности для устранения уязвимостей кода	Да	Да	Сканирование без агента (предварительная версия) для выполнения сканирования без агента, расширение Microsoft Security DevOps для сканирования в конвейере или GitHub Advanced Security для Azure DevOps для выполнения сканирования с помощью CodeQL.
Рекомендации по безопасности для исправления неправильной настройки инфраструктуры как кода (IaC)	Да	Да	Сканирование без агента (предварительная версия) для сканирования без агента или расширение Microsoft Security DevOps для сканирования в рабочем конвейере
Рекомендации по безопасности для обнаружения открытых секретов	Да	Да	Расширенная безопасность GitHub для Azure DevOps
Рекомендации по безопасности для устранения уязвимостей с открытым кодом	Да	Да	Расширенная безопасность GitHub для Azure DevOps
Аннотации pull request	нет	Да	Предварительные требования к аннотациям pull-запросов
Переход от кода к облаку для контейнеров	нет	Да	Расширение Microsoft Security DevOps
Сопоставление кода с облаком для шаблонов "Инфраструктура как код" (IaC)	нет	Да	Расширение Microsoft Security DevOps
Анализ пути атаки	нет	Да	Включите Defender CSPM в подписке Azure, на соединителе AWS или соединителе GCP в том же клиенте, что и соединитель DevOps.
Обозреватель облачной безопасности	нет	Да	Активируйте Defender CSPM в подписке Azure, соединителе AWS или соединителе GCP в том же клиенте, что и соединитель DevOps.

GitHub

Функция	Основы CSPM	CSPM в Defender	Предпосылки
Подключение репозиториев GitHub	Да	Да	См. предварительные требования для подключения GitHub
Инвентаризация ресурсов GitHub DevOps	Да	Да	Соединитель GitHub
Рекомендации по безопасности для исправления неправильной настройки среды DevOps	Да	Да	Соединитель GitHub
Рекомендации по безопасности для устранения уязвимостей кода	Да	Да	Сканирование без агента (предварительная версия) для сканирования без агента, действие Microsoft Security DevOps для сканирования в конвейере или GitHub Advanced Security для сканирования CodeQL
Рекомендации по безопасности для исправления неправильной настройки инфраструктуры как кода (IaC)	Да	Да	Сканирование без агента (предварительная версия) для сканирования без агента или действие Microsoft Security DevOps для сканирования в конвейере
Рекомендации по безопасности для обнаружения открытых секретов	Да	Да	Расширенная безопасность GitHub
Рекомендации по безопасности для устранения уязвимостей с открытым кодом	Да	Да	Расширенная безопасность GitHub
Переход от кода к облаку для контейнеров	нет	Да	Действие DevOps в Microsoft Security
Анализ пути атаки	нет	Да	Активируйте Defender CSPM в подписке Azure, соединителе AWS или соединителе GCP в том же клиенте, что и соединитель DevOps.
Обозреватель облачной безопасности	нет	Да	Активируйте Defender CSPM в подписке Azure, соединителе AWS или соединителе GCP в том же клиенте, что и соединитель DevOps.

GitLab

Функция	Базовый CSPM	CSPM в Defender	Предпосылки
Подключение проектов GitLab	Да	Да	См. предварительные требования для подключения GitLab
Рекомендации по безопасности для устранения уязвимостей кода	Да	Да	GitLab Ultimate
Рекомендации по безопасности для исправления неправильной настройки инфраструктуры как кода (IaC)	Да	Да	GitLab Ultimate
Рекомендации по безопасности для обнаружения открытых секретов	Да	Да	GitLab Ultimate
Рекомендации по безопасности для устранения уязвимостей с открытым кодом	Да	Да	GitLab Ultimate
Обозреватель облачной безопасности	нет	Да	Активируйте Defender CSPM в подписке Azure, соединителе AWS или соединителе GCP в том же клиенте, что и соединитель DevOps.