Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Используйте следующую информацию поддержки для планирования возможностей безопасности DevOps в Microsoft Defender для облака.
Безопасность DevOps обеспечивает видимость ваших DevOps-сред, помогая командам по безопасности выявлять неправильные конфигурации, раскрытые секреты и уязвимости кода в репозиториях и CI/CD конвейерах Azure DevOps, GitHub и GitLab.
Поддержка облака и региона
Безопасность DevOps доступна в коммерческом облаке Azure в следующих регионах:
- Азия (Восточная Азия)
- Австралия (Восточная Австралия)
- Канада (Центральная Канада)
- Европа (Западная Европа, Северная Европа, Центральная Швеция)
- Великобритания (южная часть Великобритании)
- США (восточная часть США, центральная часть США)
Поддержка платформы DevOps
В настоящее время безопасность DevOps поддерживает следующие платформы DevOps:
Note
Defender для DevOps в настоящее время не поддерживает GitHub Enterprise Cloud с конфигурацией хранения данных.
Необходимые разрешения
Для безопасности DevOps требуются следующие разрешения:
| Функция | Разрешения |
|---|---|
| Подключение сред DevOps к Defender для облака |
|
| Просмотр аналитических данных и выводов по безопасности | Обозреватель безопасности |
| Настройка аннотаций pull request | Участник подписки или владелец |
| Установка расширения Microsoft Security DevOps в Azure DevOps | Администратор коллекции проектов Azure DevOps |
| Установка действия Microsoft Security DevOps в GitHub | Редактирование на GitHub |
Note
Чтобы избежать настройки разрешений с высоким уровнем привилегий для подписки для доступа к аналитике безопасности DevOps и выводам, примените роль читателя безопасности в группе ресурсов или области соединителя.
Доступность функций
Возможности безопасности DevOps, такие как контекстуализация кода в облако, обозреватель безопасности, анализ пути атаки и заметки запросов на вытягивание для выводов безопасности "Инфраструктура как код", доступны при включении плана платного управления cloud Security Posture Management (CSPM Defender). Для подробного разбора возможностей управления позицией в облачных и DevOps-платформах см. DevOps Cloud Security Positionure Management.
В следующих разделах приведены итоги доступности и требований для каждой функции на поддерживаемых платформах DevOps.
Безагентное сканирование кода (Предварительный просмотр)
Безагентное сканирование кода (предварительная версия) обеспечивает защиту репозиториев, подключённых через Azure DevOps и GitHub. Он сканирует стандартную ветку без необходимости менять CI/CD конвейеры или рабочие процессы разработчика. Сервис выявляет уязвимости кода, неправильные конфигурации Infrastructure-as-Code (IaC) и уязвимости открытых уровней зависимостей, а также генерирует запросный программный список материалов (SBOM).
Бесагентное сканирование кода поддерживает следующие возможности:
- Сканирование уязвимостей кода для Python, JavaScript, TypeScript, JSX и TSX.
- Сканирование уязвимостей зависимостей для экосистем пакетов, таких как npm, Yarn, pip, Pipenv, Poetry, Maven, Gradle, NuGet, модули Go, RubyGems, Composer, Cargo и другие экосистемы, поддерживаемые через манифесты репозиториев и lock-файлы.
- Сканирование неверных конфигураций IaC для Terraform, файлов планов Terraform, AWS CloudFormation, манифестов Kubernetes, чартов Helm, файлов Dockerfile, шаблонов Azure Resource Manager (ARM), Bicep, AWS Serverless Application Model (SAM), Kustomize, Serverless Framework и спецификаций OpenAPI.
- Генерация SBOM для выявления зависимостей и версий, используемых репозиториями.
Бесагентное сканирование кода использует следующие управляемые инструменты с открытым исходным кодом:
| инструмент | Основной охват |
|---|---|
| Анализатор шаблонов | Шаблоны ARM и Bicep |
| Checkov | Terraform, CloudFormation, Kubernetes, Helm, Dockerfiles, ARM, Bicep, SAM, Kustomize, Serverless Framework и OpenAPI |
| Bandit | Python-код |
| ESLint | JavaScript, TypeScript, JSX и TSX |
| Trivy | Зависимости и пакеты операционной системы в манифестах репозитория и файлах блокировки |
| Syft | Генерация SBOM для поддерживаемых экосистем пакетов и бинарных файлов |
Безагентное сканирование кода выполняется через коннекторы Azure DevOps и GitHub. Обнаружение репозитория происходит каждые восемь часов, а сканирование кода и IaC выполняются ежедневно. Вы можете выбрать сканеры для запуска и включить или исключить организации, проекты или репозитории. Репозитории должны быть меньше 1 ГБ. Инструкции по установке, сведения о поддерживаемых типах файлов, результатах анализа и ограничениях см. в разделе Настройка безагентного сканирования кода.
Azure DevOps
Подключите Azure DevOps к Microsoft Defender для облака, чтобы получить возможности управления состоянием безопасности, сканирования кода и анализа рисков для организаций и репозиториев Azure DevOps. Узнайте, как подключить Azure DevOps, и ознакомьтесь с предварительными требованиями для Azure DevOps.
GitHub
Подключите GitHub с Microsoft Defender для облака для обнаружения инвентаря, сканирования уязвимостей кода и IaC, а также картирования кода в облако. Узнайте, как подключить GitHub, и ознакомьтесь с предварительными требованиями GitHub.
GitLab
Подключите GitLab к Microsoft Defender для облака для рекомендаций по безопасности и поиска рисков в обзоре безопасности в ваших проектах GitLab. Узнайте, как подключить GitLab, и ознакомьтесь с предварительными требованиями GitLab.
| Функция | Фундаментальное управление безопасностью облачной инфраструктуры (CSPM) | CSPM в Microsoft Defender | Prerequisites |
|---|---|---|---|
| Рекомендации по безопасности для устранения уязвимостей кода | 
|
|
GitLab Ultimate. |
| Рекомендации по безопасности для исправления неправильной настройки инфраструктуры как кода (IaC) |
|
|
GitLab Ultimate. |
| Рекомендации по безопасности для обнаружения открытых секретов |
|
|
GitLab Ultimate. |
| Рекомендации по безопасности для устранения уязвимостей с открытым кодом |
|
|
GitLab Ultimate. |
| Анализ пути атаки | - |
|
Включите Defender CSPM для подписки Azure, соединителя AWS или соединителя GCP в том же клиенте, что и соединитель DevOps. |
| Обозреватель облачной безопасности | - |
|
Включите Defender CSPM для подписки Azure, соединителя AWS или соединителя GCP в том же клиенте, что и соединитель DevOps. |
Внешние реестры
Внешние коннекторы реестра расширяют Defender для облака для контейнерных образов вне подписок Azure, AWS и GCP. Базовый CSPM обеспечивает инвентаризацию. Defender CSPM предоставляет оценку уязвимостей и контекстуальные сигналы о рисках. Сведения о покрытии Defender for Containers см. в статье Модели доступа к функциям Defender for Containers.
Центр Docker
Подключите Docker Hub к Microsoft Defender для облака, чтобы включить инвентаризацию активов и бесагентную оценку уязвимостей для изображений контейнеров в вашей организации Docker Hub. Узнайте, как настроить оценку уязвимостей для Docker Hub и ознакомьтесь с требованиями Docker Hub.
| Capability | Фундаментальное управление безопасностью облачной инфраструктуры (CSPM) | CSPM в Microsoft Defender | Prerequisites |
|---|---|---|---|
| Инвентаризация изображений контейнеров в реестре |
|
|
Организация Docker Hub с правами администратора и токен доступа только для чтения. Создайте по одному разъёму для каждой организации Docker Hub. |
| Оценка уязвимости без агентов для изображений контейнеров | - |
|
- |
| Сопоставление кода с облаком для контейнеров | - |
|
Настройте поддерживаемое отображение кода в облако. |
| Сопоставление кода с облачной инфраструктурой для подхода «инфраструктура как код» (IaC) | - |
|
Настройте поддерживаемое отображение кода в облако. |
| Анализ пути атаки | - |
|
- |
| Поиск рисков с помощью обозревателя безопасности | - |
|
- |
| Определение приоритетов риска | - |
|
- |
JFrog Artifactory
Подключите JFrog Artifactory к Microsoft Defender для облака, чтобы включить инвентаризацию активов и бесагентную оценку уязвимостей для образов контейнеров в вашем арендаторе JFrog Artifactory Cloud. Узнайте, как настроить оценку уязвимостей для JFrog Artifactory и ознакомьтесь с требованиями JFrog Artifactory. Defender CSPM добавляет контекстные сигналы риска к возможностям реестра JFrog Artifactory в этой таблице. Детали плана Defender CSPM содержат более широкие возможности CSPM, но к его образам реестра применимы только те возможности, поддерживающие разъём JFrog.
| Capability | Фундаментальное управление безопасностью облачной инфраструктуры (CSPM) | CSPM в Microsoft Defender | Prerequisites |
|---|---|---|---|
| Инвентаризация изображений контейнеров в реестре |
|
|
Экземпляр JFrog Artifactory Cloud с правами администратора. Создайте по одному соединителю для каждого арендатора. |
| Оценка уязвимости без агентов для изображений контейнеров | - |
|
Также требуется JFrog CLI и jq парсер JSON. |
| Сопоставление кода с облаком для контейнеров | - |
|
Настройте поддерживаемое отображение кода в облако. |
| Сопоставление кода с облачной инфраструктурой для подхода «инфраструктура как код» (IaC) | - |
|
Настройте поддерживаемое отображение кода в облако. |
| Анализ пути атаки | - |
|
- |
| Поиск рисков с помощью обозревателя безопасности | - |
|
- |
| Определение приоритетов риска | - |
|
- |
Для оценки уязвимостей реестра контейнеров и требований к оценке во время выполнения см. шаблоны доступа к функциям Defender for Containers.