Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
Microsoft Defender for Cloud'ta DevOps güvenlik yeteneklerini planlamak için aşağıdaki destek bilgilerini kullanın.
DevOps güvenliği, DevOps ortamlarınıza görünürlük sağlar ve güvenlik ekiplerinin Azure DevOps, GitHub ve GitLab'daki depolarda ve CI/CD boru hatlarında yanlış yapılandırmaları, açığa çıkan sırları ve kod açıklıklarını keşfetmesine yardımcı olur.
Bulut ve bölge desteği
DevOps güvenliği, Azure ticari bulutunda şu bölgelerde kullanılabilir:
- Asya (Doğu Asya)
- Avustralya (Doğu Avustralya)
- Kanada (Orta Kanada)
- Avrupa (Batı Avrupa, Kuzey Avrupa, Orta İsveç)
- Birleşik Krallık (Güney Birleşik Krallık)
- ABD (Doğu ABD, Orta ABD)
DevOps platform desteği
DevOps güvenliği şu anda aşağıdaki DevOps platformlarını destekler:
Note
DevOps için Defender şu anda veri yerleşimi ile yapılandırılmış GitHub Enterprise Cloud örneklerini desteklememektedir.
Gerekli izinler
DevOps güvenliği aşağıdaki izinleri gerektirir:
| Özelliği | İzinler |
|---|---|
| DevOps ortamlarını Bulut için Defender'a bağlama |
|
| Güvenlik içgörülerini ve bulgularını gözden geçirme | Güvenlik Okuyucusu |
| Çekme isteği notlarını yapılandırma | Abonelik Katılımcısı veya Sahibi |
| Microsoft Güvenlik DevOps uzantısını Azure DevOps'a yükleme | Azure DevOps Proje Koleksiyonu Yöneticisi |
| GitHub'da Microsoft Güvenlik DevOps eylemini yükleme | GitHub Yazma |
Note
DevOps güvenlik içgörülerine ve bulgularına okuma erişimi için bir abonelikte yüksek ayrıcalıklı izinler ayarlamaktan kaçınmak için kaynak grubuna veya bağlayıcı kapsamına Güvenlik Okuyucusu rolünü uygulayın.
Özellik kullanılabilirliği
Ücretli Defender Bulut Güvenliği Duruş Yönetimi (Defender CSPM) planını etkinleştirdiğinizde koddan buluta bağlamsallaştırma, güvenlik gezgini, saldırı yolu analizi ve altyapı kodu güvenlik analizleri için pull isteği ek açıklamaları gibi DevOps güvenlik özellikleri kullanılabilir. Bulut ve DevOps platformlarındaki duruş yönetimi yeteneklerinin ayrıntılı bir ayrımı için DevOps Cloud Security Posture Management sayfasına bakınız.
Aşağıdaki bölümler, desteklenen DevOps platformlarındaki her özelliğin erişilebilirliği ve ön koşullarını özetlemektedir.
Ajansız kod taraması (Önizleme)
Aracısız kod taraması (Önizleme), Azure DevOps ve GitHub aracılığıyla bağlanan depolar için güvenlik kapsamı sağlar. CI/CD boru hattlarında veya geliştirici iş akışlarında değişiklik gerektirmeden varsayılan dalı tarar. Hizmet, kod zafiyetlerini, Altyapı-Kod olarak (IaC) yanlış yapılandırmalarını ve açık kaynak bağımlılık açığını tespit eder ve sorgulanabilir bir yazılım materyal listesi (SBOM) oluşturur.
Ajansız kod taraması şu yetenekleri destekler:
- Python, JavaScript, TypeScript, JSX ve TSX için kod güvenlik açığı taraması.
- npm, Yarn, pip, Pipenv, Poetry, Maven, Gradle, NuGet, Go modülleri, RubyGems, Composer, Cargo ve depo manifesteleri ile kilit dosyaları aracılığıyla desteklenen diğer ekosistemler için bağımlılık açığı taraması.
- IaC yanlış yapılandırma taraması için Terraform, Terraform plan dosyaları, AWS CloudFormation, Kubernetes bildirimleri, Helm grafikleri, Dockerfile'lar, Azure Resource Manager (ARM) şablonları, Bicep, AWS Serverless Application Model (SAM), Kustomize, Serverless Framework ve OpenAPI belirtimleri.
- Depolar tarafından kullanılan bağımlılıkları ve sürümleri belirlemek için SBOM üretimi.
Ajansız kod taraması aşağıdaki yönetilen açık kaynak araçları kullanır:
| Araç | Birincil kapsama |
|---|---|
| Şablon Çözümleyicisi | ARM ve Bicep şablonları |
| Checkov | Terraform, CloudFormation, Kubernetes, Helm, Dockerfiles, ARM, Bicep, SAM, Kustomize, Serverless Framework ve OpenAPI |
| Bandit | Python kodu |
| ESLint | JavaScript, TypeScript, JSX ve TSX |
| Trivy | Depo manifestolarında ve kilit dosyalarındaki bağımlılıklar ve işletim sistemi paketleri |
| Syft | Desteklenen paket ekosistemleri ve ikili dosyalar için SBOM oluşturma |
Aracısız kod taraması, Azure DevOps ve GitHub bağlayıcıları aracılığıyla çalışır. Depo keşfi her sekiz saatte bir gerçekleşir ve kod ile IaC taramaları günlük olarak çalışır. Çalıştırılacak tarayıcıları seçebilir ve organizasyonları, projeleri veya depoları dahil edebilir veya hariç tutabilirsiniz. Depolar 1 GB'tan küçük olmalıdır. Kurulum talimatları, desteklenen dosya türleri, bulgular ve sınırlamalar için bkz. Ajansız kod taramasını yapılandır.
Azure DevOps
Duruş yönetimi, kod taraması ve risk analizi elde etmek için Azure DevOps’u, Azure DevOps kuruluşları ve depoları genelinde Microsoft Defender for Cloud’a bağlayın. Azure DevOps’u kullanmaya başlamayı öğrenin ve Azure DevOps önkoşullarını gözden geçirin.
GitHub
GitHub'u Microsoft Defender for Cloud'a bağlayarak envanter keşfi, kod ve IaC açığı taraması ile koddan buluta eşleme yapabilirsiniz. GitHub'u nasıl entegre edeceğinizi ve GitHub'un ön koşullarını nasıl gözden geçireceğinizi öğrenin.
Git Laboratuvarı
GitLab projelerinizde güvenlik önerileri ve güvenlik tarayıcısı risk araması için GitLab'i Microsoft Defender for Cloud'a bağlayın. GitLab'ı nasıl entegre edeceğinizi ve GitLab ön koşullarını nasıl gözden geçireceğinizi öğrenin.
| Özelliği | Temel CSPM | Defender Bulut Güvenliği Durumu Yönetimi (CSPM) | Prerequisites |
|---|---|---|---|
| Kod güvenlik açıklarını düzeltmek için güvenlik önerileri | 
|
|
GitLab Ultimate. |
| Kod olarak altyapı (IaC) yanlış yapılandırmalarını düzeltmek için güvenlik önerileri |
|
|
GitLab Ultimate. |
| Açığa Çıkmış Şifreleri Keşfetmek İçin Güvenlik Önerileri |
|
|
GitLab Ultimate. |
| Açık kaynak güvenlik açıklarını düzeltmeye yönelik güvenlik önerileri |
|
|
GitLab Ultimate. |
| Saldırı yolu analizi | - |
|
Azure aboneliğinde, AWS bağlayıcısında veya GCP konnektöründe DevOps konnektörünün olduğu aynı kiracıda Defender CSPM'i etkinleştirin. |
| Bulut güvenlik gezgini | - |
|
Azure aboneliğinde, AWS bağlayıcısında veya GCP konnektöründe DevOps konnektörünün olduğu aynı kiracıda Defender CSPM'i etkinleştirin. |
Dış kayıtlar
Harici kayıt defteri bağlayıcıları, Defender for Cloud’u Azure, AWS ve GCP aboneliklerinizin dışındaki kapsayıcı görüntülerini kapsayacak şekilde genişletir. Temel CSPM envanter sağlar. Defender CSPM, güvenlik açığı değerlendirmesi ve bağlamsal risk sinyalleri sağlar. Defender for Containers kapsamı için Defender for Containers özellik erişim desenlerine bakınız.
Docker Hub
Docker Hub'u Microsoft Defender for Cloud'a bağlayarak Docker Hub organizasyonunuzdaki konteyner görüntüleri için varlık envanteri ve ajansız güvenlik açığı değerlendirmesini mümkün kılın. Docker Hub için güvenlik açığı değerlendirmesini yapılandırmayı ve Docker Hub ön koşullarını gözden geçirmeyi öğrenin.
| Capability | Temel CSPM | Defender Bulut Güvenliği Durumu Yönetimi (CSPM) | Prerequisites |
|---|---|---|---|
| Kayıt defterindeki konteyner imajlarının envanter keşfi |
|
|
Yönetici izinlerine ve yalnızca okunabilir erişim tokenına sahip bir Docker Hub organizasyonu. Her Docker Hub organizasyonu için bir bağlantı oluşturun. |
| Konteyner imajları için agentless güvenlik açığı değerlendirmesi | - |
|
- |
| Kapsayıcılar için koddan buluta eşleme | - |
|
Desteklenen kod-bulut eşlemesini yapılandırın. |
| Kod Olarak Altyapı (IaC) için koddan buluta eşleme | - |
|
Desteklenen kod-bulut eşlemesini yapılandırın. |
| Saldırı yolu analizi | - |
|
- |
| Güvenlik gezgini ile risk avcılığı | - |
|
- |
| Risk öncelik belirlemesi | - |
|
- |
JFrog Artifactory
JFrog Artifactory'yi Microsoft Defender for Cloud'a bağlayarak JFrog Artifactory Cloud kiracınızda konteyner görüntüleri için varlık envanteri ve ajansız güvenlik açığı değerlendirmesini mümkün kılın. JFrog Artifactory için zafiyet değerlendirmesini nasıl yapılandıracağınızı öğrenin ve JFrog Artifactory ön koşullarını gözden geçirin. Defender CSPM, bu tablodaki JFrog Artifactory kayıt yeteneklerine bağlamsal risk sinyalleri ekler. Defender CSPM planı daha geniş CSPM yeteneklerini listeliyor, ancak kayıt görsellerine yalnızca JFrog bağlayıcısını destekleyen yetenekler uygulanıyor.
| Capability | Temel CSPM | Defender Bulut Güvenliği Durumu Yönetimi (CSPM) | Prerequisites |
|---|---|---|---|
| Kayıt defterindeki konteyner imajlarının envanter keşfi |
|
|
Yönetici erişime sahip bir JFrog Artifactory Cloud tenantı. Her kiracı için bir bağlantı oluşturun. |
| Konteyner imajları için agentless güvenlik açığı değerlendirmesi | - |
|
Ayrıca JFrog CLI ve jq JSON ayrıştırıcı gerekiyor. |
| Kapsayıcılar için koddan buluta eşleme | - |
|
Desteklenen kod-bulut eşlemesini yapılandırın. |
| Kod Olarak Altyapı (IaC) için koddan buluta eşleme | - |
|
Desteklenen kod-bulut eşlemesini yapılandırın. |
| Saldırı yolu analizi | - |
|
- |
| Güvenlik gezgini ile risk avcılığı | - |
|
- |
| Risk öncelik belirlemesi | - |
|
- |
Konteyner kaydı güvenlik açığı değerlendirmesi ve çalışma zamanı değerlendirme gereksinimleri için Defender for Containers özellik erişim desenlerine bakınız.