GitHub Advanced Security-systeemeigen integratie instellen met Microsoft Defender voor Cloud

Deze handleiding bevat installatiestappen en andere acties waarmee u GitHub Advanced Security (GHAS) en Microsoft Defender voor Cloud kunt integreren met een use-case waarmee u de integratie end-to-end kunt valideren. Deze integratie helpt de cloud-native beveiliging van Microsoft-toepassingen te maximaliseren door runtimerisico's en context te correleren met de oorspronkelijke code voor snellere AI-gestuurde herstelacties.

Door deze handleiding te volgen, gaat u als volgt te werk:

• Stel uw GitHub-opslagplaats in voor Defender voor Cloud-dekking.
• Maak een runtime-risicofactor.
• Test echte gebruiksscenario's in Defender voor Cloud.
• Koppel code aan runtime-resources.
• Start een beveiligingscampagne op GitHub. Deze campagne maakt gebruik van runtimecontext om prioriteit te geven aan beveiligingswaarschuwingen van GHAS.
• Maak GitHub-issues vanuit de Defender voor Cloud om met de remediëring te beginnen.
• Sluit de lus tussen technische en beveiligingsteams.

Vereiste voorwaarden

Uw omgeving voorbereiden

Stap 1: de GitHub opslagplaats instellen en de werkstroom uitvoeren

Als u de integratie wilt testen, gebruikt u uw eigen opslagplaatsen of een voorbeeld-sandboxproject met een test-GitHub-opslagplaats die alle inhoud bevat om een kwetsbare containerafbeelding te bouwen.

1. Meld u aan bij het Azure-portaal.

2. Ga naar Microsoft Defender voor Cloud>DevOps-beveiliging.

3. Voer de naam van uw codeopslagplaats in de zoekbalk in (bijvoorbeeld: zava-webshop).

4. Controleer of het echt hoort bij de organisatie die u bewaakt (bijvoorbeeld: zava-corporation org).

5. Controleer of er bevindingen zijn voor de repository.

6. Zorg ervoor dat Geavanceerde beveiligingsstatus is Ingeschakeld, waarmee wordt aangegeven dat u GitHub Advanced Security hebt ingeschakeld voor de bewaakte opslagplaats > uw onboarded opslagplaats.

7. Als uw repository niet is gevonden, raadpleegt u de Microsoft Defender voor Cloud-documentatie voor probleemoplossing en onboarding van de GitHub-connector.

8. Zorg ervoor dat scannen zonder agent is ingeschakeld voor uw GitHub-connector.

   

Stap 2: Controleer of uw omgeving gereed is

Validatie bevestigt dat uw omgeving correct is geconfigureerd om code aan runtime-aanbevelingen te presenteren en om bruikbare resultaten te genereren. Tijdens deze stap controleert Defender of:

Volledige code voor runtime-zichtbaarheid

• Microsoft Defender voor Cloud continu broncodeopslagplaatsen bewaakt op beveiligingsproblemen.
• Build-artifacts, zoals container images, worden in containerregisters gescand vóór de implementatie.
• Runtime-workloads die geïmplementeerd zijn in Kubernetes-clusters worden gecontroleerd op beveiligingsrisico's.
• Defender voor Cloud correleert en traceert elk artefact vanuit code, via build en implementatie, naar runtime en terug.

Test of GitHub agentloze scanning de opslagplaats detecteert.

Ga naar Microsoft Defender voor Cloud>Cloud Security Explorer en voer de query uit. De validatiequery's testen of Defender artefacten kan identificeren die door uw pijplijnen en workloads zijn geproduceerd. Als de query's resultaten retourneren, geeft dit aan dat scannen en correlatie werken zoals verwacht.

1. Controleer of Defender voor Cloud (in Azure Container Registry) de containerafbeelding heeft gescand en deze gebruikt heeft om een container te creëren.

2. Voeg in uw query de voorwaarden voor uw specifieke implementatie toe.

   

3. Controleer of de container wordt uitgevoerd en of Defender voor Cloud het AKS-cluster heeft gescand.

   

4. Controleer of de risicofactoren correct zijn geconfigureerd aan de zijde van Defender voor Cloud. Zoek de containernaam op de Defender voor Cloud-inventarispagina en u zou deze gemarkeerd als kritieke status moeten zien.

Geslaagde validatie zorgt ervoor dat volgende stappen, zoals aanbevelingen, campagnes en GitHub genereren van problemen, zinvolle resultaten opleveren.

Stap 3: Een GitHub campagne maken

Als u een scancampagne wilt maken, moet u op GitHub organisatieniveau werken. Deze ervaring is niet beschikbaar op het niveau van de afzonderlijke opslagplaats.

1. Ga in GitHub naar de GitHub organisatie die u hebt gebruikt voor het testen van de installatie.

2. Selecteer Beveiliging>Campagnes>Campagne maken>Van codescanfilters.

3. Deze campagne helpt prioriteit te geven aan GHAS-bevindingen die deel uitmaken van code die echt wordt geïmplementeerd en uitgevoerd.

4. Selecteer runtimerisicofilters voor de campagne.

   

   

5. Selecteer Publiceren opslaan>als campagne. Voer de vereiste gegevens in en publiceer de campagne.

6. Houd de voortgang van de campagne bij.

Stap 4: Mobilisatie van aanbevelingen

Maak gebruik van actieve Containers VA-aanbevelingen voor code-to-runtime-functionaliteit en de correlatie van de geïdentificeerde CVE's door de beveiligingswaarschuwingen van Dependabot te gebruiken om inzicht te krijgen in de status van beveiligingsproblemen. Vervolgens kunt u de aanbeveling voor oplossing toewijzen aan het relevante technische team op basis van code-naar-runtime-toewijzing.

1. Ga in de Defender voor Cloud-portal naar het tabblad Aanbevelingen .

2. Zoek de naam van de container die u hebt gemaakt op basis van uw codeopslagplaats.

3. Open een van de Update aanbevelingen; de naam van de aanbeveling begint met Update.

4. Selecteer het tabblad Geassocieerde CVE's. Beveiligingswaarschuwingen verschijnen als onderdeel van de evaluatiestroom voor aanbevelingen. Deze waarschuwingen bevatten aanwijzingen over GitHub Advanced Security bevindingen die al bekend zijn bij het ingenieursteam. Sommige CVE-id's hebben een View on GitHub link in de kolom Gerelateerde GitHub Alerts.

   

Selecteer de koppeling om de relevante beveiligingswaarschuwing van GHAS te openen. (Als u de GHAS-waarschuwingsinhoud in GitHub wilt bekijken, moet u toegangsmachtigingen hebben voor de relevante GitHub opslagplaats. Als u geen toegangsmachtigingen hebt, kunt u de koppeling altijd kopiëren voor volgend gebruik of contact opnemen met uw GitHub beheerder.)

Als er een verrijking van waarschuwingen is, is er een overeenkomende Dependabot-waarschuwing die al bekend is bij de technische afdeling. Als de status Actief is, heeft niemand deze nog opgelost en moet het probleem prioriteit krijgen voor een oplossing.

Als er geen resultaatsverrijking wordt gevonden, geeft dit een runtime-risico aan dat onbekend is voor engineering en prioriteit moet krijgen voor een oplossing.

Wat is de volgende stap? Hoe weet ik wie het relevante team is voor de oplossing? Hoe weet ik welke context technische hulp kan bieden bij de oplossing?

Een probleem met GitHub maken

Als u de lus tussen beveiligings- en technische teams wilt sluiten, kunt u een GitHub probleem maken dat prioriteit geeft aan de beveiligingsproblemen waarop het technische team zich moet richten. Deze prioriteitsaanduiding kan bestaan uit het doorgeven van bevindingen die GHAS niet heeft opgehaald, maar die Defender voor Cloud heeft gedetecteerd voor CVE-id's die geen deel uitmaken van directe afhankelijkheden. Deze bevindingen kunnen beveiligingsproblemen bevatten in de basisinstallatiekopieën, het besturingssysteem of software zoals NGINX.

Het GitHub probleem wordt automatisch gegenereerd op de codeopslagplaats van oorsprong, waarbij alle CVE-id's in het bereik van de aanbeveling worden gevonden, met inbegrip van andere runtime- en container-SDLC-gerelateerde contexten die u kunnen helpen bij het oplossen en testen.

In de aanbevelingsweergave kunt u expliciet een GitHub probleem genereren om herstelwerkzaamheden bij te houden.

1. Ga naar het tabblad Herstelinzichten en bekijk het code-naar-runtime-diagram. Het diagram koppelt uw lopende container aan de containerimage in de codeopslagplaats en aan de oorspronkelijke codeopslagplaats in GitHub.

   

   1. Controleer op het tabblad Herstelinzichthet betreffende runtimevak.

   2. Validate of er al een GitHub probleem bestaat. Als er al een GitHub probleem bestaat, wordt in het vak een GitHub-pictogram weergegeven. Beweeg de muisaanwijzer over het pictogram om details van het probleem weer te geven.

   3. Als er geen probleem bestaat en u over de vereiste machtigingen beschikt, kunt u een nieuw GitHub probleem genereren. Selecteer Actie ondernemen.

   4. Selecteer de optie Generate GitHub issue in de pop-up.

   5. Als het probleem succesvol is aangemaakt, ziet u een pop-up melding met een link naar de kwestie. Het probleem wordt gemaakt in de codeopslagplaats van oorsprong.

      

   Opmerking

   Als de optie Generate GitHub niet beschikbaar is, ontbreken mogelijk vereiste GitHub- of opslagplaatsmachtigingen. Neem contact op met de beheerder van uw GitHub of opslagplaats om toegang te vragen.

   

   1. Bezit- en statusupdates bijhouden : wijzigingen in de status of toewijzing die in GitHub zijn aangebracht, worden doorgevoerd in Microsoft Defender voor Cloud, zodat u de voortgang van eigendom en herstel kunt bijhouden vanuit Aanbevelingen weergave.

      

Agentgerelateerde oplossingen toepassen

Als u een GitHub Copilot licentie hebt, kunt u het probleem oplossen met behulp van de GitHub coderingsagent aan de GitHub kant:

1. Wijs een GitHub coderingsagent toe aan het probleem.
2. Bekijk de gegenereerde oplossing.
3. Als de oplossing redelijk lijkt, past u deze toe.
4. Bekijk wanneer Defender voor Cloud de status van het probleem bijwerken naar Gesloten.

Verwante inhoud

• Wat is GitHub Geavanceerde beveiligingsintegratie met Microsoft Defender voor Cloud?
• Overview van Microsoft Defender voor Cloud DevOps-beveiliging
• Quickstart: Uw GitHub-omgeving verbinden met Microsoft Defender voor Cloud
• Scannen van code zonder agent configureren (preview)