Configuración de la acción de GitHub de DevOps de seguridad de Microsoft

Microsoft Security DevOps es una aplicación de línea de comandos que integra herramientas de análisis estáticos en el ciclo de vida de desarrollo. Security DevOps instala, configura y ejecuta las versiones más recientes de herramientas de análisis estáticos, como, SDL, herramientas de seguridad y cumplimiento. Security DevOps está controlado por datos con configuraciones portátiles que permiten la ejecución determinista en varios entornos.

Microsoft Security DevOps usa las siguientes herramientas de código abierto:

Prerrequisitos

• Una suscripción de Azure Si no tiene una suscripción de Azure, cree una cuenta gratuita antes de comenzar.

• Conecte los repositorios de GitHub.

• Abra la acción DevOps de GitHub de Microsoft Security en una nueva ventana.

• Asegúrese de que los permisos de flujo de trabajo están establecidos en Lectura y escritura en el repositorio de GitHub. Esto incluye la configuración de permisos "id-token: write" en el flujo de trabajo de GitHub para la federación con Defender for Cloud.

Configuración de la acción de GitHub de DevOps de seguridad de Microsoft

Para configurar la acción de GitHub:

1. Inicie sesión en GitHub.

2. Seleccione un repositorio en el que desea configurar la acción de GitHub.

3. Seleccione Acciones.

   

4. Seleccione New workflow (Nuevo flujo de trabajo).

5. En la página Introducción a Acciones de GitHub, seleccione Configurar un flujo de trabajo usted mismo.

   

6. En el cuadro de texto, escriba un nombre para el archivo de flujo de trabajo. Por ejemplo: msdevopssec.yml.

   

7. Copie y pegue el siguiente flujo de trabajo de acción de ejemplo en la pestaña Editar nuevo archivo.

   name: MSDO
   on:
     push:
       branches:
         - main
   
   jobs:
     sample:
       name: Microsoft Security DevOps
   
       # Windows and Linux agents are supported
       runs-on: windows-latest
   
       permissions:
         contents: read
         id-token: write
         actions: read
         # Write access for security-events is only required for customers looking for MSDO results to appear in the codeQL security alerts tab on GitHub (Requires GHAS)
         security-events: write
   
       steps:
   
         # Checkout your code repository to scan
       - uses: actions/checkout@v3
   
         # Run analyzers
       - name: Run Microsoft Security DevOps
         uses: microsoft/security-devops-action@latest
         id: msdo
       # with:
         # config: string. Optional. A file path to an MSDO configuration file ('*.gdnconfig').
         # policy: 'GitHub' | 'microsoft' | 'none'. Optional. The name of a well-known Microsoft policy. If no configuration file or list of tools is provided, the policy may instruct MSDO which tools to run. Default: GitHub.
         # categories: string. Optional. A comma-separated list of analyzer categories to run. Values: 'code', 'artifacts', 'IaC', 'containers'. Example: 'IaC, containers'. Defaults to all.
         # languages: string. Optional. A comma-separated list of languages to analyze. Example: 'javascript,typescript'. Defaults to all.
         # tools: string. Optional. A comma-separated list of analyzer tools to run. Values: 'bandit', 'binskim', 'checkov', 'eslint', 'templateanalyzer', 'terrascan', 'trivy'.
   
         # Upload alerts to the Security tab - required for MSDO results to appear in the codeQL security alerts tab on GitHub (Requires GHAS)
       # - name: Upload alerts to Security tab
       #  uses: github/codeql-action/upload-sarif@v3
       #  with:
       #    sarif_file: ${{ steps.msdo.outputs.sarifFile }}
   
         # Upload alerts file as a workflow artifact - required for MSDO results to appear in the codeQL security alerts tab on GitHub (Requires GHAS)
       # - name: Upload alerts file as a workflow artifact
       #  uses: actions/upload-artifact@v3
       #  with:  
       #    name: alerts
       #    path: ${{ steps.msdo.outputs.sarifFile }}
   

   Nota:

   Para obtener más instrucciones e opciones de configuración de herramientas, consulte la wiki de DevOps de seguridad de Microsoft.

8. Seleccione Iniciar confirmación.

   

9. Seleccione Confirmar nuevo archivo. Tenga en cuenta que el proceso puede tardar hasta un minuto en completarse.

   

10. Seleccione Acciones y compruebe que se está ejecutando la nueva acción.

    

Ver resultados del escaneo

Para ver los resultados del escaneo:

1. Inicie sesión en Azure.

2. Vaya a Defender for Cloud > DevOps Security.

3. En la hoja Seguridad de DevOps, debería empezar a ver los mismos resultados de seguridad de MSDO que los desarrolladores ven en sus registros de CI en cuestión de minutos para el repositorio asociado. Los clientes con GitHub Advanced Security también verán los resultados ingeridos de estas herramientas.

Aprende más

• Obtenga información sobre las acciones de GitHub para Azure.

• Aprenda a implementar aplicaciones desde GitHub en Azure.

Pasos siguientes

Obtenga más información sobre Seguridad de DevOps en Defender for Cloud.

Obtenga información sobre cómo Conectar sus organizaciones de GitHub a Defender for Cloud.