Seguridad avanzada de GitHub para Azure DevOps: actualización de Sprint 253

Características

• Página de riesgo de información general de seguridad mejorada con nuevas columnas y opciones de filtrado
• Soporte para escenarios de publicación con múltiples repositorios de GitHub Advanced Security para Azure DevOps
• Enlaces de servicio para alertas de Seguridad avanzada de GitHub para Azure DevOps (versión preliminar)
• La compatibilidad con pnpm v9 se introduce en GitHub Advanced Security para el escaneo de dependencias de Azure DevOps

Página de riesgo de información general de seguridad mejorada con nuevas columnas y opciones de filtrado

En la pestaña Riesgo , encontrará columnas recién agregadas que muestran alertas de seguridad nuevas, fijas y descartadas en toda la organización. Hemos agregado opciones de filtrado para refinar los resultados por proyecto, herramienta (secretos, dependencias o resultados de análisis de código) y un filtro basado en tiempo para definir límites de búsqueda.

Además, la aplicación de un filtro agrega un parámetro de consulta de dirección URL, lo que le permite compartir la vista filtrada previamente con otros usuarios de su organización.

Escenarios de publicación de varios repositorios compatibles con La seguridad avanzada de GitHub para Azure DevOps

Anteriormente, cuando se hospedaba una definición de canalización en un repositorio y el código fuente que gitHub Advanced Security examinaba estaba en otro, los resultados se procesaron y enviaron al repositorio incorrecto. En lugar de publicar alertas en el repositorio con el código fuente, aparecieron en el repositorio donde se definió la canalización.

Ahora, tanto el examen de dependencias como el análisis de código enrutan correctamente las alertas al repositorio que contiene el código fuente examinado en escenarios de varios repositorios.

Para habilitar esta característica, establezca la variable advancedsecurity.publish.repository.infer: true de entorno de canalización para deducir el repositorio que se va a publicar desde el repositorio en el directorio de trabajo.

Como alternativa, si no extrae explícitamente un repositorio o no utiliza un alias para extraer su repositorio, utilice la variable advancedsecurity.publish.repository: $[ convertToJson(resources.repositories['YourRepositoryAlias']) ] en su lugar.

Fragmento de código DE YAML:

  trigger:
  - main

resources:
  repositories:
    - repository: BicepGoat
      type: git
      name: BicepGoat
      ref: refs/heads/main
      trigger:
        - main

jobs:
  # Explicit - `advancedsecurity.publish.repository` explicitly defines the repository to submit SARIF to.
  - job: "AdvancedSecurityCodeScanningExplicit"
    displayName: "🛡 Infrastructure-as-Code Scanning (Explicit)"
    variables:
      advancedsecurity.publish.repository: $[ convertToJson(resources.repositories['BicepGoat']) ]
    steps:
      - checkout: BicepGoat
      - task: TemplateAnalyzerSarif@1
        displayName: Scan with Template Analyzer
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to IaC Scanning Results to Advanced Security


  # Infer - `advancedsecurity.publish.repository.infer` specifies that the `AdvancedSecurity-Publish` must
  # infer repository to submit SARIF to from the working directory on the build agent.
  - job: "AdvancedSecurityCodeScanningInfer"
    displayName: "🛡 Infrastructure-as-Code Scanning (Infer)"
    variables:
      advancedsecurity.publish.repository.infer: true
    steps:
      - checkout: BicepGoat
      - task: TemplateAnalyzerSarif@1
        displayName: Scan with Template Analyzer
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to IaC Scanning Results to Advanced Security

Enlaces de servicio para alertas de Seguridad avanzada de GitHub para Azure DevOps (versión preliminar)

Ahora puede configurar enlaces de servicio para eventos de alertas de Seguridad avanzada de GitHub, entre los que se incluyen:

• Nueva alerta creada
• Datos de alerta modificados
• Estado de alerta cambiado

Al igual que otros eventos de repositorio, puede filtrar por repositorio y rama. En el caso de las alertas específicamente, puede filtrar por tipo de alerta (dependencias, examen de código o secretos) y gravedad de alerta.

Para participar en la versión preliminar, rellene el formulario de interés de vista previa o envíenos un correo electrónico.

La compatibilidad con la versión 9 de pnpm llega a GitHub Advanced Security para el análisis de dependencias de Azure DevOps.

Con pnpm v8 llegando al final del ciclo de vida a finales de abril, la próxima actualización de análisis de dependencias incluirá compatibilidad con pnpm v9. Esta actualización se produce en respuesta a la solicitud de la comunidad de desarrolladores para la compatibilidad con pnpm v9.

Pasos siguientes

Vaya a Azure DevOps y eche un vistazo.

Cómo proporcionar comentarios

Nos encantaría escuchar lo que piensas sobre estas características. Use el menú ayuda para notificar un problema o proporcionar una sugerencia.

También puede obtener consejos y sus preguntas respondidas por la comunidad en Stack Overflow.