Configurer l’extension Microsoft Security DevOps Azure DevOps

Microsoft Security DevOps est une application en ligne de commande qui intègre une analyse statique dans votre cycle de vie de développement. Il installe, configure et exécute les derniers analyseurs SDL, de sécurité et de conformité à l’aide de configurations portables pour garantir une exécution cohérente et déterministe dans les environnements.

Microsoft Security DevOps utilise les outils open source suivants :

Prerequisites

• Vous avez besoin de privilèges d’administrateur de collection de projets dans votre organisation Azure DevOps pour installer l’extension. Si vous n’avez pas accès, demandez-le à votre administrateur Azure DevOps pendant l’installation.

Configurer l’extension Microsoft Security DevOps Azure DevOps

1. Connectez-vous à Azure DevOps.

2. Accédez à Shopping Bag>Gérer les extensions.

   

3. Sélectionnez Partagé.

   Note

   Si vous avez déjà installé l’extension Microsoft Security DevOps, elle est répertoriée sous l’onglet Installé.

4. Sélectionnez Microsoft Security DevOps.

   

5. Sélectionnez Installer.

6. Sélectionnez l’organisation appropriée dans le menu déroulant.

7. Sélectionnez Installer.

8. Sélectionnez Accéder à l'organisation.

Configurer des pipelines à l’aide de YAML

1. Connectez-vous à Azure DevOps.

2. Sélectionnez votre projet.

3. Accédez à Pipelines>New pipeline.

   

4. Sélectionnez Azure Repos Git.

   

5. Sélectionnez le référentiel approprié.

   

6. Sélectionnez Pipeline de démarrage.

   

7. Collez le YAML suivant dans le pipeline :

   # Starter pipeline
   # Start with a minimal pipeline that you can customize to build and deploy your code.
   # Add steps that build, run tests, deploy, and more:
   # https://aka.ms/yaml
   trigger: none
   pool:
     # ubuntu-latest also supported.
     vmImage: 'windows-latest'
   steps:
   - task: MicrosoftSecurityDevOps@1
     displayName: 'Microsoft Security DevOps'
     # inputs:    
       # config: string. Optional. A file path to an MSDO configuration file ('*.gdnconfig'). Vist the MSDO GitHub wiki linked below for additional configuration instructions
       # policy: 'azuredevops' | 'microsoft' | 'none'. Optional. The name of a well-known Microsoft policy to determine the tools/checks to run. If no configuration file or list of tools is provided, the policy may instruct MSDO which tools to run. Default: azuredevops.
       # categories: string. Optional. A comma-separated list of analyzer categories to run. Values: 'code', 'artifacts', 'IaC', 'containers'. Example: 'IaC, containers'. Defaults to all.
       # languages: string. Optional. A comma-separated list of languages to analyze. Example: 'javascript,typescript'. Defaults to all.
       # tools: string. Optional. A comma-separated list of analyzer tools to run. Values: 'bandit', 'binskim', 'checkov', 'eslint', 'templateanalyzer', 'terrascan', 'trivy'. Example 'templateanalyzer, trivy'
       # break: boolean. Optional. If true, will fail this build step if any high severity level results are found. Default: false.
       # publish: boolean. Optional. If true, will publish the output SARIF results file to the chosen pipeline artifact. Default: true.
       # artifactName: string. Optional. The name of the pipeline artifact to publish the SARIF result file to. Default: CodeAnalysisLogs*.
   

   Note

   Le nom d’artefact « CodeAnalysisLogs » est requis pour l’intégration à Defender for Cloud. Pour obtenir des options de configuration d’outils supplémentaires et des variables d’environnement, consultez le wiki Microsoft Security DevOps

8. Sélectionnez Enregistrer et exécuter pour valider et exécuter le pipeline.

   Note

   Installez l’extension SaST Scans Tab pour afficher automatiquement les résultats de l’analyse SARIF sous l’onglet Analyses du pipeline.

Chargement de résultats à partir d’outils de sécurité tiers dans Defender pour Cloud

Defender pour le Cloud peut ingérer des résultats SARIF à partir d'autres outils de sécurité pour la visibilité du code vers le cloud. Pour charger ces résultats, vérifiez que vos référentiels Azure DevOps sont intégrés à Defender for Cloud. Après l’intégration, Defender for Cloud monitore en permanence l’artefact CodeAnalysisLogs pour la sortie SARIF.

Utilisez la tâche PublishBuildArtifacts@1 pour publier des fichiers SARIF sur l’artefact CodeAnalysisLogs. Par exemple:

- task: PublishBuildArtifacts@1
  inputs:
    PathtoPublish: 'results.sarif'
    ArtifactName: 'CodeAnalysisLogs'

Defender for Cloud affiche ces résultats sous l’évaluation les résultats d’analyse du code pour les référentiels Azure DevOps doivent être résolus pour le référentiel concerné.

Contenu connexe :

• Créer votre premier pipeline
• Sécurité DevOps dans Defender pour Cloud
• Connecter votre environnement Azure DevOps à Defender pour cloud