Partager via

GitHub Advanced Security pour Azure DevOps - Mise à jour sprint 253

Fonctionnalités

Page des risques de vue d’ensemble de la sécurité améliorée avec de nouvelles colonnes et options de filtrage

Sous l’onglet Risque , vous trouverez les colonnes nouvellement ajoutées affichant des alertes de sécurité nouvelles, corrigées et ignorées au sein de votre organisation. Nous avons ajouté des options de filtrage pour affiner les résultats par projet, outil (secrets, dépendances ou résultats d’analyse du code) et un filtre basé sur le temps pour définir des limites de recherche.

En outre, l’application d’un filtre ajoute un paramètre de requête d’URL, ce qui vous permet de partager l’affichage préfiltré avec d’autres membres de votre organisation.

Capture d’écran de la page de vue d'ensemble des risques de sécurité.

Scénarios de publication de plusieurs référentiels pris en charge pour GitHub Advanced Security pour Azure DevOps

Auparavant, lorsqu’une définition de pipeline était hébergée dans un référentiel et que le code source à analyser par GitHub Advanced Security se trouvait dans un autre, les résultats ont été traités et envoyés au dépôt incorrect. Au lieu de publier des alertes dans le référentiel avec le code source, elles apparaissent dans le référentiel où le pipeline a été défini.

À présent, l’analyse des dépendances et l’analyse du code acheminent correctement les alertes vers le référentiel contenant le code source analysé dans les scénarios multi-référentiels.

Pour activer cette fonctionnalité, définissez la variable advancedsecurity.publish.repository.infer: true d’environnement de pipeline pour déduire le dépôt à publier à partir du référentiel dans le répertoire de travail.

Sinon, si vous n’examinez pas explicitement un référentiel ou utilisez un alias pour extraire votre référentiel, utilisez plutôt la variable advancedsecurity.publish.repository: $[ convertToJson(resources.repositories['YourRepositoryAlias']) ] .

Extrait de code YAML :

  trigger:
  - main

resources:
  repositories:
    - repository: BicepGoat
      type: git
      name: BicepGoat
      ref: refs/heads/main
      trigger:
        - main

jobs:
  # Explicit - `advancedsecurity.publish.repository` explicitly defines the repository to submit SARIF to.
  - job: "AdvancedSecurityCodeScanningExplicit"
    displayName: "🛡 Infrastructure-as-Code Scanning (Explicit)"
    variables:
      advancedsecurity.publish.repository: $[ convertToJson(resources.repositories['BicepGoat']) ]
    steps:
      - checkout: BicepGoat
      - task: TemplateAnalyzerSarif@1
        displayName: Scan with Template Analyzer
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to IaC Scanning Results to Advanced Security


  # Infer - `advancedsecurity.publish.repository.infer` specifies that the `AdvancedSecurity-Publish` must
  # infer repository to submit SARIF to from the working directory on the build agent.
  - job: "AdvancedSecurityCodeScanningInfer"
    displayName: "🛡 Infrastructure-as-Code Scanning (Infer)"
    variables:
      advancedsecurity.publish.repository.infer: true
    steps:
      - checkout: BicepGoat
      - task: TemplateAnalyzerSarif@1
        displayName: Scan with Template Analyzer
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to IaC Scanning Results to Advanced Security

Hooks de service pour les alertes GitHub Advanced Security pour Azure DevOps (préversion)

Vous pouvez maintenant configurer des hooks de service pour les événements d’alerte GitHub Advanced Security, notamment :

  • Nouvelle alerte créée
  • Données d’alerte modifiées
  • État d’alerte modifié

Tout comme d’autres événements de référentiel, vous pouvez filtrer par dépôt et branche. Pour les alertes en particulier, vous pouvez filtrer par type d’alerte (dépendances, analyse du code ou secrets) et par gravité d’alerte.

Capture d’écran du filtre par type d’alerte .

Pour participer à la préversion, remplissez le formulaire d’intérêt en préversion ou envoyez-nous un e-mail !

La prise en charge de pnpm v9 arrive dans GitHub Advanced Security pour le scan des dépendances sur Azure DevOps.

Avec pnpm v8 qui approche de sa fin de vie à la fin du mois d'avril, la prochaine mise à jour de l'analyse des dépendances inclura la prise en charge de pnpm v9. Cette mise à jour est en réponse à votre demande de la Communauté des développeurs pour la prise en charge de pnpm v9.

Étapes suivantes

Note

Ces fonctionnalités seront déployées au cours des deux à trois prochaines semaines.

Accédez à Azure DevOps et jetez un coup d’œil.

Accéder à Azure DevOps

Comment fournir des commentaires

Nous aimerions entendre ce que vous pensez de ces fonctionnalités. Utilisez le menu d’aide pour signaler un problème ou fournir une suggestion.

Faire une suggestion

Vous pouvez également obtenir des conseils et répondre à vos questions par la communauté sur Stack Overflow.

  • Last updated on