Usługa GitHub Advanced Security dla Azure DevOps — aktualizacja Sprintu 253

Funkcje

• strona ryzyka przeglądu zabezpieczeń rozszerzona o nowe kolumny i opcje filtrowania
• scenariusze publikowania w wielu repozytoriach obsługiwane w usłudze GitHub Advanced Security dla usługi Azure DevOps
• Service hooks for GitHub Advanced Security for Azure DevOps alerts (wersja zapoznawcza)
• Obsługa pnpm v9 pojawiła się w GitHub Advanced Security do skanowania zależności Azure DevOps

Strona ryzyka przeglądu zabezpieczeń rozszerzona o nowe kolumny i opcje filtrowania

Na karcie Ryzyko znajdziesz nowo dodane kolumny zawierające nowe, naprawione i odrzucone alerty zabezpieczeń w całej organizacji. Dodaliśmy opcje filtrowania w celu uściślenia wyników według projektu, narzędzia (wpisów tajnych, zależności lub wyników skanowania kodu) oraz filtru opartego na czasie w celu zdefiniowania granic wyszukiwania.

Ponadto zastosowanie filtru powoduje dodanie parametru zapytania adresu URL, co umożliwia udostępnianie wstępnie filtrowanego widoku innym osobom w organizacji.

Scenariusze publikowania z wieloma repozytoriami obsługiwane w usłudze GitHub Advanced Security dla usługi Azure DevOps

Wcześniej, gdy definicja potoku została utworzona w jednym repozytorium, a kod źródłowy do skanowania przez usługę GitHub Advanced Security znajdował się w innym, wyniki zostały przetworzone i przesłane do nieprawidłowego repozytorium. Zamiast publikować alerty w repozytorium z kodem źródłowym, pojawiały się one w repozytorium, w którym zdefiniowano potok.

Teraz zarówno skanowanie zależności, jak i skanowanie kodu prawidłowo kierują alerty do repozytorium zawierającego zeskanowany kod źródłowy w scenariuszach z wieloma repozytoriami.

Aby włączyć tę funkcję, ustaw zmienną środowiskową potoku advancedsecurity.publish.repository.infer: true, aby ustalić repozytorium, z którego publikowane będą dane, na podstawie repozytorium w katalogu roboczym.

Alternatywnie, jeśli nie wyewidencjonujesz jawnie repozytorium lub nie użyjesz aliasu do wyewidencjonowania repozytorium, użyj zmiennej advancedsecurity.publish.repository: $[ convertToJson(resources.repositories['YourRepositoryAlias']) ] zamiast tego.

Fragment kodu YAML:

  trigger:
  - main

resources:
  repositories:
    - repository: BicepGoat
      type: git
      name: BicepGoat
      ref: refs/heads/main
      trigger:
        - main

jobs:
  # Explicit - `advancedsecurity.publish.repository` explicitly defines the repository to submit SARIF to.
  - job: "AdvancedSecurityCodeScanningExplicit"
    displayName: "🛡 Infrastructure-as-Code Scanning (Explicit)"
    variables:
      advancedsecurity.publish.repository: $[ convertToJson(resources.repositories['BicepGoat']) ]
    steps:
      - checkout: BicepGoat
      - task: TemplateAnalyzerSarif@1
        displayName: Scan with Template Analyzer
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to IaC Scanning Results to Advanced Security


  # Infer - `advancedsecurity.publish.repository.infer` specifies that the `AdvancedSecurity-Publish` must
  # infer repository to submit SARIF to from the working directory on the build agent.
  - job: "AdvancedSecurityCodeScanningInfer"
    displayName: "🛡 Infrastructure-as-Code Scanning (Infer)"
    variables:
      advancedsecurity.publish.repository.infer: true
    steps:
      - checkout: BicepGoat
      - task: TemplateAnalyzerSarif@1
        displayName: Scan with Template Analyzer
      - task: AdvancedSecurity-Publish@1
        displayName: Publish to IaC Scanning Results to Advanced Security

Punkty zaczepienia usługi dla usługi GitHub Advanced Security dla alertów usługi Azure DevOps (wersja zapoznawcza)

Teraz można skonfigurować haki serwisowe dla zdarzeń alertów zaawansowanego zabezpieczenia w GitHub, w tym:

• Utworzony nowy alert
• Zmieniono dane alertu
• Stan alertu został zmieniony

Podobnie jak w przypadku innych zdarzeń repozytorium, można filtrować według repozytorium i gałęzi. W przypadku alertów, konkretnie, można filtrować według typu alertu (zależności, skanowania kodu lub wpisów tajnych) i istotności alertu.

Aby wziąć udział w wersji próbnej, wypełnij formularz zainteresowania lub wyślij nam maila!

Obsługa pnpm v9 jest dostarczana do usługi GitHub Advanced Security na potrzeby skanowania zależności usługi Azure DevOps

Po osiągnięciu końca okresu eksploatacji pnpm v8 pod koniec kwietnia następna aktualizacja skanowania zależności będzie obejmować obsługę pnpm v9. Ta aktualizacja jest odpowiedzią na prośbę społeczności deweloperów o wsparcie dla pnpm v9.

Następne kroki

Przejdź do usługi Azure DevOps i przyjrzyj się.

Jak przekazać opinię

Chcielibyśmy usłyszeć, co myślisz o tych funkcjach. Użyj menu Pomocy, aby zgłosić problem lub podać sugestię.

Możesz również uzyskać porady i odpowiedzi na pytania społeczności w witrynie Stack Overflow.