Additional protections when using public package registries.

Hvorfor dette er vigtigt

Offentlige pakkeregistre som npm, PyPI eller NuGet kan udsætte dine Azure DevOps-pipelines for forsyningskæderisici, hvis de ikke er korrekt konfigureret. Uden yderligere beskyttelse kan ondsindede eller kompromitterede pakker fra offentlige kilder introducere sårbarheder eller bagdøre i dine build-artefakter. Håndhævelse af sikkerhedsforanstaltninger sikrer, at kun betroede pakker bruges, hvilket reducerer angrebsoverfladen for dine CI/CD-workflows.

Hvad Aether365 kontrollerer

Denne kontrol verificerer, om dit Azure DevOps-miljø har aktiveret yderligere beskyttelse for brug af offentlige pakkeregistre, såsom upstream-kilder eller pakke-tilladelse. Den vises i Aether365-dashboardet under kategorien microsoft-365-checks og markeres som et fund med Medium-alvorlighed.

Sådan rettes

1. Log ind på din Azure DevOps-organisation, og naviger til Project Settings.
2. Under Pipelines skal du vælge Settings (eller Service connections, hvis du administrerer forbindelser).
3. Find sektionen for Package sources eller Public package registries, og bekræft, at yderligere beskyttelse (f.eks. upstream-kilder, pakke-tilladelse eller scanningsintegrationer) er aktiveret.
4. Hvis det ikke allerede er konfigureret, skal du aktivere beskyttelse som:
   • Brug af Azure Artifacts upstream-kilder til at cache og undersøge pakker.
   • Konfiguration af en pakke-tilladelsesliste for at begrænse, hvilke offentlige pakker der må bruges.
   • Integration af en pakkesårbarhedsscanner som GitHub Dependabot eller Azure Defender.
5. Test din pipeline for at sikre, at ændringerne ikke ødelægger eksisterende builds, og kør derefter Aether365-scanningen igen for at bekræfte, at kontrollen bestås.

Hvis dit miljø ikke understøtter disse specifikke beskyttelsesforanstaltninger, skal du kontakte dit sikkerhedsteam for alternative afhjælpninger (f.eks. udelukkende brug af private feeds).

Overholdelse

• Rammeværk: Andet (denne kontrol kortlægger ikke til en specifik overholdelsesstandard som standard, men den understøtter generelle forsyningskædesikkerhedspraksisser)

Relaterede ressourcer

• Manage package permissions in Azure DevOps
• Use upstream sources in Azure Artifacts
• Secure DevOps with Azure DevOps