Additional protections when using public package registries.

Miksi Tämä on Tärkeää

Julkiset pakettirekisterit, kuten npm, PyPI tai NuGet, voivat altistaa Azure DevOps -putkistosi toimitusketjuriskeille, jos niitä ei ole määritetty oikein. Ilman lisäsuojauksia haitalliset tai vaarantuneet paketit julkisista lähteistä voivat tuoda haavoittuvuuksia tai takaovia rakennusartefaktoihisi. Suojausten käyttöönotto varmistaa, että vain luotettuja paketteja käytetään, mikä vähentää CI/CD-työnkulkujesi hyökkäyspinta-alaa.

Mitä Aether365 Tarkistaa

Tämä tarkistus varmistaa, onko Azure DevOps -ympäristössäsi käytössä lisäsuojauksia julkisten pakettirekisterien käytölle, kuten upstream-lähteitä tai pakettien sallittuja listoja. Se näkyy Aether365-hallintapaneelissa microsoft-365-tarkistuskategoriassa, ja sen vakavuus on merkitty keskitasoiseksi.

Korjaaminen

1. Kirjaudu Azure DevOps -organisaatioosi ja siirry kohtaan Project Settings.
2. Valitse Pipelines-kohdasta Settings (tai Service connections, jos hallinnoit yhteyksiä).
3. Etsi Package sources- tai Public package registries -osio ja varmista, että lisäsuojaukset (esim. upstream-lähteet, pakettien sallittu lista tai skannaustietojen integraatiot) ovat käytössä.
4. Jos niitä ei ole vielä määritetty, ota käyttöön suojauksia kuten:
   • Azure Artifacts -upstream-lähteiden käyttö pakettien välimuistittamiseen ja tarkistamiseen.
   • Pakettien sallitun listan määrittäminen rajoittamaan, mitä julkisia paketteja voidaan käyttää.
   • Pakettien haavoittuvuusskannerin, kuten GitHub Dependabot tai Azure Defender, integrointi.
5. Testaa putkistosi varmistaaksesi, että muutokset eivät riko olemassa olevia koontiversioita, ja suorita sitten Aether365-skannaus uudelleen varmistaaksesi, että tarkistus läpäisee.

Jos ympäristösi ei tue näitä erityisiä suojauksia, ota yhteyttä tietoturmatiimiisi vaihtoehtoisten lieventämistoimien löytämiseksi (esim. pelkästään yksityisten syötteiden käyttö).

Vaatimustenmukaisuus

• Viitekehys: Muu (tämä tarkistus ei vastaa oletuksena mitään tiettyä vaatimustenmukaisuusstandardia, mutta se tukee yleisiä toimitusketjun turvakäytäntöjä)

Liittyvät Resurssit

• Manage package permissions in Azure DevOps
• Use upstream sources in Azure Artifacts
• Secure DevOps with Azure DevOps