Additional protections when using public package registries.
Kāpēc tas ir svarīgi
Publiski pakotņu reģistri, piemēram, npm, PyPI vai NuGet, var pakļaut jūsu Azure DevOps cauruļvadus piegādes ķēdes riskiem, ja tie nav pareizi konfigurēti. Bez papildu aizsardzības ļaunprātīgas vai apdraudētas pakotnes no publiskiem avotiem varētu ievadīt ievainojamības vai aizmugures durvis jūsu būvējumu artefaktos. Aizsardzības pasākumu ieviešana nodrošina, ka tiek izmantotas tikai uzticamas pakotnes, samazinot uzbrukuma virsmu jūsu CI/CD darbplūsmām.
Ko pārbauda Aether365
Šī pārbaude nosaka, vai jūsu Azure DevOps vidē ir iespējoti papildu aizsardzības pasākumi publisku pakotņu reģistru lietošanai, piemēram, augšupstraumes avoti vai pakotņu atļaušanas saraksts. Tā parādās Aether365 informācijas panelī zem microsoft-365 pārbaužu kategorijas, atzīmēta kā vidējas nozīmības atradums.
Kā novērst
- Piesakieties savā Azure DevOps organizācijā un dodieties uz Project Settings.
- Sadaļā Pipelines atlasiet Settings (vai Service connections, ja pārvaldāt savienojumus).
- Atrodiet sadaļu Package sources vai Public package registries un pārliecinieties, ka ir iespējoti papildu aizsardzības pasākumi (piemēram, augšupstraumes avoti, pakotņu atļaušanas saraksts vai skenēšanas integrācijas).
- Ja vēl nav konfigurēts, iespējojiet tādus aizsardzības pasākumus kā:
- Azure Artifacts augšupstraumes avotu izmantošana pakotņu kešošanai un pārbaudei.
- Pakotņu atļaušanas saraksta konfigurēšana, lai ierobežotu, kuras publiskās pakotnes drīkst izmantot.
- Pakotņu ievainojamību skenera, piemēram, GitHub Dependabot vai Azure Defender, integrēšana.
- Pārbaudiet savu cauruļvadu, lai pārliecinātos, ka izmaiņas nesalauž esošos būvējumus, pēc tam atkārtoti palaidiet Aether365 skenēšanu, lai apstiprinātu, ka pārbaude ir nokārtota.
Ja jūsu vide neatbalsta šos specifiskos aizsardzības pasākumus, konsultējieties ar savu drošības komandu par alternatīviem risinājumiem (piemēram, izmantojot tikai privātās plūsmas).
Atbilstība
- Pamatnostādne: Cita (šī pārbaude pēc noklusējuma neatbilst konkrētam atbilstības standartam, bet tā atbalsta vispārējas piegādes ķēdes drošības prakses)
Saistītie resursi
- Pārvaldīt pakotņu atļaujas Azure DevOps
- Izmantot augšupstraumes avotus Azure Artifacts
- Drošs DevOps ar Azure DevOps