Additional protections when using public package registries.

Zakaj je to pomembno

Javni registri paketov, kot so npm, PyPI ali NuGet, lahko vaše cevovode Azure DevOps izpostavijo tveganjem v dobavni verigi, če niso pravilno konfigurirani. Brez dodatnih zaščit lahko zlonamerni ali ogroženi paketi iz javnih virov vnesejo ranljivosti ali zadnja vrata v vaš gradbeni izdelek. Uveljavljanje zaščitnih ukrepov zagotavlja, da se uporabljajo samo zaupanja vredni paketi, kar zmanjša napadalno površino za vaše CI/CD poteke dela.

Kaj preverja Aether365

To preverjanje ugotavlja, ali ima vaše okolje Azure DevOps omogočene dodatne zaščite za uporabo javnih registrov paketov, kot so zgornji tokovi (upstream sources) ali seznam dovoljenih paketov. Pojavi se na nadzorni plošči Aether365 v kategoriji preverjanj microsoft-365, označeno kot ugotovitev srednje resnosti.

Kako popraviti

1. Prijavite se v svojo organizacijo Azure DevOps in pojdite na Project Settings.
2. Pod Pipelines izberite Settings (ali Service connections, če upravljate povezave).
3. Poiščite razdelek za Package sources ali Public package registries in potrdite, da so omogočene dodatne zaščite (npr. zgornji tokovi, seznam dovoljenih paketov ali integracije za skeniranje).
4. Če še niso konfigurirani, omogočite zaščite, kot so:
   • Uporaba zgornjih tokov Azure Artifacts za predpomnjenje in preverjanje paketov.
   • Konfiguracija seznama dovoljenih paketov za omejitev, kateri javni paketi se lahko uporabljajo.
   • Integracija skenerja ranljivosti paketov, kot je GitHub Dependabot ali Azure Defender.
5. Preizkusite svoj cevovod, da zagotovite, da spremembe ne prekinejo obstoječih gradbenih postopkov, nato pa znova zaženite skeniranje Aether365, da potrdite, da preverjanje uspešno prestane.

Če vaše okolje ne podpira teh posebnih zaščit, se posvetujte s svojo varnostno ekipo za alternativne ukrepe (npr. izključna uporaba zasebnih virov).

Skladnost

• Okvir: Drugo (to preverjanje privzeto ni povezano s posebnim standardom skladnosti, vendar podpira splošne varnostne prakse dobavne verige)

Povezani viri

• Upravljanje dovoljenj paketov v Azure DevOps
• Uporaba zgornjih tokov v Azure Artifacts
• Varno DevOps z Azure DevOps