Condividi tramite


Cos'è l'integrazione di Sicurezza Avanzata di GitHub con portale di Microsoft Azure (anteprima)?

L'integrazione di GitHub Advanced Security (GhAS) con portale di Microsoft Azure connette i repository di codice sorgente ai workload cloud. Questa integrazione esegue automaticamente il mapping delle modifiche del codice agli ambienti di produzione, assegna priorità agli avvisi di sicurezza in base al contesto di runtime reale e abilita flussi di lavoro di correzione coordinati tra i team di sviluppo e sicurezza. Offre visibilità unificata sulla sicurezza nel ciclo di vita di sviluppo.

Utilizza l'integrazione per:

  • Tenere traccia delle vulnerabilità dal codice sorgente alle applicazioni distribuite
  • Tracciare il repository del codice e il responsabile della correzione di origine per i carichi di lavoro di runtime vulnerabili.
  • Concentrarsi sui problemi di sicurezza che influiscono sui carichi di lavoro di produzione.
  • Coordinare le correzioni tra repository GitHub e ambienti Azure.
  • Sfruttare i vantaggi degli strumenti di correzione basati sull'intelligenza artificiale per una risoluzione più rapida.

Questa panoramica illustra il funzionamento dell'integrazione e consente di comprendere le funzionalità principali prima della distribuzione. L'integrazione è attualmente in fase di anteprima.

Annotazioni

Per la versione di anteprima corrente, l'integrazione nativa di GHAS con Defender for Cloud è supportata solo per i carichi di lavoro dei contenitori.

Funzionalità principali

Mapping intelligente da codice a cloud

Quando si connetti l'organizzazione o il repository GitHub a Microsoft Defender per il Cloud, il sistema esegue automaticamente la mappatura dei repository sorgente sui carichi di lavoro cloud attivi. Usa i metodi proprietari da codice a cloud di Defender for Cloud per garantire il tracciamento di ogni carico di lavoro fino al suo repository di origine (e viceversa).

Questa funzionalità offre una visibilità end-to-end immediata, in modo che tu sappia quale codice alimenta ciascuna applicazione distribuita senza un mapping manuale che richiede tempo.

Screenshot della scheda CVEs associati in Defender for Cloud, inclusi i collegamenti per la visualizzazione di avvisi correlati su GitHub.

Definizione delle priorità degli avvisi in base alla produzione

Eliminare gli avvisi di sicurezza rumorosi e concentrarsi sulle vulnerabilità che contano davvero.

I risultati della sicurezza di GHAS in GitHub sono classificati in ordine di priorità dal contesto di runtime reale di Defender for Cloud. Evidenziano fattori di rischio come l'esposizione a Internet, i dati sensibili, le risorse critiche e lo spostamento laterale. Questi rischi, identificati nei carichi di lavoro di runtime, sono collegati dinamicamente ai repository di codice di origine dei carichi di lavoro e agli artefatti di compilazione specifici in GitHub.

È possibile filtrare, valutare e agire solo sui problemi di sicurezza che hanno un impatto effettivo sulla produzione. Questa capacità consente al team di rimanere efficienti e mantenere sicure le applicazioni più importanti.

Correzione unificata basata su intelligenza artificiale

Colmare il divario tra team di sicurezza e progettazione con flussi di lavoro integrati e contesto pertinente.

All'interno di Defender for Cloud, i responsabili della sicurezza possono vedere quali problemi di sicurezza il team di progettazione conosce già, insieme allo stato di tali problemi. I responsabili della sicurezza aprono questa visualizzazione selezionando il collegamento View in GitHub.

I responsabili della sicurezza possono assegnare raccomandazioni di sicurezza per la risoluzione ai team di progettazione pertinenti generando un'assegnazione di problemi GitHub.

Screenshot di Defender per il cloud che mostra le informazioni dettagliate sulla correzione con gli asset interessati collegati alle fasi di sviluppo.

L'assegnazione viene generata nel repository di origine. Fornisce informazioni di tempo di esecuzione e contesto per facilitare la correzione ingegneristica.

Screenshot della scheda Problemi di GitHub che mostra problemi aperti con le etichette di sicurezza e vulnerabilità evidenziate per il rilevamento delle correzioni.

Screenshot di un'interfaccia del problema di GitHub che evidenzia i dettagli di sicurezza, i livelli di rischio e le informazioni dettagliate utili per team di progettazione.

I responsabili tecnici possono assegnare un problema a uno sviluppatore per una risoluzione più approfondita. L'assegnatario può usare un agente di codifica Copilot per correzioni automatiche basate sull'intelligenza artificiale.

Screenshot dei dettagli della richiesta pull su GitHub, inclusi i commenti di Copilot sulle correzioni di sicurezza.

Correzioni dei problemi su GitHub, avanzamenti e progressi delle campagne vengono monitorati in tempo reale. Gli stati vengono riflessi sia su GitHub che in Defender for Cloud.

Screenshot dei dettagli del problema GitHub, inclusi URL del repository, proprietario e status.

Questo approccio garantisce che le correzioni vengano distribuite rapidamente, creino una chiara responsabilità e semplificano la collaborazione. Tutti questi vantaggi si verificano all'interno degli strumenti già usati dai team.