Azure DevOps GitHub 고급 보안 구성

GitHub Azure DevOps Advanced Security는 GitHub Advanced Security의 보안 기능 제품군을 Azure Repos 추가하고 다음 기능을 포함합니다.

• 비밀 검색 푸시 보호: 코드 푸시에 자격 증명과 같은 비밀을 노출하는 커밋이 포함되어 있는지 확인합니다.
• 비밀 정보 검사 저장소 스캔: 저장소를 스캔하여 실수로 커밋된 노출된 비밀 정보를 찾습니다.
• 종속성 검사 – 오픈 소스 종속성에서 알려진 취약성 검색(직접 및 전이적)
• 코드 검색 – CodeQL 정적 분석 엔진을 사용하여 SQL 삽입 및 인증 바이패스와 같은 코드 수준 애플리케이션 취약성 식별

리포지토리에 대해 적절한 수준의 보호를 사용하도록 유연하게 엔터프라이즈에 고급 보안 보호를 제공할 수 있습니다. GitHub Advanced Security for Azure DevOps는 GitHub 비밀 보호 및 GitHub 코드 보안으로 제공됩니다.

비밀 보호에는 다음 기능이 포함됩니다.

• 푸시 보호, 비밀 누출이 발생하기 전에 방지
• 문제가 되기 전에 기존 노출을 발견하기 위해 알림과 함께 비밀 스캐닝 경고를 제공합니다.
• 조직의 위험 수준 및 보안 보호에 대한 인사이트를 제공하는 보안 개요

코드 보안에는 다음 기능이 포함됩니다.

• 오픈 소스 종속성에서 취약성을 찾기 위한 종속성 경고
• 코드에서 직접 취약성을 감지하기 위한 CodeQL 검사
• 타사 도구에 대한 보안 결과
• 조직의 위험 수준 및 보안 보호에 대한 인사이트를 제공하는 보안 개요

조직, 프로젝트 또는 리포지토리 수준에서 고급 보안을 사용하도록 설정할 수 있습니다. 각 검사 도구 및 결과에 액세스하려면 먼저 고급 보안을 사용하도록 설정해야 합니다. Advanced Security를 사용하도록 설정하면 이 정책을 사용하도록 설정된 리포지토리에 대한 비밀이 포함된 이후 푸시가 차단되고 리포지토리 비밀 검색이 백그라운드에서 수행됩니다.

리포지토리 수준의 온보딩

1. Azure DevOps 프로젝트의 프로젝트 설정으로 가세요.
2. Repos>리포지토리 선택합니다.
3. 고급 보안을 사용하도록 설정할 리포지토리를 선택합니다.
4. 활성화 및 청구 사용 시작을 선택하여 고급 보안을 활성화합니다. 이제 고급 보안을 사용하도록 설정된 모든 리포지토리의 리포지토리 보기에 방패 아이콘이 표시됩니다.

프로젝트 레벨 온보딩

1. Azure DevOps 프로젝트의 프로젝트 설정으로 가세요.
2. Repos 선택합니다.
3. 설정 탭을 선택합니다.
4. 모두 사용을 선택하면 프로젝트의 활성 커밋자의 수에 대한 예상치를 확인할 수 있습니다. 이 작업은 기존 리포지토리에 대해서만 제품을 사용하도록 설정합니다.
5. 프로젝트의 모든 기존 리포지토리에 대해 고급 보안을 활성화하려면 청구 시작을 선택합니다.
6. 필요에 따라 새 리포지토리에 대해 자동으로 고급 보안을 사용하도록 설정 하여 나중에 새로 만든 리포지토리를 만들 때 고급 보안을 사용하도록 설정합니다. 이 설정은 모든 작업 사용 과는 별개이며 독립적으로 선택해야 합니다.

조직 수준 온보딩

1. Azure DevOps 조직의 구성 설정 이동합니다.
2. 리포지토리를 선택합니다.
3. 모두 사용을 선택하면 조직의 활성 커밋자 수에 대한 추정치가 나타납니다. 이 작업은 기존 리포지토리에 대해서만 제품을 사용하도록 설정합니다.
4. 조직의 각 프로젝트에 있는 모든 기존 리포지토리에 대해 고급 보안을 활성화하려면 청구 시작을 선택합니다.
5. 필요에 따라 새 프로젝트에 대해 자동으로 고급 보안을 사용하도록 설정 하여 나중에 새로 만든 모든 프로젝트가 생성 시 고급 보안을 사용하도록 설정합니다. 이 설정은 모든 작업 사용 과는 별개이며 독립적으로 선택해야 합니다.

조직, 프로젝트 또는 리포지토리 수준에서 비밀 보호 또는 코드 보안을 사용하도록 설정할 수 있습니다.

리포지토리 수준의 온보딩

1. Azure DevOps 프로젝트의 프로젝트 설정으로 가세요.
2. Repos>리포지토리 선택합니다.
3. 고급 보안을 사용하도록 설정할 리포지토리를 선택합니다.
4. 비밀 보호 또는 코드 보안을 토글합니다.
5. 청구 시작 선택 이제 두 제품 중 하나를 사용하도록 설정된 리포지토리의 리포지토리 보기에 방패 아이콘이 표시됩니다.
6. 필요에 따라 종속성 검사 기본 설정을 사용하도록 설정하려면 옵션을 선택하고 종속성 검사 기본 설정 확인란을 사용하도록 설정합니다.

프로젝트 레벨 온보딩

1. Azure DevOps 프로젝트의 프로젝트 설정으로 가세요.
2. Repos 선택합니다.
3. 설정 탭을 선택합니다.
4. 모두 사용을 선택하고 프로젝트에 대한 제품당 활성 커밋자 수에 대한 예상을 확인합니다. 이 작업을 수행하면 선택한 제품만 기존 리포지토리에 사용할 수 있습니다.
5. 비밀 보호 또는 코드 보안 및 관련된 모든 하위 기능의 원하는 제품을 전환합니다.
6. 프로젝트의 모든 기존 리포지토리에 대해 비밀 보호 및/또는 코드 보안을 활성화하려면 청구 시작 을 선택합니다.
7. 필요에 따라 새 리포지토리에 고급 보안을 자동으로 활성화하는 옵션을 전환하여, 향후 생성되는 새 리포지토리에 비밀 보호 또는 코드 보안이 활성화되도록 설정합니다. 이 설정은 모든 작업 사용 과는 별개이며 독립적으로 선택해야 합니다.

조직 수준 온보딩

1. Azure DevOps 조직의 구성 설정 이동합니다.
2. 리포지토리를 선택합니다.
3. 모두 사용을 선택하면 조직의 제품당 활성 커밋자 수에 대한 예상이 표시됩니다. 이 작업을 수행하면 선택한 제품만 기존 리포지토리에 사용할 수 있습니다.
4. 비밀 보호 또는 코드 보안 및 관련된 모든 하위 기능의 원하는 제품을 전환합니다.
5. 조직의 각 프로젝트에 있는 모든 기존 리포지토리에 대해 고급 보안을 활성화하려면 청구 시작을 선택합니다.
6. 필요에 따라 새로 만든 프로젝트가 생성 시 비밀 보호 또는 코드 보안을 사용하도록 설정되도록 새 프로젝트에 대해 자동으로 고급 보안을 사용하도록 설정/해제합니다. 이 설정은 모든 작업 사용 과는 별개이며 독립적으로 선택해야 합니다.

고급 보안을 켜면 비밀 검색 푸시 보호 및 리포지토리 검색이 자동으로 활성화됩니다. 리포지토리 설정 페이지에서 비밀 푸시 보호를 사용하거나 사용하지 않도록 설정할 수 있습니다.

선택한 리포지토리에 대해 고급 보안을 사용하도록 설정하면 비밀 검사 리포지토리 검색이 자동으로 시작됩니다.

비밀 검색 푸시 보호 및 리포지토리 검색은 비밀 보호를 켤 때 자동으로 사용하도록 설정됩니다. 리포지토리 설정 페이지에서 비밀 푸시 보호를 사용하거나 사용하지 않도록 설정할 수 있습니다.

선택한 리포지토리에 대해 비밀 보호를 사용하도록 설정하면 비밀 검사 리포지토리 검색이 자동으로 시작됩니다.

종속성 검사 기능에 액세스하려면 리포지토리에 대해 Code Security 제품을 사용하도록 설정해야 합니다.

코드 검색 기능에 액세스하려면 리포지토리에 대해 Code Security 제품을 사용하도록 설정해야 합니다.