Trivy-Abhängigkeitssuche für Code-Repositories (Update)

September 2025

Trivy-Abhängigkeitssuche für Code-Repositories (Update)
September 11, 2025

• Defender for Cloud enthält jetzt Open-Source-Abhängigkeitsscanning powered by Trivy im Dateisystemmodus Trivy im Dateisystemmodus. Dies hilft Ihnen bei der Stärkung der Sicherheit durch die automatische Erkennung von Betriebssystem- und Bibliotheksschwachstellen in GitHub- und Azure DevOps-Repositories.

Wo es anwendbar ist:

• In-Pipeline-Scannen (CLI).
• Agentenloses Code-Scanning (Vorschau).

Was ist zu tun:

• Erstellen oder bearbeiten Sie für Azure DevOps oder GitHub einen Connector.
• Für In-Pipeline-Scans fügen Sie das Microsoft Security DevOps (MSDO) CLI-Tool zu Ihrer Pipeline-Definition hinzu.

Wo die Ergebnisse erscheinen:

• Pipeline-Protokolle und SARIF-Dateien.
• Empfehlungen für Defender for Cloud:

1. Azure DevOps-Repositories sollten die Ergebnisse von Schwachstellen-Scans behoben haben
2. Bei GitHub-Repositories sollte die Sicherheitslücke bei der Überprüfung von Abhängigkeiten behoben sein

Wenn Sie die GitHub Advanced Security-Abhängigkeitsprüfung verwenden, ergänzt Defender for Cloud jetzt diese Ergebnisse, ohne sie zu ersetzen.
Geltungsdatum: September 15, 2025.