kkamegawa's weblog

Visual Studio,TFS,ALM,VSTS,DevOps関係のことについていろいろと書いていきます。Google Analyticsで解析を行っています

セキュリティ

Azure DevOpsの監査ログをAzureへ出力する

Azure DevOpsの監査イベントはAzure Monitor, Splunk, Event Gridのいずれかへ出力できます。今回はMonitorへ出力します。

条件付きアクセスを設定してAzure DevOpsへのアクセスを保護する

Azure DevOpsを条件付きアクセスポリシーで保護する設定の紹介

Azure DevOpsオンライン Vol.8 - GitHub Advanced Security for Azure DevOps

かなり遅くなりましたが、やっと8/26に実施したイベントの録画と資料を公開します。 speakerdeck.com www.youtube.com この時はイベント準備していてリリースノート見ていなかったので知らなかったのですが、イベントの3日前に公開されたSprint 226でAdvance…

C# TokyoでGitHub Advanced Security for Azure DevOpsについてお話してきました

csharp-tokyo.connpass.com speakerdeck.com 書き忘れていましたが、Microsoft MVP for Developer Technologiesのリニューアルができました。引き続きGitHub / Azure DevOpsについていろいろやっていこうと思います。 GitHub Advanced Security for Azure De…

GitHub Advanced Security for Azure DevOpsを試してみる

azure.microsoft.com 申し込んだGitHub Advanced Security for Azure DevOps(以下GHAS)プレビューがようやく有効化されたので、さっそく試してみました…といっても、GitHubにあるものと全く同じなので、新鮮味というものはありませんが。 docs.github.com ラ…

Azure Pipelineでデプロイ時にチェックを必須化させる

Azure DevOps(に限らないですが)通常のCI/CDではだいたいこんな感じですよね。 一応Service Connectionが使えるパイプラインは管理者が指定できますが、一度許可で指定したらパイプラインの内容がどうあれ、デプロイし放題です。最初にマルウェアチェックの…

Azure DevOpsに侵入されないために

www.microsoft.com www.itmedia.co.jp ※ セキュリティの専門家ではないので、Azure DevOpsの設定とか当たり前の話になります。 上記のブログをベースに追加の話を書いていきます。 MFA(多要素認証)を使おう とはいってもSIM持ち出されるとつらいので、SMS…

Azure DevOpsとセキュリティ&コンプライアンスのお話をしてきました

オルターブースさんからお話をいただいて、Azure DevOpsとコンプライアンスとセキュリティというお話をさせていただきました。 alterbooth.connpass.com DevOps and Compliance and Security from Kazushi Kamegawa 資料はこちらです。最初Azure Policy設定…

Azure SQL Databaseで一定以上の件数の抽出に対するクエリがあった場合アラートを上げたい

Azure SQL Databaseに対して監査を設定することで、SQL全権抽出した場合などにアラートをあげられるようになりました。プレビューですが、ちょっとやってみましょう。 docs.microsoft.com Azure SQLの監査を有効にして、Log Analyticsへ送信します。 ログで…

Azure DevOpsのプロジェクトに所属しないユーザーが検索されなくなります

Sprint 182が公開されました。翻訳は別途公開しますが、今までセキュリティ上の都合でorganizationを分割せざるを得なかった問題が解消されているので、紹介します。 今までのAzure DevOpsではorganizationに含まれるユーザーは全て検索対象になっていました…

Azureのサブドメイン乗っ取りを防ぐための検証スクリプトを実行してみる

Azureからこんなメールが来ていて何事かと思いました。 Important security information regarding your organization's subdomain(s) This email notification has been sent to each Global Administrator(s) and/or Technical Contact of your Azure Acti…

Azure PipelineのパイプラインでLibraryを勝手に使われたくない場合にするセキュリティ設定

ascii.jp 業務で使う場合は、GitHubのPersonal Access Tokenをどう扱うかは気を付ける必要があります。Libraryに保存しちゃうと意図しないPipelineで使われてしまうリスクがあるので、どうすると良いですかね? という疑問が末尾に書かれていたので、どうす…

Azure DevOps オンラインセミナーを開催しました&資料や質問

TFSUGとしてのオンラインセミナーを開催しました。内容はIgnite The Tourでやったことほぼそのままです。東京開催のときは特にお部屋が満室で入れなかった方も多かったようなので、今回オンライン開催にしてみました。 「こんなニッチなテーマ、2-30人くらい…

Azure DevOpsのビルド時に各種セキュリティ/credentialスキャンを実施する

GitHubにシークレットキーをプッシュするとすぐにGitHubのBotから「まちがえてpushしてない?」という通知が来るのはよく知られた話です。あと、最近ではセキュリティスキャンもやってくれるようになりましたね。Azure DevOpsにはないのでしょうか?実はエン…

Ignite Tour Tokyo 2019でお話したAzure DevOpsのセキュリティベストプラクティス2019

はじめに Azure ADとAzure DevOps 権限について Organization 管理 接続経路 グループ管理について はじめに これはAzure DevOpsアドベントカレンダー2019 9日目の記事です。 qiita.com Ignite The Tour Tokyo 2019でAzure DevOpsを運用する際のセキュリティ…

わんくま大阪でAzure DevOpsとIDとセキュリティ管理についてお話してきました

以前Azure DevOpsとセキュリティという形でお話したのですが、今回はもうちょっとAzure ADに振った話にしてみました。これしゃべるためにAzure AD P2(正確にはEnterprise Mobility E5)買ってみました。やっぱりあると便利ですね。 Azure DevOps Management i…

Logic AppsでAzure DevOpsの監査ログをCosmos DBへ保存する

はじめに Token取得 Cosmos DB Logic Apps 全体フロー トリガー 開始終了時刻 PAT 作成 HTTP呼び出し JSONの解析 レコード判定 Cosmos DBへの登録 自動削除 まとめ はじめに Azure DevOpsには監査機能が入っており、https://dev.azure.com/{orgnazation}/_se…

Azure DevOpsのセキュリティ設定

これはAzure DevOpsアドベントカレンダー3日目の記事です。 qiita.com Azure DevOpsで複雑だと言われる点の一つがセキュリティ周りの設定です。東京と大阪で来年このネタでしゃべるつもりですが、チラ見せみたいな形でご紹介します。 jazug.connpass.com jaz…

Team Foundation Server 2018 Update3のリリースと検索セットアップの変更点

Team Foundation Server 2018 Update3の正式版がリリースされました。Azure DevOps Serverへの変更は次のメジャーバージョンなので、UIや名称は従来通りです。基本的にバグ修正のみで、インストールをお勧めします。リリースノートはこちらから。 docs.micro…

eslint-scope (version 3.7.2) のクラックを受けてのVSTSでの対応について

知らなかったのですが、2018/7/12にnpmパッケージのeslint-scope (version 3.7.2) とeslint-config-eslint (version 5.0.2)がクラッキング受けたんだそうですね。 eslint.org github.com 2018-07-12 12:30(UTC)以前に発行されたすべてのnpmアクセストークン…

Gitで独自の証明書を使用する(Git for Windows 2.12.1で不要に)

TFSを組織内で運用している場合、証明書を購入せず、Windows Serverの認証局で運用することもあると思います。Active Directoryを使用している場合、追加コストなく、安全に証明書の配布ができるので、使っているところも多いと思います。 WindowsのAPIを使…

Windows Helloの顔認証が早すぎるのを何とかしたい

現地でSurface Book買って、セットアップした人たちの不満の一つが「顔認証が早すぎて困る」という点でした。実は私は自宅ドメインに参加する都合上、この辺のセットアップしなかったんですよね(VPNとかも用意してないし)。 何もしてないと、Windows + Lでロ…

Windows 10の再起動時間の設定

Windows XPの再起動は通知領域にポップアップ出して、フォーカス奪ってしまい、しかもデフォルトが再起動になっていた、という評判の悪いものでした。これに引っかかってしまうこともあって、結構困ったことも多かったです(私も何度か記憶があります)。 Wind…

MS14-045で問題が起きる環境かどうかチェックする

MS14-045をインストールすると特定の環境でトラブルが起きるようです。 【リリース後に確認された問題】2014 年 8 月 13 日公開の更新プログラムの適用により問題が発生する場合がある - 日本のセキュリティチーム - Site Home - TechNet Blogs 問題はフォン…

Web発行時に証明書の警告を表示させないためのIIS設定(要認証局)

Visual StudioでWeb発行を行う場合、Web Deployを使用すると、おそらくたいていの場合接続チェックでこんな警告が出ると思います(ちなみにExpressWebでも発行するとき出ますね…)。 これはなぜかといえば、IISがデフォルトで生成している証明書をWeb Deployで…

MS12-034のKB2636927が適用に失敗する

マイクロソフト セキュリティ情報 MS12-034 - 緊急 : Microsoft Office、Windows、.NET Framework、Silverlight 用のセキュリティ更新プログラムの組み合わせ (2681578) KB2686509はキーレイアウトを変更していると失敗するらしいのですが、それとは別。私は…

KB2251481を適用するときの注意点

MS11-049: Description of the security update for Visual Studio 2005 SP1: June 14, 2011 MS11-049として公開されていたKB2251481ですが、8月の更新で出しなおされているようです。ファイル名にもv3とついていますね。ところが、これ6月までのMS11-049を…

MS11-043適用後のブルースクリーン

Sign in to your Microsoft account マイクロソフト セキュリティ情報 MS11-043 - 緊急 : SMB クライアントの脆弱性により、リモートでコードが実行される (2536276) 現在デバッグ中の現象を解説してくれているTechnet blog。MS11-043適用後にWindows Server…

ダウンロードが少ないファイルは警告を出すIE9

ちょっととある方のコメントを書く前に自分でもダウンロードしてみようかと思って、Microsoftが運営するcode gallaryのページからファイルをダウンロードすると、IE9がこんな警告を出しました。 たぶんSmart Screenとかの機能だと思いますが、ダウンロードが…

MS11-025でMFCにどんな変更が加えられたか

良く訓練されたVC++担当はもうMS11-025のdiffを読み終えていることだろう URL URL URL URL2011-04-14 22:05:46 via みについ全然訓練されていないですが、そういえばMS11-025の変更点確認やらなきゃなぁと思ってソースのdiffを取ってみました。でも手元の環…