Validação de PR no Azure DevOps

Para construirmos um pipeline de validação no Azure, vamos precisar inicialmente ter em mãos as credenciais necessárias, pode saber como obtê-las aqui.

Pensando no fluxo que vamos adotar, começamos com o empacotamento dos arquivos necessários para a análise, conforme o guia de empacotamento. Isso varia de acordo com a linguagem do projeto que vamos analisar.
Ao iniciar o nosso fluxo, vamos criar um pacote zipando os arquivos necessários e atribuindo um nome qualquer, sendo que em nosso exemplo vamos utilizar o número de build:

- task: ArchiveFiles@2
    inputs:
      rootFolderOrFile: "$(Agent.BuildDirectory)"
      includeRootFolder: true
      archiveType: "zip"
      archiveFile: "$(Build.ArtifactStagingDirectory)/$(Build.BuildId).zip"
      replaceExistingArchive: true
    displayName: "Criando pacote para análise"

Nosso próximo passo é adicionar o SCA em nossa análise.
Um ponto interessante dele, é que não é preciso aguardar o build completar para utilizá-lo, como vai ser preciso no Pipeline Scan, então caso o projeto seja feito com uma linguagem compilada, pode paralelizar essa etapa com a de build.

Para implementar o SCA, vamos precisar receber a variável com a credencial e rodar o agente na pasta onde tem o arquivo com as informações dos componentes de terceiros, isso é algo que varia conforme a linguagem e pode consultar os detalhes aqui.
Em YAML, podemos fazer dessa forma:

- bash: |
      cd $(Pasta_Projeto)
      export SRCCLR_API_TOKEN=$(SRCCLR_API_TOKEN)
      curl -sSL https://download.sourceclear.com/ci.sh | bash -s – scan --update-advisor --allow-dirty
    displayName: "Veracode SCA"

Caso queira consultar todos os parâmetros disponíveis, consulte essa documentação.

Depois da configuração do SCA, precisamos configurar o Pipeline Scan. O processo é basicamente fazer o download de um zip com ele do site da Veracode e então descompactar:

- bash: |
      apt-get install unzip
      curl -O -L https://downloads.veracode.com/securityscan/pipeline-scan-LATEST.zip && unzip pipeline-scan-LATEST.zip -d $(Build.ArtifactStagingDirectory)
    displayName: "Download Veracode Pipeline Scanner"

Após esse download, podemos utilizá-lo. Em nosso desenho, vamos utilizar como validador uma política que criamos dentro do Portal da Veracode, então antes do scan de fato, vamos fazer o download desse arquivo e política e passar ele como um parâmetro para a análise.
As credenciais que obtemos vão ser utilizadas dentro de duas variáveis, Veracode ID e Veracode Key.
Em YAML ficará assim:

- bash: |
      export VERACODE_ID=$(VERACODE_ID)
      export VERACODE_KEY=$(VERACODE_KEY)
      echo "Downloading policy from Veracode"
      java -jar $(Build.ArtifactStagingDirectory)/pipeline-scan.jar --veracode_api_id $(VERACODE_ID) --veracode_api_key $(VERACODE_KEY) --request_policy="Veracode Recommended Very High + SCA"
      echo "Running Veracode Scan"
      java -jar $(Build.ArtifactStagingDirectory)/pipeline-scan.jar --veracode_api_id $(VERACODE_ID) --veracode_api_key $(VERACODE_KEY) --file "$(Build.ArtifactStagingDirectory)/$(Build.BuildId).zip" --issue_details true --policy_file="Veracode_Recommended_Very_High_+_SCA.json"
      echo "Save Veracode results"
      mkdir results_veracode
      mv results.json results_veracode/results.json
      mv filtered_results.json results_veracode/filtered_results.json
    displayName: "Run Veracode Pipeline Scan"

Por fim, vamos publicar os resultados obtidos criando um artefato com eles. Assim ao final de cada execução vamos ter um relatório sendo gerado:

- task: PublishPipelineArtifact@1
    displayName: "Publicando Resultados Veracode"
    inputs:
      targetPath: '$(Build.SourcesDirectory)/results_veracode'
      artifact: 'Veracode Analysis'
      publishLocation: 'pipeline'