Cloud Security Vulnerabilities

Docs > Datadog Security > Cloud Security Management > Cloud Security Vulnerabilities

概要

Cloud Security Vulnerabilities は、CI/CD パイプラインから本番環境まで、コンテナイメージ、ホスト、ホストイメージ、およびサーバーレス関数を継続的にスキャンして脆弱性を検出し、セキュリティ体制を強化し、コンプライアンスを達成するのに役立ちます。ランタイムでの監視可能性を活用し、日々のワークフローの中で悪用可能な脆弱性を優先的に特定および修正できるよう支援します。すべてを単一のビューで把握でき、他の Datadog プロダクトへの依存は必要ありません。

Cloud Security Vulnerabilities を使用すると、クラウドセキュリティ管理戦略を 1 つの場所で管理できます。

CI/CD パイプラインから本番環境リソースまでを対象とした脆弱性管理プログラムを作成
SOC2、PCI、HIPAA、CIS、FedRamp などのコンプライアンス監査に合格
新たに発生する脆弱性 (ゼロデイ CVE など) を修正

注: アプリケーションライブラリにおける脆弱性管理については Software Composition Analysis を参照してください。アプリケーションコードについては Code Security を参照してください。

主な機能

エージェントレスまたは統合 Datadog Agent を使用してデプロイ: すでに導入済みの統合 Datadog Agent を利用するか、エージェントレスでインフラストラクチャー全体をすばやくスキャンし、脆弱性を検出できます。
クラウドリソースをリアルタイムでインベントリ収集: コンテナイメージ、ホスト、サーバーレス関数、そしてインフラストラクチャーで稼働しているすべてのパッケージをリアルタイムでインベントリし、SBOM (ソフトウェア部品表) をエクスポートできます。
脆弱性を継続的に検出: 稼働中のコンテナイメージ、ホスト、ホストイメージ、サーバーレスで発生する新規の変更や新たに公開された CVE をホストおよびレジストリからスキャンし、脆弱なコンテナイメージレイヤーを特定します。
ランタイムの監視可能性を利用して悪用可能な脆弱性を優先順位付け: CVSS をベースにした Datadog 独自のセキュリティスコアを活用し、CISA KEV、EPSS、公開されているエクスプロイト情報などを組み合わせてリスクを評価します。ランタイムの監視可能性を活用することで、本番稼働状況、攻撃への露出度、機密データの処理状況、特権アクセスの有無などを把握できます。
ガイド付きの修正を活用: どのレイヤーが影響を受けているかを確認し、各イメージに固有の修正方法を提案します。脆弱性ライフサイクル管理のアクションに繋げられます。
自動化とインテグレーションを実装: Jira チケット作成の自動化や SLA の導入が可能です。Datadog のパブリック API を活用して脆弱性情報、カバレッジ、SBOM などをエクスポートできます。
レポートを参照: ダッシュボードで脆弱性情報を可視化およびモニターできます。

デプロイ方法

数分以内に Cloud Security Vulnerabilities を導入し、インフラストラクチャーを網羅するには以下を参照してください。

複数のデプロイ方法を組み合わせて使用することもできます。すでに統合 Datadog Agent をデプロイしている場所でそれを氏使用し、その他の場所ではエージェントレスを使用し、CI/CD スキャンを行って本番環境前に脆弱性を検出します。

有効化後、Datadog はリソースを継続的にスキャンし、約 1 時間以内に Cloud Security Vulnerabilities Findings ページ上で優先度の高い脆弱性を報告し始めます。

どのソリューションを選択すべきか (比較表):

機能	エージェントレス	統合 Datadog Agent
インフラストラクチャー全体へのデプロイに要する時間	数分	数時間～数週間
脆弱性の優先順位付け	対応	ランタイム情報を活用して優先度を算定
脆弱性スキャンの頻度	12 時間ごと	リアルタイム

脆弱性検出の対象範囲	エージェントレス	統合 Datadog Agent
ホストとホストイメージ	OS パッケージおよびアプリケーションパッケージ (イメージにマッピング)	OS パッケージ
コンテナイメージ	OS パッケージおよびアプリケーションパッケージ (イメージにマッピング)	OSパッケージ
クラウドプロバイダー	AWS、Azure、GCP	AWS、Azure、GCP、オンプレミスなど
オペレーティングシステム	Linux、Windows	Linux、Windows
Serverless	AWS Lambda、Amazon ECS Fargate、Azure Container Apps、Azure Container Instances、GCP Cloud Run (コンテナデプロイのみ)	該当なし
コンテナレジストリ	Amazon ECR (実行中 + 静止中)、Google Artifact Registry (実行中のワークロードのみ)、Azure Container Registry (実行中のコンテナイメージのみ)	該当なし

互換性の詳細については、Cloud Security Vulnerabilities のホストとコンテナの互換性を参照してください。サポートが必要な場合は、トラブルシューティングガイドや [email protected] にお問い合わせください。

悪用可能な脆弱性を継続的に検出、優先度付け、修正

Cloud Security Vulnerabilities Findings ページでは、コンテナイメージ、ホストイメージ、稼働中のホスト、サーバーレス関数に対して検出された脆弱性を、フィルターやグルーピング機能を用いて調査できます。

Datadog Severity Score を用いて、まずは悪用される可能性が高い脆弱性に注目しましょう。このスコアは CVSS の基本スコアに加え、機密データの有無、環境の機微度、攻撃への露出度、エクスプロイトの有無、脅威インテリジェンスソースなど多くのリスク要因を組み合わせて算出されます。

修正可能な脆弱性については、Findings ページがガイド付きの修正手順を提供し、Dev や Ops チームがより迅速かつ効果的に問題を解決できるよう支援します。また、脆弱性のステータス管理 (トリアージ、ミュート、コメント、アサインなど) も行い、ライフサイクルを通じて管理できます。

脆弱性およびユーザーがそれを修正するために取ることができるアクションを示す Cloud Security Vulnerabilities Findings ページ

コンテナイメージでは、イメージ内で見つかった脆弱性を特定のレイヤーに追跡できるため、セキュリティリスクをより迅速に特定および修正できます。

本番環境の脆弱性をソースコードにトレース

Datadog が実行中のコンテナイメージで CVE を検出すると、脆弱性のあるパッケージを導入した Dockerfile とコミットに直接リンクできます。これにより、本番環境アラートとそれを引き起こしたコード変更とのギャップが埋まり、開発者はパッケージバージョンをレジストリ間で追跡するのではなく、ソースで修正するために必要なコンテキストを得ることができます。

このコードからクラウドへのマッピングを有効にするには、ビルド時に OCI イメージアノテーションをコンテナイメージに追加してください。Datadog はこれらのアノテーションを使用して、Container Image Vulnerabilities パネル内に Dockerfile のプレビューを表示し、脆弱性に関連する正確なリポジトリ、コミット、およびファイルパスを表示します。

ソースリンクを設定するには、CI/CD コンテナイメージスキャンガイドの脆弱性に Dockerfile をリンクするを参照してください。