¡Obtén la versión preliminar!
Code Analysis se encuentra en versión preliminar.
Code Analysis no se encuentra disponible en el sitio .
Datadog Software Composition Analysis puede encontrar bibliotecas vulnerables a lo largo del ciclo de vida del desarrollo de software (SDLC). Code Analysis resume los resultados encontrados al escanear de manera directa tus repositorios. Para ver todas las vulnerabilidades encontradas en los repositorios y en el tiempo de ejecución consolidadas, consulta
Application Security a fin de obtener más detalles.
Code Analysis escanea tus repositorios a fin de encontrar vulnerabilidades de seguridad y problemas de calidad del código. Incluye dos funciones: análisis estático para tu propio código y Software Composition Analysis (SCA) para dependencias de código abierto en tu base de código.
- Análisis estático
- Escanea tu código personalizado en busca de problemas de mantenimiento, errores, problemas de rendimiento y vulnerabilidades de seguridad al comienzo del ciclo de vida del desarrollo para evitar que los problemas lleguen a producción y, cuando sea posible, proporciona soluciones sugeridas a fin de ayudar a los equipos de ingeniería a abordar estos problemas antes de que afecten a los usuarios.
- Software Composition Analysis
- Escanea las bibliotecas de código abierto que se importan a tus repositorios en busca de vulnerabilidades de seguridad conocidas, riesgos de licencia y bibliotecas al final de su vida útil.
Configurar Code Analysis en tu repositorio
Haz clic en + Add a Repository (+ Añadir un repositorio) en la página de Repositorios de Code Analysis y elige ejecutar los escaneos directamente en Datadog o en tus pipelines de CI.
Los escaneos alojados en Datadog solo son compatibles con Software Composition Analysis (SCA) y los repositorios de GitHub. Para habilitar el análisis estático o usar un proveedor de CI diferente, ejecuta los escaneos en tus pipelines de CI.
Con los escaneos alojados en Datadog, el código se escanea en la infraestructura de Datadog en lugar de tu pipeline de CI. Datadog lee el código, ejecuta el analizador estático para realizar un análisis estático o usar Software Composition Analysis y carga los resultados.
El uso de escaneos alojados en Datadog elimina la necesidad de configurar un pipeline de CI para poder usar Code Analysis.
Para habilitar Software Composition Analysis en los repositorios de GitHub, haz clic en Select Repositories (Seleccionar repositorios) en la cuenta de GitHub que quieras y haz clic en el botón de alternancia a fin de habilitar Enable Software Composition Analysis (SCA) en todos los repositorios. Si no ves cuentas de GitHub en la lista, crea una aplicación de GitHub nueva para comenzar.
De manera opcional, puedes seleccionar repositorios específicos de GitHub para habilitar SCA al hacer clic en el botón de cada repositorio.
Si no quieres ejecutar tus escaneos de manera directa a través de Datadog, puedes seleccionar qué escaneos te gustaría ejecutar (análisis estático y Software Composition Analysis) y configurar tu proveedor de pipelines de CI en consecuencia.
Configurar tu proveedor de CI/CD
Consulta la siguiente documentación para configurar tu proveedor de CI/CD a fin de ejecutar escaneos de análisis estático y SCA:
Configurar la integración de GitHub
Puedes configurar una aplicación de GitHub con el cuadro de integración de GitHub y al configurar la integración de código fuente para ver los fragmentos de código infractores como parte de los resultados del análisis estático en Datadog.
Para obtener más información, consulta la documentación de la integración de código fuente.
Integraciones de análisis estático
Con el análisis estático, puedes recibir comentarios automatizados sobre prácticas de codificación deficientes y vulnerabilidades de seguridad en el código que escribes directamente en un IDE, como VS Code o IntelliJ y PyCharm, y en tus solicitudes pull en GitHub.
Buscar y gestionar repositorios
Una vez que hayas configurado Code Analysis, podrás ver un resumen de los resultados de los escaneos de análisis estáticos y SCA de cada uno de tus repositorios en la página de Code Analysis. De manera predeterminada, los resultados resumidos se muestran para la última confirmación analizada en la rama predeterminada del repositorio, lo que garantiza que estés viendo todos los problemas existentes en cada repositorio que quieras clasificar y solucionar.
Selecciona un repositorio de la lista para buscar y gestionar las infracciones de ese repositorio específico. De manera predeterminada, los resultados se muestran para la última confirmación escaneada en la rama predeterminada del repositorio, pero puedes cambiar la rama o la confirmación en la parte superior de la página. Los resultados también se pueden filtrar por facetas de servicio o equipo. Para obtener más información sobre cómo se vinculan los resultados a los servicios y equipos de Datadog, consulta Empezando con Code Analysis.
Independientemente de la rama o confirmación seleccionada, todos los resultados se organizan en las siguientes vistas:
Identifica y aborda los riesgos de seguridad del código detectados mediante el análisis estático en la vista Code Vulnerabilities (Vulnerabilidades del código).
Identifica y aborda las prácticas de codificación deficientes detectadas mediante el análisis estático en la vista Code Quality (Calidad del código).
Identifica y aborda las bibliotecas de código abierto vulnerables detectadas mediante SCA en la vista Library Vulnerabilities (Vulnerabilidades de la biblioteca).
Gestiona la lista completa de bibliotecas detectadas mediante SCA que se han importado a tu base de código en la vista Library Catalog (Catálogo de bibliotecas).
Referencias adicionales
Más enlaces, artículos y documentación útiles:
