Información general

Métricas

Este check recopila métricas de observabilidad de sistemas distribuidos de Envoy.

Seguridad

Datadog App and API Protection amplía la visibilidad y la mitigación de amenazas en línea para tu instancia de proxy de Envoy.

Con esta integración, puedes detectar y bloquear ataques como el abuso de API, la explotación de lógica de negocio y las amenazas a la capa de código directamente en el borde de tu infraestructura en la nube.

Beneficios clave:

• Detección y bloqueo de amenazas en línea en el equilibrador de carga mediante Datadog Security Signals
• Información en tiempo real de los ataques a la capa de aplicación con trazas y logs en una vista unificada
• Refuerzo de borde frente a amenazas de API OWASP, relleno de credenciales, ataques de inyección, etc.

Configuración

Instalación (métricas)

El check de Envoy está incluido en el paquete del Datadog Agent, por lo que no necesitas instalar nada más en tu servidor.

Istio

Si utilizas Envoy como parte de Istio, configura la integración de Envoy para recopilar métricas del endpoint de métricas proxy de Istio.

instances:
  - openmetrics_endpoint: localhost:15090/stats/prometheus

Standard (Estándar)

Existen dos maneras de configurar el endpoint /stats:

Endpoint de estadísticas no seguro

He aquí un ejemplo de configuración de un administrador Envoy:

admin:
  access_log_path: "/dev/null"
  address:
    socket_address:
      address: 0.0.0.0
      port_value: 8001

Endpoint de estadísticas seguro

Crea un listener/vhost que dirija al endpoint de admin (Envoy conectándose a sí mismo), pero que solo tenga una ruta para /stats; todas las demás rutas obtienen una respuesta static/error. Además, esto permite una buena integración con filtros L3 para autenticación, por ejemplo.

Este es un ejemplo de configuración de envoy_secured_stats_config.json:

admin:
  access_log_path: /dev/null
  address:
    socket_address:
      protocol: TCP
      address: 127.0.0.1
      port_value: 8081
static_resources:
  listeners:
    - address:
        socket_address:
          protocol: TCP
          address: 0.0.0.0
          port_value: 80
      filter_chains:
        - filters:
            - name: envoy.http_connection_manager
              config:
                codec_type: AUTO
                stat_prefix: ingress_http
                route_config:
                  virtual_hosts:
                    - name: backend
                      domains:
                        - "*"
                      routes:
                        - match:
                            prefix: /stats
                          route:
                            cluster: service_stats
                http_filters:
                  - name: envoy.router
                    config:
  clusters:
    - name: service_stats
      connect_timeout: 0.250s
      type: LOGICAL_DNS
      lb_policy: ROUND_ROBIN
      hosts:
        - socket_address:
            protocol: TCP
            address: 127.0.0.1
            port_value: 8001

Configuración

Validación

Ejecuta el subcomando de estado del Agent y busca envoy en la sección Checks.

Instalación (Seguridad: App and API Protection)

El proceso de instalación requiere un enfoque diferente al de habilitar esta integración.

Envoy

Las instrucciones de instalación están disponibles en la documentación de Activar App and API Protection para Envoy.

Istio

Las instrucciones de instalación están disponibles en la documentación de Activar App and API Protection para Istio.

Validación

Para validar la detección de amenazas de App and API Protection, envía patrones de ataque conocidos a tu instancia de Envoy. Por ejemplo, puedes activar la regla Security Scanner Detected ejecutando el siguiente script curl:

for ((i=1;i<=250;i++)); 
do
    # Target existing service's routes
    curl https://your-envoy-url/existing-route -A dd-test-scanner-log;
    # Target non existing service's routes
    curl https://your-envoy-url/non-existing-route -A dd-test-scanner-log;
done

Unos minutos después de activar App and API Protection para Envoy y enviar patrones de ataque conocidos, aparecerá información sobre amenazas en Application Signals Explorer.

Datos recopilados

Métricas