Este producto no es compatible con el sitio Datadog seleccionado. ().
Descripción general
El escaneo Agentless proporciona visibilidad de las vulnerabilidades que existen dentro de su infraestructura en la nube de AWS, Azure y GCP, sin requerir que instale el Datadog Agent. Datadog recomienda habilitar el escaneo Agentless como primer paso para obtener una visibilidad completa de sus recursos en la nube, y luego instalar el Datadog Agent en sus core assets con el tiempo para obtener un contexto de seguridad y observabilidad más profundo.
El escaneo Agentless excluye los recursos que tienen instalado el Datadog Agent.
Cómo funciona
El siguiente diagrama ilustra cómo funciona el escaneo Agentless:
Datadog programa escaneos automatizados en intervalos de 12 horas y envía los recursos a escanear a través de Remote Configuration 2.
Si tiene configurados Cloud Security Evaluation Filters, el escaneo Agentless respeta estos filtros y solo escanea los recursos que coinciden con los criterios configurados.
Para las funciones sin servidor (como AWS Lambda), los escáneres obtienen el código de la función.
El escáner crea instantáneas de los volúmenes utilizados en las instancias de máquina virtual en ejecución. Utilizando las instantáneas o el código de la función, el escáner genera un SBOM (una lista de paquetes y dependencias).
El SBOM y los metadatos del host se transmiten a Datadog. Todos los demás datos, incluidas las instantáneas, el contenido del disco y las imágenes de contenedor, permanecen en su infraestructura. Las instantáneas se eliminan.
Datadog utiliza el SBOM para identificar vulnerabilidades conocidas en sus recursos.
Esta arquitectura proporciona:
Privacidad de datos: El contenido de su disco, las imágenes de contenedor y los datos confidenciales permanecen dentro de su cuenta en la nube. Solo los metadatos del paquete (el SBOM) se transmiten a Datadog.
Residencia de datos: Ningún dato cruza el límite de la cuenta hacia la infraestructura de Datadog, lo que simplifica el cumplimiento de los requisitos de soberanía de datos.
Compliance: Los auditores pueden verificar que los datos escaneados permanezcan dentro de su perímetro.
El escáner funciona como una máquina virtual independiente dentro de su infraestructura, lo que garantiza un impacto mínimo en los sistemas y recursos existentes.
Para AWS, las instancias del escáner se escalan automáticamente según la carga de trabajo. Cuando no hay recursos para escanear, los escáneres se reducen a cero para minimizar los costos del proveedor de la nube.
El escáner recopila de forma segura una lista de paquetes de sus hosts sin transmitir ninguna información personal confidencial o privada fuera de su infraestructura.
El escáner limita su uso de la API del proveedor de la nube para evitar alcanzar cualquier límite de velocidad y utiliza un retroceso exponencial si es necesario.
Las instancias del escáner se rotan automáticamente cada 24 horas, lo que garantiza que ejecuten las imágenes más recientes.
Qué datos se envían a Datadog
En lugar de copiar instantáneas de disco fuera de su entorno para su análisis, para mantener sus datos privados, Datadog implementa una infraestructura de escaneo ligera dentro de su cuenta en la nube. El escaneo Agentless crea instantáneas de sus recursos y los analiza localmente, eliminando las instantáneas una vez que los análisis se completan. Solo envía a Datadog la lista de materiales de software (SBOM) resultante, la cual contiene una lista de paquetes y dependencias. Sus datos sin procesar, contenidos de disco e imágenes de contenedor nunca salen de su entorno.
El escáner Agentless utiliza el formato OWASP cycloneDX para transmitir una lista de paquetes a Datadog. Nunca se transmite información confidencial o personal privada fuera de su infraestructura.
Datadog no envía:
Configuraciones de sistema y paquetes
Claves de cifrado y certificados
Registros y Audit Trail
Datos comerciales confidenciales
Costos del proveedor de servicios en la nube
Debido a que el escaneo Agentless se ejecuta dentro de su cuenta en la nube, los costos de cómputo y red aparecen en la factura de su proveedor de nube. Mientras que los proveedores que escanean en su propia infraestructura incluyen los costos de cómputo en sus tarifas de SaaS, mantener los datos en su entorno significa que usted ve el costo de la infraestructura directamente.
Para reducir costos:
Implemente un escáner en cada región donde tenga más de 150 hosts. Un escáner regional evita la transferencia de datos entre regiones, lo cual es más rentable que escanear esos hosts desde una región remota.
Para implementaciones grandes en varias regiones, consulte Implementación del escaneo Agentless para obtener orientación sobre cómo elegir una topología de implementación.
Restrinja el acceso del escáner
Las instancias del escáner requieren permisos para crear y copiar instantáneas y describir volúmenes. Datadog recomienda seguir las siguientes pautas para mantener sus escáneres seguros:
Restrinja el acceso a las instancias del escáner a los usuarios administrativos.
Establezca los permisos del escáner para seguir el principio de menor privilegio, limitado al mínimo requerido para el escaneo.
Cifre toda la transmisión de datos entre el escáner y Datadog con HTTPS.
Habilite las actualizaciones de seguridad automáticas y rote las instancias automáticamente cada 24 horas.
No permita el acceso entrante a las instancias del escáner (grupo de seguridad restringido).
Escaneo de almacenamiento en la nube
Puede habilitar Sensitive Data Scanner para sus recursos de Agentless Scanning durante la implementación o después de la configuración. Sensitive Data Scanner cataloga y clasifica datos sensibles en su almacenamiento en la nube (como los buckets de Amazon S3). Solo lee los almacenes de datos y sus archivos en su entorno, sin enviar ningún dato sensible a Datadog.
Escaneo bajo demanda
De forma predeterminada, Agentless Scanning escanea automáticamente sus recursos cada 12 horas. Para AWS, también puede activar un escaneo inmediato de un recurso específico (host, container, función Lambda o bucket de S3) mediante la On-Demand Scanning API. Para obtener más información, consulte la documentación de la On-Demand Scanning API 14.
Lecturas adicionales
Documentación, enlaces y artículos útiles adicionales:
