Descripción general

Cloud Security Vulnerabilities le ayuda a mejorar su postura de seguridad y lograr el cumplimiento, mediante el escaneo continuo de imágenes de contenedores, servidores, imágenes de servidor y funciones sin servidor en busca de vulnerabilidades, desde canalizaciones de CI/CD hasta la producción en vivo. Aprovechando la observabilidad en tiempo de ejecución, le ayuda a priorizar y remediar vulnerabilidades explotables en sus flujos de trabajo diarios, todo en una sola visualización, y sin dependencias de otros productos de Datadog.

Con Cloud Security Vulnerabilities, puede gestionar su estrategia de gestión de seguridad en la nube, todo en un solo lugar:

• Cree un programa de gestión de vulnerabilidades, desde CI/CD pipelines hasta recursos de producción
• Supere auditorías de cumplimiento (como SOC2, PCI, HIPAA, CIS y FedRamp)
• Remedie vulnerabilidades emergentes (CVE de día cero)

Nota: Para la gestión de vulnerabilidades en bibliotecas de aplicaciones, consulte Software Composition Analysis. Para código de aplicación, consulte Code Security.

Capacidades clave

Implemente utilizando Agentless o Unified Datadog Agent

Escanee rápidamente toda su infraestructura en busca de vulnerabilidades, ya sea usando Agentless o utilizando el Unified Datadog Agent que ya tiene implementado.

Haga un inventario de los recursos en la nube, en tiempo real

Haga un inventario de las imágenes de contenedor, los servidores, las funciones sin servidor y todos los paquetes implementados en su infraestructura, en tiempo real, y exporte su SBOM.

Detecte vulnerabilidades continuamente

Analice las actualizaciones recientes y las CVE recién publicadas en las imágenes de contenedor en ejecución desde servidores y registros, servidores, imágenes de servidor y sin servidor, e identifique las capas de imágenes de contenedor vulnerables.

Priorice las vulnerabilidades explotables mediante la observabilidad en tiempo de ejecución

Aproveche la puntuación de seguridad de Datadog, que se basa en CVSS, incorporando información de CISA KEV, EPSS y la disponibilidad vulneraciones públicas. Con la observabilidad en tiempo de ejecución, puede hacer un seguimiento de la producción, la exposición a ataques, el procesamiento de datos confidenciales y el acceso privilegiado.

Aproveche la remediación guiada

Vea qué capas están afectadas, obtenga sugerencias específicas para cada imagen y actúe sobre la gestión del ciclo de vida de sus vulnerabilidades.

Implemente automatización e integraciones

Automatice la creación de tickets de Jira e implemente SLAs. Utilice la API pública de Datadog para exportar vulnerabilidades, cobertura y SBOM.

Explore los informes

Visualice y haga un seguimiento de los datos de vulnerabilidad en sus paneles.

Métodos de implementación

Comience con Cloud Security Vulnerabilities y cubra su infraestructura en minutos, utilizando:

• Agentless Scanning
• Unified Datadog Agent
• CI/CD Container Image Scanning

También puede utilizar varios métodos de implementación juntos: utilice el Unified Datadog Agent donde ya lo tenga implementado, la Agentless en otros lugares y el escaneo en CI/CD para detectar vulnerabilidades antes de la producción.

Después de habilitarlo, Datadog comienza a escanear sus recursos continuamente y comienza a informar vulnerabilidades priorizadas en su Cloud Security Vulnerabilities Findings página en el transcurso de una hora.

Utilice estas tablas para decidir con qué solución comenzar:

Para obtener más información sobre la compatibilidad, consulte Cloud Security Vulnerabilities Hosts and Containers Compatibility. Si necesita ayuda, consulte la guía de solución de problemas o comuníquese con support@datadoghq.com.

Detecte, priorice y remedie continuamente las vulnerabilidades explotables

La página Cloud Security Vulnerabilities Findings le ayuda a investigar las vulnerabilidades detectadas en sus imágenes de contenedor, imágenes de host, hosts en ejecución y funciones sin servidor mediante capacidades de filtrado y agrupación.

Concéntrese primero en las vulnerabilidades explotables, utilizando el Datadog Severity Score, que combina la puntuación base CVSS con muchos factores de riesgo, incluidos datos confidenciales, sensibilidad del entorno, exposición a ataques, disponibilidad de vulneraciones o fuentes de inteligencia de amenazas.

Para las vulnerabilidades con correcciones disponibles, la página Findings proporciona pasos de remediación guiados para ayudar a los equipos de desarrollo y operaciones a resolver problemas de manera más rápida y efectiva. También puede realizar triaje, silenciar, comentar y asignar vulnerabilidades para gestionar su ciclo de vida.

En Container Images, puede rastrear las vulnerabilidades encontradas en una imagen hasta capas específicas, para que pueda identificar y remediar sus riesgos de seguridad más rápido.

Para imágenes de contenedor de una sola etapa no aplanadas creadas a partir de una imagen base pública, Datadog identifica automáticamente la imagen base y distingue las vulnerabilidades heredadas de ella de los paquetes agregados por su imagen. Cuando la atribución está disponible, Datadog muestra el nombre y el resumen de la imagen base, indicando cuándo la remediación requiere actualizar esa imagen base en lugar de cambiar el código de la aplicación. Visualizar imágenes de contenedor en Datadog.

Rastrear vulnerabilidades de producción hasta el código fuente

Cuando Datadog detecta un CVE en una imagen de contenedor en ejecución, puede vincular el CVE directamente al Dockerfile y la confirmación que introdujeron el paquete vulnerable. Esto cierra la brecha entre una alerta de producción y el cambio de código que la causó, brindando a los desarrolladores el contexto que necesitan para remediar en la fuente en lugar de buscar versiones de paquetes en los registros.

Para habilitar este mapeo de código a la nube, agregue anotaciones de imagen OCI a sus imágenes de contenedor en el momento de la compilación. Datadog utiliza estas anotaciones para mostrar una vista previa del Dockerfile dentro del panel de Vulnerabilidades de imágenes de contenedor y para mostrar el repositorio, la confirmación y la ruta de archivo exactos asociados con la vulnerabilidad.

Para configurar la vinculación de fuentes, consulte Vincular Dockerfile a vulnerabilidades en la guía de escaneo de imágenes de contenedor de CI/CD.

Automatización e integración con Jira

Haga que Cloud Security Vulnerabilities sea parte de su flujo de trabajo diario configurando security notification rules y automation pipelines:

• Reciba una alerta tras la detección de una vulnerabilidad explotable para su contexto
• Cree tickets de Jira automáticamente
• Configure SLAs para remediar vulnerabilidades

Seguimiento y generación de informes

Utilice el Cloud Security Vulnerabilities dashboard predeterminado para realizar el seguimiento e informar del progreso a las partes interesadas. Clónelo y modifíquelo según sea necesario para adaptarlo a sus necesidades específicas.

Explorar paquetes de infraestructura

El Infrastructure Packages Catalog proporciona un inventario en tiempo real de todos los paquetes en servidores, imágenes de servidor e imágenes de contenedor implementados en su infraestructura. Ofrece una interfaz que puede utilizar para investigar sus SBOMs, enriquecida con contexto de vulnerabilidad y de tiempo de ejecución.

Evalúe rápidamente el impacto de una vulnerabilidad emergente crítica buscando las versiones de paquete afectadas e identificando todos los recursos que la utilizan.

Lecturas adicionales

Documentación, enlaces y artículos útiles adicionales:

Habilitar la recopilación de SBOM en Cloud Security VulnerabilitiesDOCUMENTACIÓN Configuración de vulnerabilidades de servidorDOCUMENTACIÓN Visualización de Container ImagesDOCUMENTACIÓN Solución de problemas de Cloud Security VulnerabilitiesDOCUMENTACIÓN Mejore su flujo de trabajo de solución de problemas con Container Images en Datadog Container MonitoringBLOG Vincule un Dockerfile a las vulnerabilidades detectadas en producciónDOCUMENTACIÓN