De forma predeterminada, Datadog Secret Scanning analiza los repositorios habilitados con todas las reglas en la categoría Secrets & Credentials de Sensitive Data Scanner. Puede personalizar qué reglas se ejecutan, modificar las reglas predeterminadas y crear reglas personalizadas en la Code página de configuración en SDS.

Las reglas, los grupos de escaneo y las reglas personalizadas descritos en esta página se configuran en Datadog. Un archivo de configuración en su repositorio añade un control independiente sobre qué archivos se escanean. Consulte Configuración de archivos.

Grupos de escaneo

Existen dos grupos de escaneo que configuran las reglas de Secret Scanning.

Grupo de escaneo administrado

El grupo de escaneo administrado es gestionado por el equipo de seguridad de Datadog. Recibe automáticamente nuevas reglas y actualizaciones de reglas, y está habilitado de forma predeterminada para todas las organizaciones.

Grupo de escaneo de reglas personalizadas

El grupo de escaneo personalizado es gestionado por las organizaciones de usuario. Puede crear y probar reglas de regex personalizadas o agregar reglas desde la biblioteca de reglas de SDS.

Configuración de reglas

Personalización de reglas predeterminadas

Para personalizar la gravedad y las palabras clave de una regla predeterminada administrada, pase el cursor sobre la regla y haga clic en el icono de lápiz a la derecha.

Se abre el cuadro de diálogo de edición.

Después de editar la regla y hacer clic en Update en la parte inferior derecha, la regla modificada aparece como Customized en el grupo de escaneo administrado.

Creación de reglas personalizadas

Para crear una regla personalizada, vaya al grupo de escaneo personalizado y haga clic en Add scanning rule en la parte inferior o en Add rule en la parte superior derecha. Cree su regla de regex, luego configure la gravedad y las palabras clave. Una vez habilitados, sus repositorios se analizan con las nuevas reglas en la siguiente confirmación.

Para actualizar una regla personalizada, coloque el cursor sobre la regla y haga clic en el icono de lápiz a la derecha.

Deshabilitar reglas

Deshabilite una regla haciendo clic en el interruptor azul a la derecha.

Configuración de archivos

Las reglas se configuran en Datadog como se describe en la sección Configuración de reglas. Los archivos que lee Secret Scanning se configuran bajo la clave secrets en la configuración de Code Security. Defínalo en Datadog o en un archivo code-security.datadog.yaml en la raíz de su repositorio.

Para obtener información sobre las ubicaciones de configuración, la precedencia y la combinación, consulte Referencia de configuración de Code Security.

La configuración debe comenzar con schema-version: v1.5, seguido de una clave secrets que contenga un objeto global-config. El objeto global-config controla la configuración de todo el repositorio:

Ejemplo de configuración

schema-version: v1.5
secrets:
  global-config:
    # Only analyze the following paths/files
    only-paths:
      - "src"
      - "**/*.py"
    # Do not analyze the following paths/files
    ignore-paths:
      - "tests"
      - "**/*.lock"
    use-gitignore: true
    ignore-generated-files: true
    max-file-size-kb: 10240