Datadog Workload Protection proporciona visibilidad y defensa en tiempo real para su infraestructura mediante el monitoreo continuo de la actividad de archivos, red y procesos en sus entornos. Detecta amenazas a medida que ocurren, generando señales de seguridad y hallazgos. Úselos para identificar, investigar y detener comportamientos maliciosos antes de que afecten sus cargas de trabajo.
Workload Protection es parte de la plataforma Datadog Security. Las señales se correlacionan con escaneos de configuración incorrecta, evaluaciones de vulnerabilidad y hallazgos de seguridad de código, para que pueda vincular ataques en tiempo de ejecución con debilidades preexistentes. Debido a que se ejecuta en la plataforma Datadog, también se conecta con las métricas, trazas y registros de su infraestructura. Ese contexto le ayuda a comprender el alcance de una amenaza y reconstruir la historia del ataque.
Más allá de la detección de amenazas en tiempo de ejecución
Workload Protection no se limita a la detección de amenazas en tiempo de ejecución. Muchas organizaciones lo utilizan en una variedad de casos de uso operativos y de seguridad:
Validación de Compliance: Workload Protection le ayuda a validar el cumplimiento de marcos regulatorios como PCI, FedRAMP y SOC 2 mediante el monitoreo continuo de la actividad en tiempo de ejecución en busca de violaciones de políticas, configuraciones riesgosas y cambios no autorizados.
Postura de seguridad en tiempo de ejecución: Workload Protection mejora su postura de seguridad al identificar prácticas inseguras en tiempo de ejecución y desviaciones de configuración sensibles, ayudándole a detectar debilidades antes de que puedan ser explotadas.
Infrastructure Monitoring: Workload Protection rastrea cualquier tipo de comportamiento en tiempo de ejecución, ya sea relacionado con la seguridad o no. Desde la depuración de cargas de trabajo personalizadas hasta el monitoreo de procesos a nivel de sistema y sesiones de usuario remoto, ofrece visibilidad en tiempo real sobre cómo operan sus entornos.
Cómo funciona
Workload Protection evalúa la actividad que recopila en dos lugares: en el Datadog Agent y en Datadog.
Ahorro de recursos por diseño
Las reglas de detección de Workload Protection son complejas y correlacionan varios puntos de datos a través del tiempo y los procesos. Esta complejidad resultaría en demandas considerables de recursos de cómputo en el servidor del Agent si todas las reglas se evaluaran allí.
Datadog resuelve este problema manteniendo el Agent ligero con reglas eficientes que filtran la actividad no relevante para la seguridad de sus cargas de trabajo y procesando la actividad restante mediante reglas de detección de amenazas y hallazgos en el backend de Datadog. Las reglas del Agent están organizadas en policies, que usted implementa con Remote Configuration o manualmente. Usted puede administrar reglas y políticas en Datadog, en archivos de configuración del Agent o con el proveedor de Terraform de Datadog.
Recopilación de actividad en tiempo de ejecución
El Datadog Agent recopila actividad en tiempo de ejecución de sus cargas de trabajo. El mecanismo de recopilación depende de la plataforma:
- Linux: el Agent de eBPF, que ofrece la mayor compatibilidad de funciones.
- AWS Fargate: el rastreador cws-instrumentation. Fargate no proporciona acceso a eBPF, por lo que este Agent utiliza ptrace en su lugar. Cubre las principales funciones de Workload Protection, incluyendo el monitoreo de integridad de archivos y el monitoreo de ejecución de procesos.
- Windows: un controlador de Windows.
En Linux y Windows, Workload Protection cubre más de 40 tipos de eventos, que abarcan la actividad de procesos, sistemas de archivos, kernel y red. Para conocer las distribuciones, versiones y entornos de nube que admite cada Agent, consulte Setup.
Evaluación de actividad
Las reglas del Agent realizan un filtrado ligero para que se ejecuten de manera eficiente en cada servidor. Datadog evalúa las correlaciones más complejas a través del tiempo y los procesos:
- Las reglas del Agent evalúan la actividad del sistema en el servidor del Agent.
- Cuando la actividad coincide con una expresión de regla del Agent, el Agent genera un evento de Agent y lo envía a Datadog.
- Datadog evalúa los eventos de Agents frente a reglas de detection y reglas de hallazgos.
- Si una regla de detección coincide, se genera una señal y se muestra en Signals. Si un atributo de evento de Agent coincide con un indicador de inteligencia de amenazas, también se muestra el indicador correspondiente.
- Si una regla de hallazgo coincide, se genera un hallazgo y se muestra en Findings.
- Se activan todas las reglas de notificación que coincidan con la gravedad, el tipo de regla, las etiquetas y los atributos de la señal.
Workload Protection se entrega con más de 350 Agent rules y 200 reglas de detección, que cubren la mayoría de las tácticas y técnicas de MITRE ATT&CK. También puede escribir las suyas propias, incluidas máquinas de estado en el Agent que alertan solo sobre indicadores de compromiso complejos.
Responder a amenazas
Las acciones de respuesta se ejecutan en el Agent. El Agent puede terminar un proceso o contenedor, o bloquear el tráfico de red mediante un filtro basado en eBPF. Puede activar estas acciones de dos maneras:
- Automated response adjunta una acción a una Agent rule, de modo que el Agent actúa tan pronto como la regla coincide.
- Manual response le permite actuar a partir de una señal después de que se genera.
Ambas dependen de que la aplicación esté habilitada en el Agent. Consulte Respond to Threats.
También puede responder desde Datadog en lugar del Agent. Active un flujo de trabajo a partir de una señal, o integre señales con sus canalizaciones de respuesta existentes. Consulte Signal actions.
Próximos pasos
Configuración
Comience con la guía de Setup. Cubre los entornos compatibles, cómo implementar el Agent y cómo experimentar con las funciones de Workload Protection utilizando los scripts de área de prueba.
Detectar y hacer un seguimiento
Lea las páginas de Detect and Monitor para comprender cómo los eventos de Agents se traducen en señales y hallazgos de Workload Protection. Estas páginas le ayudan a explorar las detecciones integradas (OOTB) y a crear su propia lógica de detección.
Investigar y clasificar
Consulte las páginas de Investigate and Triage para descubrir los exploradores y las vistas en la aplicación disponibles en Workload Protection. Estas páginas le ayudan a aprovechar al máximo los eventos, señales y hallazgos generados por la plataforma.
Responder a amenazas
La página Respond to Threats explica cómo configurar la respuesta automatizada y manual. Cubre los requisitos de aplicación de Agent, las acciones de respuesta disponibles y cómo interpretar sus resultados.
Coverage
Utilice Coverage para obtener una vista unificada y en tiempo real de la postura de Workload Protection en servidores, contenedores y cargas de trabajo sin servidor. Identifique problemas de implementación de políticas, activos sin protección y brechas de detección antes de que se conviertan en riesgos explotables.
Guides
Ejemplos basados en casos de uso para ayudarle a descubrir y aprender sobre Workload Protection:
Lecturas adicionales
Documentación, enlaces y artículos útiles adicionales:
