Sécurité de l'infrastructure en tant que code (IaC)
Ce produit n'est pas pris en charge par le
site Datadog que vous avez sélectionné. (
).
La sécurité de l’infrastructure en tant que code (IaC) de Datadog détecte les erreurs de configuration dans les configurations IaC avant qu’elles ne soient déployées. Elle signale des problèmes tels qu’un chiffrement manquant ou un accès trop permissif dans les fichiers stockés dans vos dépôts GitHub, GitLab ou Azure DevOps connectés. Pour plus d’informations, consultez Règles IaC Security.
Fonctionnement
IaC Security s’intègre à vos dépôts pour analyser en continu les erreurs de configuration et analyse chaque commit sur toutes les branches pour chaque dépôt configuré. Lorsque des violations sont détectées, les constats sont affichés et liés au dépôt, à la branche et au chemin de fichier pertinents. Cela vous aide à identifier, prioriser et corriger les erreurs de configuration directement à la source.
Fonctionnalités clés
Examinez et corrigez les violations dans les pull requests
Lorsqu’une pull request inclut des modifications d’infrastructure en tant que code, Datadog ajoute des commentaires en ligne pour signaler toute violation. Le cas échéant, il suggère également des corrections de code qui peuvent être appliquées directement dans la pull request. Vous pouvez également ouvrir une nouvelle pull request depuis Datadog pour corriger un constat. Pour plus d’informations, consultez Pull Request Comments.
Fix with Cursor
Vous pouvez confier la remédiation d’un constat IaC à un agent de codage IA tel que Cursor.
- Sur la page Code Security Vulnerabilities, cliquez sur un constat pour ouvrir son panneau latéral.
- Dans la section Next Steps > Remediation, cliquez sur Remediate with AI.
- Sélectionnez l’onglet Coding agent.
- Sous Generate your fix directly from Claude Code, Codex, or Cursor, cliquez sur Open à côté de Fix with Cursor. Datadog ouvre Cursor avec une invite de remédiation adaptée à la mauvaise configuration.
Pour utiliser un agent différent, cliquez sur Copy à côté de Copy fix prompt et collez l’invite dans l’agent de votre choix.
Pour gérer le lien profond Cursor, installez l’extension Datadog extension for VS Code and Cursor.
Bloquez automatiquement les modifications risquées avec PR Gates
Utilisez PR Gates pour appliquer des normes de sécurité aux modifications d’infrastructure en tant que code avant qu’elles ne soient fusionnées. Datadog analyse les modifications IaC dans chaque pull request, identifie toute vulnérabilité dépassant votre seuil de gravité configuré et signale un statut de réussite ou d’échec à GitHub ou Azure DevOps.
Par défaut, les vérifications sont informatives, mais vous pouvez les rendre bloquantes dans GitHub ou Azure DevOps pour empêcher la fusion lorsque des problèmes critiques sont détectés. Pour obtenir des instructions de configuration, consultez Set up PR Gate Rules.
Afficher et filtrer les constats
Après avoir configuré Datadog IaC Security, chaque commit dans un dépôt scanné déclenche une analyse. Les constats sont résumés sur la page Code Security Vulnerabilities et regroupés par dépôt sur la page Code Security Repositories.
Utilisez des filtres pour affiner les constats par :
- Gravité
- Statut (open, muted, fixed)
- Type de ressource
- Fournisseur cloud
- Chemin d’accès au fichier
- Équipe
- Référentiel
Cliquez sur n’importe quel constat pour ouvrir un panneau latéral qui affiche :
- Details : Une description et le code pertinent qui a déclenché le constat. (Pour afficher des extraits de code, installez GitHub App.)
- Remediation : Si disponibles, des corrections de code suggérées sont fournies pour les constats qui prennent en charge la remédiation.
Créer des tickets Jira à partir des constats
Vous pouvez créer un ticket Jira bidirectionnel directement à partir de n’importe quel constat pour suivre et corriger les problèmes dans vos flux de travail existants. Le statut du ticket reste synchronisé entre Datadog et Jira. Pour plus d’informations, consultez Bidirectional ticket syncing with Jira.
Masquer les résultats
Pour masquer un constat, cliquez sur Mute dans le panneau de détails du constat. Cela ouvre un workflow où vous pouvez create a Muting Rule pour un filtrage contextuel par valeurs de tag (par exemple, par service ou environment). Mettre un constat en mode mute le masque et l’exclut des rapports.
Pour restaurer un constat en mode mute, cliquez sur Unmute dans le panneau de détails. Vous pouvez également utiliser le filtre Status sur la page Code Security Vulnerabilities pour examiner les constats en mode mute.
Exclure certaines règles, certains fichiers ou certaines ressources
Vous pouvez configurer des exclusions pour empêcher certains constats d’apparaître dans les résultats d’analyse. Les exclusions peuvent être basées sur l’ID de règle, le chemin de fichier, le type de ressource, la gravité ou le tag.
Les exclusions sont gérées via un fichier de configuration ou des commentaires en ligne dans votre code IaC. Pour les formats pris en charge et des exemples d’utilisation, consultez Configure IaC Security.
Étapes suivantes
- Set up IaC Security dans votre environnement.
- Configurez IaC Security pour réduire les faux positifs ou ignorer les résultats attendus.
- Examinez et triez les constats sur la page Code Security Vulnerabilities.
- Créez des IaC Custom Rules pour appliquer des exigences spécifiques à votre organisation.
Pour aller plus loin
Documentation, liens et articles supplémentaires utiles:
