Utilisez les instructions suivantes pour activer Infrastructure as Code (IaC) Security pour Code Security. IaC Security prend en charge plusieurs configurations IaC stockées dans des dépôts GitHub, GitLab, Azure DevOps ou Bitbucket Cloud Premium.

Configurez IaC avec un fournisseur CI générique

Overview

Si vous n’utilisez pas GitHub Actions, GitLab CI/CD ou Azure DevOps, vous pouvez exécuter le Datadog IaC Scanner directement dans votre pipeline CI. Téléversez les résultats d’analyse IaC vers Datadog en utilisant le datadog-ci CLI.

Si vous exécutez IaC Security sur un dépôt non-GitHub, exécutez la première analyse sur votre branche par défaut. Si votre branche par défaut utilise un nom autre que master, main, default, stable, source, prod ou develop, téléversez une première analyse pour votre dépôt. Ensuite, remplacez manuellement la branche par défaut dans Repository Settings afin que les futures analyses provenant de branches non par défaut soient téléversées et traitées correctement.

Prérequis

• Node.js 20 ou version ultérieure et npm
• curl
• tar
• Autorisation d’installer le scanner dans /usr/local/bin

Configurez les variables d’environnement suivantes :

Ajoutez ce qui suit à votre pipeline de CI :

# Set the Datadog site to send information to
export DD_SITE="datadoghq.com"

# Install dependencies
npm install -g @datadog/datadog-ci

# Download the latest Datadog IaC Scanner (x86_64/amd64 Linux; see GitHub Releases for arm64 and other platforms)
export IAC_SCANNER_URL="https://github.com/DataDog/datadog-iac-scanner/releases/latest/download/datadog-iac-scanner_linux_amd64.tar.gz"
curl -L "${IAC_SCANNER_URL}" -o /tmp/datadog-iac-scanner.tar.gz
tar xfz /tmp/datadog-iac-scanner.tar.gz -C /tmp
mv /tmp/datadog-iac-scanner /usr/local/bin/datadog-iac-scanner

# Run the Datadog IaC scanner
exit_code=0
/usr/local/bin/datadog-iac-scanner scan -p . -o /tmp || exit_code=$?
if [ $exit_code -lt 20 -o $exit_code -gt 60 ]; then echo "IaC scan failed" ; exit $exit_code ; fi

# Upload results
datadog-ci sarif upload /tmp/datadog-iac-scanner-result.sarif

Téléversez les résultats d’analyse statique tiers vers IaC Security

Pour importer un rapport SARIF, procédez comme suit :

1. Assurez-vous que les variables DD_API_KEY et DD_APP_KEY sont définies.

2. Optionnellement, définissez une DD_SITE variable (la valeur par défaut est datadoghq.com).

3. Installez l’utilitaire datadog-ci (version 2.0 ou ultérieure) :

   npm install -g @datadog/datadog-ci
   

4. Exécutez l’outil d’analyse IaC tiers (par ex. Checkov, Trivy, KICS) sur votre code et exportez les résultats au format SARIF v2.1.0.

5. Téléversez les résultats vers Datadog :

   datadog-ci sarif upload $OUTPUT_LOCATION
   

   • Upload Options
     • --tags: Ajoutez des tags personnalisés (format : key:value)
     • --max-concurrency:Définissez les téléversements simultanés (par défaut : 20)
     • --dry-run:Validez sans téléverser

Attributs SARIF requis

Pour garantir une ingestion et un affichage corrects dans Datadog IaC Scanning pour les scanners tiers (à l’exclusion de Checkov), votre fichier SARIF DOIT inclure les attributs suivants pour être reconnu comme un constat de sécurité IaC :

1. Runs[...].tool.driver.name: Datadog IaC Scanning
2. Runs[...].tool.driver.version: "code_update" ou "full_scan"
   • "full_scan” pour les analyses complètes du dépôt
   • "code_update" pour les analyses de demandes de tirage / incrémentielles
3. Runs[...].tool.driver.rules[...].properties.tags:
   • ["DATADOG_RULE_TYPE:IAC_SCANNING"]
   • [“DATADOG_SCANNED_FILE_COUNT: <number>”], où "number" spécifie le nombre de fichiers analysés
4. Runs[...].results[...].locations[...].physicalLocation:
   • artifactLocation.uri : Chemin relatif vers le fichier depuis la racine du dépôt.
   • region.startLine : Numéro de ligne de début.
   • region.endLine : Numéro de ligne de fin.
   • region.startColumn : Numéro de colonne de début.
   • region.endColumn : Numéro de colonne de fin.

Pour aller plus loin

Documentation, liens et articles supplémentaires utiles:

Code SecurityDOCUMENTATION IaC SecurityDOCUMENTATION Configurez IaC SecurityDOCUMENTATION Règles de IaC SecurityDOCUMENTATION