Go 向け Application & API Protection の有効化

This product is not supported for your selected Datadog site. ().

Docker、Kubernetes、Amazon ECS で動作する Go アプリのアプリケーション セキュリティを監視することができます。

Prerequisites

Enabling Application & API Protection

開始する

  1. 最新バージョンの Datadog Go ライブラリ (バージョン 1.53.0 以降) をプログラムの go.mod 依存関係に追加します。

    $ go get -v -u gopkg.in/DataDog/dd-trace-go.v1 # v1
# $ go get -v -u github.com/DataDog/dd-trace-go/v2/ddtrace/tracer # v2

  2. Datadog には、一連の Go ライブラリやフレームワークのインスツルメンテーション向けにすぐに使えるサポートを提供するプラグイン可能な一連のパッケージがあります。 これらのパッケージのリストは、互換性要件ページにあります。これらのパッケージをアプリケーションにインポートし、各インテグレーションの横に記載されている構成の説明に従ってください。

  3. Application & API Protection を有効にしてプログラムを再コンパイルします。

    $ go build -v -tags appsec my-program

    注:

    • CGO_ENABLED=1 で CGO が有効になっていれば、Go のビルド タグ appsec は不要です。
    • Datadog WAF を Linux 上で動作させるには、次の共有ライブラリが必要です: libc.so.6 および libpthread.so.0。
    • ビルド タグ appsec を使用し、CGO が無効になっている場合、生成されたバイナリは依然としてこれらのライブラリと動的にリンクされます。
    • Go のビルド タグ datadog.no_waf は、上記の要件が障害となる場合に、ビルド時に Application & API Protection を無効にするために使用できます。

  4. 環境変数を設定して Go サービスを再デプロイし、Application & API Protection を有効にします。

    $ env DD_APPSEC_ENABLED=true DD_APM_TRACING_ENABLED=false ./my-program

    または、アプリケーションが実行される場所に応じて、以下の方法のいずれかを使用します。

      Docker コマンド ラインに以下の環境変数の値を追加します。

      $ docker run -e DD_APPSEC_ENABLED=true -e DD_APM_TRACING_ENABLED=false [...]

      アプリケーション コンテナの Dockerfile に以下の環境変数の値を追加します。

      ENV DD_APPSEC_ENABLED=true
ENV DD_APM_TRACING_ENABLED=false

      アプリケーションの APM 用のデプロイメント構成ファイルを更新し、Application & API Protection の環境変数を追加します。

      spec:
  template:
    spec:
      containers:
        - name: <CONTAINER_NAME>
          image: <CONTAINER_IMAGE>/<TAG>
          env:
            - name: DD_APPSEC_ENABLED
              value: "true"
            - name: DD_APM_TRACING_ENABLED
              value: "false"

      以下を環境セクションに追加して、アプリケーションの ECS タスク定義 JSON ファイルを更新します。

      "environment": [
  ...,
  {
    "name": "DD_APPSEC_ENABLED",
    "value": "true"
  },
  {
    "name": "DD_APM_TRACING_ENABLED",
    "value": "false"
  }
]

      The library collects security data from your application and sends it to the Agent, which sends it to Datadog, where out-of-the-box detection rules flag attacker techniques and potential misconfigurations so you can take steps to remediate.

    • To see App and API Protection threat detection in action, send known attack patterns to your application. For example, trigger the Security Scanner Detected rule by running a file that contains the following curl script:

      for ((i=1;i<=250;i++)); 
      do
      # Target existing service’s routes
      curl https://your-application-url/existing-route -A Arachni/v1.0;
      # Target non existing service’s routes
      curl https://your-application-url/non-existing-route -A Arachni/v1.0;
      done

      A few minutes after you enable your application and exercise it, threat information appears in the Application Trace and Signals Explorer in Datadog.

    その他の参考資料

    お役に立つドキュメント、リンクや記事:

    トレースへのユーザー情報追加ドキュメント more more Go Datadog ライブラリソースコードソースコード more more OOTB App & API Protection Rulesドキュメント more more Troubleshooting App & API Protectionドキュメント more more