Docker での Cloud Security の設定

以下の手順を使用して、設定ミスと Vulnerability Management を有効にします。

Collecting events using Cloud Security affects your billing. For more information, see Datadog Pricing.

前提条件

  • Datadog Agent バージョン 7.46 以降。

インストール

以下のコマンドは、Docker 環境で Runtime Security Agent と system-probe を起動します:

docker-runtime-security.sh

docker run -d --name dd-agent \
  --cgroupns host \
  --pid host \
  --security-opt apparmor:unconfined \
  --cap-add SYS_ADMIN \
  --cap-add SYS_RESOURCE \
  --cap-add SYS_PTRACE \
  --cap-add NET_ADMIN \
  --cap-add NET_BROADCAST \
  --cap-add NET_RAW \
  --cap-add IPC_LOCK \
  --cap-add CHOWN \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  -v /proc/:/host/proc/:ro \
  -v /sys/fs/cgroup/:/host/sys/fs/cgroup:ro \
  -v /etc/passwd:/etc/passwd:ro \
  -v /etc/group:/etc/group:ro \
  -v /:/host/root:ro \
  -v /sys/kernel/debug:/sys/kernel/debug \
  -v /etc/os-release:/etc/os-release \
  -e DD_COMPLIANCE_CONFIG_ENABLED=true \
  -e DD_COMPLIANCE_CONFIG_HOST_BENCHMARKS_ENABLED=true \
  -e DD_CONTAINER_IMAGE_ENABLE=true
  -e DD_SBOM_ENABLED=true
  -e DD_SBOM_CONTAINER_IMAGE_ENABLED=true
  -e DD_SBOM_HOST_ENABLED=true
  -e DD_SBOM_ENRICHMENT_USAGE_ENABLED=true \
  -e HOST_ROOT=/host/root \
  -e DD_API_KEY=<API KEY> \
  registry.datadoghq.com/agent:7

ランタイムパッケージの優先順位付け

ランタイムパッケージの優先順位付けは、コンテナイメージ内のどのパッケージがランタイムで使用されているかを特定します。これにより、インストールされているが実行されていないパッケージの脆弱性よりも、実際に実行されているコードの脆弱性を優先できます。

有効にすると、Agent は eBPF を使用してワークロード上のファイルアクセスを監視し、そのイメージの脆弱性検索結果にこれらのシグナルを追加します:

シグナルその意味
パッケージが実行中パッケージのファイルが、実行中のプロセスによってアクセスされていることが確認されました。
ルートプロセスによるアクセスパッケージがルート権限 (UID 0) で実行されているプロセスによってアクセスされました。
SUID バイナリが存在パッケージに SUID ビットが設定されたバイナリが含まれています。これは権限昇格を可能にする可能性があります。

パッケージが実行中は、Runtime Prioritization Engine の 到達可能性ディメンションに情報を提供します。これらのシグナルを直接クエリするには、ランタイムシグナルによる検索結果のフィルタリングをご覧ください。

要件:

  • Datadog Agent 7.79.0 以降。
  • Linux のみ (eBPF 依存関係)。サポートされているディストリビューションとカーネルバージョンについては、Workload Protection のセットアップをご覧ください。

ランタイムシグナルは、コンテナイメージの脆弱性検索結果において、オペレーティングシステムのパッケージマネージャー (apt、yum、または apk) によってインストールされたパッケージに適用されます。

Docker run コマンドに DD_SBOM_ENRICHMENT_USAGE_ENABLED=true を追加します:

docker run -d --name dd-agent \
  [... other flags ...] \
  -e DD_SBOM_ENABLED=true \
  -e DD_SBOM_CONTAINER_IMAGE_ENABLED=true \
  -e DD_SBOM_ENRICHMENT_USAGE_ENABLED=true \
  -e DD_API_KEY=<API KEY> \
  registry.datadoghq.com/agent:7

セットアップを確認するには、ランタイムシグナルで脆弱性検索結果をフィルタリングします。