クラウドセキュリティ Agentless Scanning

ドキュメント > Datadog Security > Cloud Security > Cloud Security Management の設定 > クラウドセキュリティ Agentless Scanning

概要

Agentless Scanningは、Datadog Agentをインストールすることなく、AWS、Azure、GCPのクラウドインフラストラクチャ内に存在する脆弱性を可視化します。Datadogは、クラウドリソースを完全に可視化するための第一歩としてAgentless Scanningを有効にし、その後、より深いセキュリティとオブザーバビリティのコンテキストを得るために、主要な資産にDatadog Agentをインストールすることを推奨しています。

Agentless Scanningは、Datadog Agentがインストールされているリソースを除外します。

仕組み

次の図は、Agentless Scanningの仕組みを示しています。

Datadogは12時間間隔で自動スキャンをスケジュールし、Remote Configurationを通じてスキャン対象のリソースを送信します。
- Cloud Security Evaluation Filtersが構成されている場合、Agentless Scanningはこれらのフィルターを尊重し、構成された基準に一致するリソースのみをスキャンします。
サーバーレス関数（AWS Lambdaなど）の場合、スキャナーは関数のコードを取得します。
スキャナーは、実行中のVMインスタンスで使用されているボリュームのスナップショットを作成します。スナップショットまたは関数コードを使用して、スキャナーはSBOM（パッケージと依存関係のリスト）を生成します。
SBOMとホストメタデータはDatadogに送信されます。スナップショット、ディスクコンテンツ、コンテナイメージを含むその他のすべてのデータは、お客様のインフラストラクチャ内に留まります。スナップショットは削除されます。
DatadogはSBOMを使用して、リソース内の既知の脆弱性を特定します。

このアーキテクチャは以下を提供します。

データプライバシー：ディスクの内容、コンテナイメージ、機密データは、お客様のクラウドアカウント内に留まります。パッケージのメタデータ（SBOM）のみがDatadogに送信されます。
データのレジデンシー：データがアカウントの境界を越えてDatadogのインフラストラクチャに送信されることはなく、データ主権要件への準拠が簡素化されます。
コンプライアンス：監査人は、スキャンデータがお客様の境界内に留まっていることを確認できます。

データプライバシーの詳細については、「Datadogに送信されるデータ」を参照してください。

スキャナーはお客様のインフラストラクチャ内で独立した仮想マシンとして動作し、既存のシステムやリソースへの影響を最小限に抑えます。
AWSの場合、スキャナーインスタンスはワークロードに基づいて自動的にスケーリングされます。スキャン対象のリソースがない場合、スキャナーはゼロまでスケーリングされ、クラウドプロバイダーのコストを最小限に抑えます。
スキャナーは、機密情報や個人情報をインフラストラクチャ外に一切送信することなく、ホストからパッケージのリストを安全に収集します。
スキャナーは、クラウドプロバイダーAPIの使用を制限してレート制限に達しないようにし、必要に応じて指数バックオフを使用します。
スキャナーインスタンスは24時間ごとに自動的にローテーションされ、常に最新のイメージが実行されるようになっています。

Datadogに送信されるデータ

データを非公開に保つため、ディスクスナップショットを分析のために環境外にコピーするのではなく、Datadogは軽量なスキャンインフラストラクチャをお客様のクラウドアカウント内にデプロイします。Agentless Scanningはリソースのスナップショットを作成してローカルで分析し、分析完了後にスナップショットを削除します。Datadogには、パッケージと依存関係のリストを含むSBOMのみが送信されます。生のデータ、ディスクの内容、コンテナイメージが環境外に出ることはありません。

エージェントレススキャナーは、OWASP cycloneDX形式を使用してパッケージのリストをDatadogに送信します。機密情報や個人のプライバシー情報が、お客様のインフラストラクチャの外部に一切送信されることはありません。

Datadogは送信しません：

システムおよびパッケージの構成
暗号化キーおよび証明書
ログおよび監査証跡
機密性の高いビジネスデータ

クラウドサービスプロバイダーのコスト

Agentless Scanningはお客様のクラウドアカウント内で実行されるため、コンピューティングおよびネットワークのコストがクラウドプロバイダーの請求書に記載されます。独自のインフラストラクチャでスキャンを行うベンダーはコンピューティングコストをSaaS料金に含めますが、データを環境内に保持することで、インフラストラクチャのコストを直接確認できるようになります。

コストを削減するには：

150台以上のホストがある各リージョンにスキャナーをデプロイしてください。リージョナルスキャナーを使用することでリージョン間データ転送を回避でき、リモートリージョンからホストをスキャンするよりも費用対効果が高くなります。
Terraformを使用した推奨構成に従い、リージョンごとに1台のスキャナーをデプロイしてください。
大規模なマルチリージョンデプロイについては、Deploying Agentless Scanningを参照し、デプロイトポロジーの選択に関するガイダンスをご確認ください。

スキャナーへのアクセスを制限する

スキャナーインスタンスには、スナップショットの作成とコピー、およびボリュームの記述を行うための権限が必要です。Datadogでは、スキャナーを安全に保つために以下のガイドラインに従うことを推奨しています。

スキャナーインスタンスへのアクセスを管理者ユーザーに制限してください。
スキャナーの権限は最小権限の原則に従い、スキャンに必要な最小限の範囲に制限してください。
スキャナーとDatadog間のすべてのデータ送信は、HTTPSを使用して暗号化してください。
無人セキュリティアップデートを有効にし、24時間ごとにインスタンスを自動的にローテーションします。
スキャナーインスタンスへのインバウンドアクセスを許可しないでください（セキュリティグループで制限されています）。

Cloud Storageのスキャン

デプロイ時またはセットアップ後に、Agentless Scanningリソースに対してSensitive Data Scannerを有効にできます。Sensitive Data Scannerは、クラウドストレージ（Amazon S3バケットなど）内の機密データをカタログ化および分類します。これは環境内のデータストアとそのファイルのみを読み取り、機密データをDatadogに送信することはありません。

On-Demand Scanning

デフォルトでは、Agentless Scanningは12時間ごとにリソースを自動的にスキャンします。AWSの場合、On-Demand Scanning APIを使用して、特定のリソース（ホスト、コンテナ、Lambda関数、またはS3バケット）の即時スキャンをトリガーすることもできます。詳細については、On-Demand Scanning APIのドキュメントを参照してください。