クラウドストレージ用Sensitive Data Scannerのセットアップ

ドキュメント > Datadog Security > Sensitive Data Scanner > Sensitive Data Scannerのセットアップ > クラウドストレージ用Sensitive Data Scannerのセットアップ

概要

Datadog Agentlessスキャナーを環境にデプロイし、クラウドストレージリソース内の機密情報をスキャンします。Agentlessスキャナーは、お客様が管理し、環境内で実行するEC2インスタンスです。スキャナーはRemote Configurationを使用して、S3バケットのリストとその依存関係を取得します。S3バケット内のCSVやJSONなど、多くの種類のテキストファイルをスキャンします。

AgentlessスキャナーがSDSライブラリルールのいずれかと一致するものを見つけると、スキャンインスタンスは一致したルールタイプと場所をDatadogに送信します。注: クラウドストレージリソースとそのファイルは環境内でのみ読み取られます。スキャンされた機密データがDatadogに送信されることはありません。

Sensitive Data ScannerのFindingsページでは、スキャンされたクラウドストレージリソースと、一致したルールを含む検出結果を確認できます。

このドキュメントでは、以下の手順を説明します。

Remote Configurationを有効にする（クラウドストレージ用Sensitive Data Scannerを使用するため）
セキュリティ上の考慮事項（クラウドストレージ用Sensitive Data Scannerを使用する際に留意すべき点）
CloudFormationまたはTerraformを使用して環境にスキャナーをデプロイする

リモート構成を有効にする

リモート構成を使用すると、Datadogは構成データ（スキャン対象のクラウドストレージリソースなど）をデプロイ済みのスキャナーに送信できます。AWS環境で機密データスキャナーを使用するには、以下を確認する必要があります。

Datadog組織でリモート構成が有効になっていること。
スキャナーがデプロイされているAWSアカウントに対して、リモート構成が有効なDatadog APIキーを使用していること。

リモート構成は、ほとんどの組織でデフォルトで有効になっています。これを確認するには、リモート構成設定ページに移動します。有効になっていない場合は、以下を行います。

RBAC権限にorg_managementが含まれていることを確認します。
リモート構成のセットアップページから、Enable for your Organization > Next Stepをクリックします。
リモート構成で使用するAPIキーを検索して選択し、Enable Keysをクリックします。
Next Step > Doneをクリックします。AgentやトレーサーなどのDatadogコンポーネントを設定する必要はありません。

注記

スキャナーがデプロイされているAWSアカウントのみ、リモート構成が有効なDatadog APIキーが必要です。
org_management権限を持つ管理者のみが、組織のリモート構成を有効にできます。リモート構成が有効になった後、api_keys_write権限を持つユーザーのみが、個々のAPIキーに対してリモート構成を有効にできます。

セキュリティに関する考慮事項

スキャナーインスタンスには機密データへのアクセス権が付与される可能性があるため、Datadogでは、これらのインスタンスへのアクセスを管理者ユーザーのみに制限することを推奨しています。

このリスクをさらに軽減するために、Datadogでは以下のセキュリティ対策を実装しています。

Datadogスキャナーはお客様のインフラストラクチャ内で動作し、機密データの検索結果を含むすべてのデータが分離され、安全に保たれるようにします。
スキャナーとDatadog間のすべてのデータ転送は、データの機密性と整合性を確保するために、業界標準のプロトコル（HTTPSなど）を使用して暗号化されます。
Datadogは、スキャナーが必要とする権限を慎重に検討および制限し、不必要なアクセスなしでスキャンを実行できるようにします。これは、スキャナーが最小権限の原則に基づいて動作し、効果的に実行するために必要な最小限の権限のみが付与されることを意味します。
Datadogのスキャナーインスタンスでは、自動セキュリティアップデートが有効になっています。この機能により、手動操作を必要とせずに、重要なセキュリティパッチやアップデートをインストールするプロセスが自動化されます。
Datadogのスキャナーインスタンスは、24時間ごとに自動的にローテーションされます。このローテーションにより、スキャナーインスタンスは常に最新のUbuntuイメージで更新されます。
スキャナーインスタンスへのアクセスは、セキュリティグループを使用して厳密に制御されています。スキャナーへのインバウンドアクセスは許可されておらず、インスタンスが侵害されるリスクをさらに低減します。

Amazon S3バケットをスキャンするには、以下の権限が必要です。

s3:GetObject
s3:ListBucket
kms:Decrypt
kms:GenerateDataKey

スキャナーをデプロイする

エージェントレススキャナーは、お客様の環境で実行されるEC2インスタンスです。これらは、お客様のS3バケットをスキャンして機密情報を検索します。

スキャナーをお客様の環境にデプロイするには、2つの方法があります。

CloudFormationを使用して自動的にデプロイする
Terraformを使用して手動でデプロイする

CloudFormationを使ったスキャナーの自動デプロイ

CloudFormationを使用してエージェントレススキャナーをデプロイする場合、アカウントごとに1つのスキャナーが作成され、そのアカウントのすべてのリージョンにわたってスキャンが行われます。スキャナーをデプロイするリージョンを設定します。

新しいAWSアカウントまたは既存のAWSアカウントにスキャナーを追加できます。

Sensitive Data Scanner設定ページに移動します。
StorageタブのCloud Settingsセクションで、Add AWS accounts by following these stepsをクリックします。
Automatically using CloudFormationを有効のままにします。
ドロップダウンメニューでAWSリージョンを選択します。
既に構成されているAPIキー（リモート構成用）を選択します。選択したAPIキーでリモート構成が有効になっていない場合、選択時にそのキーのリモート構成が自動的に有効になります。注: api_keys_write権限を持つユーザーのみが、個々のAPIキーに対してリモート構成を有効にできます。
AWSログをDatadogに送信する場合は、Yesを選択したままにします。
Datadog Cloud Securityを使用する場合は、Yesを選択します。
Enable Sensitive Data Scannerはデフォルトで自動的に選択されます。これにより、CloudFormationはAWS Managed SecurityAuditポリシーをDatadog AWS統合ロールに追加し、エージェントレススキャンを有効にしてクラウドデータストアのスキャンを開始します。
Launch CloudFormation Templateをクリックします。

Sensitive Data Scanner設定ページに移動します。
StorageタブのAWSセクションで、次の操作を行います。
- アカウントでエージェントレススキャンが既に有効になっている場合：
  1. アカウントの鉛筆アイコンをクリックします。
  2. Enable Sensitive Data Scanningをオンに切り替えて、アカウントにスキャナーを追加します。
  3. Saveをクリックします。
- アカウントでエージェントレススキャンが有効になっていない場合：
  1. 機密データスキャンを有効にするアカウントのプラスアイコンをクリックします。
  2. CloudFormationを使用してスキャナーを追加することを選択します。
  3. ドロップダウンメニューでAWSリージョンを選択します。
  4. リモート構成用に既に構成されているAPIキーを選択します。選択したAPIキーでリモート構成が有効になっていない場合、選択時にそのキーのリモート構成が自動的に有効になります。
  5. Enable Sensitive Data Scanningをオンに切り替えて、アカウントにスキャナーを追加します。
  6. Launch CloudFormation Templateをクリックします。