다음 지침을 따라 Code Security용 Infrastructure as Code (IaC) Security를 활성화하세요. IaC Security는 GitHub, GitLab, Azure DevOps, Bitbucket Cloud Premium 리포지토리에 저장된 여러 IaC 구성을 지원합니다.

일반 CI 공급자로 IaC 설정

개요

GitHub Actions, GitLab CI/CD 또는 Azure DevOps를 사용하지 않는 경우 CI 파이프라인에서 Datadog IaC Scanner를 직접 실행할 수 있습니다. datadog-ci CLI를 사용하여 IaC 스캔 결과를 Datadog에 업로드합니다.

GitHub가 아닌 리포지토리에서 IaC Security를 실행하는 경우, 기본 브랜치에서 첫 번째 스캔을 실행합니다. 기본 브랜치 이름이 master, main, default, stable, source, prod 또는 develop가 아닌 경우 리포지토리에 대한 첫 번째 스캔을 업로드합니다. 그런 다음 Repository Settings에서 기본 브랜치를 수동으로 재정의하여 기본 브랜치가 아닌 곳에서 수행된 향후 스캔이 업로드되고 올바르게 처리되도록 합니다.

전제 조건

• Node.js 20 이상 및 npm
• curl
• tar
• /usr/local/bin에 스캐너를 설치할 권한

다음 환경 변수를 설정하세요.

CI 파이프라인에 다음을 추가합니다.

# Set the Datadog site to send information to
export DD_SITE="datadoghq.com"

# Install dependencies
npm install -g @datadog/datadog-ci

# Download the latest Datadog IaC Scanner (x86_64/amd64 Linux; see GitHub Releases for arm64 and other platforms)
export IAC_SCANNER_URL="https://github.com/DataDog/datadog-iac-scanner/releases/latest/download/datadog-iac-scanner_linux_amd64.tar.gz"
curl -L "${IAC_SCANNER_URL}" -o /tmp/datadog-iac-scanner.tar.gz
tar xfz /tmp/datadog-iac-scanner.tar.gz -C /tmp
mv /tmp/datadog-iac-scanner /usr/local/bin/datadog-iac-scanner

# Run the Datadog IaC scanner
exit_code=0
/usr/local/bin/datadog-iac-scanner scan -p . -o /tmp || exit_code=$?
if [ $exit_code -lt 20 -o $exit_code -gt 60 ]; then echo "IaC scan failed" ; exit $exit_code ; fi

# Upload results
datadog-ci sarif upload /tmp/datadog-iac-scanner-result.sarif

타사 정적 분석 결과를 IaC Security에 업로드

SARIF 보고서를 업로드하는 방법:

1. DD_API_KEY 및 DD_APP_KEY 변수가 정의되어 있는지 확인합니다.

2. 필요시 DD_SITE 변수를 설정합니다(기본값: datadoghq.com).

3. datadog-ci 유틸리티를 설치합니다(버전 2.0 이상).

   npm install -g @datadog/datadog-ci
   

4. 코드에서 타사 IaC Scanning 도구(예: Checkov, Trivy, KICS)를 실행하고 결과를 SARIF v2.1.0 형식으로 출력합니다.

5. 결과를 Datadog에 업로드합니다.

   datadog-ci sarif upload $OUTPUT_LOCATION
   

   • 업로드 옵션
     • --tags: 사용자 지정 태그 추가(형식: key:value)
     • --max-concurrency: 동시 업로드 설정(기본값: 20)
     • --dry-run: 업로드하지 않고 유효성 검사

필수 SARIF 속성

타사 스캐너(Checkov 제외)의 결과가 Datadog IaC Scanning에서 올바르게 수집 및 표시되도록 하려면, SARIF 파일이 IaC 보안 탐지 결과로 인식될 수 있도록 다음 속성을 반드시 포함해야 합니다.

1. Runs[...].tool.driver.name: Datadog IaC Scanning
2. Runs[...].tool.driver.version: "code_update" 또는 "full_scan"
   • "full_scan”: 전체 리포지토리 스캔의 경우
   • "code_update": 풀 리퀘스트 / 증분 스캔의 경우
3. Runs[...].tool.driver.rules[...].properties.tags:
   • ["DATADOG_RULE_TYPE:IAC_SCANNING"]
   • [“DATADOG_SCANNED_FILE_COUNT: <number>”], 여기서 "number"는 스캔된 파일 수를 지정합니다
4. Runs[...].results[...].locations[...].physicalLocation:
   • artifactLocation.uri: 리포지토리 루트에서 파일까지의 상대 경로
   • region.startLine: 시작 줄 번호
   • region.endLine: 종료 줄 번호
   • region.startColumn: 시작 열 번호
   • region.endColumn: 종료 열 번호

추가 자료

추가적인 유용한 설명서, 링크 및 기사:

Code Security설명서 IaC Security설명서 IaC Security 구성설명서 IaC Security 규칙설명서