DASH 2024 で発表された Datadog の最新機能: Secure 編

## はじめに
こんにちは、Datadog Japan で Sales Engineer をしている [**AoTo**](https://qiita.com/AoTo0330) です。

この投稿は **[<font color="#6495ED">AoTo Advent Calendar 2024</font>](https://qiita.com/advent-calendar/2024/aoto) 6日目**の記事です。

みなさん、Datadog の公式年次イベントである [**DASH**](https://www.dashcon.io/) はご存知でしょうか？DASH は「**Observe・Secure・Act**」というキーワード、Datadog の本社が置かれるニューヨークで開催されるイベントです。2024年は**6月25-26日**に開催され、2025年は**6月10-11日**のでの**開催が決定**しています。

ロードマップや最新機能を発表する他に、各テーマに沿ったワークショップや事例を聞けるブレイクアウトセッション、パートナーソリューションを知れるエキスポや日本人向けの Japan Track など様々なコンテンツがあります🐶

今回は、「**DASH 2024**」で紹介された新機能をこれまでの Datadog の機能と比較しながら解説します。**Datadog 内部の視点**から、公式ドキュメントには記載のない、以前までの機能と変化も解説するため Datadog/Observability 好きの方は是非最後までご覧ください！

https://www.datadoghq.com/blog/dash-2024-new-feature-roundup-keynote/

こちらの内容は Secure のキーワードに沿った新機能に焦点を当てた**中編**となります。**Obseve・Act** は以下の記事をご覧ください。

https://qiita.com/AoTo0330/items/35551400a9fc3fa5a67a

https://qiita.com/AoTo0330/items/e0ae92644497561ee357

:::note warn
2024年12月 時点での情報を元に記載しています。
最新の情報は [Datadog の公式ドキュメント](https://docs.datadoghq.com)をご参照ください。
:::

## Agentless Scanning/Data Security
![AWS-integration-Agentless-Scanning.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2363567/aa938f92-1cde-bc85-2518-034f5d955b29.png)

### 概要
[**Agentless Scanning/Data Security**](https://docs.datadoghq.com/ja/security/cloud_security_management/agentless_scanning/) は Datadog Agent をインストールしていない・できない AWS リソースを対象に、脆弱性と機密データのスキャンを行う機能です。発表時から **GA(一般公開)** し、その一部である **Data Security** は発表から現在まで**Preview(Private beta)** で提供されています。

本機能では、スキャン対象のリソースを特定するために [**Datadog Resource Catalog**](https://docs.datadoghq.com/ja/infrastructure/resource_catalog/#browse-the-resource-catalog) のメタデータを参照し **Agentless Scan インスタンス(EC2)** に [**Remote Configuration**](https://docs.datadoghq.com/ja/agent/remote_config) でリソース情報を送信します。スキャンは**12時間ごと**に行われ、リージョンごとに Agentless Scanning 用のインスタンスを用意する必要があります。

機能は大きく分けて **EC2, Lambda, コンテナ** を対象とする[脆弱性スキャン](https://docs.datadoghq.com/ja/security/cloud_security_management/agentless_scanning/#how-it-works)と **S3, RDS** のデータを対象とする[クラウドストレージスキャン(Data Security)](https://docs.datadoghq.com/ja/security/cloud_security_management/agentless_scanning/#cloud-storage-scanning)があります。前者は [**Trivy Vulnerability Database**](https://trivy.dev/v0.40/docs/vulnerability/db/) で、後者は [**Datadog Sensitive Data Scanner**](https://docs.datadoghq.com/ja/sensitive_data_scanner/) によってデータが検証されます。

https://www.datadoghq.com/ja/blog/agentless-scanning/

https://www.datadoghq.com/ja/blog/data-security/

### 以前までの機能
**Agentless Scanner** の提供前から、[**Datadog Cloud Security Management**](https://docs.datadoghq.com/ja/security/cloud_security_management) には各リソースの脆弱性を確認する [**Vulnerabilities**](https://docs.datadoghq.com/ja/security/cloud_security_management/vulnerabilities/) がありました。このデータソースは AWS integration により取得される構成情報か、Datadog Agent がインストールされているホストやコンテナが対象となっていました。

しかし、Datdog Agent をインストールできないホスト・コンテナ・関数は AWS integration によって取得される構成情報による構成ミスの監視しかできず、内部で利用されている OS・ファイルシステム・パッケージマネージャー・コンテナランタイム・アプリケーション言語などの脆弱性まで確認することはできませんでした。

**Agentless Scanning** は Datadog Agent を必要としとしない方式で内部の脆弱性をスキャンすることで、**Datadog CSM** の管理できる脆弱性の範囲を広げています。

## IaC Remediation
### 概要
[**IaC Scanning/Remediation**](https://docs.datadoghq.com/security/cloud_security_management/iac_scanning/) は **GitHub** で管理されている **Terraform** のコードの構成ミスを検出そ改善するための機能です。発表時から現在まで　**Preview(Private beta)** で提供されています。

**IaC Remidiation** を利用することで、IaC のコードから脆弱性を検出し、Datadog から直接 Pull Request を発行し素早い修正を行えます。

https://www.datadoghq.com/blog/iac-security/

### 以前までの機能
**Datadog CSM** はデプロイされた環境に対する脆弱性・構成ミス検知が中心の機能であり、その対処としてユーザーは手動での修正を入れるか IaC で定義された内容を見返し該当箇所を修正する必要がありました。**IaC Scanning/Remediation** を利用することで、IaC コード自体のセキュリティを監視できるだけでなく、その修正を直接 Datadog から始めることができるため、脆弱性対策の Shift Left が実現できます。

## Code Security/Software Composition
### 概要
[**Datadog Code Security**](https://docs.datadoghq.com/ja/security/application_security/code_security/) は、実働環境で利用されているシステムに対して、コードレベルの脆弱性を特定し実用的な洞察と推奨される修正を提供する **IAST(Interacive Application Security Testing)** 機能です。発表時は **Preview(Private beta)** でしたが、現在は **GA(一般公開)** として提供されています。

**Datadog Code Security** は、一般的な脆弱性タイプを評価する[OWASP ベンチマーク](https://owasp.org/www-project-benchmark/)に対して 100% のカバレッジを提供します。このカバレッジ範囲により、脆弱性がどれほど複雑、深刻、または広範囲に及んでいるかに関係なく、チームは脆弱性を完全に正確に検出できます。

https://www.datadoghq.com/blog/iast-datadog-code-security/

https://www.datadoghq.com/blog/code-security-owasp-benchmark/

[**Datadog Software Composition Analysis**]((https://docs.datadoghq.com/ja/security/application_security/software_composition_analysis/)) はソフトウェアに利用されているオープンソースライブラリの脆弱性検知を行う機能です。発表時は **Preview(Private beta)** でしたが、現在は **GA(一般公開)** として提供されています。

**Datadog SCA** の特徴的な点は、開発者がコミットするコードから Datadog 上で実行中の本番アプリケーションに至るまで、ソフトウェア開発ライフサイクル全体をでカバーできる点です。

<img src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2363567/b0a5a4e4-9931-2c8e-04b1-d518f6db8b0e.png", width=33%>

脆弱性情報は、Open Source Vulnerabilities(OSV), National Vulnerability Database(NVD), GitHub Advisory, その他の言語エコシステムアドバイザリなどから情報を収集した独自のデータベースを使用しています。これらは Datadog の [**Guarddog**](https://github.com/DataDog/guarddog) プロジェクトとして公開されています。

https://datadoghq.com/blog/sca-supply-chain-security/

### 以前までの機能
[**Datadog ASM**](https://docs.datadoghq.com/ja/security/application_security/) はアプリケーションに対する脅威となる攻撃の検知とブロックである [**Threats(DAST)**](https://docs.datadoghq.com/ja/security/application_security/threats/) からその機能を拡大していました。

一方で、一般的なアプリケーションセキュリティで語られる **IAST, SAST, SCA** の領域は実現できず、新しい機能の追加が望まれました。現状は **Code Security(IAST), SCA** に加えて [**Static Analysis(SAST)**](https://docs.datadoghq.com/ja/code_analysis/static_analysis) も **Preview** として追加されました。

## おわりに
本来は6月に公開を予定していた本記事ですが、執筆に時間を取れず公開が12月に遅れてしまいました。

Datadog は製品開発に積極的に投資しており、新機能の追加だけではなくプロダクト間の連携や UI/UX・実装方法の改善などさまざまな変更が日々行われています。Datadog の年次イベントである DASH では、Datadog が自信を持ってユーザーに提供できる目玉機能の発表が行われ、業界にも大きなインパクトをもたらします。

皆様も是非来年 DASH 2025 に参加いただき、オブザーバビリティの最前線を体感してみてください🐶