Code Security

ドキュメント > Datadog Security > Code Security

Code Security は、リポジトリと実行中のサービスの両方で使用されるファーストパーティコードおよびオープンソースライブラリをスキャンし、開発から本番環境までのエンドツーエンドの可視性を提供します。以下の機能が含まれます。

Static Code Analysis (SAST): ファーストパーティコードのセキュリティおよび品質に関する問題を特定する
Software Composition Analysis (SCA): リポジトリとサービスの両方でオープンソースの依存関係を特定する
Runtime Code Analysis (IAST): サービス内のファーストパーティコードに存在する脆弱性を特定する
Secret Scanning: 漏洩したシークレットを特定して検証する
Infrastructure as Code (IaC) Security: リポジトリに保存されている IaC のセキュリティ誤構成を特定する
サプライチェーンセキュリティ: 悪意のあるパッケージが開発環境やコードリポジトリに侵入するのを防ぐ

Code Security は、組織全体で DevSecOps を実装するチームをサポートします。

Developers: 開発者にとっては、早期の脆弱性検出、コード品質の向上、デバッグやパッチ適用に費やす時間の短縮による、開発の迅速化を実現します。
Security Administrators: セキュリティ管理者にとっては、セキュリティ体制の強化、早期の脆弱性アラートに対応したパッチ管理の改善、コンプライアンスの監視を実現します。
Site Reliability Engineers (SREs): CI/CD ワークフロー全体における自動セキュリティチェック、セキュリティコンプライアンス、システムのレジリエンスを実現します。SAST は SRE の手作業による負担を軽減し、各リリースについて脆弱性の有無を徹底的にテストすることを保証します。

Code Security 全体で、以下の脆弱性管理機能を利用できます。

開発者向けツールインテグレーション: IDE やプルリクエストのコメントで脆弱性にフラグを立て、脆弱性が本番環境のコードベースにマージされるのを防ぐ
チケットインテグレーション: Jira および Datadog Case Management との双方向同期による統合
通知
自動化パイプライン: 脆弱性を自動的にミュートし、重大度に応じて期限を割り当てる
MCP サーバー: AI コーディングアシスタントから直接 Code Security スキャンを実行する (プレビュー版)

[Static Code Analysis (SAST)]

Static Code Analysis (SAST) は、本番環境前のコードを解析して、セキュリティおよび品質に関する問題を特定します。ソフトウェア開発ライフサイクル全体に、以下の方法で最適なセキュリティおよび開発プラクティスを組み込むことができます。

決定論的な修正案をリアルタイムで提示して違反にフラグを立てるための IDE インテグレーション
決定論的な修正案とインクリメンタル/差分認識スキャンを備えたインラインプルリクエストコメント
Datadog から直接プルリクエストを開いて違反を修正する機能

スキャンは、CI/CD パイプライン経由で実行することも、Datadog のホスト型スキャンを使用して直接実行することもできます。開始するには、Static Code Analysis のセットアップを参照してください。

Static Code Analysis は、プルリクエストを大規模にスキャンして、悪意のあるコードの変更を検出および防止することもできます。これにより、Datadog は既知のコード脆弱性をチェックするだけでなく、リポジトリのデフォルトブランチに送信された PR 内の潜在的な悪意のある意図を検出することも可能になります。プレビューへのアクセスをリクエストします。

Software Composition Analysis

Software Composition Analysis (SCA) は、リポジトリと実行中のサービスの両方でオープンソースライブラリを分析します。ソフトウェア開発ライフサイクルにおいて以下の方法で依存関係を追跡および管理できます。

サービスで実行中のライブラリに影響を与える脆弱性にフラグを立てるための IDE インテグレーション
Datadog から直接プルリクエストを開いてライブラリの脆弱性を修正する機能
Datadog 重大度スコアによるランタイム情報を反映した優先順位付け

SCA は、静的およびランタイムの両方の依存関係検出をサポートしています。静的スキャンについては、CI/CD パイプライン経由で実行することも、ホスト型スキャンを使用して Datadog から直接スキャンすることもできます。開始するには、静的セットアップを参照してください。ランタイム脆弱性検出については、Datadog APM でインスツルメントされたサービスで SCA を簡単に有効にできます。開始するには、ランタイムセットアップを参照してください。

Runtime Code Analysis (IAST)

Runtime Code Analysis (IAST) は、実行中のサービスにおけるコードレベルの脆弱性を特定します。これは、追加の構成や定期的なスケジュール設定が必要になることが多い外部テストとは対照的に、正当なアプリケーショントラフィックの検査に依存しています。IAST は以下を行うことで攻撃対象領域を最新の状態で提供します。

ライブラリやインフラストラクチャーなど、スタックの他のコンポーネントによるコードの相互作用の監視
OWASP Top 10 の 100% カバレッジの提供
Datadog 重大度スコアによるランタイム情報を反映した優先順位付け

Datadog APM でインスツルメントされたサービスで IAST を有効にできます。開始するには、IAST セットアップを参照してください。

Secret Scanning

Secret Scanning は、コードベース内の公開された認証情報、API キー、その他の機密シークレットを特定および検証します。以下を使用して、ソフトウェア開発ライフサイクル全体でシークレットの漏洩を防ぐことができます。

シークレットがリポジトリに到達する前にローカルでコミットされるのを防ぐための Pre-commit フック
漏洩したシークレットがデフォルトブランチに到達するのを防ぐためのプルリクエストゲート
検出されたシークレットがアクティブで悪用可能かどうかを確認し、ローテーション済みまたは無効な認証情報によるノイズを低減するためのサードパーティ検証
Git history scanning: コードから削除されたものの以前のコミットから復元可能なシークレットを検出する

スキャンは、CI/CD パイプライン経由で実行することも、Datadog のホスト型スキャンを使用して直接実行することもできます。開始するには、Secret Scanning セットアップを参照してください。

Infrastructure as Code Security (IaC Security)

IaC Security は、infrastructure-as-code を分析し、クラウド環境にプロビジョニングされる前に誤構成を検出します。以下を使用して、インフラストラクチャーと CI/CD を保護できます。

決定論的な修正案とインクリメンタル/差分認識スキャンを備えたインラインプルリクエストコメント
重大な誤構成が本番環境に到達するのを防ぐためのプルリクエストゲート
Terraform、CloudFormation、Kubernetes、GitHub Actions などの数百もの検出機能

Cloud Security Management (CSM)を使用すると、IaC Security の誤構成をランタイムの検出結果から直接確認できます。開始するには、IaC Security セットアップを参照してください。

Supply Chain Security (プレビュー版)

Supply Chain Security は、悪意のあるオープンソースパッケージがインストール時に開発環境に侵入するのを防ぎ、リポジトリや CI/CD パイプラインに到達する前に阻止します。

コードベースにすでに存在する依存関係をスキャンする SCA とは異なり、Datadog Supply Chain Firewall (SCFW) はパッケージマネージャーのコマンド (npm、pip、poetry) をリアルタイムで傍受し、悪意のあるパッケージや最近公開されたパッケージがインストールされる前にブロックします。

Supply Chain Security は、Datadog の悪意のあるパッケージフィード (GuardDog が提供)、既知の脆弱性アドバイザリー、および設定可能な最新性しきい値に基づいて、すべてのパッケージインストールを評価します。パッケージがいずれかのチェックに該当した場合、SCFW は直ちにインストールをブロックし、開発者のラップトップおよび CI ランナーに明確かつ実行可能なメッセージを表示します。

個々の開発者マシンや CI パイプラインの保護に加え、SCFW はイベントの監視可能性を提供し、開発者マシンや CI システム全体にわたる ALLOW、WARN、BLOCK イベントを統合イベントフィードで検索、フィルタリング、監査できるようにします。

Code Security MCP サーバー (プレビュー版)

Code Security MCP サーバーは、SAST、シークレット検出、SCA、IaC スキャン、SBOM 生成を、Cursor、Claude Desktop、VS Code などの AI コーディングアシスタントに直接統合するローカルの Model Context Protocol (MCP) サーバーです。開始するには、MCP サーバーに関するドキュメントを参照してください。