Ce produit n'est pas pris en charge par le
site Datadog que vous avez sélectionné. (
).
Code Security analyse votre code de première partie et les bibliothèques open source utilisées dans vos applications, à la fois dans vos dépôts et dans vos services en cours d’exécution, offrant une visibilité de bout en bout du développement à la production. Il englobe les capacités suivantes :
Code Security aide les équipes à mettre en œuvre le DevSecOps dans toute l’organisation :
- Développeurs : détection précoce des vulnérabilités, améliorations de la qualité du code, développement plus rapide car les développeurs passent moins de temps à déboguer et à corriger.
- Administrateurs de sécurité : posture de sécurité renforcée, gestion améliorée des correctifs en réponse aux alertes précoces de vulnérabilité et surveillance de la conformité.
- Ingénieurs de fiabilité de site (SRE) : checks de sécurité automatisés tout au long du workflow CI/CD, conformité de sécurité et résilience du système. SAST réduit la charge manuelle pour les SRE et garantit que chaque version est minutieusement testée pour détecter les vulnérabilités.
Les fonctionnalités de gestion des vulnérabilités suivantes sont disponibles dans Code Security :
Analyse de code statique (SAST)
L’analyse de code statique (SAST) analyse le code de pré-production pour identifier les problèmes de sécurité et de qualité. Vous pouvez intégrer les meilleures pratiques de sécurité et de développement tout au long du cycle de vie du développement logiciel avec :
- Intégration IDE pour signaler les violations en temps réel avec des correctifs suggérés déterministes
- Commentaires de pull request en ligne avec des correctifs suggérés déterministes et une analyse incrémentale/diff-aware
- Possibilité d’ouvrir une pull request pour corriger une violation directement depuis Datadog
Les analyses peuvent être exécutées via vos pipelines CI/CD ou directement dans Datadog avec l’analyse hébergée.
Consultez Configuration de l’analyse de code statique pour commencer.
L’analyse de code statique peut également analyser vos pull requests à grande échelle pour détecter et empêcher les modifications de code malveillantes. Cela permet à Datadog non seulement de vérifier les vulnérabilités de code connues, mais aussi de détecter une intention potentiellement malveillante dans les PR soumises aux branches par défaut de vos dépôts. Demander l’accès à la préversion.
Software Composition Analysis
Software Composition Analysis (SCA) analyse les bibliothèques open source dans vos dépôts et vos services en cours d’exécution. Vous pouvez suivre et gérer les dépendances tout au long du cycle de vie du développement logiciel avec :
- Intégration IDE pour signaler les vulnérabilités affectant les bibliothèques exécutées sur vos services
- Possibilité d’ouvrir une pull request pour corriger une vulnérabilité de bibliothèque directement depuis Datadog
- Priorisation des vulnérabilités en fonction de l’exécution avec le score de gravité Datadog
SCA prend en charge la détection des dépendances statiques et à l’exécution.
Pour l’analyse statique, vous pouvez effectuer une analyse via vos pipelines CI/CD ou directement via Datadog avec l’analyse hébergée. Consultez configuration statique pour commencer.
Pour la détection des vulnérabilités lors de l’exécution, vous pouvez facilement activer SCA sur vos services instrumentés avec Datadog APM. Consultez configuration d’exécution pour commencer.
Runtime Code Analysis (IAST)
Runtime Code Analysis (IAST) identifie les vulnérabilités au niveau du code dans vos services en cours d’exécution. Elle repose sur l’inspection du trafic applicatif légitime, contrairement aux tests externes qui nécessitent souvent une configuration supplémentaire ou une planification périodique. L’IAST fournit une vue actualisée de votre surface d’attaque en :
- Surveillant les interactions de votre code avec d’autres composants de votre pile (tels que les bibliothèques et l’infrastructure)
- Fournissant une couverture de 100 % du Top 10 de l’OWASP
- Priorisation des vulnérabilités en fonction de l’exécution avec le score de gravité Datadog
Vous pouvez activer l’IAST sur vos services instrumentés avec Datadog APM. Consultez la configuration de l’IAST pour commencer.
Secret Scanning
Secret Scanning identifie et valide les identifiants exposés, les clés d’API et d’autres secrets sensibles dans votre base de code. Vous pouvez empêcher la fuite de secrets tout au long de votre cycle de vie de développement logiciel grâce à :
- Des hooks de pré-commit pour empêcher les secrets d’être validés localement avant même qu’ils n’atteignent votre dépôt
- Des contrôles de pull request pour empêcher les secrets divulgués d’atteindre votre branche par défaut
- Une validation par des tiers pour confirmer si un secret détecté est actif et exploitable, réduisant ainsi le bruit généré par des identifiants obsolètes ou invalides
- Analyse de l’historique Git pour trouver des secrets qui ont été supprimés du code mais qui peuvent encore être récupérés à partir de commits antérieurs
Les analyses peuvent être exécutées via vos pipelines CI/CD ou directement dans Datadog avec l’analyse hébergée. Consultez la configuration de Secret Scanning pour commencer.
Infrastructure as Code Security (IaC Security)
IaC Security analyse l’infrastructure en tant que code pour détecter les erreurs de configuration avant qu’elles ne soient provisionnées dans votre environnement cloud. Vous pouvez sécuriser votre infrastructure et votre CI/CD grâce à :
- Commentaires de pull request en ligne avec des correctifs suggérés déterministes et une analyse incrémentale/diff-aware
- Contrôles de pull request pour empêcher les erreurs de configuration à haute gravité d’atteindre votre environnement de production
- Des centaines de détections sur Terraform, CloudFormation, Kubernetes, GitHub Actions, et plus encore
Avec Cloud Security Management (CSM), vous pouvez voir les erreurs de configuration dans IaC Security directement à partir des résultats d’exécution. Consultez la configuration de IaC Security pour commencer.
Supply Chain Security (Aperçu)
Rejoignez la Preview !
Utilisez ce formulaire pour soumettre votre demande de participation à l’aperçu de Supply Chain Security.
Request AccessSupply Chain Security empêche les paquets open source malveillants d’entrer dans vos environnements de développement au moment de l’installation, avant qu’ils n’atteignent vos dépôts ou vos pipelines CI/CD.
Contrairement au SCA, qui analyse les dépendances déjà présentes dans votre base de code, le Datadog Supply Chain Firewall (SCFW) intercepte les commandes du gestionnaire de paquets (npm, pip, poetry) en temps réel et bloque les paquets malveillants ou récemment publiés avant qu’ils ne soient installés.
Supply Chain Security évalue chaque installation de paquet par rapport au flux de paquets malveillants de Datadog (propulsé par GuardDog), aux avis de vulnérabilité connus et aux seuils de récence configurables. Si un paquet correspond à l’un de ces contrôles, le SCFW bloque immédiatement l’installation et affiche un message clair et exploitable sur les ordinateurs portables des développeurs et les CI runners.
En plus de protéger les machines individuelles des développeurs ou les pipelines CI, le SCFW fournit une observabilité des événements pour rechercher, filtrer et auditer les événements AUTORISER, AVERTIR et BLOQUER sur les machines des développeurs et les systèmes CI dans un flux d’événements unifié.
Code Security MCP Server (Aperçu)
Le Code Security MCP Server est un serveur Model Context Protocol (MCP) local qui intègre l’analyse SAST, la détection de secrets, l’analyse SCA, l’analyse IaC et la génération de SBOM directement dans les assistants de codage IA tels que Cursor, Claude Desktop et VS Code. Lisez la documentation du serveur MCP pour commencer.
Pour aller plus loin
Documentation, liens et articles supplémentaires utiles:
