Implementando Monitoramento de Segurança com Datadog

Quando Usar

• Implantando Cloud SIEM para detectar ameaças em tempo real em infraestruturas de nuvem (AWS, Azure, GCP)
• Criando regras de detecção personalizadas para técnicas de ataque, abuso de credenciais ou comportamento anômalo
• Habilitando Proteção de Carga de Trabalho (CSM Threats) para monitorar atividade de arquivos, processos e rede em hosts e contêineres
• Atendendo a requisitos de conformidade (PCI-DSS, SOC 2, HIPAA) que exigem monitoramento centralizado de logs e alertas
• Construindo dashboards de segurança para fornecer visibilidade ao SOC sobre sinais de ameaça, contexto de investigação e métricas de resposta

Não use para monitoramento apenas de endpoints sem infraestrutura de nuvem; use uma solução EDR dedicada para detecção de endpoints puramente on-premises.

Pré-requisitos

• Conta Datadog com Monitoramento de Segurança (Cloud SIEM) e/ou Gerenciamento de Segurança na Nuvem habilitados
• Chave de API Datadog e Chave de Aplicação em Configurações da Organização > Chaves de API
• Datadog Agent v7+ instalado em hosts/contêineres que geram logs relevantes para segurança
• Fontes de log configuradas para ingestão: AWS CloudTrail, VPC Flow Logs, GuardDuty, Azure Activity Logs, GCP Audit Logs ou logs no host (auth.log, syslog, Windows Security Events)
• Python 3.9+ com a biblioteca datadog-api-client para gerenciamento programático de regras
• Acesso de rede dos hosts monitorados aos endpoints de ingestão do Datadog (porta 443)

Fluxo de Trabalho

Etapa 1: Implantar e Configurar o Datadog Agent para Segurança

Instale o Datadog Agent e habilite recursos relacionados à segurança em datadog.yaml:

# /etc/datadog-agent/datadog.yaml

api_key: <YOUR_DATADOG_API_KEY>
site: datadoghq.com   # or datadoghq.eu, us3.datadoghq.com, etc.

# Enable log collection for Cloud SIEM
logs_enabled: true

# Enable security features
runtime_security_config:
  enabled: true          # Workload Protection (CSM Threats)
  activity_dump:
    enabled: true        # Record process activity for investigation

compliance_config:
  enabled: true          # CIS benchmark checks (CSM Misconfigurations)
  host_benchmarks:
    enabled: true

Configure fontes de log para arquivos relevantes para segurança no Linux:

# /etc/datadog-agent/conf.d/auth.d/conf.yaml
logs:
  - type: file
    path: /var/log/auth.log
    source: auth
    service: linux-auth
    tags:
      - env:production
      - security:authentication

  - type: file
    path: /var/log/syslog
    source: syslog
    service: linux-syslog

Para Logs de Eventos de Segurança do Windows:

# /etc/datadog-agent/conf.d/win32_event_log.d/conf.yaml
logs:
  - type: windows_event
    channel_path: Security
    source: windows.events
    service: windows-security
    filters:
      - id: [4624, 4625, 4648, 4672, 4688, 4720, 4726, 4740, 4767]

Habilite o system-probe para Proteção de Carga de Trabalho (CSM Threats):

# /etc/datadog-agent/system-probe.yaml
runtime_security_config:
  enabled: true
  fim_enabled: true        # File Integrity Monitoring
  network_enabled: true    # Network activity monitoring

Reinicie o Agent após as alterações de configuração:

sudo systemctl restart datadog-agent
sudo datadog-agent status | grep -A5 "Security Agent"

Etapa 2: Configurar Fontes de Log na Nuvem para SIEM

Configure a ingestão de AWS CloudTrail, VPC Flow Logs e GuardDuty para Cloud SIEM:

Datadog App > Security > Cloud SIEM > Configuration > Content Packs

AWS Content Pack:
  1. Enable the AWS integration in Datadog (Integrations > Amazon Web Services)
  2. Configure CloudTrail log forwarding via the Datadog Forwarder Lambda
  3. Enable VPC Flow Logs forwarding to Datadog
  4. Enable GuardDuty findings forwarding

Required IAM permissions for the Datadog role:
  - cloudtrail:LookupEvents
  - logs:FilterLogEvents
  - guardduty:ListDetectors, guardduty:GetFindings
  - s3:GetObject (for CloudTrail S3 bucket)

Azure Content Pack:
  1. Configure Azure Activity Logs via Event Hub to Datadog
  2. Forward Azure AD Sign-in Logs and Audit Logs
  3. Enable Microsoft Defender for Cloud alerts forwarding

GCP Content Pack:
  1. Configure GCP Audit Logs export via Pub/Sub to Datadog
  2. Forward Cloud Audit Logs (Admin Activity, Data Access)

Verifique se a ingestão de logs está funcionando:

Datadog App > Logs > Search
  Filter: source:(cloudtrail OR aws.guardduty OR azure.activitylogs)
  Verify: Logs appearing with correct source tags and parsed attributes

Etapa 3: Habilitar e Personalizar Regras de Detecção

…