dd-audit について
dd-auditは、pup audit-logsを使ってDatadogのユーザー操作、設定変更、アクセス傾向、コンプライアンス記録を調査するスキルです。セキュリティ、コスト、コンプライアンスの確認向けに、ユーザーや操作、リソース、ネットワーク項目で検索する方法を示します。
主な機能
- 01最近の監査イベントの一覧表示
- 02条件を指定したイベント検索
- 03ユーザーとAPI keyの操作調査
- 04設定変更とリソース操作の確認
- 05コンプライアンス確認用証跡の収集
活用シーン
- 01最近の削除や設定変更を追跡する
- 02不審なAPI keyの利用を調査する
- 03LLMのコストや使用量の増加を分析する
- 04SOC 2やPCIの監査記録をまとめる
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/dd-auditを入力して読み込まれたか確認します。
同梱ファイルcompliance-report/references/control-mapping.md
詳細
Datadog Audit Trail
pup audit-logs を使用して、ユーザーのアクティビティ、設定変更、アクセスパターン、コンプライアンスの証跡を調査します。
サブスキル
| サブスキル | 使用する場面 |
|---|---|
| security-investigation | 「X を変更したのは誰ですか？」「このユーザーは何をしましたか？」「過去 24 時間の削除を表示してください」 |
| key-compromise | 「この API キーは侵害されましたか？」「キー XYZ は何をしましたか？」「不審なキーのアクティビティを調査してください」 |
| cost-spike-investigation | 「請求額が増えた理由は何ですか？」「この使用量の急増の原因は何ですか？」「LLM のコスト増加を調査してください」 |
| compliance-report | 「SOC 2 の証跡を作成してください」「PCI 監査ログ」「監査担当者向けのユーザープロビジョニングレポート」 |
| ai-activity-audit | 「AI アシスタントは何をしましたか？」「MCP ツール呼び出しを監査してください」「AI ガバナンスレポート」 |
前提条件
pup auth login # OAuth2 (recommended)
# or set DD_API_KEY + DD_APP_KEY with audit_logs_read scope
コマンド
# List recent events
pup audit-logs list --from 1h --limit 100
# Search with a query
pup audit-logs search --query "@action:deleted" --from 24h
# JSON output for piping to jq
pup audit-logs search --query "@usr.email:[email protected]" --from 7d -o json | jq '.data[].attributes'
イベントスキーマのクイックリファレンス
| フィールド | 説明 | 値の例 |
|---|---|---|
@usr.email | 実行者のメールアドレス | [email protected] |
@evt.actor.type | アクションの実行方法 | USER、API_KEY、SUPPORT_USER |
@action | 動詞 | created、modified、deleted、accessed、login |
@evt.name | イベントカテゴリ | Dashboard、Monitor、Authentication、Access Management |
@asset.type | リソースの種類 | dashboard、monitor、api_key、role、user |
@asset.id | リソース識別子 | abc-123 |
@metadata.api_key.id | 使用された API キー（該当する場合） | key_abc123 |
@metadata.app_key.id | 使用された App キー（該当する場合） | app_abc123 |
@network.client.ip | クライアントの IP アドレス | 1.2.3.4 |
@network.client.geoip.country.name | 国 | United States |
@network.client.geoip.as.name | ASN 名 | Amazon.com |
@http.url_details.path | API エンドポイントのパス | /api/v1/dashboard/xyz |
検索構文
Log Explorer と同じ Lucene 形式の構文です。
| クエリ | 意味 |
|---|---|
@evt.name:Dashboard | フィールドの完全一致 |
@action:deleted | アクションフィルター |
@usr.email:[email protected] | 特定のユーザー |
@evt.name:Monitor AND @action:modified | 複合条件 |
-@action:deleted | 否定 |
@usr.email:* | フィールドが存在する |
@network.client.ip:1.2.3.4 | IP フィルター |
保持期間
デフォルトの保持期間は 90 日 です。90 日を超える期間をクエリする場合は、S3／GCS／Azure Blob へのアーカイブを設定する必要があります。クエリを実行する前に、必ず指定された期間が保持期間内であることを確認してください。
トラブルシューティング
| 問題 | 原因 | 対処方法 |
|---|---|---|
| 403 Forbidden | audit_logs_read スコープが不足しています | Datadog UI で App キーにスコープを追加します |
| 結果が空 | 期間が保持期間外です | アーカイブ設定を確認します。デフォルトの最大期間は 90 日です |
| タイムアウト | クエリの範囲が広すぎます | 期間を短くするか、フィルターを追加します |
| IP データがない | 内部アクション、またはエンリッチメント前のイベントです | すべてのイベントに位置情報データがあるわけではありません |
参考資料
コメント
Markdown 対応