obfuscation des logs : hacher ou masquer des données sensibles dans votre log

Vous décidez que vous souhaitez appliquer les actions obfuscation suivantes à tous les logs provenant de ce service :

• HASH le numéro de carte de crédit présent dans l'attribut message et creditCardNumber .
• MASK la date de naissance présente dans l'attribut message .
• HASH le numéro de sécurité sociale présent dans les attributs message et ssn .

La première chose que vous devez faire est de définir une expression d'obfuscation qui vous permettra de capturer ces informations sensibles.

{
  "name": "Credit Card Number",
  "regex": "((?:(?:4d{3})|(?:5[1-5]d{2})|6(?:011|5[0-9]{2}))(?:-?|\040?)(?:d{4}(?:-?|\040?)){3}|(?:3[4,7]d{2})(?:-?|\040?)d{6}(?:-?|\040?)d{5})"
}

{
  "name": "Social Security Number",
  "regex": "(d{3}-d{2}-d{4})"
}

{
  "name": "Born date - loginService specific",
  "regex": "born on (.*))"
}

Chaque expression d'obfuscation définit comment capturer certaines informations sensibles d'une chaîne (à l'aide d'une expression régulière) et l'associe à un nom convivial afin que vous puissiez facilement l'identifier plus tard.

les expressions d'obfuscation peuvent être réutilisables ; elles sont totalement indépendantes de la manière dont l'attribut log contenant les données sensibles est nommé. Par instance, l’expression de sécurité sociale définie ci-dessus pourrait être appliquée à un attribut log nommé ssn, socialSecurityNumber ou socSecNum.

Vous pouvez également créer des expressions d'obfuscation non réutilisables, comme Born date (loginService specific), qui sont étroitement couplées au format de l'attribut log . Par exemple, vous pouvez utiliser tout ce qui vient après born on et before.

Maintenant que nous avons défini comment capturer nos données sensibles, nous devons spécifier quels logs doivent être obscurcis (ceux du service de connexion) et comment (avec les actions obfuscation que nous avons définies). Pour y parvenir, nous définissons une règle d'obfuscation.

{
  "name": "Obfuscate Login Service Logs",
  "filter": "serviceName = 'loginService' AND department = 'sales'",
  "actions": [
    {
      "attributes": ["message", "creditCardNumber"],
      "expression": { "name": "Credit Card Number" },
      "method": "HASH_SHA256"
    },
    {
      "attributes": ["message"],
      "expression": { "name": "Born date - loginService specific" },
      "method": "MASK"
    },
    {
      "attributes": ["message", "ssn"],
      "expression": { "name": "Social Security Number" },
      "method": "HASH_SHA256"
    }
  ]
}

Cette règle contient trois éléments principaux :

Comme dernier exemple, imaginons que nous devions également masquer le log provenant d'un autre service nommé « Checkout Service » qui possède un attribut serviceName = checkoutService ainsi qu'un attribut ccn contenant des informations de carte de crédit :

{
  "message": "Order completed",
  "ccn": "4321-5678-9876-2345",
  "department": "sales",
  "serviceName": "checkoutService"
}

Pour obscurcir le log de ce service, il suffirait de définir une autre règle d'obfuscation ciblant ce log spécifique, et il suffirait de réutiliser l'expression d'obfuscation Credit card number précédemment créée :

{
  "name": "Obfuscate Checkout Service Logs",
  "filter": "serviceName = 'checkoutService' AND department = 'sales'",
  "actions": [
    {
      "attributes": ["ccn"],
      "expression": { "name": "Credit Card Number" },
      "method": "HASH_SHA256"
    }
  ]
}

Utilisez l'une de ces options pour créer une expression d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Cliquez sur Create regex.

3. Saisissez un nom pour votre nouvelle règle d'obfuscation, ainsi qu'une expressions régulières correspondant aux données sensibles que vous souhaitez capturer. Utilisez la syntaxe RE2.

   L'exemple suivant montre une expression d'obfuscation de base qui correspondra aux numéros de carte de crédit :

   

   Using NerdGraph:

   Utilisez la mutation logConfigurationsCreateObfuscationExpression sous logConfigurations. Reportez-vous à l’exemple renseigné dans GraphiQL ainsi qu’à la documentation associée dans api.newrelic.com/graphiql.

   Important

   Vous devez échapper aux expressions régulières lorsque vous les utilisez dans NerdGraph. Par exemple: ((?:(?:4\\d{3})|(?:5[1-5]\\d{2})|6(?:011|5[0-9]{2}))(?:-?|\\040?)(?:\\d{4}(?:-?|\\040?)){3}|(?:3[4,7]\\d{2})(?:-?|\\040?)\\d{6}(?:-?|\\040?)\\d{5})

Utilisez l'une de ces options pour interroger une expression d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Sélectionnez l'onglet Expressions pour visualiser toutes les expressions d'obfuscation disponibles et leurs définitions.

   Using NerdGraph:

   Utilisez le récupérateur obfuscationExpressions sous actor.account.logConfigurations. Reportez-vous à l’exemple renseigné dans GraphiQL ainsi qu’à la documentation associée dans api.newrelic.com/graphiql.

Utilisez l'une de ces options pour mettre à jour une expression d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Sélectionnez l’onglet Expressions .

3. Cliquez sur l'icône représentant des points de suspension ... à droite de l'expression d'obfuscation que vous souhaitez modifier, puis cliquez sur Edit.

4. Modifiez les champs selon vos besoins et cliquez sur Update.

   Using NerdGraph:

   Utilisez la mutation logConfigurationsUpdateObfuscationExpression sous logConfigurations. Reportez-vous à l’exemple renseigné dans GraphiQL ainsi qu’à la documentation associée dans api.newrelic.com/graphiql.

   Important

   Vous devez échapper aux expressions régulières lorsque vous les utilisez dans NerdGraph. Par exemple: ((?:(?:4\\d{3})|(?:5[1-5]\\d{2})|6(?:011|5[0-9]{2}))(?:-?|\\040?)(?:\\d{4}(?:-?|\\040?)){3}|(?:3[4,7]\\d{2})(?:-?|\\040?)\\d{6}(?:-?|\\040?)\\d{5})

   Vous n'avez pas besoin de spécifier tous les champs d'une expression d'obfuscation lors de sa mise à jour, uniquement l'id (obligatoire) et les champs que vous souhaitez modifier.

Utilisez l'une de ces options pour supprimer une expression d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Sélectionnez l’onglet Expressions .

3. Cliquez sur l'icône représentant des points de suspension ... à droite de l'expression d'obfuscation que vous souhaitez supprimer, puis cliquez sur Delete.

4. Confirmez que vous souhaitez supprimer l’expression en cliquant sur Delete.

   Using NerdGraph:

   Utilisez la mutation logConfigurationsDeleteObfuscationExpression sous logConfigurations. Reportez-vous à l’exemple renseigné dans GraphiQL ainsi qu’à la documentation associée dans api.newrelic.com/graphiql.

   La mutation renverra un instantané de l'expression avant d'être supprimée.

Expression:

(\d{3}[-\s\.]?\d{2}[-\s\.]?\d{4})

Expression:

((?:(?:4\d{3})|(?:5[1-5]\d{2})|6(?:011|5[0-9]{2}))(?:-?|\040?)(?:\d{4}(?:-?|\040?)){3}|(?:3[4,7]\d{2})(?:-?|\040?)\d{6}(?:-?|\040?)\d{5})

Expression:

((?:\d{2})?\d\d(?:\\)?(?:\/)?\d\d(?:\\)?(?:\/)?\d{2}(?:\d{2})?)

Expression:

([a-zA-Z0-9!#$'*+?^_`{|}~.-]+(?:@|%40)(?:[a-zA-Z0-9-]+\.)+[a-zA-Z0-9-]+)

Expression:

^([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})$

Expression:

/\d{1,}(\s{1}\w{1,})(\s{1}?\w{1,})/g

Expression:

(^[\+]?[1]?[\W]?[(]?[0-9]{3}[)]?[-\s\.]?[0-9]{3}[-\s\.]?[0-9]{4})

Expression:

([a-zA-Z]?\d?\d{5,8})

Expression:

([a-zA-Z]{2}[-\s]?\d{2}[-\s]?\d{2}[-\s]?\d{2}[-\s]?[a-dA-D])

Expression:

([a-zA-Z]?[-\s]?\d{7,8}[-\s]?[a-zA-Z])

Expression:

^([a-zA-Z]){5}([0-9]){4}([a-zA-Z]){1}?$

Expression:

^([2-9]{1}[0-9]{3}\s\d{4}\s\d{4})$

Expression:

(\d{3}[-\s\.]?\d{3}[-\s\.]?\d{3})

Expression:

(\d{10})

Expression:

(d{4}\sd{4}\sd{4})

Utilisez l'une de ces options pour créer une règle d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Cliquez sur Create obfuscation rule.

3. Entrez un nom pour votre nouvelle règle d'obfuscation, ainsi qu'un critère de correspondance (au format NRQL ) pour capturer l'ensemble cible de logs que vous souhaitez obscurcir.

4. Ajoutez un nouveau actions (le premier est ajouté automatiquement) pour spécifier l'expression d'obfuscation (regex) pour capturer chaque ensemble d'attributs, ainsi que s'il faut les MASK ou HASH.

   • Plusieurs attributs peuvent être spécifiés séparés par des virgules.
   • MASK remplacera tous les caractères correspondants par Xes. Si vous utilisez MASK, vous ne pourrez pas interroger une valeur obscurcie particulière ultérieurement.
   • HASH remplacera les données sensibles par la valeur Hacher SHA-256. Si vous utilisez HASH, vous pourrez les interroger à l'aide de notre outil de hachage, à condition de connaître sa valeur en clair.

   Votre règle devrait ressembler à ceci :

   

5. Cliquez sur Create rule pour créer et activer votre règle d'obfuscation.

   Using NerdGraph:

   Utilisez la mutation logConfigurationsCreateObfuscationRule sous logConfigurations. Reportez-vous à l’exemple renseigné dans GraphiQL ainsi qu’à la documentation associée dans api.newrelic.com/graphiql.

   Important

   Vous devez spécifier l'obfuscation expressionId afin de la lier à une action d'obfuscation donnée. Pour récupérer cet identifiant, vous pouvez interroger le obfuscationRules.

Utilisez l'une de ces options pour interroger une règle d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Sélectionnez l'onglet Rules (par défaut) pour afficher toutes les règles d'obfuscation disponibles et leurs définitions.

   Using NerdGraph:

   Utilisez le récupérateur obfuscationRules sous actor.account.logConfigurations. Reportez-vous à l'exemple renseigné dans GraphiQL ainsi qu'à la documentation associée dans api.newrelic.com/graphiql

Utilisez l'une de ces options pour mettre à jour une règle d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Sélectionnez l’onglet Rules (par défaut).

3. Cliquez sur l'icône représentant des points de suspension ... à droite de la règle d'obfuscation que vous souhaitez modifier, puis cliquez sur Edit.

4. Modifiez les champs selon vos besoins et cliquez sur Update rule.

   Using NerdGraph:

   Utilisez la mutation logConfigurationsUpdateObfuscationRule sous logConfigurations. Reportez-vous à l’exemple renseigné dans GraphiQL ainsi qu’à la documentation associée dans api.newrelic.com/graphiql.

   Important

   Vous devez spécifier l'obfuscation expressionId afin de la lier à une action d'obfuscation donnée. Pour récupérer cet identifiant, vous pouvez utiliser le obfuscationRules, comme décrit dans [query the obfuscationRules]](#rules-read).

   Vous n'avez pas besoin de spécifier tous les champs d'une règle d'obfuscation lors de sa mise à jour, uniquement les id (obligatoire) et les champs que vous souhaitez modifier. Voici un exemple pour mettre à jour uniquement le nom.

Utilisez l'une de ces options pour supprimer une règle d'obfuscation:

Using the logs UI:

1. Allez à one.newrelic.com > All capabilities > Logs et dans la navigation de gauche, sélectionnez Obfuscation.

2. Sélectionnez l’onglet Rules (par défaut).

3. Cliquez sur l'icône représentant des points de suspension ... à droite de la règle d'obfuscation que vous souhaitez supprimer, puis cliquez sur Delete.

4. Confirmez que vous souhaitez supprimer l’expression en cliquant sur Delete.

   Using NerdGraph:

   Utilisez la mutation logConfigurationsDeleteObfuscationRule sous logConfigurations. Reportez-vous à l’exemple renseigné dans GraphiQL ainsi qu’à la documentation associée dans api.newrelic.com/graphiql.

   La mutation renverra un instantané de la règle avant d'être supprimée.