Ofuscar dados do navegador

Você pode criar regras de ofuscação de ingestão diretamente da plataforma New Relic para mascarar dados confidenciais antes que sejam coletados. Essas regras se aplicam a todos os eventos do browser. As regras configuradas por meio da plataforma New Relic ou do NerdGraph se aplicam a aplicativos injetados pelo APM, instalações de copiar/colar e instalações do NPM. No entanto, as instalações de copiar/colar e do NPM podem substituir manualmente as regras configuradas na plataforma New Relic adicionando a propriedade obfuscate à sua configuração init.

Para adicionar uma regra de ofuscação:

1. Vá para one.newrelic.com > All capabilities > Browser > (select an app) > Settings > Application settings.
2. Em Ingest obfuscation rules, clique em Add a rule.
3. No campo Original value, insira um padrão regex para corresponder aos dados confidenciais que você deseja mascarar.
4. No campo Replace with, insira um valor neutro ou de substituição.
5. No dropdown Choose where to store, selecione os tipos de atributos de evento aos quais você deseja aplicar a regra de ofuscação.
6. Clique em Add rule para criar. A regra de ofuscação é aplicada aos dados correspondentes em todos os eventos do navegador antes da ingestão.

Você pode configurar o agente do browser para ofuscar seletivamente os dados em cada carga enviada. Isso é útil se seu aplicativo usar dados confidenciais em locais capturados pelo agente, como caminhos de navegação, mensagens de erro e muito mais.

A partir do agente browser versão 1216 e superior, a regra de ofuscação poderá ser aplicada à carga de colheita de saída.

Para configurar essas regras, configure a seguinte propriedade do agente do browser:

• A propriedade init.obfuscate contém uma matriz de seletores e substituições que serão utilizadas para modificar cada colheita antes do envio.

  • Você precisará editar manualmente sua seção de configuração do JavaScript e definir a matriz obfuscate para conter suas condições de ofuscação.

  Recomendações

  Ao configurar esta propriedade, recomendamos o seguinte:

• Use padrões regex intencionais para ofuscar apenas o que precisa de ofuscação.

  • A ofuscação excessiva pode ter efeitos colaterais, como menor granularidade ao agrupar dados e menor capacidade de digerir o que o agente capturou.

• Substitua seus dados confidenciais por termos neutros e genéricos que também indiquem quais dados foram editados.

  • Exemplo: /account-id/g --> ACCOUNT_ID

  Copiar/colar instalação

  Se você estiver usando o método de instalação copiar/colar, adicione a seguinte configuração às configurações JavaScript do seu browser antes do carregador do agente:

  window.NREUM.init = {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: <RegExp | string>,
          replacement: <string>,
          eventFilter: [<string>]  // Optional: specific event types to apply this rule to
        },
        ...<other obfuscation rules>...
      ]
  }

  Copiar

  Instalação NPM

  Se você estiver usando o método de instalação do browser NPM, adicione a seguinte configuração ao inicializar o agente browser:

  new BrowserAgent({ 
    init: {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: <RegExp | string>,
          replacement: <string>,
          eventFilter: [<string>]  // Optional: specific event types to apply this rule to
        },
        ...<other obfuscation rules>...
      ]
    }
  })

  Copiar

  Exemplos: definir o escopo da ofuscação para tipos de evento específicos

  Por padrão, as regras de ofuscação se aplicam a todos os tipos de evento capturados pelo agente do browser. No entanto, você pode definir o escopo das regras para tipos de evento específicos usando a propriedade de matriz eventFilter.

  Isso é particularmente útil ao capturar cargas AJAX, onde você pode querer ofuscar dados sensíveis em corpos de request/resposta sem afetar outros eventos.

  Dica

  Se você omitir a propriedade eventFilter, a regra se aplicará a todos os tipos de evento, mantendo a compatibilidade com as configurações existentes.

  window.NREUM.init = {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: /user-id/g,
          replacement: 'USER_ID',
          eventFilter: ['AjaxRequest']  // Optional: only apply to specific event types
        },
      ]
  }

  Copiar

  new BrowserAgent({ 
    init: {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: /account-id/g,
          replacement: 'ACCOUNT_ID',
          eventFilter: ['AjaxRequest', 'JavaScriptError']  // Optional: apply to multiple event types
        },
      ]
    }
  })

  Copiar

Via NerdGraph

Você pode usar a API do NerdGraph para consultar e atualizar as regras de ofuscação programaticamente.

Dois padrões regex detectam e mascaram formatos comuns de cartão de crédito:

Padrão 1 (formato mais simples):

{
  regex: /\b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14}|3[47][0-9]{13}|6011[0-9]{12})\b/g,
  replacement: 'XXXX-XXXX-XXXX-XXXX',
  eventFilter: ['AjaxRequest']
}

Padrão 2 (abrangente, cobrindo mais tipos de cartão):

{
  regex: /(?:4\d{12}(?:\d{3}){0,2}|5[1-5]\d{14}|2(?!20)[2-7]\d{14}|220[0-4]\d{12}|3[47]\d{13}|3(?:0[0-5]|[68]\d)\d{11}|6(?:011|5\d{2}|4[4-9]\d)\d{12}|62\d{14,17}|35(?:2[89]|[3-8]\d)\d{12,15}|(?:5018|5020|5038|6304|6759|676[1-3])\d{8,15}|(?:60|65|81|82)\d{14})/g,
  replacement: 'XXXX-XXXX-XXXX-XXXX',
  eventFilter: ['AjaxRequest']
}

Ambos os padrões substituem os números de cartão de crédito detectados por XXXX-XXXX-XXXX-XXXX.

O seguinte padrão regex detecta e mascara números comuns de Seguro Social com XXX-XX-XXXX:

{
  regex: /\b\d{3}-?\d{2}-?\d{4}\b/g,
  replacement: 'XXX-XX-XXXX',
  eventFilter: ['AjaxRequest']
}

A abordagem recomendada é usar um identificador não confidencial para setUserId(), como:

• Um ID de usuário com hash aplicado ou criptografado

• Um número de conta interno

• Um UUID ou identificador gerado

  // Good: Use a non-sensitive ID
  newrelic.setUserId('user-12345')
  
  // Or use a hash of the email
  newrelic.setUserId(hashEmail('user@example.com')) // e.g., 'a1b2c3d4'

  Copiar

Se você precisar usar endereços de e-mail como IDs de usuário, crie regras de ofuscação que tenham como destino caminhos JSON ou nomes de atributo específicos, em vez de corresponder a padrões de e-mail globalmente:

{
  // More specific: only match emails in known sensitive fields
  regex: /("customerEmail"\s*:\s*")[^"]+(@[^"]+")/g,
  replacement: '$1EMAIL_REDACTED$2',
  eventFilter: ['AjaxRequest']
}

Essa abordagem requer testes cuidadosos para garantir que você esteja capturando todos os dados sensíveis enquanto evita falsos positivos.