Ofuscação de logs: aplique hash ou mascarar dados sensíveis em seu log

Você decide que deseja aplicar as seguintes ações de ofuscação a todos os logs provenientes desse serviço:

• HASH o número do cartão de crédito presente no atributo message e creditCardNumber .
• MASK a data de nascimento presente no atributo message .
• HASH o número da Segurança Social presente no atributo message e ssn .

A primeira coisa que você precisa fazer é definir alguma expressão de ofuscação que permita capturar essas informações confidenciais.

{
  "name": "Credit Card Number",
  "regex": "((?:(?:4\d{3})|(?:5[1-5]\d{2})|6(?:011|5[0-9]{2}))(?:-?|\040?)(?:\d{4}(?:-?|\040?)){3}|(?:3[4,7]\d{2})(?:-?|\040?)\d{6}(?:-?|\040?)\d{5})"
}

{
  "name": "Social Security Number",
  "regex": "(\d{3}-\d{2}-\d{4})"
}

{
  "name": "Born date - loginService specific",
  "regex": "born on (.*)\)"
}

Cada expressão de ofuscação define como capturar algumas informações confidenciais de uma string (usando uma regex) e as associa a algum nome amigável para que você possa identificá-las facilmente mais tarde.

A expressão de ofuscação pode ser reutilizável; eles são totalmente agnósticos quanto à forma como o atributo log que contém os dados confidenciais é nomeado. Por exemplo, a expressão da Segurança Social definida acima poderia ser aplicada a um atributo log denominado ssn, socialSecurityNumber ou socSecNum.

Você também pode criar expressões de ofuscação não reutilizáveis, como Born date (loginService specific), que são fortemente acopladas ao formato do atributo de log . Por exemplo, você pode usar o que vier depois de born on e before.

Agora que definimos como capturar nossos dados confidenciais, precisamos especificar quais logs precisam ser ofuscados (os do Login Service) e como (com as ações de ofuscação que definimos). Para conseguir isso, definimos uma regra de ofuscação.

{
  "name": "Obfuscate Login Service Logs",
  "filter": "serviceName = 'loginService' AND department = 'sales'",
  "actions": [
    {
      "attributes": ["message", "creditCardNumber"],
      "expression": { "name": "Credit Card Number" },
      "method": "HASH_SHA256"
    },
    {
      "attributes": ["message"],
      "expression": { "name": "Born date - loginService specific" },
      "method": "MASK"
    },
    {
      "attributes": ["message", "ssn"],
      "expression": { "name": "Social Security Number" },
      "method": "HASH_SHA256"
    }
  ]
}

Esta regra contém três componentes principais:

Como exemplo final, imagine que também precisávamos ofuscar o log proveniente de outro serviço chamado "Serviço Checkout" que possui um atributo serviceName = checkoutService , bem como um atributo ccn que contém informações de cartão de crédito:

{
  "message": "Order completed",
  "ccn": "4321-5678-9876-2345",
  "department": "sales",
  "serviceName": "checkoutService"
}

Para ofuscar o log deste serviço, teríamos apenas que definir outra regra de ofuscação direcionada a esses logs específicos, e simplesmente reutilizaríamos a Credit card number expressão de ofuscação criada anteriormente:

{
  "name": "Obfuscate Checkout Service Logs",
  "filter": "serviceName = 'checkoutService' AND department = 'sales'",
  "actions": [
    {
      "attributes": ["ccn"],
      "expression": { "name": "Credit Card Number" },
      "method": "HASH_SHA256"
    }
  ]
}

Use uma destas opções para criar uma expressão de ofuscação:

Using the logs UI:

1. Vá para one.newrelic.com > All capabilities > Logs e na navegação esquerda, selecione Obfuscation.

2. Clique em Create regex.

3. Insira um nome para sua nova regra de ofuscação, bem como uma expressão regular que corresponda aos dados confidenciais que você deseja capturar. Use a sintaxe RE2.

   O exemplo a seguir mostra uma expressão de ofuscação básica que corresponderá aos números de cartão de crédito:

   

   Using NerdGraph:

   Use a mutação logConfigurationsCreateObfuscationExpression em logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql.

   Importante

   Você deve escapar das expressões regulares ao usá-las no NerdGraph. Por exemplo: ((?:(?:4\\d{3})|(?:5[1-5]\\d{2})|6(?:011|5[0-9]{2}))(?:-?|\\040?)(?:\\d{4}(?:-?|\\040?)){3}|(?:3[4,7]\\d{2})(?:-?|\\040?)\\d{6}(?:-?|\\040?)\\d{5})

Use uma destas opções para consultar uma expressão de ofuscação:

Using the logs UI:

1. Vá para

   one.newrelic.com > All capabilities > Logs

   e na navegação esquerda, selecione

   Obfuscation

   .

2. Selecione a aba

   Expressions

   para visualizar todas as expressões de ofuscação disponíveis e suas definições.

   Using NerdGraph:

   Use o buscador obfuscationExpressions em actor.account.logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql.

Use uma destas opções para atualizar uma expressão de ofuscação:

Using the logs UI:

1. Vá para one.newrelic.com > All capabilities > Logs e na navegação esquerda, selecione Obfuscation.

2. Selecione a guia Expressions .

3. Clique no ícone de reticências ... no lado direito da expressão de ofuscação que deseja editar e clique em Edit.

4. Modifique os campos conforme necessário e clique em Update.

   Using NerdGraph:

   Use a mutação logConfigurationsUpdateObfuscationExpression em logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql.

   Importante

   Você deve escapar das expressões regulares ao usá-las no NerdGraph. Por exemplo: ((?:(?:4\\d{3})|(?:5[1-5]\\d{2})|6(?:011|5[0-9]{2}))(?:-?|\\040?)(?:\\d{4}(?:-?|\\040?)){3}|(?:3[4,7]\\d{2})(?:-?|\\040?)\\d{6}(?:-?|\\040?)\\d{5})

   Você não precisa especificar todos os campos de uma expressão de ofuscação ao atualizá-la, apenas o id (obrigatório) e os campos que deseja modificar.

Use uma destas opções para excluir uma expressão de ofuscação:

Using the logs UI:

1. Vá para one.newrelic.com > All capabilities > Logs e na navegação esquerda, selecione Obfuscation.

2. Selecione a guia Expressions .

3. Clique no ícone de reticências ... no lado direito da expressão de ofuscação que você deseja excluir e clique em Delete.

4. Confirme que deseja excluir a expressão clicando em Delete.

   Using NerdGraph:

   Use a mutação logConfigurationsDeleteObfuscationExpression em logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql.

   A mutação retornará um instantâneo da expressão antes de ser excluída.

Expression:

(\d{3}[-\s\.]?\d{2}[-\s\.]?\d{4})

Expression:

((?:(?:4\d{3})|(?:5[1-5]\d{2})|6(?:011|5[0-9]{2}))(?:-?|\040?)(?:\d{4}(?:-?|\040?)){3}|(?:3[4,7]\d{2})(?:-?|\040?)\d{6}(?:-?|\040?)\d{5})

Expression:

((?:\d{2})?\d\d(?:\\)?(?:\/)?\d\d(?:\\)?(?:\/)?\d{2}(?:\d{2})?)

Expression:

([a-zA-Z0-9!#$'*+?^_`{|}~.-]+(?:@|%40)(?:[a-zA-Z0-9-]+\.)+[a-zA-Z0-9-]+)

Expression:

^([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})$

Expression:

/\d{1,}(\s{1}\w{1,})(\s{1}?\w{1,})/g

Expression:

(^[\+]?[1]?[\W]?[(]?[0-9]{3}[)]?[-\s\.]?[0-9]{3}[-\s\.]?[0-9]{4})

Expression:

([a-zA-Z]?\d?\d{5,8})

Expression:

([a-zA-Z]{2}[-\s]?\d{2}[-\s]?\d{2}[-\s]?\d{2}[-\s]?[a-dA-D])

Expression:

([a-zA-Z]?[-\s]?\d{7,8}[-\s]?[a-zA-Z])

Expression:

^([a-zA-Z]){5}([0-9]){4}([a-zA-Z]){1}?$

Expression:

^([2-9]{1}[0-9]{3}\s\d{4}\s\d{4})$

Expression:

(\d{3}[-\s\.]?\d{3}[-\s\.]?\d{3})

Expression:

(\d{10})

Expression:

(d{4}\sd{4}\sd{4})

Use uma destas opções para criar uma regra de ofuscação:

Using the logs UI:

1. Vá para one.newrelic.com > All capabilities > Logs e na navegação esquerda, selecione Obfuscation.

2. Clique em Create obfuscation rule.

3. Insira um nome para sua nova regra de ofuscação, bem como um critério de correspondência (no formato NRQL ) para capturar o conjunto de log de destino que você deseja ofuscar.

4. Adicione um novo actions (o primeiro é adicionado automaticamente) para especificar a expressão de ofuscação (regex) para capturar cada conjunto de atributos, bem como se deve MASK ou HASH eles.

   • Vários atributos podem ser especificados separados por vírgula.
   • MASK substituirá todos os caracteres correspondentes por Xes. Se você usar MASK, não poderá consultar um valor ofuscado específico posteriormente.
   • HASH substituirá os dados confidenciais pelo valor de hash SHA-256 aplicar. Se você usar HASH, poderá consultá-los usando nossa ferramenta de hashing, desde que saiba seu valor em texto simples.

   Sua regra deve ser semelhante a esta:

   

5. Clique em Create rule para criar e ativar sua regra de ofuscação.

   Using NerdGraph:

   Use a mutação logConfigurationsCreateObfuscationRule em logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql.

   Importante

   Você deve especificar a ofuscação expressionId para vinculá-la a uma determinada ação de ofuscação. Para recuperar esse id, você pode consultar o obfuscationRules.

Use qualquer uma destas opções para consultar uma regra de ofuscação:

Using the logs UI:

1. Vá para one.newrelic.com > All capabilities > Logs e na navegação esquerda, selecione Obfuscation.

2. Selecione a aba Rules (padrão) para visualizar todas as regras de ofuscação disponíveis e suas definições.

   Using NerdGraph:

   Use o buscador obfuscationRules em actor.account.logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql

Use uma destas opções para atualizar uma regra de ofuscação:

Using the logs UI:

1. Vá para one.newrelic.com > All capabilities > Logs e na navegação esquerda, selecione Obfuscation.

2. Selecione a guia Rules (padrão).

3. Clique no ícone de reticências ... no lado direito da regra de ofuscação que você deseja editar e clique em Edit.

4. Modifique os campos conforme necessário e clique em Update rule.

   Using NerdGraph:

   Use a mutação logConfigurationsUpdateObfuscationRule em logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql.

   Importante

   Você deve especificar a ofuscação expressionId para vinculá-la a uma determinada ação de ofuscação. Para recuperar este id, você pode usar o obfuscationRules, conforme descrito em [consulta o obfuscationRules]](#rules-read).

   Você não precisa especificar todos os campos de uma regra de ofuscação ao atualizá-la, apenas o id (obrigatório) e os campos que deseja modificar. Aqui está um exemplo para atualizar apenas o nome.

Use uma destas opções para excluir uma regra de ofuscação:

Using the logs UI:

1. Vá para one.newrelic.com > All capabilities > Logs e na navegação esquerda, selecione Obfuscation.

2. Selecione a guia Rules (padrão).

3. Clique no ícone de reticências ... no lado direito da regra de ofuscação que você deseja excluir e clique em Delete.

4. Confirme que deseja excluir a expressão clicando em Delete.

   Using NerdGraph:

   Use a mutação logConfigurationsDeleteObfuscationRule em logConfigurations. Consulte o exemplo preenchido no GraphiQL, bem como a documentação relacionada em api.newrelic.com/graphiql.

   A mutação retornará um instantâneo da regra antes de ser excluída.