Browserデータの難読化

New Relicプラットフォームから直接、取り込み難読化ルールを作成して、機密データが収集される前にマスクできます。これらのルールは、すべてのブラウザイベントに適用されます。New RelicプラットフォームまたはNerdGraph経由で設定されたルールは、APMが注入されたアプリケーション、コピー/ペーストのインストレーション、およびNPMのインストレーションに適用されます。ただし、コピー/ペーストおよびNPMのインストレーションでは、init設定にobfuscateプロパティを追加することで、New Relicプラットフォームで設定されたルールを手動で上書きできます。

難読化ルールを追加するには：

1. one.newrelic.com > All capabilities > Browser > (select an app) > Settings > Application settingsに移動します。
2. Ingest obfuscation rulesで、 Add a ruleをクリックします。
3. Original valueフィールドに、マスクする機密データに一致する正規表現パターンを入力します。
4. Replace withフィールドに、ニュートラルな値または置換値を入力します。
5. Choose where to storeドロップダウンから、難読化ルールを適用するイベント属性のタイプを選択します。
6. Add ruleをクリックして作成します。難読化ルールは、取り込み前のすべてのBrowserイベント全体で一致するデータに適用されます。

送信するすべてのペイロード内のデータを選択的に難読化するようにBrowserエージェントを設定できます。これは、ナビゲーションパス、エラーメッセージなど、エージェントがキャプチャする場所でアプリケーションが機密データを使用する場合に便利です。

ブラウザ エージェントバージョン 1216以降では、送信ハーベスト ペイロードに難読化ルールを適用できます。

これらのルールをセットアップするには、次のBrowserエージェントプロパティを設定します：

• プロパティinit.obfuscateには、送信前に各ハーベストを変更するために使用されるセレクターと置換の配列が含まれています。

  • JavaScript設定セクションを手動で編集し、難読化条件が含まれるようにobfuscate配列を設定する必要があります。

  推奨事項

  このプロパティを構成するときは、次のことをお勧めします。

• 意図的な正規表現パターンを使用して、難読化が必要なもののみを難読化します。

  • 過度な難読化は、データをグループ化する際の粒度が低下したり、エージェントがキャプチャした内容を消化する能力が低下したりするなどの副作用をもたらす可能性があります。

• 機密データを、どのデータが編集されたかを示す中立的かつ一般的な用語に置き換えます。

  • 例: /account-id/g --> ACCOUNT_ID

  コピー＆ペーストでインストール

  コピー/ペーストのインストール方法を使用している場合は、エージェント ローダーの前にブラウザの JavaScript 設定に次の設定を追加します。

  window.NREUM.init = {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: <RegExp | string>,
          replacement: <string>,
          eventFilter: [<string>]  // Optional: specific event types to apply this rule to
        },
        ...<other obfuscation rules>...
      ]
  }

  コピー

  NPMのインストール

  NPMブラウザのインストレーション方法を使用している場合は、Browserエージェントを初期化する際に以下の設定を追加してください：

  new BrowserAgent({ 
    init: {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: <RegExp | string>,
          replacement: <string>,
          eventFilter: [<string>]  // Optional: specific event types to apply this rule to
        },
        ...<other obfuscation rules>...
      ]
    }
  })

  コピー

  例：特定のイベントタイプに難読化をスコープする

  デフォルトでは、難読化ルールはBrowserエージェントによってキャプチャされたすべてのイベントタイプに適用されます。ただし、eventFilter配列プロパティを使用して、特定のイベントタイプにルールをスコープできます。

  これは、AJAXペイロードをキャプチャする場合に特に便利です。この場合、他のイベントに影響を与えることなく、リクエスト/レスポンス本文内の機密データを難読化したいことがあります。

  ヒント

  eventFilterプロパティを省略すると、ルールはすべてのイベントタイプに適用され、既存の設定との互換性が維持されます。

  window.NREUM.init = {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: /user-id/g,
          replacement: 'USER_ID',
          eventFilter: ['AjaxRequest']  // Optional: only apply to specific event types
        },
      ]
  }

  コピー

  new BrowserAgent({ 
    init: {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: /account-id/g,
          replacement: 'ACCOUNT_ID',
          eventFilter: ['AjaxRequest', 'JavaScriptError']  // Optional: apply to multiple event types
        },
      ]
    }
  })

  コピー

NerdGraph経由

NerdGraph APIを使用して、プログラムで難読化ルールをクエリおよび更新できます。

2つの正規表現パターンが、一般的なクレジットカードのフォーマットを検出してマスクします：

パターン1(よりシンプルな形式)：

{
  regex: /\b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14}|3[47][0-9]{13}|6011[0-9]{12})\b/g,
  replacement: 'XXXX-XXXX-XXXX-XXXX',
  eventFilter: ['AjaxRequest']
}

パターン2（包括的で、より多くのカードタイプをカバー）：

{
  regex: /(?:4\d{12}(?:\d{3}){0,2}|5[1-5]\d{14}|2(?!20)[2-7]\d{14}|220[0-4]\d{12}|3[47]\d{13}|3(?:0[0-5]|[68]\d)\d{11}|6(?:011|5\d{2}|4[4-9]\d)\d{12}|62\d{14,17}|35(?:2[89]|[3-8]\d)\d{12,15}|(?:5018|5020|5038|6304|6759|676[1-3])\d{8,15}|(?:60|65|81|82)\d{14})/g,
  replacement: 'XXXX-XXXX-XXXX-XXXX',
  eventFilter: ['AjaxRequest']
}

どちらのパターンも、検出されたクレジットカード番号をXXXX-XXXX-XXXX-XXXXに置き換えます。

以下の正規表現パターンは、XXX-XX-XXXXを含む一般的な社会保障番号を検出してマスクします：

{
  regex: /\b\d{3}-?\d{2}-?\d{4}\b/g,
  replacement: 'XXX-XX-XXXX',
  eventFilter: ['AjaxRequest']
}

推奨されるアプローチは、setUserId()に次のような機密性のない識別子を使用することです：

• ハッシュ化または暗号化されたユーザーID

• 内部アカウント番号

• UUIDまたは生成された識別子

  // Good: Use a non-sensitive ID
  newrelic.setUserId('user-12345')
  
  // Or use a hash of the email
  newrelic.setUserId(hashEmail('user@example.com')) // e.g., 'a1b2c3d4'

  コピー

ユーザーIDとしてメールアドレスを使用する必要がある場合は、メールパターンをグローバルに照合するのではなく、特定のJSONパスまたは属性名をターゲットとする難読化ルールを作成します：

{
  // More specific: only match emails in known sensitive fields
  regex: /("customerEmail"\s*:\s*")[^"]+(@[^"]+")/g,
  replacement: '$1EMAIL_REDACTED$2',
  eventFilter: ['AjaxRequest']
}

このアプローチでは、誤検知を回避しながらすべての機密データを確実にキャッチするために、慎重なテストが必要です。