ログの難読化: ログ内の機密データをハッシュまたはマスクする

あなたは、そのサービスから来るすべてのログに以下の難読化アクションを適用することを決定します。

• HASH messageおよびcreditCardNumber属性に存在するクレジットカード番号。
• MASK message属性に存在する誕生日。
• HASH messageおよびssn属性に存在する社会保障番号。

最初に行う必要があるのは、この機密情報を取得できるようにする難読化表現を定義することです。

{
  "name": "Credit Card Number",
  "regex": "((?:(?:4d{3})|(?:5[1-5]d{2})|6(?:011|5[0-9]{2}))(?:-?|\040?)(?:d{4}(?:-?|\040?)){3}|(?:3[4,7]d{2})(?:-?|\040?)d{6}(?:-?|\040?)d{5})"
}

{
  "name": "Social Security Number",
  "regex": "(d{3}-d{2}-d{4})"
}

{
  "name": "Born date - loginService specific",
  "regex": "born on (.*))"
}

各難読化表現は、文字列から機密情報を取り出す方法を定義し（正規表現を使用）、後で簡単に識別できるように、いくつかのフレンドリーな名前に関連付けます。

難読化表現は再利用できます。機密データを含む ログ 属性の名前の付け方にはまったく関係ありません。 インスタンスの場合、上記で定義した社会保障式は、 ssn 、 socialSecurityNumber 、またはsocSecNumという名前のログ属性に適用できます。

また、ログ属性の形式に密接に結合された、再利用できない難読化表現（ Born date (loginService specific)など）を作成することもできます。 たとえば、 born onとbeforeの後に続くものを使用できます。

機密データをキャプチャする方法を定義したので、どのログを難読化する必要があるか（ログインサービスのもの）、そしてどのように難読化するか（定義した難読化アクションを使用）を指定する必要があります。これを実現するために、難読化ルールを定義します。

{
  "name": "Obfuscate Login Service Logs",
  "filter": "serviceName = 'loginService' AND department = 'sales'",
  "actions": [
    {
      "attributes": ["message", "creditCardNumber"],
      "expression": { "name": "Credit Card Number" },
      "method": "HASH_SHA256"
    },
    {
      "attributes": ["message"],
      "expression": { "name": "Born date - loginService specific" },
      "method": "MASK"
    },
    {
      "attributes": ["message", "ssn"],
      "expression": { "name": "Social Security Number" },
      "method": "HASH_SHA256"
    }
  ]
}

このルールは主に3つの要素で構成されています。

最後の例として、属性serviceName = checkoutServiceとクレジットカード情報を含むccn属性を持つ「CheckoutService」という名前の別のサービスからのログを難読化する必要があると想像してください。

{
  "message": "Order completed",
  "ccn": "4321-5678-9876-2345",
  "department": "sales",
  "serviceName": "checkoutService"
}

このサービスからのログを難読化するには、これらの特定のログを対象とする別の難読化ルールを定義するだけでよく、以前に作成したCredit card number難読化式を再利用するだけです。

{
  "name": "Obfuscate Checkout Service Logs",
  "filter": "serviceName = 'checkoutService' AND department = 'sales'",
  "actions": [
    {
      "attributes": ["ccn"],
      "expression": { "name": "Credit Card Number" },
      "method": "HASH_SHA256"
    }
  ]
}

これらのオプションのいずれかを使用して、難読化式を作成します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logsに移動し、左側のナビゲーションからObfuscationを選択します。

2. Create regexをクリックします。

3. 新しい難読化ルールの名前と、キャプチャしたい機密データに一致する正規表現を入力します。 RE2 構文 を使用します。

   次の例は、クレジットカード番号にマッチする基本的な難読化表現を示しています。

   

   Using NerdGraph:

   logConfigurationsの下のlogConfigurationsCreateObfuscationExpressionミューテーションを使用します。 GraphiQL のサンプルと、 api.newrelic.com/graphiqlの関連ドキュメントを参照してください。

   重要

   NerdGraph で正規表現を使用する場合は、正規表現をエスケープする必要があります。 例えば： ((?:(?:4\\d{3})|(?:5[1-5]\\d{2})|6(?:011|5[0-9]{2}))(?:-?|\\040?)(?:\\d{4}(?:-?|\\040?)){3}|(?:3[4,7]\\d{2})(?:-?|\\040?)\\d{6}(?:-?|\\040?)\\d{5})

難読化式を照会するには、これらのオプションのいずれかを使用します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logs

   に移動し、左側のナビゲーションから

   Obfuscation

   を選択します。

2. 利用可能なすべての難読化表現とその定義を表示するには、

   Expressions

   タブを選択します。

   Using NerdGraph:

   actor.account.logConfigurationsの下にあるobfuscationExpressionsフェッチャーを使用します。 GraphiQL のサンプルと、 api.newrelic.com/graphiqlの関連ドキュメントを参照してください。

難読化表現を更新するには、これらのオプションのいずれかを使用します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logsに移動し、左側のナビゲーションからObfuscationを選択します。

2. Expressionsタブを選択します。

3. 編集したい難読表現の右側にある省略記号アイコン...をクリックし、 Editをクリックします。

4. 必要に応じてフィールドを変更し、 Updateをクリックします。

   Using NerdGraph:

   logConfigurationsの下のlogConfigurationsUpdateObfuscationExpressionミューテーションを使用します。 GraphiQL のサンプルと、 api.newrelic.com/graphiqlの関連ドキュメントを参照してください。

   重要

   NerdGraph で正規表現を使用する場合は、正規表現をエスケープする必要があります。 例えば： ((?:(?:4\\d{3})|(?:5[1-5]\\d{2})|6(?:011|5[0-9]{2}))(?:-?|\\040?)(?:\\d{4}(?:-?|\\040?)){3}|(?:3[4,7]\\d{2})(?:-?|\\040?)\\d{6}(?:-?|\\040?)\\d{5})

   難読化表現を更新する際に、すべてのフィールドを指定する必要はなく、id（必須）と修正したいフィールドのみを指定すればよい。

難読化表現を削除するには、これらのオプションのいずれかを使用します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logsに移動し、左側のナビゲーションからObfuscationを選択します。

2. Expressionsタブを選択します。

3. 削除したい難読表現の右側にある省略記号アイコン...をクリックし、 Deleteをクリックします。

4. Deleteをクリックして、式を削除することを確認します。

   Using NerdGraph:

   logConfigurationsの下のlogConfigurationsDeleteObfuscationExpressionミューテーションを使用します。 GraphiQL のサンプルと、 api.newrelic.com/graphiqlの関連ドキュメントを参照してください。

   変異は、削除される前の式のスナップショットを返します。

Expression:

(\d{3}[-\s\.]?\d{2}[-\s\.]?\d{4})

Expression:

((?:(?:4\d{3})|(?:5[1-5]\d{2})|6(?:011|5[0-9]{2}))(?:-?|\040?)(?:\d{4}(?:-?|\040?)){3}|(?:3[4,7]\d{2})(?:-?|\040?)\d{6}(?:-?|\040?)\d{5})

Expression:

((?:\d{2})?\d\d(?:\\)?(?:\/)?\d\d(?:\\)?(?:\/)?\d{2}(?:\d{2})?)

Expression:

([a-zA-Z0-9!#$'*+?^_`{|}~.-]+(?:@|%40)(?:[a-zA-Z0-9-]+\.)+[a-zA-Z0-9-]+)

Expression:

^([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})$

Expression:

/\d{1,}(\s{1}\w{1,})(\s{1}?\w{1,})/g

Expression:

(^[\+]?[1]?[\W]?[(]?[0-9]{3}[)]?[-\s\.]?[0-9]{3}[-\s\.]?[0-9]{4})

Expression:

([a-zA-Z]?\d?\d{5,8})

Expression:

([a-zA-Z]{2}[-\s]?\d{2}[-\s]?\d{2}[-\s]?\d{2}[-\s]?[a-dA-D])

Expression:

([a-zA-Z]?[-\s]?\d{7,8}[-\s]?[a-zA-Z])

Expression:

^([a-zA-Z]){5}([0-9]){4}([a-zA-Z]){1}?$

Expression:

^([2-9]{1}[0-9]{3}\s\d{4}\s\d{4})$

Expression:

(\d{3}[-\s\.]?\d{3}[-\s\.]?\d{3})

Expression:

(\d{10})

Expression:

(d{4}\sd{4}\sd{4})

難読化ルールを作成するには、これらのオプションのいずれかを使用します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logsに移動し、左側のナビゲーションからObfuscationを選択します。

2. Create obfuscation ruleをクリックします。

3. 新しい難読化ルールの名前と、難読化したいログのターゲットセットを捕捉するためのマッチング条件（NRQL形式）を入力します。

4. 新しい actions を追加して（最初のものは自動的に追加されます）、各属性セットをキャプチャする難読化式（正規表現）と、それらを MASK または HASH するかどうかを指定します。

   • カンマ区切りで複数の属性を指定することができる。
   • MASK 一致するすべての文字をX esに置き換えます。 MASKを使用すると、後で特定の難読化された値を照会できなくなります。
   • HASH 機密データをSHA-256ハッシュ値に置き換えます。 HASHを使用する場合、クリアテキスト値がわかっていれば、ハッシュツールを使用してそれらをクエリできます。

   ルールは次のようなものです。

   

5. 難読化ルールを作成してアクティブ化するには、 Create ruleクリックします。

   Using NerdGraph:

   logConfigurationsの下のlogConfigurationsCreateObfuscationRuleミューテーションを使用します。 GraphiQL のサンプルと、 api.newrelic.com/graphiqlの関連ドキュメントを参照してください。

   重要

   特定の難読化アクションにリンクするには、難読化expressionIdを指定する必要があります。このIDを取得するには、 obfuscationRulesをクエリします。

難読化ルールを照会するには、これらのオプションのいずれかを使用します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logsに移動し、左側のナビゲーションからObfuscationを選択します。

2. 使用可能なすべての難読化ルールとその定義を表示するには、 Rulesタブ (デフォルト) を選択します。

   Using NerdGraph:

   actor.account.logConfigurationsの下にあるobfuscationRulesフェッチャーを使用します。 GraphiQL のサンプルとapi.newrelic.com/graphiqlの関連ドキュメントを参照してください。

難読化ルールを更新するには、これらのオプションのいずれかを使用します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logsに移動し、左側のナビゲーションからObfuscationを選択します。

2. Rulesタブを選択します（デフォルト）。

3. 編集する難読化ルールの右側にある省略記号アイコン...をクリックし、 Editをクリックします。

4. 必要に応じてフィールドを変更し、 Update ruleをクリックします。

   Using NerdGraph:

   logConfigurationsの下のlogConfigurationsUpdateObfuscationRuleミューテーションを使用します。 GraphiQL のサンプルと、 api.newrelic.com/graphiqlの関連ドキュメントを参照してください。

   重要

   特定の難読化アクションにリンクするには、難読化expressionIdを指定する必要があります。このIDを取得するには、[query the obfuscationRules ]]（＃rules-read）で説明されているように、 obfuscationRulesを使用できます。

   難読化ルールを更新するときに、すべてのフィールドを指定する必要はありませんid （必須）と変更するフィールドのみを指定する必要があります。 名前のみを更新する例を次に示します。

難読化ルールを削除するには、これらのオプションのいずれかを使用します。

Using the logs UI:

1. one.newrelic.com > All capabilities > Logsに移動し、左側のナビゲーションからObfuscationを選択します。

2. Rulesタブを選択します（デフォルト）。

3. 削除する難読化ルールの右側にある省略記号アイコン...をクリックし、 Deleteをクリックします。

4. Deleteをクリックして、式を削除することを確認します。

   Using NerdGraph:

   logConfigurationsの下のlogConfigurationsDeleteObfuscationRuleミューテーションを使用します。 GraphiQL のサンプルと、 api.newrelic.com/graphiqlの関連ドキュメントを参照してください。

   変異は、削除される前のルールのスナップショットを返します。