Чутливі дані в журналах

Що таке Чутливі дані в журналах?

У журналах застосунків повно того, що ви ніколи не надіслали б листом навмисно: адреси клієнтів, токени Bearer, ідентифікатори сеансів, API-ключі в рядках запиту, SQL зі справжніми ідентифікаторами клієнтів. Потім постачальник просить фрагмент журналу, щоб розібратися з проблемою — і ви відкриваєте файл, позначаєте кожне чутливе поле й пропускаєте його через інструмент приховування даних, який прибирає персональні дані, токени, IP-адреси та платіжні дані, але залишає робочі подробиці, потрібні постачальнику.

Що ви дізнаєтесь у Чутливі дані в журналах

• Розпізнавайте категорії чутливих даних, які постійно трапляються в продакшн-журналах застосунків: персональні дані клієнтів, токени автентифікації (JWT, сеанси, коди скидання пароля), IP-адреси, API-ключі в рядках запиту URL і часткові платіжні дані
• Розрізняйте робочі метадані, якими можна ділитися (часові позначки, ідентифікатори запитів, методи, шляхи, коди статусу, затримки, структура запитів), і значення параметрів, які треба приховувати
• Застосовуйте порядок «спершу приховати, потім передати» до будь-якої зовнішньої передачі журналів: заявка в підтримку постачальника, аудит третьої сторони, публічний звіт про помилку, скриншот у чаті підтримки, підрядник, якого ще не залучено
• Користуйтеся внутрішнім інструментом очищення журналів, щоб застосовувати правила приховування за категоріями: зберігайте робочий сигнал, потрібний одержувачу, і замінюйте ідентифікуючі значення заповнювачами
• Пам'ятайте, що шлюзи DLP — лише друга лінія перевірки, а не заміна очищенню, і спрямовуйте будь-який запит постачальника на журнали без прихованих даних через службу безпеки для узгодження

Чутливі дані в журналах — Кроки навчання

1. Звичайна заявка від постачальника

   Вівторок, ранок. Holmgate надає API для виконання замовлень кільком десяткам роздрібних клієнтів, а Watchspan, постачальник APM і трасування, уже два дні шукає причину стрибка затримки на ендпоінті замовлень. Там відкрили заявку, і вона щойно з'явилася у вашій пошті з позначкою про терміновість.

2. Інженер підтримки Watchspan пише вам

   Девон Рейєс, старший інженер підтримки, закріплений у Watchspan за клієнтом Holmgate, звузив пошук причини повільних запитів, наскільки це дозволяє сама телеметрія. Щоб знайти причину, йому потрібен справжній файл журналу.

3. Що насправді просить Девон

   Перечитайте прохання уважно. Девон — справжній інженер справжнього постачальника, ви справді співпрацюєте, а розслідування повільних запитів справді корисне. Але від цього не змінюється те, що саме він просить вас надіслати.

4. Увійдіть у LogVault

   Фрагменти продакшн-журналів зберігаються в LogVault — централізованому архіві журналів Holmgate. Тут обов'язковий єдиний вхід (SSO), кожне завантаження фіксується за вашим обліковим записом, а пересилання необробленого файлу за межі Holmgate запускає перевірку на шлюзі DLP.

5. Завантажте закріплений фрагмент

   LogVault відкривається на списку фрагментів api-server.log. Фрагмент за 09:14–09:30 UTC закріплено за заявкою Девона — завантажте його в локальну папку «Завантаження».

6. Відкрийте файл журналу

   Фрагмент лежить у папці «Завантаження». Відкрийте його в програмі «Файли» — так ви побачите, що саме потрапило б до Watchspan, якби ви переслали файл як є.

7. Що насправді в цьому журналі

   Файл виглядає як звичайний фрагмент робочих даних: кілька сотень рядків із запитами, кілька попереджень, звичайні затримки. Придивіться уважніше. Підсвічування покаже рядок за рядком усе, що ніколи не має потрапляти до третьої сторони.

8. Перевірка знань

9. Відкрийте схвалений інструмент Holmgate для приховування даних

   Відділ розробки Holmgate надає LogScrub як схвалений компанією сервіс приховування даних. Він працює лише в корпоративній мережі Holmgate, кожна передача файлу фіксується, а за підписом, який він ставить у результаті, шлюз DLP розуміє, що файл перевірено. Це єдиний інструмент, дозволений у Holmgate для очищення чутливих журналів. Зовнішні сервіси — ChatGPT, Pastebin, онлайн-тестери регулярних виразів чи випадкові вебінструменти — політикою прямо заборонені: завантаження файлу туди і є тим витоком, якого ви намагаєтеся уникнути.

10. Прочитайте повідомлення про внутрішній інструмент

    Перш ніж робити щось інше на сторінці, прочитайте повідомлення вгорі. Таке саме застереження є на кожному схваленому в Holmgate засобі приховування даних: обхід схваленого інструмента, коли журнал вставляють у споживчий чатбот, — найпоширеніший інцидент із тіньовим ІТ, яким займається SOC.