Visión General
Los datos sensibles, como números de tarjetas de crédito, claves de API, direcciones IP e información personal identificable (PII), a menudo se filtran de manera no intencionada, lo que puede exponer a su organización a riesgos de seguridad y cumplimiento. Los datos sensibles se pueden encontrar en:
- Tramos de APM
- Repositorios de código
- Eventos de Event Management
- Trazas de LLM Observability
- Eventos de RUM
- Datos de telemetría, como registros de aplicaciones
Los datos sensibles también pueden ser trasladados involuntariamente a recursos de almacenamiento en la nube cuando los equipos de ingeniería mueven sus cargas de trabajo a la nube. El escáner de datos sensibles de Datadog puede ayudar a prevenir filtraciones de datos sensibles y limitar los riesgos de incumplimiento al descubrir, clasificar y, opcionalmente, redactar datos sensibles.
Nota: Las herramientas y políticas de Datadog cumplen con PCI v4.0. Para más información, consulte Cumplimiento de PCI DSS.
Escanear datos de telemetría
El escáner de datos sensibles puede escanear sus datos en la nube o dentro de su entorno.
En la nube
Con Sensitive Data Scanner en la nube, envía registros y eventos al backend de Datadog, por lo que los datos salen de su entorno antes de ser redactados. Los registros y eventos se escanean y se redactan en el backend de Datadog durante el procesamiento, por lo que los datos sensibles se redactan antes de que los eventos sean indexados y mostrados en Datadog UI.
Los datos que pueden ser escaneados y redactados son:
- Registros: Todo el contenido de registro estructurado y no estructurado, incluyendo mensajes de registro y valores de atributos
- APM: Solo valores de atributos de tramos
- RUM: Solo valores de atributos de eventos
- Eventos: Solo valores de atributos de eventos
Opcionalmente, las tasas de muestreo pueden establecerse entre el 10% y el 99% para cada producto. Esto ayuda a gestionar los costos cuando comienza, al reducir la cantidad de datos que se escanean en busca de información sensible.
Para cada regla de escaneo, se puede aplicar una de las siguientes acciones a los datos sensibles coincidentes:
- Redactar: Reemplace todos los datos coincidentes con un solo token que elija, como
[sensitive_data]. - Redactar parcialmente: Reemplace una porción específica de todos los valores coincidentes.
- Hash: Reemplace todos los datos coincidentes con un identificador único no reversible.
- Enmascarar (disponible solo para registros): Ofusque todos los valores coincidentes. Los usuarios con el permiso
Data Scanner Unmask pueden desofuscar (desenmascarar) y ver estos datos en Datadog. Consulte Acción de enmascarar para más información.
Nota: Al escanear datos muestreados, no podrás seleccionar acciones que ofusquen los datos que escanea.
Para usar Sensitive Data Scanner, configure un grupo de escaneo para definir qué datos escanear y luego establezca reglas de escaneo para determinar qué información sensible identificar dentro de los datos. Para las reglas de escaneo puedes:
Consulte Configura el Escáner de Datos Sensibles para Datos de Telemetría para detalles de configuración.
En su entorno
Utiliza Observability Pipelines para recopilar y procesar tus registros dentro de tu entorno, y luego enruta los datos a sus integraciones de destino. Cuando configure una canalización en Observability Pipelines, agregue el procesador de Sensitive Data Scanner para redactar datos sensibles en sus registros antes de que salgan de sus instalaciones. Puedes agregar reglas de escaneo predefinidas de la Biblioteca de Reglas, como direcciones de correo electrónico, números de tarjetas de crédito, claves de API, tokens de autorización, direcciones IP, y más. También puedes crear tus propias reglas utilizando patrones regex.
Consulta Configurar Pipelines para más información.
Escanear datos de Observabilidad de LLM
El Escáner de Datos Sensibles puede escanear trazas de Observabilidad de LLM de Datadog, incluyendo entradas y salidas de aplicaciones de LLM. Esto ayuda a prevenir la exposición de datos sensibles como PII, claves de API o información propietaria en solicitudes, completaciones y metadatos de flujo de trabajo de LLM.
El escaneo de Observabilidad de LLM utiliza un modelo de configuración gestionada que difiere del escaneo de datos de telemetría, donde el escaneo de Observabilidad de LLM tiene:
- Un grupo de escaneo gestionado: Se crea automáticamente un grupo de escaneo predeterminado para su organización cuando accede por primera vez a la LLM Observability Settings page. No puede crear grupos de escaneo adicionales ni eliminar el grupo gestionado.
- Reglas personalizables: Puede modificar reglas existentes, desactivar las que no necesite o agregar reglas de escaneo personalizadas para detectar patrones adicionales de datos sensibles.
Para cada regla de escaneo, se puede aplicar una de las siguientes acciones a los datos sensibles coincidentes:
- Redactar: Reemplace todos los datos coincidentes con un solo token que elija, como
[sensitive_data]. - Redactar parcialmente: Reemplace una porción específica de todos los valores coincidentes.
- Hash: Reemplace todos los datos coincidentes con un identificador único no reversible.
Para configurar el escaneo de datos de LLM Observability, navegue a la LLM Observability Settings page en la configuración de Sensitive Data Scanner. Para más información sobre LLM Observability, consulte la LLM Observability documentation.
Escanear almacenamiento en la nube
Join the Preview!
El soporte de escaneo para buckets de Amazon S3 e instancias de RDS está en vista previa. Para inscribirse, haga clic en Solicitar Acceso.
Request AccessSi tiene habilitado Sensitive Data Scanner, puede catalogar y clasificar datos sensibles en sus buckets de Amazon S3. Nota: Sensitive Data Scanner no redacta datos sensibles en sus recursos de almacenamiento en la nube.
Sensitive Data Scanner escanea en busca de datos sensibles al desplegar scáneres sin agente en tus entornos en la nube. Estas instancias de escaneo recuperan una lista de todos los S3 buckets a través de Remote Configuration y tienen instrucciones establecidas para escanear archivos de texto, como CSV y JSON, a lo largo del tiempo.
Sensitive Data Scanner aprovecha su completa biblioteca de reglas para encontrar coincidencias. Cuando se encuentra una coincidencia, la ubicación de la coincidencia se envía a Datadog por la instancia de escaneo. Nota: Los almacenes de datos y sus archivos solo se leen en su entorno; no se envían datos sensibles escaneados de vuelta a Datadog.
Además de mostrar coincidencias de datos sensibles, Sensitive Data Scanner muestra cualquier problema de seguridad detectado por Cloud Security que afecte a los almacenes de datos sensibles. Puede hacer clic en cualquier problema para continuar con la triage y la remediación dentro de Cloud Security.
Consulte Set up Sensitive Data Scanner for Cloud Storage para detalles de configuración.
Escanear repositorios de código
Datadog Secret Scanning escanea repositorios de código para detectar secretos expuestos en el código fuente. Secret Scanning es impulsado por Sensitive Data Scanner y utiliza todas las reglas de la categoría de secretos y credenciales de la biblioteca SDS para encontrar coincidencias.
A diferencia del escaneo de datos de telemetría, Secret Scanning opera en sus pipelines de CI/CD o directamente en Datadog con escaneo alojado (compatible con GitHub, Azure DevOps y GitLab). Cuando se detectan secretos en el código, los hallazgos se muestran en la interfaz de Code Security.
Consulte Secret Scanning documentation para detalles de configuración.
Investigar hallazgos de datos sensibles
Utilice la página de Hallazgos para ver detalles de los hallazgos de datos sensibles identificados por sus reglas de escaneo. Estos detalles incluyen:
- La regla de escaneo específica que detectó las coincidencias, para que pueda determinar qué reglas modificar según sea necesario.
- El grupo de escaneo en el que ha ocurrido el hallazgo, para que pueda determinar el radio de explosión de cualquier fuga.
- El número de eventos asociados con el hallazgo para ayudarle a evaluar su alcance y gravedad.
- Un gráfico de los eventos asociados con el hallazgo para ayudarle a identificar cuándo comenzó y cómo ha progresado.
- Incidencias relacionadas creadas para el hallazgo.
Consulte Investigar hallazgos de datos sensibles para obtener más información sobre cómo clasificar datos sensibles utilizando la página de Hallazgos.
Revise las tendencias de datos sensibles
Cuando Sensitive Data Scanner está habilitado, se instala automáticamente en su cuenta un out-of-the-box dashboard que resume los hallazgos de datos sensibles. Para acceder a este dashboard, navegue a Dashboards > Dashboard List y busque “Sensitive Data Scanner Overview”.
Lectura adicional
Documentación, enlaces y artículos útiles adicionales:
