Étant donné que vos logs peuvent contenir des données sensibles, ils doivent être traités avec le plus grand soin. Si vous ingérez des données sensibles dans Datadog, gardez à l’esprit les deux points suivants :
Il n’est pas toujours facile de contrôler l’ensemble de vos données, en particulier sur des plateformes vastes et collaboratives. Ce guide présente les différentes options pour découvrir et gérer les données sensibles qui sont ingérées dans Datadog.
Le scanner de données sensibles est un service de détection d’expressions en temps réel que vous pouvez utiliser pour identifier, taguer et éventuellement censurer ou hacher des données sensibles. Cette fonctionnalité permet à vos équipes de conformité et de sécurité de mettre en place une ligne de défense contre les fuites de données sensibles en dehors de votre organisation. Le scanner de données sensibles est disponible dans vos paramètres d’organisation.
Si vous avez déjà indexé des logs qui contiennent des données sensibles, suivez les trois étapes ci-après :
Définissez d’abord une requête correspondant aux données sensibles. Cette requête renverra alors tous les logs comportant des données sensibles.
Des requêtes comme version:x.y.z source:python status:debug peuvent par exemple répondre à cette exigence. Consultez la documentation sur la syntaxe de recherche de log si vous avez besoin d’utiliser des opérateurs avancés (wildcards, opérateurs booléens, etc.).
Ce guide utilise l’expression requête de recherche des données sensibles pour faire référence à cette requête.
Une fois que des données sensibles dans des logs ont été envoyées à votre plateforme Datadog, elles peuvent se trouver à plusieurs endroits. Vérifiez donc chacun des emplacements suivants (classés selon la probabilité, de la plus forte à la plus faible, qu’ils contiennent des données sensibles) :
Les index Datadog conservent vos logs jusqu’à ce qu’ils soient trop anciens, selon le paramètre de rétention des index. Vérifiez les index Datadog en premier : il est moins probable que les logs situés ailleurs présentent des problèmes de conformité. Examinez les filtres d’index et les filtres d’exclusion pour vérifier si des logs avec des données sensibles sont indexés.
Vérifiez vos archives de logs : c’est là que les logs sont envoyés par Datadog afin d’être stockés. Configurez des filtres d’archives pour vérifier si votre archive contient des logs sensibles.
Vérifiez également les métriques générées à partir de logs qui stockent des métriques agrégées. Les données sensibles ont probablement été filtrées. Passez en revue les filtres de métriques custom pour vérifier si des logs avec des données sensibles ont été traités.
Les notifications des log monitors peuvent inclure des exemples de log. Vérifiez notamment les monitors qui se sont déclenchés pendant la période d’envoi de données sensibles.
Les flux Livetail permettent aux utilisateurs de votre organisation de visualiser en temps réel les logs. Il n’y a aucune persistance au-delà des 50 logs mis en cache dans les navigateurs, et pour les requêtes plus vastes, les résultats peuvent présenter un niveau d’échantillonnage très élevé.
Utilisez des règles prêtes à l’emploi ou personnalisées pour identifier et censurer les autres types de données sensibles qui continuent d’arriver dans vos logs.
Si vous n’utilisez pas le scanner de données sensibles, déterminez si vous souhaitez empêcher tous les nouveaux logs contenant des données sensibles d’être indexés. Vous devrez toujours traiter les logs contenant des données sensibles déjà indexés dans Datadog.
Si certains types de données sensibles ne doivent pas quitter votre environnement et sont ingérées dans Datadog, ajoutez des règles de nettoyage au niveau de la collection source.
Si vous pouvez modifier directement les loggers, Datadog propose des solutions pour empêcher l’envoi de données sensibles en dehors de votre plateforme lorsque vous utilisez l’Agent Datadog pour la collecte de logs :
Des fonctionnalités de nettoyage des données similaires sont disponibles pour le Forwarder sans serveur.
Effectuez les étapes suivantes conformément à vos exigences de conformité. Veuillez noter que vous n’aurez peut-être pas à effectuer toutes ces étapes.
Grâce à cette étape, les logs comportant des données sensibles, aussi bien ceux qui ont déjà été envoyés que ceux susceptibles d’être envoyés plus tard, ne peuvent pas faire l’objet d’une requête dans Datadog (Log Explorer, dashboards et Livetail).
Accédez à la page de configuration de l’accès aux données et utilisez une requête de recherche de données sensibles pour définir une restriction qui s’applique à tous les membres de votre organisation. Il peut s’agir par exemple de la requête utilisée ci-dessus : version:x.y.z source:python status:debug.
Remarque : si vous utilisez l’opérateur NOT dans la requête de recherche des données sensibles, les utilisateurs n’auront plus accès qu’aux logs correspondants.
Si vous devez modifier vos archives afin de supprimer des données sensibles, consultez la documentation sur le format des archives générées par Datadog.
Si vous avez des questions concernant la conformité des logs ou si vous avez besoin d’aide, n’hésitez pas à contacter l’équipe d’assistance Datadog. Assurez-vous au préalable d’avoir à disposition les informations suivantes :
Documentation, liens et articles supplémentaires utiles:
