Section Overview

Les bibliothèques de tracing Datadog collectent des données à partir d’une application instrumentée. Ces données sont envoyées à Datadog sous forme de traces et peuvent contenir des données sensibles telles que des informations personnelles identifiables (PII). Si vous ingérez des données sensibles sous forme de traces dans Datadog, des corrections peuvent être ajoutées lors de l’ingestion avec Sensitive Data Scanner. Vous pouvez également configurer l’Agent Datadog ou la bibliothèque de tracing pour corriger les données sensibles lors de la collecte, avant que les traces ne soient envoyées à Datadog. Les outils et politiques de Datadog sont conformes à PCI v4.0. Pour en savoir plus, consultez la section Conformité PCI DSS.

Si les configurations décrites ici ne couvrent pas vos exigences de conformité, contactez l’équipe d’assistance Datadog.

Informations personnelles dans les données de trace

Les bibliothèques de tracing Datadog APM collectent des données d’observabilité pertinentes sur vos applications. Ces bibliothèques collectant des centaines d’attributs uniques dans les données de trace, cette page décrit les catégories de données, en mettant l’accent sur les attributs susceptibles de contenir des informations personnelles sur vos employés et utilisateurs finaux.

Le tableau ci-dessous décrit les catégories de données personnelles collectées par l’instrumentation automatique fournie par les bibliothèques de tracing, avec quelques exemples courants.

Le tableau ci-dessous décrit le comportement par défaut de chaque bibliothèque de tracing par langage concernant la collecte et l’obscurcissement par défaut d’une catégorie de données.

Si vous utilisez Datadog App and API Protection (AAP), les bibliothèques de tracing collectent des données de requêtes HTTP pour vous aider à comprendre la nature d’une trace de sécurité. Datadog AAP masque automatiquement certaines données, et vous pouvez configurer vos propres règles de détection. Pour en savoir plus sur ces comportements par défaut et les options de configuration, consultez la documentation confidentialité des données de Datadog AAP.

Agent

Noms de ressources

Les spans Datadog incluent un attribut de nom de ressource pouvant contenir des données sensibles. L’Agent Datadog implémente l’obscurcissement des noms de ressources pour plusieurs cas connus :

• Les littéraux numériques SQL et les variables de liaison sont obscurcis : par exemple, la requête suivante SELECT data FROM table WHERE key=123 LIMIT 10 est obscurcie en SELECT data FROM table WHERE key = ? LIMIT ? avant de définir le nom de ressource pour le span de requête.
• Les chaînes littérales SQL sont identifiées à l’aide des guillemets ANSI SQL standard : cela signifie que les chaînes doivent être entourées de guillemets simples ('). Certaines variantes SQL prennent en charge optionnellement les guillemets doubles (") pour les chaînes, mais la plupart traitent les éléments entre guillemets doubles comme des identifiants. L’outil d’obscurcissement Datadog les traite comme des identifiants plutôt que comme des chaînes et ne les obscurcit pas.
• Les requêtes Redis sont quantifiées en sélectionnant uniquement les tokens de commande : par exemple, la requête suivante MULTI\nSET k1 v1\nSET k2 v2 est quantifiée en MULTI SET SET.

Obscurcissement des traces

L’Agent Datadog obscurcit également les données de trace sensibles qui ne figurent pas dans le nom de ressource. Vous pouvez configurer les règles d’obscurcissement à l’aide de variables d’environnement ou du fichier de configuration datadog.yaml.

Les métadonnées suivantes peuvent être obscurcies :

• Requêtes MongoDB
• Corps des requêtes ElasticSearch
• Commandes Redis
• Commandes MemCached
• URL HTTP
• Stack traces
• Numéros de carte bancaire

Remarque : l’obscurcissement peut avoir un impact sur les performances de votre système ou masquer des informations importantes qui ne sont pas sensibles. Réfléchissez à l’obscurcissement dont vous avez besoin pour votre configuration et personnalisez votre configuration en conséquence.

Remarque : vous pouvez utiliser le nettoyage automatique pour plusieurs types de services simultanément. Configurez chacun dans la section obfuscation de votre fichier datadog.yaml.

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    mongodb:
      ## Configures obfuscation rules for spans of type "mongodb". Enabled by default.
      enabled: true
      keep_values:
        - document_id
        - template_id
      obfuscate_sql_values:
        - val1

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    elasticsearch:
      ## Configures obfuscation rules for spans of type "elasticsearch". Enabled by default.
      enabled: true
      keep_values:
        - client_id
        - product_id
      obfuscate_sql_values:
        - val1

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    ## Configures obfuscation rules for spans of type "redis". Enabled by default.
    redis:
      enabled: true
      remove_all_args: true

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    memcached:
      ## Configures obfuscation rules for spans of type "memcached". Enabled by default.
      enabled: true

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    http:
      ## Enables obfuscation of query strings in URLs. Disabled by default.
      remove_query_string: true
      remove_paths_with_digits: true

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    ## Enables removing stack traces to replace them with "?". Disabled by default.
    remove_stack_traces: true # default false

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    credit_cards:
      ## Enable obfuscation of suspected credit card values in meta fields.
      ## Enabled by default.
      enabled: true
      ## Enables a Luhn checksum check to reduce false positives.
      ## This option increases CPU usage.
      luhn: false
      ## A list of known safe keys to skip obfuscation.
      keep_values:
       - some_key_to_keep

Remplacer les tags

Pour nettoyer les données sensibles des tags de votre span, utilisez le paramètre replace_tags dans votre fichier de configuration datadog.yaml ou la variable d’environnement DD_APM_REPLACE_TAGS. La valeur du paramètre ou de la variable d’environnement est une liste d’un ou plusieurs groupes de paramètres spécifiant comment remplacer les données sensibles dans vos tags. Ces paramètres sont :

• name : la clé du tag à remplacer. Pour inclure tous les tags, utilisez le caractère *. Pour inclure la ressource, utilisez nom.ressource.
• pattern : l’expression régulière à utiliser.
• repl: la chaîne de remplacement.

Exemple :

apm_config:
  replace_tags:
    # Replace all characters starting at the `token/` string in the tag "http.url" with "?"
    - name: "http.url"
      pattern: "token/(.*)"
      repl: "?"
    # Remove trailing "/" character in resource names
    - name: "resource.name"
      pattern: "(.*)\/$"
      repl: "$1"
    # Replace all the occurrences of "foo" in any tag with "bar"
    - name: "*"
      pattern: "foo"
      repl: "bar"
    # Remove all "error.stack" tag's value
    - name: "error.stack"
      pattern: "(?s).*"
    # Replace series of numbers in error messages
    - name: "error.message"
      pattern: "[0-9]{10}"
      repl: "[REDACTED]"

DD_APM_REPLACE_TAGS=[
      {
        "name": "http.url",
        "pattern": "token/(.*)",
        "repl": "?"
      },
      {
        "name": "resource.name",
        "pattern": "(.*)\/$",
        "repl": "$1"
      },
      {
        "name": "*",
        "pattern": "foo",
        "repl": "bar"
      },
      {
        "name": "error.stack",
        "pattern": "(?s).*"
      },
      {
        "name": "error.message",
        "pattern": "[0-9]{10}",
        "repl": "[REDACTED]"
      }
]

- name: DD_APM_REPLACE_TAGS
  value: '[
            {
              "name": "http.url",
              "pattern": "token/(.*)",
              "repl": "?"
            },
            {
              "name": "resource.name",
              "pattern": "(.*)\/$",
              "repl": "$1"
            },
            {
              "name": "*",
              "pattern": "foo",
              "repl": "bar"
            },
            {
              "name": "error.stack",
              "pattern": "(?s).*"
            },
            {
              "name": "error.message",
              "pattern": "[0-9]{10}",
              "repl": "[REDACTED]"
            }
          ]'

apiVersion: datadoghq.com/v2alpha1
kind: DatadogAgent
metadata:
  name: datadog
spec:
  override:
    nodeAgent:
      env:
        - name: DD_APM_REPLACE_TAGS
          value: '[
                   {
                     "name": "http.url",
                  # (...)
                  ]'

agents:
  containers:
    traceAgent:
      env:
        - name: DD_APM_REPLACE_TAGS
          value: '[
                   {
                     "name": "http.url",
                  # (...)
                  ]'

- DD_APM_REPLACE_TAGS=[{"name":"http.url","pattern":"token/(.*)","repl":"?"},{"name":"resource.name","pattern":"(.*)\/$","repl":"$1"},{"name":"*","pattern":"foo","repl":"bar"},{"name":"error.stack","pattern":"(?s).*"},{"name":"error.message","pattern":"[0-9]{10}","repl":"[REDACTED]"}]

Ignorer les ressources

Pour un aperçu approfondi des options permettant d’éviter de tracer des ressources spécifiques, consultez la section Ignorer les ressources indésirables.

Si vos services incluent du trafic simulé comme des checks de santé, il peut être préférable de ne pas collecter ces traces afin que les métriques de vos services correspondent au trafic de production.

L’Agent peut être configuré pour exclure une ressource spécifique des traces envoyées par l’Agent à Datadog. Pour empêcher la soumission de ressources spécifiques, utilisez le paramètre ignore_resources dans le fichier datadog.yaml. Créez ensuite une liste d’une ou plusieurs expressions régulières spécifiant les ressources que l’Agent filtre en fonction de leur nom de ressource.

Si vous exécutez dans un environnement conteneurisé, définissez DD_APM_IGNORE_RESOURCES sur le conteneur avec l’Agent Datadog à la place. Consultez la section Variables d’environnement de l’Agent APM Docker pour en savoir plus.

###### @param ignore_resources - list of strings - optional

###### A list of regular expressions can be provided to exclude certain traces based on their resource name.

###### All entries must be surrounded by double quotes and separated by commas.

###### ignore_resources: ["(GET|POST) /healthcheck","API::NotesController#index"]

Bibliothèque

HTTP

Datadog standardise la sémantique des tags de span dans les bibliothèques de tracing. Les informations des requêtes HTTP sont ajoutées en tant que tags de span avec le préfixe http.. Les bibliothèques disposent des options de configuration suivantes pour contrôler les données sensibles collectées dans les spans HTTP.

Masquer les chaînes de requête

Le tag http.url reçoit la valeur complète de l’URL, y compris la chaîne de requête. La chaîne de requête pouvant contenir des données sensibles, Datadog l’analyse par défaut et masque les valeurs suspectes. Ce processus de masquage est configurable. Pour modifier l’expression régulière utilisée pour le masquage, définissez la variable d’environnement DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP sur une regex valide de votre choix. La regex valide est spécifique à la plateforme. Lorsque la regex détecte une paire clé-valeur suspecte, elle la remplace par <redacted>.

Si vous ne souhaitez pas collecter la chaîne de requête, définissez la variable d’environnement DD_HTTP_SERVER_TAG_QUERY_STRING sur false. La valeur par défaut est true.

Collecter les en-têtes

Pour collecter les tags d’en-têtes de trace, définissez la variable d’environnement DD_TRACE_HEADER_TAGS avec un mappage de clés d’en-tête insensibles à la casse vers des noms de tags. La bibliothèque applique les valeurs d’en-tête correspondantes en tant que tags sur les spans racines. Le paramètre accepte également des entrées sans nom de tag spécifié, par exemple :

DD_TRACE_HEADER_TAGS=CASE-insensitive-Header:my-tag-name,User-ID:userId,My-Header-And-Tag-Name

Traitement

Certaines bibliothèques de tracing fournissent une interface pour le traitement des spans afin de modifier manuellement ou de supprimer les données sensibles collectées dans les traces :

• Java : Interface TraceInterceptor
• Ruby : Pipeline de traitement
• Python : Filtrage des traces

Collecte de données de télémétrie

Datadog peut collecter des informations environnementales et de diagnostic sur vos bibliothèques de tracing à des fins de traitement ; ces informations peuvent inclure des données sur le host exécutant une application, le système d’exploitation, le langage de programmation et le runtime, les intégrations APM utilisées et les dépendances de l’application. De plus, Datadog peut collecter des informations telles que des logs de diagnostic, des rapports de plantage avec des stack traces obscurcies et diverses métriques de performances système.

Vous pouvez désactiver cette collecte de données de télémétrie à l’aide de l’un de ces paramètres :

apm_config:
  telemetry:
    enabled: false

export DD_APM_TELEMETRY_ENABLED=false

Pour aller plus loin

Documentation, liens et articles supplémentaires utiles:

Conformité PCI DSSDOCUMENTATION