機密ログデータの管理

概要

ログには機密データが含まれている可能性があるため、ログの処理方法には特に注意する必要があります。機密データを Datadog に取り込んでいる場合、次のことを検討してください。

正当なトラブルシューティングと監査の目的で機密データを含むようにログを意図的に設定した場合は、「ロールベースのアクセス制御」を使用して適切な制限を設定し、Datadog アカウントにアクセスする権利を持つユーザーのみがこのデータにアクセスできるようにします。詳細については、ログロールベースのアクセス制御 (RBAC) ユーザーズガイドを参照し、組織に合わせて構成する方法を確認してください。
機密データのログが意図しないものである場合は、将来の懸念に先制的に対処します。詳細はこのガイド読み進めてください。

すべてのデータを管理することは、特に大規模なコラボレーションプラットフォームにおいては、困難な場合があります。このガイドでは、Datadog に取り込まれる機密データを発見し、管理するためのさまざまなオプションについて説明します。

Sensitive Data Scanner

機密データスキャナーは、ストリームベースのパターンマッチングサービスであり、機密データを識別、タグ付け、およびオプションで編集またはハッシュするために使用できます。この機能により、セキュリティチームとコンプライアンスチームは、機密データが組織の外部に漏洩するのを防ぐための防衛線を導入できます。機密データスキャナーは、組織設定で利用できます。

機密データを含むログのインデックスを既に作成している場合は、以下の 3 つのステップを実行します。

送信されるデータの範囲を決定する
アップストリームのデータのソースを修正する
すでに Datadog に送信されたデータを処理する

送信されるデータのスコープを決定する

どのログクエリが機密データを定義しますか？

最初に、機密データを説明するクエリを定義します。このクエリは機密データを含む全てのログを返します。

version:x.y.z source:python status:debug などのクエリがその期待に一致する可能性があります。より高度な演算子 (ワイルドカードやブール演算子など) が必要な場合は、ログ検索構文のドキュメントを参照してください。

このガイドでは、そのクエリを機密性の高いアウトラインクエリと呼びます。

機密データは Datadog 内のどこにありますか？

ログにある機密データが Datadog プラットフォームに送信されると、それはさまざまな場所に存在する可能性があります。そのため、次の各項目を必ず確認してください (機密データが含まれている可能性が最も高いものから最も低いものの順に)。

Datadog インデックスは、インデックスの保持に従ってログが期限切れになるまで、Datadog とともにログが保存される場所です。他の場所ではコンプライアンスの懸念が少ない可能性があるため、Datadog インデックスに注目してください。インデックスフィルターと除外フィルターをチェックして、機密データを含むログにインデックスが付けられているかどうかを確認します。
ログアーカイブは、Datadog が送信したログを保存する場所です。アーカイブフィルターを設定して、アーカイブに機密ログが含まれているかどうかを確認します。
集計されたメトリクスを格納するログから生成されたメトリクス。このプロセスでは、機密データが破棄されている可能性があります。カスタムメトリクスフィルターをチェックして、機密データを含むログが処理されるかどうかを確認します。
ログサンプルが含まれている場合のログモニター通知。機密データが送信されていた期間中にトリガーされたモニターを特に確認してください。
Live Tailでは、組織のユーザーがリアルタイムでログを閲覧できます。ブラウザにキャッシュされた 50 ログを超える永続性はなく、より広範なクエリの場合、結果を極端にサンプリングできます。

アップストリームのデータのソースを修正する

機密データスキャナーを使用したストリーミングログの機密データの編集

すぐに使えるルールやカスタムルールを使って、ログに残っている他の種類の機密データを特定し、冗長化します。

機密ログのインデックス化を停止する

機密データスキャナーを使用していない場合、機密データを含む新しいログを完全にインデックス対象から除外するかどうかを決定します。Datadog ですでにインデックスされた機密データを含むログに対処する必要があります。

機密データを含むログを保持するインデックスを検索します。
インデックスごとに、機密性の高いアウトラインクエリに基づいて除外フィルターを追加します。

Datadog への機密データの送信を停止する

もし、ある種の機密データが環境から Datadog に取り込まれることが禁止されている場合、ソース収集時にスクラビングルールを追加します。

ロガー自体を変更する方法がある場合、Datadog は、ログ収集に Datadog Agent を使用する際に、コンプライアンスに敏感なデータがプラットフォームの外部に送信されるのを防ぐためのソリューションを提供します。

Datadog に送信する前に、ログから機密データをスクラブします。
または、オートディスカバリーを使い、コンテナのログ収集を細かく制御します。

Serverless Forwarder にも同様のスクラブ機能があります。

Datadog にすでに送信されインデックス化されているデータの処理

コンプライアンス要件に従って、次の手順を実行します。すべての手順を実行する必要はないかもしれません。

機密ログを Datadog でクエリ不可にする (期限切れになるまで)

この手順により、機密データを含むログ (すでに送信されたログと流入し続ける可能性のあるログの両方) を Datadog (Explorer、Dashboard、Livetail) でクエリできないようにします。

データアクセス構成ページを使用して、組織内の全員に適用される制限を定義する際、機密性の高いアウトラインクエリを活用してください。例えば、version:x.y.z source:python status:debug のクエリを使用できます。また、@timestamp 属性を使用して特定の期間を指定して制限することも可能です。例えば、@timestamp:[1731597125165 TO 1731597125200] とします。

注: 機密性の高いアウトラインクエリで NOT を使用する場合、クエリに一致するログへのアクセスは制限され、クエリに一致しないログのみがユーザーに表示されるようになります。