Sensibilisierung für sensible Protokolldaten

Was ist Sensibilisierung für sensible Protokolldaten?

Anwendungsprotokolle gehören zu den am meisten unterschätzten Datenquellen in der modernen Softwareentwicklung. Sie enthalten regelmäßig Kunden-E-Mail-Adressen, JWT-Bearer-Token, Sitzungs-IDs, IP-Adressen von Privatanschlüssen, in URL-Abfragezeichenfolgen verborgene API-Schlüssel, Postanschriften, unvollständige Zahlungskartendaten und SQL mit darin eingesetzten echten Kunden-IDs. All diese Daten stehen im Klartext und sind nur einen Klick davon entfernt, einem Support-Ticket eines Anbieters angehängt zu werden. In dieser Übung bearbeiten Sie eine routinemäßige Anfrage Ihres APM-Anbieters nach einem aktuellen Ausschnitt aus api-server.log. Sie öffnen die Datei und prüfen anhand der Anmerkungen zu ihren zwanzig Zeilen jedes sensible Feld, das andernfalls Ihr Unternehmen verlassen würde. Anschließend wenden Sie mit Holmgates internem Schwärzungstool LogScrub fünf Kategorien von Schwärzungsregeln an: personenbezogene Daten, Authentifizierungs-Token, IP-Adressen, Secrets in URLs und Zahlungsdaten. Sie laden die Datei hoch, führen die Bereinigung aus und laden eine bereinigte Kopie herunter, in der alle betrieblichen Metadaten erhalten bleiben, die der Anbieter tatsächlich zur Fehleranalyse benötigt. Sie hängen die geschwärzte Datei an Ihre Antwort an. Das DLP-Gateway des SOC prüft beim Versand, ob die Datei bereinigt ist. Danach bedankt sich das SOC für die Einhaltung des Prozesses und weist darauf hin, dass Platform Engineering die Schwärzung künftig zum Standard machen soll. Die Übung vermittelt drei Regeln: Vor jeder externen Weitergabe eines Protokolls erfolgt ausnahmslos eine Bereinigung. Dabei bleiben die betrieblich relevanten Informationen erhalten, damit der Anbieter seine Arbeit weiterhin erledigen kann. Und die Aussage eines Anbieters, die Rohdatei reiche aus, ist niemals ein Grund, den vorgeschriebenen Prozess zu umgehen.

Was Sie lernen in Sensibilisierung für sensible Protokolldaten

• Erkennen Sie die Kategorien sensibler Daten, die regelmäßig in Produktionsprotokollen von Anwendungen vorkommen: personenbezogene Kundendaten, Authentifizierungs-Token (JWTs, Session-Token und Codes zum Zurücksetzen von Passwörtern), IP-Adressen, API-Schlüssel in URL-Abfragezeichenfolgen und unvollständige Zahlungsdaten
• Unterscheiden Sie zwischen sicher weiterzugebenden betrieblichen Metadaten (Zeitstempel, Anfrage-IDs, Methoden, Pfade, Statuscodes, Latenzen und Abfragestrukturen) und Parameterwerten, die geschwärzt werden müssen
• Wenden Sie den Prozess zur Schwärzung vor jeder externen Weitergabe eines Protokolls an, etwa für Support-Tickets von Anbietern, externe Audits, öffentliche Fehlerberichte, Screenshots in Support-Chats und noch nicht eingearbeitete externe Mitarbeiter
• Wenden Sie mit einem internen Tool zur Protokollbereinigung kategoriebasierte Schwärzungsregeln an, sodass die vom Empfänger benötigten betrieblichen Informationen erhalten und identifizierende Werte durch Platzhalter ersetzt werden
• Verstehen Sie DLP-Gateways als zusätzliche Kontrollebene und nicht als Ersatz für die Bereinigung, und leiten Sie jede Anbieteranfrage nach ungeschwärzten Protokollen zur Abstimmung an das Sicherheitsteam weiter

Sensibilisierung für sensible Protokolldaten — Trainingsschritte

1. Ein routinemäßiges Anbieter-Ticket

   Es ist Dienstagmorgen. Holmgate stellt einigen Dutzend Einzelhandelskunden Fulfillment-APIs bereit. Watchspan – Ihr Anbieter für APM und Tracing – untersucht seit zwei Tagen einen Latenzanstieg am Bestellendpunkt. Das Unternehmen hat ein Support-Ticket eröffnet, das in Ihrem Posteingang gerade mit einem grünen Banner als dringend gekennzeichnet wurde.

2. Nachricht vom Support Engineer bei Watchspan

   Devon Reyes, der bei Watchspan als Senior Support Engineer für Holmgates Kundenkonto zuständig ist, hat die Untersuchung der langsamen Abfrage mithilfe der Telemetriedaten so weit wie möglich eingegrenzt. Um die Ursache genau zu bestimmen, benötigt er eine echte Protokolldatei.

3. Was Devon tatsächlich anfordert

   Lesen Sie die Anfrage noch einmal aufmerksam durch. Devon ist ein echter Mitarbeiter eines echten Anbieters, die Geschäftsbeziehung ist legitim und die Untersuchung der langsamen Abfrage ist sinnvoll. Das ändert jedoch nichts daran, welche Daten er gerade von Ihnen angefordert hat.

4. Bei LogVault anmelden

   Ausschnitte aus Produktionsprotokollen werden in LogVault, Holmgates zentralem Protokollarchiv, gespeichert. SSO ist vorgeschrieben: Jeder Export wird Ihrem Konto zugeordnet, und selbst Downloads nach erfolgreicher Anmeldung werden beim Verlassen des Netzwerks vom DLP-Gateway überwacht.

5. Angehefteten Ausschnitt herunterladen

   LogVault zeigt die Liste der Ausschnitte aus api-server.log. Der Ausschnitt für 09:14-09:30 UTC ist an Devons Ticket angeheftet. Laden Sie ihn in Ihren lokalen Download-Ordner herunter.

6. Protokolldatei öffnen

   Der Ausschnitt befindet sich in Ihrem Download-Ordner. Öffnen Sie ihn im Dateimanager, um genau zu sehen, welche Daten Watchspan erhalten würde, wenn Sie die Datei unverändert weiterleiteten.

7. Der tatsächliche Inhalt des Protokolls

   Die Datei wirkt wie ein gewöhnlicher Ausschnitt aus Betriebsdaten: zwanzig Zeilen, einige Warnungen und normale Latenzen. Sehen Sie genauer hin. Die Hervorhebungen führen Sie Zeile für Zeile durch alle enthaltenen Daten, die niemals Dritte erreichen dürfen.

8. Wissenscheck

   Sie haben nun gesehen, was Produktionsprotokolle tatsächlich enthalten. Prüfen Sie Ihr Wissen darüber, welche Daten sensibel sind, bevor Sie sie bereinigen.

9. Holmgates freigegebenes Schwärzungstool öffnen

   Holmgate Engineering stellt LogScrub als unternehmensweit freigegebenen Schwärzungsdienst bereit. Er läuft vollständig im Holmgate-Unternehmensnetzwerk, jede Weitergabe wird protokolliert und seine Ausgabedateien tragen eine Signatur, an der das DLP-Gateway ihre Freigabe erkennt. LogScrub ist das einzige Tool, das Holmgate zur Bereinigung sensibler Protokolldateien erlaubt. Externe Dienste wie ChatGPT, Pastebin, Online-Regex-Tester oder beliebige Web-Tools verstoßen ausdrücklich gegen die Richtlinien, denn schon das Hochladen der Datei wäre genau das Datenleck, das Sie verhindern möchten.

10. Hinweis zum internen Tool lesen

    Lesen Sie zunächst den Hinweis oben auf der Seite. Dieselbe Warnung erscheint in jeder freigegebenen Schwärzungsoberfläche bei Holmgate. Ein Protokoll statt in das freigegebene Tool in einen öffentlich verfügbaren Chatbot einzufügen, ist der häufigste Shadow-IT-Vorfall, den das SOC untersucht.