Обізнаність про чутливість журналу

Що таке Обізнаність про чутливість журналу?

Журнали програм є найбільш недооціненим джерелом даних у сучасній інженерії. Вони зазвичай містять електронні листи клієнтів, токени-носії JWT, ідентифікатори сеансів, IP-адреси резидентів, ключі API, приховані в рядках запиту URL-адреси, поштові адреси, часткові дані платіжної картки та SQL із інтерполяцією реальних ідентифікаторів клієнтів — усе це у вигляді звичайного тексту, усе одним натисканням кнопки миші можна приєднати до запиту служби підтримки постачальника. У цій вправі ви приймаєте звичайний запит постачальника від свого постачальника APM на останній фрагмент api-server.log, відкриваєте файл і переглядаєте двадцять рядкових анотацій кожного конфіденційного поля, яке інакше залишилося б у вашій компанії. Потім ви використовуєте внутрішній інструмент редагування Holmgate, LogScrub, щоб застосувати п’ять категорій редагування (PII, маркери автентифікації, IP-адреси, секрети в URL-адресах і платіжні дані), завантажити файл, запустити очищення та завантажити дезінфіковану копію, яка зберігає всі робочі метадані, які постачальник насправді потребує для налагодження. Ви додаєте відредагований файл до своєї відповіді, DLP-шлюз SOC перевіряє, чи файл чистий, а SOC подякує вам за використання робочого процесу та повідомить, що вони працюють над розробкою платформи, щоб зробити редагування за замовчуванням. Ця вправа посилює три правила: кожен зовнішній спільний журнал очищується спочатку, без винятків; санітарна обробка зберігає робочий сигнал, щоб постачальник все ще міг виконувати свою роботу; і «сире — добре» від постачальника ніколи не є причиною пропускати робочий процес.

Що ви дізнаєтесь у Обізнаність про чутливість журналу

• Визначте категорії конфіденційних даних, які регулярно з’являються в журналах робочих програм — ідентифікаційна інформація клієнта, токени автентифікації (JWT, сеанси, коди скидання пароля), IP-адреси, ключі API в рядках запиту URL-адреси та часткові платіжні дані
• Розрізняйте робочі метадані, якими безпечно ділитися (мітки часу, ідентифікатори запитів, методи, шляхи, коди стану, затримки, форми запитів), і значення параметрів, які потрібно відредагувати
• Застосуйте робочий процес редагування перед наданням для будь-якого зовнішнього спільного доступу до журналу — заявка в службу підтримки постачальника, аудит третьої сторони, публічний звіт про помилку, знімок екрана в чаті служби підтримки, підрядник ще не зареєстрований
• Використовуйте внутрішній інструмент очищення журналу, щоб застосувати правила редагування на основі категорій, зберігаючи робочий сигнал, потрібний одержувачу, одночасно замінюючи ідентифікаційні значення заповнювачами
• Визнайте, що шлюзи DLP є другорядною перевіркою, а не заміною санітарної обробки, і направляйте будь-який запит постачальника на невідредаговані журнали через команду безпеки для узгодження

Обізнаність про чутливість журналу — Кроки навчання

1. Звичайний квиток продавця

   Ранок вівторка. Holmgate надсилає API виконання декільком десяткам роздрібних клієнтів, а Watchspan — ваш постачальник APM і трасування — два дні переслідує стрибок затримки на кінцевій точці замовлень. Вони відкрили заявку в службу підтримки, і у вашій папці 'Вхідні' з’явилося зелене повідомлення термінового.

2. Пише інженер служби підтримки Watchspan

   Девон Рейес, старший інженер служби підтримки, призначений для облікового запису Холмгейта в Watchspan, максимально звузив розслідування повільних запитів лише за допомогою телеметрії. Йому потрібен справжній файл журналу, щоб визначити причину.

3. Чого насправді просить Девон

   Повільно перечитайте запит. Девон — справжній інженер у справжнього постачальника, відносини законні, а розслідування повільних запитів справді корисне. Ніщо з цього не змінює те, що він щойно попросив вас надіслати.

4. Увійдіть до LogVault

   Фрагменти журналу виробництва знаходяться в LogVault, централізованому архіві журналів Holmgate. Застосовується система єдиного входу — кожен експорт реєструється у вашому обліковому записі, і навіть автентифіковані завантаження відстежуються шлюзом DLP на виході.

5. Завантажте закріплений фрагмент

   LogVault відкриває список фрагментів api-server.log. Фрагмент 09:14-09:30 UTC прикріплено до квитка Девона — завантажте його в локальну папку завантажень.

6. Відкрийте файл журналу

   Фрагмент знаходиться у вашій папці завантажень. Відкрийте його з файлового менеджера, щоб ви могли точно побачити, що перейшло б у Watchspan, якби ви переслали файл як є.

7. Що насправді в цьому журналі

   Файл виглядає як звичайний зріз оперативних даних — двадцять рядків, кілька попереджень, нормальні затримки. Подивіться уважніше. Підсвічувач проведе вас рядок за рядком через усе, що тут не має бути досягнуто третім особам.

8. Перевірка знань

   Тепер ви побачили, що насправді містять журнали виробництва. Перевірте, що вважається чутливим, перш ніж вирушати це виправляти.

9. Відкрийте Holmgate's Approved Redaction Tool

   Holmgate Engineering постачає LogScrub як схвалену компанією службу редагування. Він повністю працює в корпоративній мережі Holmgate, кожен спільний доступ реєструється, а його вихід містить підпис, який шлюз DLP розпізнає як очищений. Це єдиний інструмент, дозволений для дезінфекції конфіденційних файлів журналу в Holmgate — зовнішні служби, такі як ChatGPT, Pastebin, онлайн-тестери регулярних виразів або випадкові веб-інструменти, явно не порушують політику, оскільки завантаження файлу в них буде витоком, якому ви намагаєтеся запобігти.

10. Прочитайте повідомлення про внутрішні інструменти

    Перш ніж щось робити на сторінці, прочитайте повідомлення вгорі. Те саме попередження існує на кожній схваленій поверхні редагування в Holmgate, тому що пропуск схваленого інструменту шляхом вставлення журналу в споживчий чат-бот є єдиним найпоширенішим інцидентом тіньових ІТ, за яким переслідує SOC.