Obfusquer les données de navigateur

Vous pouvez créer des règles d'obfuscation d'ingestion directement depuis la plateforme New Relic pour masquer les données sensibles avant qu'elles ne soient récoltées. Ces règles s'appliquent à tous les événements de navigateur. Les règles configurées via la plateforme New Relic ou NerdGraph s'appliquent aux applications injectées par l'APM, aux installations par copier-coller et aux installations NPM. Cependant, les installations par copier-coller et NPM peuvent remplacer manuellement les règles configurées par la plateforme New Relic en ajoutant la propriété obfuscate à leur configuration init.

Pour ajouter une règle d'obfuscation :

1. Allez à one.newrelic.com > All capabilities > Browser > (select an app) > Settings > Application settings.
2. Sous Ingest obfuscation rules, cliquez sur Add a rule.
3. Dans le champ Original value, saisissez un modèle d’expression régulière correspondant aux données sensibles que vous souhaitez masquer.
4. Dans le champ Replace with, saisissez une valeur neutre ou de remplacement.
5. Dans la liste déroulante Choose where to store, sélectionnez les types d’attributs d’événement auxquels vous souhaitez appliquer la règle d’obfuscation.
6. Cliquez sur Add rule pour créer. La règle d'obfuscation est appliquée aux données correspondantes dans tous les événements du navigateur avant l'ingestion.

Vous pouvez configurer l’agent Browser pour obfusquer sélectivement les données dans chaque charge qu’il envoie. Cela est utile si votre application utilise des données sensibles à des endroits que l’agent capture, tels que les chemins de navigation, les messages d’erreur, et plus encore.

À partir de la version 1216 de l'agent de navigateur et des versions supérieures, la règle d'obfuscation peut être appliquée aux frais de récolte sortants.

Pour mettre en place ces règles, configurez la propriété suivante de l’agent Browser :

• La propriété init.obfuscate contient un éventail de sélecteurs et de remplacements qui seront utilisés pour modifier chaque récolte avant l'envoi.

  • Vous devrez modifier manuellement votre section de configuration JavaScript et définir l'éventail obfuscate pour qu'il contienne vos conditions d'obfuscation.

  Recommandations

  Lors de la configuration de cette propriété, nous recommandons ce qui suit :

• Utilisez des modèles d'expressions régulières intentionnels pour masquer uniquement ce qui doit être obfuscation.

  • Une obfuscation excessive peut avoir des effets secondaires tels qu'une moindre granularité lors du regroupement des données et une moindre capacité à digérer ce que l'agent a capturé.

• Remplacez vos données sensibles par des termes neutres et génériques qui indiquent également quelles données ont été expurgées.

  • Exemple : /account-id/g --> ACCOUNT_ID

  Installation par copier/coller

  Si vous utilisez la méthode d'installation copier/coller, ajoutez la configuration suivante à la configuration JavaScript de votre navigateur avant le chargeur d'agent :

  window.NREUM.init = {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: <RegExp | string>,
          replacement: <string>,
          eventFilter: [<string>]  // Optional: specific event types to apply this rule to
        },
        ...<other obfuscation rules>...
      ]
  }

  Copier

  Installation de NPM

  Si vous utilisez la méthode d'installation NPM pour le navigateur, ajoutez la configuration suivante lors de l'initialisation de l'agent Browser :

  new BrowserAgent({ 
    init: {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: <RegExp | string>,
          replacement: <string>,
          eventFilter: [<string>]  // Optional: specific event types to apply this rule to
        },
        ...<other obfuscation rules>...
      ]
    }
  })

  Copier

  Exemples : limiter l'obfuscation à des types d'événements spécifiques

  Par défaut, les règles d'obfuscation s'appliquent à tous les types d'événements capturés par l'agent Browser. Cependant, vous pouvez limiter les règles à des types d'événements spécifiques en utilisant la propriété d'éventail eventFilter.

  Cela est particulièrement utile lors de la capture de charges AJAX, où vous pourriez vouloir obfusquer des données sensibles dans les corps de requête/réponse sans affecter d'autres événements.

  Conseil

  Si vous omettez la propriété eventFilter, la règle s'applique à tous les types d'événements, ce qui permet de maintenir la compatibilité avec les configurations existantes.

  window.NREUM.init = {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: /user-id/g,
          replacement: 'USER_ID',
          eventFilter: ['AjaxRequest']  // Optional: only apply to specific event types
        },
      ]
  }

  Copier

  new BrowserAgent({ 
    init: {
      ...<other init properties>...,
      obfuscate: [
        {
          regex: /account-id/g,
          replacement: 'ACCOUNT_ID',
          eventFilter: ['AjaxRequest', 'JavaScriptError']  // Optional: apply to multiple event types
        },
      ]
    }
  })

  Copier

Via NerdGraph

Vous pouvez utiliser l'API NerdGraph pour effectuer des requêtes et mettre à jour les règles d'obfuscation par programmation.

Deux modèles d'expressions régulières détectent et masquent les formats courants de cartes de crédit :

Modèle 1 (format plus simple) :

{
  regex: /\b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14}|3[47][0-9]{13}|6011[0-9]{12})\b/g,
  replacement: 'XXXX-XXXX-XXXX-XXXX',
  eventFilter: ['AjaxRequest']
}

Modèle 2 (complet, couvrant plus de types de cartes) :

{
  regex: /(?:4\d{12}(?:\d{3}){0,2}|5[1-5]\d{14}|2(?!20)[2-7]\d{14}|220[0-4]\d{12}|3[47]\d{13}|3(?:0[0-5]|[68]\d)\d{11}|6(?:011|5\d{2}|4[4-9]\d)\d{12}|62\d{14,17}|35(?:2[89]|[3-8]\d)\d{12,15}|(?:5018|5020|5038|6304|6759|676[1-3])\d{8,15}|(?:60|65|81|82)\d{14})/g,
  replacement: 'XXXX-XXXX-XXXX-XXXX',
  eventFilter: ['AjaxRequest']
}

Les deux modèles remplacent les numéros de carte de crédit détectés par XXXX-XXXX-XXXX-XXXX.

Le modèle d'expression régulière suivant détecte et masque les numéros de sécurité sociale courants avec XXX-XX-XXXX:

{
  regex: /\b\d{3}-?\d{2}-?\d{4}\b/g,
  replacement: 'XXX-XX-XXXX',
  eventFilter: ['AjaxRequest']
}

L'approche recommandée est d'utiliser un identifiant non sensible pour setUserId(), tel que :

• Un ID utilisateur haché ou chiffré

• Un numéro de compte interne

• Un UUID ou identifiant généré

  // Good: Use a non-sensitive ID
  newrelic.setUserId('user-12345')
  
  // Or use a hash of the email
  newrelic.setUserId(hashEmail('user@example.com')) // e.g., 'a1b2c3d4'

  Copier

Si vous devez utiliser des adresses e-mail comme identifiants utilisateur, créez des règles d’obfuscation qui ciblent des chemins JSON ou des noms d’attribut spécifiques, plutôt que de faire correspondre des modèles d’e-mail de manière globale :

{
  // More specific: only match emails in known sensitive fields
  regex: /("customerEmail"\s*:\s*")[^"]+(@[^"]+")/g,
  replacement: '$1EMAIL_REDACTED$2',
  eventFilter: ['AjaxRequest']
}

Cette approche nécessite des tests minutieux pour vous assurer que vous capturez toutes les données sensibles tout en évitant les faux positifs.