Por defecto, los usuarios con el rol de Admin (administrador) de Datadog tienen acceso para ver y configurar reglas de escaneo. Para permitir el acceso a otros usuarios, concede los permisos data_scanner_read o data_scanner_write en Cumplimiento a un rol personalizado. Consulta Control de acceso para obtener más información sobre cómo configurar funciones y permisos.

1. Concede los permisos adecuados. Por defecto, los usuarios con el rol de Admin (administrador) de Datadog tienen acceso para ver y configurar reglas de escaneo. Para permitir el acceso a otros usuarios, concede los permisos data_scanner_read o data_scanner_write en Cumplimiento a un rol personalizado. Consulta Control de acceso para obtener más información sobre cómo configurar funciones y permisos.

2. Sigue los pasos para activar la configuración remota.

3. Instala el Datadog Agent v7.54 o una versión más reciente.

Un grupo de escaneo determina qué datos escanear. Consiste en un filtro de consulta y un conjunto de conmutadores para activar el escaneo de logs, APM, RUM y eventos. Consulta la documentación Sintaxis de búsqueda de logs para obtener más información sobre los filtros de consulta.

Para Terraform, consulta el recurso grupo del Datadog Sensitive Data Scanner.

Para configurar un grupo de escaneo, realiza los siguientes pasos:

1. Ve a la página de configuración de Sensitive Data Scanner.
2. Haz clic en Add scanning group (Añadir grupo de escaneo). Como alternativa, haz clic en el menú desplegable Add (Añadir) situado en la esquina superior derecha de la página y selecciona Add Scanning Group (Añadir grupo de escaneo).
3. Introduce un filtro de consulta para los datos que deseas escanear. En la parte superior, haz clic en APM Spans (Tramos de APM) para obtener una vista previa de los tramos (spans) filtrados. Haz clic en Logs para ver los logs filtrados.
4. Introduce un nombre y una descripción para el grupo.
5. Haz clic en los botones de conmutador para activar el Sensitive Data Scanner para los productos que desees (por ejemplo, logs, tramos de APM, eventos RUM y eventos de Datadog).
6. Haz clic en Create (Crear).

Un grupo de escaneo determina qué logs escanear. Consiste en un filtro de consulta para coincidir agentes elegibles basados en etiquetas de host.

Para configurar un grupo de escaneo, realiza los siguientes pasos:

1. Ve a la página de configuración de Sensitive Data Scanner que utiliza el Agent.
2. Haz clic en Add scanning group (Añadir grupo de escaneo). Como alternativa, haz clic en el menú desplegable Add (Añadir) situado en la esquina superior derecha de la página y selecciona Add Scanning Group (Añadir grupo de escaneo).
3. Introduce un filtro de consulta para los datos que deseas escanear. Solo puedes utilizar etiquetas de nivel de host para los agentes coincidentes. En la parte inferior, se muestra el número de agentes coincidentes y elegibles, incluido el número total de todos los agentes que coinciden con la etiqueta.
4. Introduce un nombre y una descripción para el grupo.
5. Haz clic en Save (Guardar).

Una regla de escaneo determina qué información confidencial debe coincidir dentro de los datos definidos por un grupo de escaneo. Puedes añadir reglas de escaneo predefinidas en la biblioteca de reglas de escaneo de Datadog o crear tus propias reglas utilizando patrones regex. Los datos se escanean en el momento de la ingesta durante el procesamiento. Para los logs, esto significa que el escaneo se realiza antes de la indexación y otras decisiones de enrutamiento.

Para Terraform, consulta el recurso regla del Datadog Sensitive Data Scanner.

Para añadir reglas de escaneo, realiza los siguientes pasos:

1. Ve a la página de configuración de Sensitive Data Scanner.
2. Haz clic en el grupo de escaneo en el que deseas añadir las reglas de escaneo.
3. Haz clic en Add Scanning Rule (Añadir regla de escaneo). Como alternativa, haz clic en el menú desplegable Add (Añadir) situado en la esquina superior derecha de la página y selecciona Add Scanning Rule (Añadir regla de escaneo).
4. Selecciona si deseas añadir una regla de biblioteca o crear una regla de escaneo personalizada.

Notas:

• Cualquier regla que añadas o actualices, sólo afectará a los datos que lleguen a Datadog después de que la regla haya sido definida.
• Sensitive Data Scanner no afecta a ninguna regla que definas directamente en el Datadog Agent.
• Una vez añadidas las reglas, asegúrate de que los conmutadores de los grupos de escaneo están activados para iniciar el escaneo.

Consulta Investigar problemas de datos confidenciales para obtener más información sobre cómo utilizar la página Resumen para clasificar los problemas de datos confidenciales.

Una regla de escaneo determina qué información confidencial debe coincidir dentro de los datos definidos por un grupo de escaneo. El Datadog Agent escanea tus datos en tu entorno local durante la recopilación de logs, antes de que los logs se envíen a la plataforma de Datadog.

Para añadir reglas de escaneo, realiza los siguientes pasos:

1. Ve a la página de configuración de Sensitive Data Scanner que utiliza el Agent.
2. Haz clic en Add Scanning Rule (Añadir regla de escaneo). Como alternativa, haz clic en el menú desplegable Add (Añadir) situado en la esquina superior derecha de la página y selecciona Add Scanning Rule (Añadir regla de escaneo).
3. En la sección Add library rules to the scanning group (Añadir reglas de biblioteca al grupo de escaneo), selecciona las reglas de biblioteca que deseas utilizar. Utiliza la entrada Filter library rules (Filtrar reglas de biblioteca) para buscar reglas de biblioteca existentes. Junto al nombre de la regla puedes encontrar la lista de etiquetas predefinidas para cada regla.
4. En la sección Define rule target and action (Definir objetivo y acción de la regla), selecciona la acción que deseas llevar a cabo para la información confidencial coincidente. Nota: La redacción, la redacción parcial y el hashing son acciones irreversibles.
   • Redact (Redactar): sustituye todos los valores coincidentes por el texto que especifiques en el campo Replacement text (Texto de sustitución).
   • Partially Redact (Redactar parcialmente): sustituye una parte especificada de todos los datos coincidentes. En la sección Redact (Redactar), especifica el número de caracteres que deseas redactar y qué parte de los datos coincidentes deseas redactar.
   • Hash: sustituye todos los datos coincidentes por un identificador único. Los bytes UTF-8 de la coincidencia reciben un hash con la huella digital de 64 bits de FarmHash.
5. Opcionalmente, añade etiquetas adicionales que desees asociar con eventos cuyos valores coincidan con el patrón regex especificado. Datadog añade etiquetas sensitive_data y sensitive_data_category por defecto. Estas etiquetas pueden utilizarse en búsquedas, dashboardsy monitores. Consulta Control de acceso a logs con datos confidenciales para obtener información sobre cómo utilizar etiquetas para determinar quién puede acceder a logs que contienen información confidencial.
6. Haz clic en Save (Guardar).

Notas:

• Cualquier regla que añadas o actualices, sólo afectará a los datos que lleguen a Datadog después de que la regla haya sido definida.
• Una vez añadidas las reglas, asegúrate de que los conmutadores de los grupos de escaneo están activados para iniciar el escaneo.

1. Ve a la página de configuración de Sensitive Data Scanner.

2. Pasa el ratón por encima de la regla de escaneo que desees editar y haz clic en el icono Edit (Editar) (lápiz).

   La sección Define match conditions (Definir condiciones de coincidencia) muestra la expresión regular que escribiste para tu regla personalizada o una explicación de la regla de escaneo de biblioteca que elegiste junto con ejemplos de información confidencial coincidente.

3. Para asegurarte de que una regla coincide con tus datos, puedes proporcionar una muestra en la sección Add sample data (Añadir datos de muestra). Si la regla encuentra coincidencias en los datos de muestra, aparecerá una etiqueta verde Match (Coincidencia) junto al campo de entrada.

4. En Create keyword dictionary (Crear diccionario de palabras clave), puedes añadir palabras clave para mejorar la precisión de la detección. Por ejemplo, si buscas un número de tarjeta de crédito Visa de dieciséis dígitos, puedes añadir palabras clave como visa, credit y card.

5. Elige el número de caracteres antes de una coincidencia en los que debe aparecer la palabra clave. Por defecto, las palabras clave deben estar dentro de los 30 caracteres anteriores a una coincidencia.

6. Opcionalmente, en Define rule target and action (Definir objetivo y acción de la regla), edita las etiquetas que deseas asociar con eventos donde los valores coincidan con la regla. Datadog recomienda utilizar etiquetas sensitive_data y sensitive_data_category, que pueden utilizarse en búsquedas, dashboards y monitores. Consulta Control de acceso a logs con datos confidenciales para obtener información sobre cómo utilizar etiquetas para determinar quién puede acceder a logs que contengan datos confidenciales.

7. En Set priority level (Establecer nivel de prioridad), elige un valor basado en las necesidades de tu empresa.

8. Haz clic en Update (Actualizar).

1. Ve a la página de configuración de Sensitive Data Scanner que utiliza el Agent.

2. Pasa el ratón por encima de la regla de escaneo que desees editar y haz clic en el icono Edit (Editar) (lápiz).

   La sección Define match conditions (Definir condiciones de coincidencia) muestra una explicación de la regla de escaneo de biblioteca que elegiste junto con ejemplos de información confidencial coincidente.

3. En Create keyword dictionary (Crear diccionario de palabras clave), puedes añadir palabras clave para mejorar la precisión de la detección. Por ejemplo, si buscas un número de tarjeta de crédito Visa de dieciséis dígitos, puedes añadir palabras clave como visa, credit y card.

4. Elige el número de caracteres antes de una coincidencia en los que debe aparecer la palabra clave. Por defecto, las palabras clave deben estar dentro de los 30 caracteres anteriores a una coincidencia.

5. Haz clic en Save (Guardar).

Para redactar datos confidenciales contenidos en etiquetas, debes reasignar la etiqueta a un atributo y, a continuación, redactar el atributo. Desmarca Preserve source attribute en el procesador de reasignación para que la etiqueta no se conserve durante la reasignación.

Para reasignar la etiqueta a un atributo:

1. Navega hasta tu pipeline de log.
2. Haz clic en Add Processor (Agregar procesador).
3. Selecciona Remapper (Reasignador) en el menú desplegable de tipo de procesador.
4. Nombra el procesador.
5. Selecciona Tag key(s) (Claves de etiqueta).
6. Introduce la clave de etiqueta.
7. Introduce un nombre para el atributo al que se reasigna la clave de etiqueta.
8. Desactiva Preserve source attribute (Preservar atributo de fuente).
9. Haz clic en Create (Crear).

Para redactar el atributo:

1. Navega hasta tu grupo de escaneo.
2. Haz clic en Add Scanning Rule (Añadir regla de escaneo).
3. Comprueba las reglas de biblioteca que deseas utilizar.
4. Selecciona Specific Attributes (Atributos específicos) en Scan entire event or portion of it (Escanear el evento completo o una parte).
5. Introduce el nombre del atributo que creaste anteriormente para especificar que deseas que se escanee.
6. Selecciona la acción que desees cuando haya una coincidencia.
7. Si lo deseas, añade etiquetas.
8. Haz clic en Add Rules (Añadir reglas).

Esta funcionalidad no está disponible para Sensitive Data Scanner que utiliza el Agent.