Información general

Las bibliotecas de rastreo de Datadog recopilan datos de una aplicación instrumentada. Esos datos se envían a Datadog como trazas (traces) y pueden contener datos confidenciales, como información de identificación personal (PII). Si estás ingiriendo datos confidenciales como trazas (traces) en Datadog, se pueden añadir remediaciones en la ingestión con Sensitive Data Scanner. También puedes configurar Datadog Agent o la biblioteca de rastreo para corregir datos confidenciales en la recopilación antes de que se envíen las trazas (traces) a Datadog.

Si las configuraciones aquí descritas no cubren tus requisitos de conformidad, ponte en contacto con el equipo de asistencia de Datadog.

Información personal en datos de rastreo

Las bibliotecas de rastreo APM de Datadog recopilan datos de observabilidad relevantes sobre las aplicaciones. Debido a que estas bibliotecas recopilan cientos de atributos únicos en datos de rastreo, esta página describe categorías de datos, centrándose en los atributos que pueden contener información personal sobre tus empleados y usuarios finales.

En la siguiente tabla se describen las categorías de datos personales recopilados por la instrumentación automática que proporcionan las bibliotecas de rastreo, con algunos ejemplos comunes.

La siguiente tabla describe el comportamiento predeterminado de cada biblioteca de rastreo de lenguajes con respecto a si se recopila una categoría de datos y si se enmascara por defecto.

Si utilizas Datadog Application Security Management (ASM), las bibliotecas de rastreo recopilan datos de solicitudes HTTP para ayudarte a comprender la naturaleza de una traza (trace) de seguridad. Datadog ASM oculta automáticamente ciertos datos y tú puedes configurar tus propias reglas de detección. Obtén más información sobre estos valores predeterminados y las opciones de configuración en la documentación sobre la privacidad de datos de Datadog ASM.

Agent

Nombres de los recursos

Los tramos (spans) de Datadog incluyen un atributo de nombre de recurso que puede contener datos confidenciales. Datadog Agent implementa el enmascaramiento de nombres de recursos para varios casos conocidos:

• Los literales numéricos SQL y las variables de enlace están enmascarados: Por ejemplo, la siguiente consulta SELECT data FROM table WHERE key=123 LIMIT 10 se se enmascara como SELECT data FROM table WHERE key = ? LIMIT ? antes de establecer el nombre del recurso para el tramo (span) de la consulta.
• Las cadenas de literales SQL se identifican utilizando las comillas estándar de ANSI para SQL: esto significa que las cadenas deben ir entre comillas simples ('). Algunas variantes de SQL admiten opcionalmente comillas dobles (") para las cadenas, pero la mayoría tratan las cosas entre comillas dobles como identificadores. El enmascarador de Datadog las trata como identificadores y no como cadenas, y no las enmascara.
• Las consultas de Redis se cuantifican al seleccionar solo los tokens de comando: por ejemplo, la siguiente consulta MULTI\nSET k1 v1\nSET k2 v2 se cuantifica a MULTI SET SET.

Enmascaramiento de trazas (traces)

Datadog Agent también enmascara datos de trazas (traces) confidenciales que no están dentro del nombre del recurso. Puedes configurar las reglas de enmascaramiento utilizando variables de entorno o el archivo de configuración datadog.yaml.

Los siguientes metadatos pueden enmascararse:

• Consultas de MongoDB
• Cuerpos de solicitud de ElasticSearch
• Comandos de Redis
• Comandos de MemCached
• URLs HTTP
• Stack traces

Nota: El enmascaramiento puede tener un impacto en el rendimiento de tu sistema, o podría ocultar información importante que no es confidencial. Considera qué enmascaramiento necesitas para tu configuración y personaliza tu configuración adecuadamente.

Nota: Puedes utilizar la limpieza automática para varios tipos de servicios al mismo tiempo. Configura cada uno de ellos en la sección obfuscation de tu archivo datadog.yaml.

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    mongodb:
      ## Configura reglas de enmascaramiento para tramos (spans) del tipo "mongodb". Habilitado por defecto.
      enabled: true
      keep_values:
        - document_id
        - template_id
      obfuscate_sql_values:
        - val1

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    elasticsearch:
      ## Configura las reglas de enmascaramiento para tramos (spans) del tipo "elasticsearch". Habilitado por defecto.
      enabled: true
      keep_values:
        - client_id
        - product_id
      obfuscate_sql_values:
        - val1

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    ## Configura las reglas de enmascaramiento para tramos (spans) del tipo "redis". Habilitado por defecto.
    redis:
      enabled: true
      remove_all_args: true

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    memcached:
      ## Configura las reglas de enmascaramiento para tramos (spans) del tipo "memcached". Habilitado por defecto.
      enabled: true

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    http:
      ## Habilita el enmascaramiento de cadenas de consulta en URLs. Deshabilitado por defecto.
      remove_query_string: true
      remove_paths_with_digits: true

apm_config:
  enabled: true

  ## (...)

  obfuscation:
    ## Permite eliminar las stack traces para reemplazarlas por "?". Deshabilitado por defecto.
    remove_stack_traces: true # default false

Sustituir etiquetas (tags)

Para limpiar datos confidenciales de las etiquetas (tags) de tu tramo (span), utiliza la configuración replace_tags en tu archivo de configuración datadog.yaml o la variable de entorno DD_APM_REPLACE_TAGS. El valor de la configuración o de la variable de entorno es una lista de uno o más grupos de parámetros que especifican cómo sustituir los datos confidenciales en tus etiquetas (tags). Estos parámetros son:

• name: la clave de la etiqueta (tag) a sustituir. Para que coincida con todas las etiquetas (tags), utiliza *. Para que coincida con el recurso, utiliza resource.name.
• pattern: el patrón regexp con el que debe coincidir.
• repl: la cadena de sustitución.

Por ejemplo:

apm_config:
  replace_tags:
    # Sustituye todos los caracteres a partir de la cadena `token/` en la etiqueta (tag) "http.url" con "?"
    - name: "http.url"
      pattern: "token/(.*)"
      repl: "?"
    # Elimina el carácter "/" final en los nombres de recursos
      pattern: "(.*)\/$"
      repl: "$1"
    # Sustituye todas las apariciones de "foo" en cualquier etiqueta (tag) por "bar"
    - name: "*"
      pattern: "foo"
      repl: "bar"
    # Elimina todos los valores de la etiqueta (tag) "error.stack"
    - name: "error.stack"
      pattern: "(?s).*"
    # Sustituye series de números en mensajes de error
    - name: "error.msg"
      pattern: "[0-9]{10}"
      repl: "[REDACTED]"

DD_APM_REPLACE_TAGS=[
      {
        "name": "http.url",
        "pattern": "token/(.*)",
        "repl": "?"
      },
      {
        "name": "resource.name",
        "pattern": "(.*)\/$",
        "repl": "$1"
      },
      {
        "name": "*",
        "pattern": "foo",
        "repl": "bar"
      },
      {
        "name": "error.stack",
        "pattern": "(?s).*"
      },
      {
        "name": "error.msg",
        "pattern": "[0-9]{10}",
        "repl": "[REDACTED]"
      }
]

- name: DD_APM_REPLACE_TAGS
  value: '[
            {
              "name": "http.url",
              "pattern": "token/(.*)",
              "repl": "?"
            },
            {
              "name": "resource.name",
              "pattern": "(.*)\/$",
              "repl": "$1"
            },
            {
              "name": "*",
              "pattern": "foo",
              "repl": "bar"
            },
            {
              "name": "error.stack",
              "pattern": "(?s).*"
            },
            {
              "name": "error.msg",
              "pattern": "[0-9]{10}",
              "repl": "[REDACTED]"
            }
          ]'

apiVersion: datadoghq.com/v2alpha1
kind: DatadogAgent
metadata:
  name: datadog
spec:
  override:
    nodeAgent:
      env:
        - name: DD_APM_REPLACE_TAGS
          value: '[
                   {
                     "name": "http.url",
                  # (...)
                  ]'

agents:
  containers:
    traceAgent:
      env:
        - name: DD_APM_REPLACE_TAGS
          value: '[
                   {
                     "name": "http.url",
                  # (...)
                  ]'

- DD_APM_REPLACE_TAGS=[{"name":"http.url","pattern":"token/(.*)","repl":"?"},{"name":"resource.name","pattern":"(.*)\/$","repl":"$1"},{"name":"*","pattern":"foo","repl":"bar"},{"name":"error.stack","pattern":"(?s).*"},{"name":"error.msg","pattern":"[0-9]{10}","repl":"[REDACTED]"}]

Ignorar recursos

Para conocer en profundidad las opciones a fin de evitar el rastreo de recursos específicos, consulta Ignorar recursos no deseados.

Si tus servicios incluyen tráfico simulado como, por ejemplo, checks de estado, es posible que quieras excluir estas trazas (traces) de la recopilación para que las métricas de tus servicios coincidan con el tráfico de producción.

El agente puede configurarse para excluir un recurso específico de las trazas (traces) enviadas por el agente a Datadog. Para evitar el envío de recursos específicos, utiliza la configuración ignore_resources en el archivo datadog.yaml. A continuación, crea un lista de una o más expresiones regulares, especificando qué recursos filtra el agente con base en su nombre de recurso.

Si estás ejecutando en un entorno de contenedores, establece DD_APM_IGNORE_RESOURCES en el contenedor con Datadog Agent en su lugar. Consulta las variables de entorno del APM Agent en Docker para obtener más detalles.

###### @param ignore_resources - lista de cadenas - opcional

###### Se puede proporcionar una lista de expresiones regulares para excluir ciertas trazas (traces) según su nombre de recurso.

###### Todas las entradas deben estar entre comillas dobles y separadas por comas.

###### ignore_resources: ["(GET|POST) /healthcheck","API::NotesController#index"]

Biblioteca

HTTP

Datadog está estandarizando la semántica de etiquetas (tags) de tramo (span) en todas las bibliotecas de rastreo. La información de las solicitudes HTTP se añaden como etiquetas (tags) de tramo (span) con el prefijo http.. Las bibliotecas tienen las siguientes opciones de configuración para controlar los datos confidenciales recopilados en tramos (span) HTTP.

Ocultar cadenas de consulta

Se le asigna a la etiqueta (tag) http.url el valor completo de la URL, incluida la cadena de consulta. La cadena de consulta podría contener datos confidenciales, por lo que, de forma predeterminada, Datadog la analiza y oculta los valores de aspecto sospechoso. Este proceso de ocultamiento es configurable. Para modificar la expresión regular utilizada para el ocultamiento, establece la variable de entornoDD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP en una expresión regular válida de tu elección. La expresión regular válida depende de la plataforma. Cuando la expresión regular encuentra un par clave-valor sospechoso, lo sustituye por <redacted>.

Si no deseas recopilar la cadena de consulta, establece la variable de entornoDD_HTTP_SERVER_TAG_QUERY_STRING en false. El valor predeterminado es true.

Recopilar encabezados

Para recopilar etiquetas (tags) de encabezados de traza (trace), establece la variable de entorno DD_TRACE_HEADER_TAGS con un mapa de claves de encabezado que no distinga mayúsculas de minúsculas para etiquetar nombres. La biblioteca aplica los valores de encabezado coincidentes como etiquetas (tags) en los tramos (spans) raíz. La configuración también acepta entradas sin un nombre de etiqueta (tag) especificado, por ejemplo:

DD_TRACE_HEADER_TAGS=CASE-insensitive-Header:my-tag-name,User-ID:userId,My-Header-And-Tag-Name

Procesamiento

Algunas bibliotecas de rastreo proporcionan una interfaz para el procesamiento de tramos (spans) a fin de modificar o eliminar manualmente los datos confidenciales recopilados en trazas (traces):

• Java: interfaz TraceInterceptor
• Ruby: Pipeline de procesamiento
• Python: Filtrado de trazas (traces)

Recopilación de telemetría

Datadog puede recopilar información del entorno y de diagnóstico sobre tus bibliotecas de rastreo para el procesamiento; esto puede incluir información sobre el host que ejecuta una aplicación, el sistema operativo, el lenguaje de programación y el tiempo de ejecución, las integraciones de APM utilizadas y las dependencias de la aplicación. Además, Datadog puede recopilar información como registros de diagnóstico, volcados de memoria con stack traces enmascaradas y varias métricas de rendimiento del sistema.

Puedes deshabilitar esta recopilación de telemetría utilizando cualquiera de estos ajustes:

apm_config:
  telemetry:
    enabled: false

export DD_INSTRUMENTATION_TELEMETRY_ENABLED=false

Cumplimiento del estándar PCI DSS para el cumplimiento de APM

apm_config:
  apm_dd_url: <https://trace-pci.agent.datadoghq.com>

Leer más

Más enlaces, artículos y documentación útiles:

Establecer una organización de Datadog que cumpla con el estándar PCIDOCUMENTACIÓN