Erstellen einer Datenschutzrichtlinie für eine einzelne Protokollgruppe

PDFRSS

Sie können die CloudWatch Logs-Konsole oder AWS CLI Befehle verwenden, um eine Datenschutzrichtlinie zum Maskieren vertraulicher Daten zu erstellen.

Sie können jeder Protokollgruppe eine Datenschutzrichtlinie zuweisen. Jede Datenschutzrichtlinie kann mehrere Arten von Informationen überprüfen. Jede Datenschutzrichtlinie kann eine Audit-Anweisung enthalten.

Konsole

Verwenden der Konsole zum Erstellen einer Datenschutzrichtlinie

1. Öffnen Sie die CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

2. Wählen Sie im Navigationsbereich Logs (Protokolle), Log groups (Protokollgruppen) aus.

3. Wählen Sie den Namen der Protokollgruppe aus.

4. Wählen Sie Actions (Aktionen), Create data protection policy (Datenschutzrichtlinie erstellen) aus.

5. Wählen Sie unter Verwaltete Datenbezeichner die Datentypen aus, die Sie in dieser Protokollgruppe prüfen und maskieren möchten. Sie können im Auswahlfeld eingeben, welche Kennungen Sie finden möchten.

   Wir empfehlen Ihnen, nur die Datenkennungen auszuwählen, die für Ihre Protokolldaten und Ihr Unternehmen relevant sind. Die Auswahl vieler Datentypen kann zu falsch-positiven Ergebnissen führen.

   Einzelheiten dazu, welche Datentypen Sie mithilfe verwalteter Datenbezeichner schützen können, finden Sie unter. Arten von Daten, die Sie schützen können

6. (Optional) Wenn Sie andere Datentypen mithilfe benutzerdefinierter Datenbezeichner prüfen und maskieren möchten, wählen Sie Benutzerdefinierten Datenbezeichner hinzufügen. Geben Sie dann einen Namen für den Datentyp und den regulären Ausdruck ein, mit dem in den Protokollereignissen nach diesem Datentyp gesucht werden soll. Weitere Informationen finden Sie unter Benutzerdefinierte Datenbezeichner.

   Eine einzelne Datenschutzrichtlinie kann bis zu 10 benutzerdefinierte Datenkennungen enthalten. Jeder reguläre Ausdruck, der einen benutzerdefinierten Datenbezeichner definiert, muss 200 Zeichen oder weniger lang sein.

7. (Optional) Wählen Sie einen oder mehrere Services aus, an die Sie die Audit-Ergebnisse senden möchten. Auch wenn Sie sich dafür entscheiden, keine Audit-Ergebnisse an einen dieser Services zu senden, werden die von Ihnen ausgewählten vertraulichen Datentypen dennoch maskiert.

8. Wählen Sie Activate data protection (Datenschutz aktivieren) aus.

AWS CLI

Um den AWS CLI zu verwenden, um eine Datenschutzrichtlinie zu erstellen

1. Verwenden Sie einen Text-Editor, um eine Richtliniendatei mit dem Namen DataProtectionPolicy.json zu erstellen. Informationen zur Richtliniensyntax finden Sie im folgenden Abschnitt.

2. Geben Sie den folgenden Befehl ein:

   aws logs put-data-protection-policy --log-group-identifier "my-log-group" --policy-document file:///Path/DataProtectionPolicy.json --region us-west-2

Syntax der Datenschutzrichtlinie für AWS CLI unsere API Operationen

Wenn Sie eine JSON Datenschutzrichtlinie zur Verwendung in einem AWS CLI Befehl oder einer API Operation erstellen, muss die Richtlinie zwei JSON Blöcke enthalten:

• Der erste Block muss sowohl ein DataIdentifer-Array als auch eine Operation-Eigenschaft mit einerAudit-Aktion enthalten. Das DataIdentifer-Array listet die vertraulichen Datentypen auf, die Sie maskieren möchten. Weitere Informationen zu den verfügbaren Optionen finden Sie unter Arten von Daten, die Sie schützen können.

  Die Operation-Eigenschaft mit der Audit-Aktion ist erforderlich, um die Begriffe für vertrauliche Daten zu finden. Diese Audit-Aktion muss ein FindingsDestination-Objekt enthalten. Sie können dieses FindingsDestination-Objekt optional verwenden, um ein oder mehrere Ziele aufzulisten, an die Prüfergebnisberichte gesendet werden sollen. Wenn Sie Ziele wie Protokollgruppen, Amazon Data Firehose-Streams und S3-Buckets angeben, müssen diese bereits vorhanden sein. Ein Beispiel für einen Prüfergebnisbericht finden Sie unter Prüfergebnisberichte.

• Der zweite Block muss sowohl ein DataIdentifer-Array als auch eine Operation-Eigenschaft mit einer Deidentify-Aktion enthalten. Das DataIdentifer-Array muss genau mit dem DataIdentifer-Array im ersten Block der Richtlinie übereinstimmen.

  Die Operation-Eigenschaft mit der Deidentify-Aktion maskiert die Daten tatsächlich und muss das "MaskConfig": {}-Objekt enthalten. Das "MaskConfig": {}-Objekt muss leer sein.

Im Folgenden finden Sie ein Beispiel für eine Datenschutzrichtlinie, die E-Mail-Adressen und Führerscheine der Vereinigten Staaten maskiert.

{
    "Name": "data-protection-policy",
    "Description": "test description",
    "Version": "2021-06-01",
    "Statement": [{
            "Sid": "audit-policy",
            "DataIdentifier": [
                "arn:aws:dataprotection::aws:data-identifier/EmailAddress",
                "arn:aws:dataprotection::aws:data-identifier/DriversLicense-US"
            ],
            "Operation": {
                "Audit": {
                    "FindingsDestination": {
                        "CloudWatchLogs": {
                            "LogGroup": "EXISTING_LOG_GROUP_IN_YOUR_ACCOUNT,"
                        },
                        "Firehose": {
                            "DeliveryStream": "EXISTING_STREAM_IN_YOUR_ACCOUNT"
                        },
                        "S3": {
                            "Bucket": "EXISTING_BUCKET"
                        }
                    }
                }
            }
        },
        {
            "Sid": "redact-policy",
            "DataIdentifier": [
                "arn:aws:dataprotection::aws:data-identifier/EmailAddress",
                "arn:aws:dataprotection::aws:data-identifier/DriversLicense-US"
            ],
            "Operation": {
                "Deidentify": {
                    "MaskConfig": {}
                }
            }
        }
    ]
}