Práticas recomendadas de log

Níveis de log

Tenha cuidado para não registrar em log uma quantidade excessiva de dados. Os logs devem capturar dados úteis e acionáveis. O excesso de log pode afetar negativamente a performance e aumentar os custos de armazenamento e processamento dos logs. O excesso de log também pode resultar em problemas e eventos de segurança que não são detectados.

Registrar os códigos de status de resposta HTTP pode gerar uma quantidade significativa de dados de log, especialmente códigos de status de nível 200 (sucesso) e nível 300 (redirecionamento). Recomendamos considerar registrar somente códigos de status no nível 400 (erros do lado do cliente) e no nível 500 (erros do lado do servidor).

As estruturas de log de aplicações fornecem diferentes níveis de log, como informações, depuração ou erro. Para ambientes de desenvolvimento, talvez você queira usar logs detalhados, por exemplo, incluir informações e depuração para ajudar seus desenvolvedores. No entanto, recomendamos desativar os níveis de informações e depuração para ambientes de produção porque eles podem gerar dados de log excessivos.

Precauções e exclusões

• Certifique-se de que os dados que você está registrando sejam legalmente permitidos, especialmente nas jurisdições em que sua organização opera.

• Não exclua nenhum evento de usuários conhecidos (como outros sistemas internos), terceiros confiáveis, robôs de mecanismos de pesquisa, monitores de tempo de atividade ou de processos e outros sistemas de monitoramento remoto. No entanto, é possível incluir um sinalizador de classificação para cada um deles nos dados registrados. Considere que os arquivos de log gerados por sua aplicação podem ser usados por terceiros, como soluções de monitoramento de log de terceiros ou provedores de serviços externos, que não estão autorizados a visualizar dados confidenciais processados pela aplicação.

• Os atributos a seguir não devem ser registrados diretamente nos logs. Remova, mascare, higienize, aplique hash ou criptografe o seguinte:

  • Código-fonte da aplicação

  • Valores de identificação da sessão (considere substituí-los por um valor com hash se precisar rastrear eventos específicos da sessão)

  • Tokens de acesso

  • Dados sigilosos e algumas formas de informações de identificação pessoal (PII), como informações de saúde ou identificadores emitidos pelo governo

  • Autenticação com senha

  • Strings de conexão de banco de dados

  • Chaves de criptografia e outros segredos primários

  • Dados do titular de contas bancárias ou cartões de pagamento

  • Dados de uma classificação de segurança mais alta do que o sistema de log pode armazenar

  • Informações comerciais confidenciais

  • Informações cuja obtenção é ilegal nas jurisdições relevantes

  • Informações cuja obtenção foi negada ou não consentida explicitamente por um usuário

  • Informações cuja permissão para obtenção expirou

Tipos de dados especiais

Algumas vezes, os dados a seguir também podem ser registrados em logs. Embora eles possam ser útil para fins investigativos e de solução de problemas, também podem revelar informações confidenciais sobre o sistema. Talvez seja necessário anonimizar, fazer hash ou criptografar esses tipos de dados antes que o evento seja gravado:

• Caminhos do arquivo

• Nomes e endereços de rede internos

• Dados pessoais não confidenciais, como nomes pessoais, números de telefone e endereços de e-mail

Use a anonimização de dados se a identidade real do indivíduo não for exigida no log ou se o risco for considerado muito grande.

Gerenciamento de acesso e alterações

• Usuários não administrativos não devem ser capazes de desativar o log de eventos, especialmente aqueles que são necessários para atender aos requisitos de conformidade.

• Somente usuários administrativos devem ser capazes de pausar ou interromper o log de serviços ou modificar configurações.

• Se o seu serviço de log tiver um recurso de validação da integridade do arquivo de log, habilite-o. Isso ajuda você a detectar modificações, exclusões ou falsificação de arquivos de log. Para obter mais informações sobre este recurso nos Serviços da AWS, consulte Uso do CloudTrail neste guia.

• As alterações no log devem ser intrínsecas das aplicações, como se fossem feitas automaticamente pela aplicação com base em um algoritmo aprovado, ou seguir um processo de gerenciamento de alterações aprovado, como quando você altera os dados de configuração ou modifica o código-fonte.