マスク ルール

ルール

• マスクする表現は、正規表現でキャプチャ グループとして表現する必要があります。キャプチャ グループは、括弧 () で囲むことにより識別されます。

  たとえば、次のメッセージがあるとします。

      { 
    "reqHdr":{ 
    "auth":"Basic ksoe9wudkej2lfj*jshd6sl.cmei=", 
    "cookie":"$Version=0; JSESSIONID=6C1BR5DAB897346B70FD2CA7SD4639.localhost_bc; $Path=/" 
    }}

  次のマスク表現を使用して auth パラメータのトークンをマスクします。

  auth"\s*:\s*"Basic\s*([^"]+)" 

• 必要以上にログの多くの箇所を一致させないでください。前の例では、次の表現は必要以上に一致するため使用しないでください。 

  (?s).*auth"\s*:\s*"Basic\s*([^"]+)".*(?s)

• 特定の値を検出するためにアンカーを使用できます。たとえば、ログですべてのユーザのメールを User:(user@email.com)]として識別できる場合、User:(.*)] を使用して User: が先頭アンカー、] が終了アンカーになるようにできます。キャプチャ グループ (.*) はこれらのアンカーの間のすべてを照合し、マスクします。

• 複数のキャプチャ グループを指定できます。1 つのフィルタで複数のキャプチャ グループを指定した場合、それぞれの値が同じようにマスクされます。そのため、ユーザのメール アドレスと IP アドレスについて 1 つのフィルタを作成した場合、どちらも同じマスク文字列に置換されます。たとえば、上のログの例の場合、次の正規表現のフィルタには 2 つのキャプチャ グループがあります。1 つはメール アドレスで、もう 1 つはセッション ID です。

  auth=User\:(.*\.com)\]\s.*\[session=(.*?)\]\s

• 各キャプチャ グループは各ログに存在するすべての出現を照合し、マスクします。

• 値ごとに異なるマスクを使用するには、値ごとに個別のマスクを作成する必要があります。たとえば、ユーザ メール文字列と異なる文字列で IP アドレスをマスクする場合は、表現 (\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\)] で別のフィルタを作成し、USER_ADDRESS をマスク文字列として使用できます。

• ログ行の全文に一致するキャプチャ グループがある正規表現を指定していないことを確認してください。指定していると、ログ行全体がマスクされます。

• 複数行で値をマスクする必要がある場合、単一行の修飾子 (?s) を使用します。例:

  auth=User\:(.*(?s).*session=.*?)\]

• マスク文字列が元の文字列のサイズの 5 倍を超えるとサイズが調整されます。たとえば、マスク ルールによってサイズが 7 バイトから 38 バイトに増加した場合、メッセージの最後の 3 バイトが削除され 35 バイト (7 バイトの 5 倍) に調整されます。

例