これは何？
datadogのログ管理(Log Explorer)に関する保護対策(改ざん防止、暗号化、長期保存等)を確認する機会がありましたので、記事にします。
確認結果
暗号化
インデックス化されたログに対して対称暗号化保存 (AES-256) を使用し暗号化を実施
Datadog は、インデックス化されたログに対して対称暗号化保存 (AES-256) を使用します。インデックス化されたログは、ユーザー定義の保存期間が過ぎると、Datadog プラットフォームから削除されます。
https://docs.datadoghq.com/ja/data_security/logs/
長期保存
Datadogの設定またはログアーカイブ設定をすることにより可能
datadog側ログ保管期間
契約プランにより異なるが、最短3日 ~ 最大180日間はdatadog側にてログを保管することが可能。
※datadogはログ件数と保持期間によりログ保管料金が決まる
そのため基本的には早めにログアーカイブする or datadog側に送るログを厳選するのがコスト的にはベスト
- datadogログ管理料金
https://www.datadoghq.com/ja/pricing/?product=log-management#products
ログアーカイブ
AWSやAzureなどといったクラウドにログを無期限で保管することが可能。
そのため、datadogのログ保管期間を過ぎた場合の保管先として利用する。
https://docs.datadoghq.com/ja/logs/log_configuration/archives/
改ざん防止
データの改ざん等からデータを保護する対策としては、データ保存時の暗号化による保護、データ転送の禁止、暗号化通信の使用、データへのアクセス制御、アクセスの監視/記録などの対応をdatadog側にて実施している模様。
※ドキュメントから一部引用
認証済みユーザーによって Datadog サービスに送信されたデータは、機密データと見なされます。このデータは、公共ネットワークを介して送信される際には保護され、保存時には暗号化されます。お客様からの要求があった場合などの一部の例外を除き、カスタマーデータの Datadog 本稼働サービス環境外部への転送は許可されません。
Datadog と Datadog ユーザーの間で送信されるすべてのデータは、Transport Layer Security (TLS) および HTTP Strict Transport Security (HSTS) を使用して保護されます。暗号化通信が途切れた場合、Datadog アプリケーションにはアクセスできなくなります。
現在、カスタマーデータは米国にあり、そのほとんどはバージニア州にあります。Datadog は、さまざまなポイントで暗号化を使用して、カスタマーデータと Datadog の機密情報を保護しています。たとえば、Encryption At Rest (AES-256 など)、システムバックアップ時には非対称暗号化 (PGP など)、機密情報 (パスワード、アクセストークン、API キーなど) の保護時には KMS ベースの保護、GPG 暗号化などです。
カスタマーデータへのアクセスは、それをビジネス要件とする機能に制限されます。Datadog は、管理目的のロールと権限に対して複数レイヤーのアクセス制御を実装しています。カスタマーデータを含む環境にアクセスするには、多要素認証 (MFA) を含む一連の認証/承認制御を経る必要があります。Datadog は、カスタマーデータへのアクセスに対して最小権限原則と Need to Know 原則を適用し、これらの環境へのアクセスは、セキュリティの目的で監視され、記録されます。Datadog は、管理資格情報とアクセス機構の整合性と機密性を確保するように制御を行い、ワークステーションにフルディスクの暗号とユニーククレデンシャルを適用しています。
Datadog は、重要なインフラストラクチャーのセキュリティ関連イベントを監視するために、オープンソース技術と商用技術をカスタマイズして実装しています。API の呼び出しやオペレーティングシステムレベルの呼び出しなどのアクティビティデータは、一元的に記録されます。それらの情報は複数のカスタムルールに基づいて試験され、不正な動作や承認されない動作が識別されます。ルールの結果はオーケストレーションプラットフォームに送付され、セキュリティチームに直接アラートを送信する、追加の認証を要求するなどのアクションが自動的にトリガーされます。
まとめ
監視ツールの中でも有名なツールな為、セキュリティもしっかりしているという印象でした。
このような情報が公開されていないと導入提案もしづらい場合があるため、ありがたいです。