Amazon CloudWatch Logsで機密データを保護できるようになりました

アップデート概要
検証
まとめ

AWS re:Invent 2022が始まり、アップデートが増えてきました。
Amazon CloudWatch Logsで機密データを保護できるようになったようなので、検証してみました。

aws.amazon.com

アップデート概要

Amazon CloudWatch LogsはAWSが提供しているログ監視サービスです。
システムやアプリケーション、 AWSサービスからのログを一元化して監視することができ、検索や検知に活用できます。
今回はそのCloudWatch Logsに対して、データ保護ポリシーを適用することで、ログ中の機密データを検知して自動的にマスクできるようになりました。
HIPPA、GDPR、PCI-DSSといった規制にも役立つ機能です。

以下がユーザガイドになります。

docs.aws.amazon.com

保護できるデータの種類は以下にまとまっており、本記事の執筆時点では日本語対応はしていないようです。

docs.aws.amazon.com

検証

機密データを検知させてみる

ロググループを作成します。

「アクション」から「Create data protection policy」を押下します。

プルダウンで保護対象を選択します。「EmailAddress」と「Name」を選択してみました。

適当なログストリームを作成して、サンプルのメールアドレスを流してみます。

アスタリスクでマスクされていることを確認できました。

次に氏名を流してみましたが、日本語氏名はマスクされないようです。

※アンマスクしたもの（アンマスク方法は後述）

機密データとして検知すると、警告表示が出ます。

「Data protection」というタブが追加されており、検知数を確認できます。

アンマスクしてみる

「Display」から「Temporarily unmask protection data」を押下するとアンマスクできます。

ただし「logs:Unmask」権限が必要なので、権限が無いと以下のようにエラーになります。
「ReadOnlyAccess」でもアンマスクはできませんでした。

IAMユーザに以下「logs:Unmask」権限を付与しましょう。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "logs:Unmask",
            "Resource": "*"
        }
    ]
}