Respondの構成：プライバシー データの難読化

DPO（データ プライバシー責任者）ロールは機微データを含むメタ キーを特定でき、難読化されたデータを表示する必要があります。このトピックでは、実際の値ではなくハッシュ化された値が表示されるように、管理者がそのメタ キーを割り当てる方法について説明します。

ハッシュ化されたメタ値に関する注意事項を次に示します。

• NetWitness Suiteでは、ハッシュ化されたメタ値の保存方法として、進（デフォルト）と文字列の2つの方法をサポートしています。
• ハッシュ化された値を表示するようにメタ キーが構成されている場合、Incidentモジュールでは、すべてのセキュリティ ロールにハッシュ化された値のみが表示されます。 
• ハッシュ化された値は、実際の値と同じように使用します。たとえば、ハッシュされた値をルールの条件で使用すると、結果は、実際の値を使用した場合と同じになります。

このトピックでは、NetWitness Respondでプライベート データを難読化する方法について説明します。データ プライバシーの詳細情報については、「データ プライバシーの管理ガイド」の「データ プライバシーの管理の概要」トピックを参照してください。

メタ キー難読化のためのマッピング ファイル

NetWitness Respondでは、データの難読化のためのマッピング ファイルはdata_privacy_map.jsです。そのファイルで、難読化されたメタ キー名を入力し、実際のメタ キー名に割り当てます。

次の例は、ip.srcとuser.dstの2つのメタ キーのデータを難読化するためのマッピングを示しています。

'ip.src.hash' : 'ip.src',
'user.dst.hash' : 'user.dst'

難読化されたメタ キー名の命名規則を決定します。たとえば、ip.src.hashについては、ip.src.privateまたはip.src.binとなります。命名規則を1つ選択し、その規則をすべてのホストで一貫して使用する必要があります。

前提条件

• DPOロールは、データの難読化を必要とするメタ キーを指定する必要があります。
• 管理者ロールは、データの難読化のメタ キーを割り当てる必要があります。

手順

1. データ プライバシー マッピング ファイルを開きます。
   /var/lib/netwitness/respond-server/scripts/data_privacy_map.js
2. obfuscated_attribute_map変数で、メタ キーの名前を入力して、難読化されたデータを保持します。次に、その難読化されたデータを、次のフォーマットに従って、難読化されたデータが含まれないメタ キーに割り当てます。
   'ip.src.hash' : 'ip.src'
3. ハッシュ化された値を表示する必要があるメタ キーごとにステップ2を繰り返します。 
4. ステップ2と同じ命名規則を使用します。その規則はすべてのホストで一貫して使用します。
5. ファイルを保存します。
   割り当てられたメタ キーすべてについて、実際の値ではなくハッシュ化された値が表示されます。
   次の図では、［イベントの詳細］内のハッシュ化された宛先IPアドレスが表示されています。
   
   

   新しいアラートによって、難読化されたデータが表示されます。

注：既存のアラートでも、引き続き、機微データが表示されます。この手順は、遡っては適用されません。