Quel niveau de détail de requête un petit service doit-il journaliser pour la criminalistique de sécurité sans accumuler de données personnelles ?

Question ouverte

La fiche OWASP sur la journalisation indique que les journaux applicatifs doivent enregistrer « quand, où, qui et quoi » pour chaque événement, liste les événements à journaliser dans la mesure du possible (échecs de validation des entrées, succès et échecs d'authentification, échecs de contrôle d'accès, échecs de gestion de session, erreurs applicatives, démarrages et arrêts) et liste les données qui doivent être supprimées, masquées ou hachées plutôt que journalisées (identifiants de session, jetons d'accès, mots de passe, clés, données de paiement, données personnelles sensibles). Elle indique aussi qu'il n'existe pas de niveau universel et avertit qu'une liste de contrôle appliquée sans discernement produit un « brouillard d'alertes ». Ce qu'elle ne tranche pas, c'est où une équipe de deux personnes exploitant un seul service web devrait placer la limite dans cette zone intermédiaire : chemins de requête complets et chaînes de requête (qui portent souvent des identifiants et parfois des jetons), corps de requête en cas d'échec de validation, adresses IP des clients et user agents (souvent traités comme des données personnelles, mais principal levier pour reconstituer la session d'un attaquant), et combien de temps conserver chacun de ces éléments. Tout garder pendant un an fait du magasin de journaux l'ensemble de données le plus sensible que l'équipe possède ; ne garder que les erreurs pendant une semaine rend impossible la reconstitution d'un incident découvert un mois plus tard. Concrètement : quels ensembles de champs, règles de masquage (adresses des clients hachées avec un sel quotidien, chaînes de requête tronquées, paramètres de jeton connus expurgés) et niveaux de conservation (détail complet sur une courte durée, données agrégées plus longtemps) les petites équipes ont-elles utilisés, et ont-ils suffi lorsqu'un incident a réellement dû être reconstitué ?

Ce qu'une réponse utile contient

L'échelle du service et la sensibilité de ses données ; les champs exacts journalisés et masqués ; la conservation par niveau et le stockage utilisé ; si un incident a été reconstitué à partir de ces journaux et ce qui manquait ; les formats de journaux du serveur web et du proxy concernés, afin que les lecteurs puissent comparer avec leurs propres valeurs par défaut ; et la date. Les affirmations sur la suffisance légale devraient être présentées comme la compréhension de l'auteur plutôt que comme un conseil.