バックエンドが常に理想的なレスポンスを生成するとは限りません。レガシーアプリケーションは、ID番号、カード番号、メールアドレス、内部ホスト名、古いリンク、または不必要な技術情報を返すことがあります。これらの値はヘッダーではなくレスポンスボディの内部に現れるため、標準のヘッダールールでは修正できません。
アプリケーションコードで問題を修正することは多くの場合遅いです。サービスが別のチームが所有している、リリーススケジュールが数ヶ月先、またはソースコードが古い技術のために変更困難なことがあります。しかし、セキュリティおよびコンプライアンスチームはすぐに漏洩を閉じる必要があります。
注意なくレスポンスボディに介入することは、それ自体が新たなリスクを生み出す可能性があります。正しく書かれていないregexはページ全体を破壊し、HTMLの注入は誤った場所に入り、非常に大きなレスポンスの処理はパフォーマンスに影響を与えます。したがってボディ変更ルールは制御されたパラメータと明確に定義されたスコープで適用する必要があります。
正しいアプローチは、レスポンスボディに対するmask、replace、HTMLタグ操作を集中的なトラフィックルールとして管理することです。ルールはどのパス、コンテンツタイプ、または条件に適用するかを知っていなければなりません；マッチ動作とボディサイズ制限は明示的に定義されるべきです。
TR7 レスポンスボディ変更はバックエンドコードを変更することなくレスポンスコンテンツをマスク、置換、またはHTML注入します — ADC/WAAPレイヤーでデータ漏洩とレガシー修正のニーズを解決します。
TR7はレスポンスボディ変更を3つのコアモードで処理します：マスキング、置換、HTMLタグ注入。
maskモードは文字列またはregexでマッチした値の一部をマスク文字で置き換えます。オフセットと最小マッチ設定により誤検知のリスクを軽減します。
replaceモードは特定の文字列またはregexマッチを新しい値に置き換えます。レガシーリンクの修正、内部ホスト名の隠蔽、または軽微なレスポンスの正規化に使用されます。
htmlTagモードはアプリケーションテンプレートに触れることなく、スクリプト、バナー、メタタグ、または類似のHTMLフラグメントをレスポンスに挿入できます。
ボディ変更ルールは特定のvService、パス、コンテンツタイプ、またはトラフィック条件にスコープできます。デフォルトのボディ制限は低く保たれており、必要に応じて慎重に引き上げられます。
レスポンスボディ変更はセキュリティ、コンプライアンス、レガシーモダナイゼーションを目的としてレスポンスボディに制御された変更を加えます。
TR7はレスポンスボディで動作するmodifyResponseアクションを通じてコンテンツ変更を集中的なルールに変換します。ルールはレスポンスフェーズで動作し、バックエンドから届いたボディをクライアントに転送する前に処理します。この構造により、アプリケーションコード、テンプレート、またはバックエンドのリリースプロセスに依存することなく迅速な修正が可能です — レガシーアプリケーションの重大なセキュリティギャップを閉じるために特に価値があります。
maskモードはキャプチャされた値を選択されたマスク文字で置き換えます。マスク文字は1文字として定義され、デフォルトは`*`です。オフセット設定により指定された数の文字を先頭または末尾に表示したままにできます。カード番号、ID番号、患者ID、メールアドレスなどのフィールドで部分的な可視性を保ちながら機密データを保護します。
replaceモードは特定の文字列またはregexマッチを新しい値に置き換えます。内部ホスト名、古いドメイン、不正なリンク、廃止されたエンドポイント、またはレスポンス内の技術的な詳細はすべて修正できます。操作はバックエンドの出力を最終出口点で正規化します。アプリケーションコードを変更せずにクライアントは正確で安全なコンテンツを受信します。
htmlTagモードは特定のタグまたはコンテンツをHTMLレスポンスに挿入します。メンテナンス通知、セキュリティバナー、コンプライアンステキスト、または軽微なクライアントサイドの修正に有用です。このアプローチはアプリケーションテンプレートを変更せずにレスポンスレベルでコンテンツを追加します。ルールは制御された適用のために特定のパスまたはホスト条件にスコープできます。
単純なリテラルマッチングには文字列マッチャーが使用できます。より複雑なパターンにはregexマッチャーを選択できます。RegexはID番号、カード形式、メールアドレス、またはカスタム組織パターンなどの変数値のキャプチャに役立ちます。オペレーターはニーズに応じて高速なリテラルマッチングまたは柔軟なパターンベースのマッチングを選択できます。
大文字小文字の区別は一部のレスポンスコンテンツで重要な場合があります。TR7は大文字小文字の区別設定でマッチャーの動作を制御できます。省略文字などのオプションによりマスキング中に保持する特定の文字を指定できます。これにより電話番号、IBAN、カード番号、またはカスタムフォーマットの値に対してより読みやすいマスキング出力が得られます。
完全なマスキングが常に望ましいとは限りません。監査またはユーザーエクスペリエンスの目的で、末尾4桁、先頭数文字、または特定のフォーマットセクションを表示したままにできます。マスクオフセットはこの動作をルールパラメータに変換します。アプリケーションコードなしで部分的なマスキング標準が適用されます。
一部のパターンは単発の偶発的なマッチを生成することがあります。最小マッチ数設定により、ルールは指定された数のマッチが見つかったときのみ適用されます。これにより過度に積極的なマスキングがページを破損することを防ぎます。機密データパターンがより安全で予測可能な方法で適用されます。
レスポンスボディの処理はヘッダールールよりもコストがかかります。TR7はデフォルトで限られたボディサイズで動作し、必要に応じてこの値を引き上げられます。非常に大きなレスポンスに対してはパフォーマンスとメモリへの影響を考慮する必要があります。オペレーターはボディ変更ルールを必要なサービスとコンテンツタイプにのみ実行してください。
ボディ変更はJSON APIレスポンス、HTMLページ、またはプレーンテキスト出力に適用できます。JSONでの機密フィールドのマスキング、HTMLへのバナー注入、プレーンテキストでの内部情報の隠蔽がすべてサポートされます。ルールはコンテンツタイプとパス条件で制限できます。この柔軟性により異なるアプリケーションタイプを同じアクションで管理できます。
レスポンスボディ変更は機密データマスキング戦略のレスポンス側の適用メカニズムの1つです。ログIPマスキング、クッキー暗号化、レスポンスボディマスキングが一緒に使用されると、より広範なデータ漏洩制御が達成されます。バックエンドが意図以上のデータを返しても、TR7は最終出口点で介入できます。これによりコンプライアンスチームに強力な追加のセキュリティレイヤーが提供されます。
ボディ変更ルールはすべてのレスポンスで実行する必要はありません。ホスト、パス、ステータスコード、コンテンツタイプ、ユーザー、ソースIP、またはその他のFX条件でトリガーできます。これにより変更が機密エンドポイントのみまたは特定のユーザーグループにのみ適用されます。不必要なパフォーマンスコストと意図しない置換のリスクが両方軽減されます。
レスポンスボディ変更は、マッチャータイプ、ボディサイズ、コンテンツタイプスコープ、圧縮、ストリーミング動作、監査可視性と共に設計される必要があります。
文字列マッチャーは高速で決定論的なマッチに適しています。regexマッチャーはより柔軟ですが、正しく書かれていないと広くマッチしすぎることがあります。重要なルールではナロースコープの条件でのテストが推奨されます。
デフォルトのボディ制限は小さく保たれており、必要に応じて引き上げられます。大きなレスポンスの処理はメモリとレイテンシのオーバーヘッドを生み出します。制限を数百MBに引き上げる必要がある場合は、エンドポイントのスコープを慎重に制限してください。
ルールはJSONまたはHTMLまたはテキストのレスポンスにのみ制限されるべきです。バイナリファイル、アーカイブ、またはメディアレスポンスにはボディ変更を適用しないでください。コンテンツタイプフィルターは安全な動作に重要です。
レスポンスが圧縮されている場合、ボディ変更が実行される前にコンテンツが処理可能な状態である必要があります。圧縮と変更のシーケンスを正しく計画する必要があります。そうしないとマッチャーは期待されるテキストを見られません。
ストリーミングレスポンスのボディ変更にはより慎重な処理が必要です。マッチ境界とバッファ動作はチャンクコンテンツにとって重要です。大きなまたは継続的なストリームではルールスコープを狭く保つべきです。
どのルールがどのレスポンスで実行されたかをログに記録できます。機密値自体をログに記録する代わりに、ルール名、エンドポイント、マッチ数などのメタデータを保持すべきです。これによりコンプライアンスとセキュリティレビューにより安全な監査記録が得られます。
金融アプリケーションがレスポンスにカード番号を含める場合があります。TR7は末尾4桁以外をすべてマスクして機密データ露出のリスクを軽減します。
レガシーヘルスケアアプリケーションがレスポンスに患者IDまたはID情報を返すことがあります。TR7はregexベースのマスキングでこれらのフィールドをユーザーに届く前に隠蔽します。
HTMLレスポンスに古いドメインまたは内部ホスト名の参照が含まれることがあります。replaceモードはこれらのリンクを新しいパブリックドメインに置き換え、移行プロセスを簡素化します。
アプリケーションテンプレートが変更できない場合、TR7はhtmlTagモードを使用してバナーまたは情報フラグメントをページに追加できます。これにより一時的なメンテナンスとコンプライアンスの通知に実用的な解決策が提供されます。
バックエンドがレスポンスに内部IPアドレス、ホスト名、または技術的なバージョン情報を返すことがあります。TR7はreplaceまたはmaskルールを使用してこの情報をクライアントに届く前に除去します。
mask、replace、htmlTagモードによる機密データのマスキング、レガシーリンクの書き換え、バナー注入。お客様自身のサービスでのライブセットアップをご案内します。