加密或清理Rails日志文件

Question

我们的客户有非常严格的安全要求。因此，我们将使用Postgres的数据库加密选项之一加密Rails数据库。但是，当提交表单以创建数据时，Rails记录器会记录客户的数据。

我想一个选项不是加密日志文件，而是要抑制Rails为POST请求记录的所有参数值。这样做的最佳方式是什么？

另一种选择是在将Rails日志文件写入磁盘时对其进行加密。这是一个更好的方法，有什么好办法吗？

Answer 1

您可以做的一件事就是在 config / application.rb 文件中，您可以添加要从日志中省略的字段

class Application < Rails::Application
  ...
  config.filter_parameters += [:password]
  config.filter_parameters += [:ssn]    
  ....
 end

我希望这有助于

Answer 2

如果你想要比所有参数的filter_parameters更好的东西，你可以编写一个自定义记录器。   请参阅：http://rubyjunky.com/cleaning-up-rails-4-production-logging.html以及从中提取的宝石https://github.com/gshaw/concise_logging

但是，您需要将加密密钥存储在与日志相同的计算机上的某个位置，这可能意味着如果有人具有活动访问权限，它也是不可加密的（但如果他们以某种方式稍后获取日志则不会） 。

要考虑的一些问题：

• 您是否需要参数记录？ （你甚至检查一下 日志？你如何跟踪错误？）
• 您想要达到什么样的合规性？ PCI？ HIPAA？
• 您试图避免的攻击媒介是什么？即通过共享主机，物理攻击（移除硬盘驱动器），远程访问日志 访问（抓住机器上的所有文件），..

您的答案将定义如何解决此问题的准则！