ログオプション

Data Loss Prevention では、特定の DLP ポリシーに一致したデータを証拠として取得、保存、確認できます。DLP には 3 つのログ方法があり、用途に応じて使い分けます。

全プランのユーザーは、一致した HTTP リクエストの ペイロード または 生成 AI プロンプト内容 を Cloudflare ログに記録できます。加えて Enterprise ユーザーは、Logpush ジョブを設定 し、一致した HTTP リクエスト全体のコピーを保存先に送れます。

DLP ポリシーに一致したデータは、HTTP リクエストの本文にあります。ファイルアップロード、フォーム送信、チャットメッセージなどの内容を運ぶ部分です。この本文をペイロードと呼びます。ペイロードログは、DLP ポリシーの動作を調べるときに特に役立ちます。ルールに一致した値には機密データが含まれることがあるため、お客様が用意した公開鍵で暗号化し、あとから確認できるのはお客様だけです。保存データには、マスク済みの一致箇所と、一致箇所の前後 75 バイトの追加コンテキストが含まれます。

DLP ペイロードのログを始める前に、DLP ペイロード暗号化の公開鍵 を設定します。DLP は公開鍵暗号を使うため、一致した機密データを読めるのはお客様だけです。Cloudflare は秘密鍵を持たず、ログを復号できません。

ペイロードログのマスキング を設定し、ログ内の機密データの伏せ方も制御できます。

DLP は、一致した HTTP リクエストのペイロードを Cloudflare ログに記録できます。ペイロードログで、どの内容が DLP 検出を引き起こしたかを確認できます。実際の検出か、誤検出かの切り分けに使えます。

DLP Profile セレクター（トラフィックを DLP 検出プロファイルに照合するフィルター条件）を使う Allow または Block の HTTP ポリシーで、ペイロードログを有効にできます。

1. Traffic policies > Firewall policies > HTTP を開きます。
2. 既存の Allow または Block の DLP ポリシーを編集するか、新しいポリシーを作成 します。
3. ポリシービルダーで Configure policy settings までスクロールし、Log the payload of matched rules をオンにします。
4. Save を選びます。

Data Loss Prevention は、このポリシーに一致した HTTP リクエストのペイロードの一部を保存します。

DLP ペイロードログを表示するには:

1. Insights > Logs > HTTP request logs を開きます。
2. 確認したい DLP ログを開き、行を展開します。
3. Decrypt payload log を選びます。
4. 秘密鍵を入力し、Decrypt を選びます。

一致した DLP Profile の ID と、復号されたペイロードが表示されます。

DLP プロファイルで AI コンテキスト分析 をオンにしている場合、誤検出と正検出を報告して、検出精度を高められます。誤検出は、DLP が誤ってフラグを付けた一致です（実際には機密データではありません）。正検出は、DLP が機密データを正しく特定したことの確認です。これらの報告は、AI モデルの信頼度しきい値の調整に使われます。

DLP 一致ペイロードを誤検出または正検出として報告するには:

1. 報告するペイロードログを 探して復号 します。
2. Log details で、検出されたコンテキスト一致を選びます。
3. Context で、マスク済みの一致データを選びます。
4. Match details で、誤検出または正検出のどちらとして報告するかを選びます。

報告に基づき、DLP の機械学習は、関連プロファイルの今後の一致に対する信頼度を調整します。

• Cloudflare のログはすべて保存時に暗号化されます（ディスク上で暗号化されます）。ペイロード内容を暗号化すると、DLP ルールに一致した値に対する 2 層目の暗号化になります。
• Cloudflare は暗号化されたペイロードを復号できません。復号には秘密鍵が必要です。Cloudflare の担当者が秘密鍵を聞くことはありません。
• デフォルトでは、DLP は Full Mask を使い、一致パターン内の英数字を * に置き換え、形式は残します。例: 123-45-6789 は ***-**-**** になります。インシデント対応でより多くのコンテキストが必要な場合は、マスキングレベルを設定 し、一部または全体を表示できます。
  • Exact Data Match (EDM) で機密データを定義できます。EDM 一致ログでは、定義した文字列が伏せられます。

DLP は、AI ツールに送られたプロンプトトピックを検出して記録できます。

対応する Application Granular Controls アプリケーションとともに Application セレクターを使う Allow または Block の HTTP ポリシーで、AI プロンプト内容ログを有効にできます。ポリシーは、Gateway が詳細に検査できる特定の AI アプリケーション（ChatGPT など）を対象にする必要があります。

1. Traffic policies > Firewall policies > HTTP を開きます。
2. 既存の Allow または Block の DLP ポリシーを編集するか、新しいポリシーを作成 します。
3. ポリシービルダーで Configure policy settings までスクロールし、Capture generative AI prompt content in logs をオンにします。
4. Save を選びます。

Data Loss Prevention は、このポリシーに一致したリクエストのユーザープロンプトと AI モデルの応答を保存します。

生成 AI プロンプトログの詳細を表示するには:

1. Insights > Logs > HTTP request logs を開きます。
2. 確認したい DLP ログを開き、行を展開します。
3. Decrypt payload log を選びます。
4. 秘密鍵を入力し、Decrypt を選びます。
5. Summary > GenAI prompt captured で View prompt を選びます。

Gateway ログには、トピックと使用した AI モデルを含む会話の要約と、利用可能な場合はユーザープロンプトおよび AI モデルの生の応答が表示されます。DLP がプロンプトを取得するには、テキストプロンプトが必要です。

ペイロードログ（一致内容の暗号化された抜粋を保存）とは異なり、フォレンジックコピーは、変更していない HTTP リクエスト全体（すべてのヘッダーと本文全体）を外部の保存先に送ります。

Gateway では、HTTP の Allow および Block ポリシーに一致した HTTP リクエスト全体のコピーを、Logpush（Cloudflare のログ配信サービス）で設定した保存先（サードパーティの送信先を含む）に送れます。フォレンジックコピーには、機密データを含む可能性のある、変更していないペイロードとヘッダーが含まれます。Logpush のログは転送時のみ暗号化されます（TLS トラフィックとして送る場合など）。データが保存先に届いたあとは、その保存先の暗号化ポリシーに従って保存されます。Cloudflare が暗号化するものではありません。

DLP Forensic Copy の Logpush ジョブを設定するには:

1. Cloudflare ダッシュボード ↗ で Zero Trust > Insights > Logs を開き、Manage Logpush を選びます。
2. Logpush で Create a Logpush job を選びます。
3. Logpush の送信先 を選びます。
4. Configure logpush job で DLP forensic copies データセットを選びます。Create Logpush job を選びます。
5. Zero Trust に戻り、Traffic policies > Firewall policies > HTTP を開きます。
6. 既存の Allow または Block ポリシーを編集するか、新しいポリシーを作成 します。ポリシーに DLP プロファイルは不要です。任意の Gateway HTTP ポリシーからフォレンジックコピーを送れます。
7. ポリシービルダーで Configure policy settings までスクロールし、Send DLP forensic copies to storage をオンにします。
8. 保存先を選びます。Gateway は、HTTP リクエストを受け取れる設定済みの Logpush ジョブまたは連携を一覧表示します。
9. Save policy を選びます。

DLP は、このポリシーに一致した HTTP リクエストのコピーを Logpush の送信先に送ります。

Logpush は、アカウントあたり最大 4 件の DLP Forensic Copy Logpush ジョブに対応します。デフォルトでは、Gateway は一致したすべての HTTP リクエストを、設定した DLP Forensic Copy ジョブに送ります。特定のポリシー一致を特定のジョブに送るには、ログフィルター を設定します。リクエストにアーカイブファイルが含まれる場合、DLP は非圧縮で最大 100 MB までを設定した保存先に送ります。