Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

DLP

最終更新 Markdown で表示Agent セットアップ

このガイドでは、Data Loss Prevention（DLP）でよくある問題の切り分け方法を説明します。

DLP ポリシーが発動しない、またはコンテンツをブロックしない

DLP がコンテンツを検査・ブロックしないことは、最も多く報告される問題です。DLP ポリシー を設定しているのにトラフィックを検査・ブロックできない場合、原因はほぼ常に、トラフィックが復号されていないことです。DLP で HTTPS リクエストの内容をスキャンするには、TLS 復号 をオンにする必要があります。

TLS 復号をオンにするには:

  1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Traffic settings を開きます。
  2. Proxy and inspection で、Inspect HTTPS requests with TLS decryption をオンにします。

  1. cloudflare_api_token ↗ に次の権限を追加します。

    • Zero Trust Write

  2. cloudflare_zero_trust_gateway_settings ↗ で tls_decrypt 引数を設定します。

    resource "cloudflare_zero_trust_gateway_settings" "team_name" {
	account_id = var.cloudflare_account_id
	settings = {
		tls_decrypt = {
			enabled = true
		}
	}
}

TLS 復号をオンにしたら、HTTPS リクエストの内容を検査する DLP ポリシーを作成できます。例:

セレクター 演算子 値 論理 アクション
Domain in box.com And Block
DLP Profile in Credit card numbers

DLP スキャンが誤検知を起こす、または正当なサイトをブロックする

DLP ポリシーが業務上重要なアプリケーション（Zoho、Google、内部ドメインなど）へのアクセスをブロックしている、または誤検知が多い場合、ポリシーの範囲が広すぎる可能性が高いです。Credentials and Secrets のようなプロファイルは強力ですが、対象を適切に絞らないと過剰に一致します。

問題のある設定

機密性の高いプロファイルをすべてのトラフィックに適用すると、不要なブロックが発生します。例:

セレクター 演算子 値 アクション
DLP Profile in Credentials and Secrets Block

推奨する対処

ポリシーをより具体的にします。すべてを対象にしたブロックではなく、リスクの高い宛先やユーザーグループに絞ったポリシーを作成します。

次のポリシーは、特定のユーザーグループがファイル共有サイトへ財務データをアップロードする場合だけをブロックします。ほかのサイトでの誤検知リスクを下げられます。

セレクター 演算子 値 論理 アクション
Destination Domain in dropbox.com, wetransfer.com And Block
DLP Profile in Financial Information And
User Group Names in Finance Team

信頼できるアプリケーションに一致させるポリシーは、Do Not Scan アクション でも作成できます。

DLP の検出が一貫しない

プレーンテキストでは機密データを検出できるのに、画像や一部のアプリケーションでは検出できない場合は、次を確認してください。

  • OCR がオンになっている: 画像内のテキスト（クレジットカードの写真など）を DLP がスキャンするには、対象の DLP プロファイルで 光学文字認識（OCR） をオンにする必要があります。
  • アプリケーション固有の挙動: WhatsApp Web などの一部のアプリケーションは、Gateway が HTTP ポリシーで十分に検査できないプロトコルや暗号化方式（WebSockets など）を使います。
  • 対応しているファイルタイプ: DLP 検査の対象になるには、コンテンツが 対応しているファイルタイプ である必要があります。

DLP の選択肢がない、またはカスタムプロファイルを作成できない

HTTP ポリシー作成時に DLP Profile セレクターが使えない、またはカスタム DLP プロファイルの作成がブロックされる場合、原因は通常次のいずれかです。

  1. プランが正しくない。これらの機能には Zero Trust Enterprise プランが必要です。アカウントにこの権利があるはずだと思う場合は、アカウントチームに連絡して契約内容を確認してください。
  2. 権限の問題。DLP 設定を行うために必要な管理者権限がない可能性があります。Cloudflare アカウントの管理者に確認してください。

その他の DLP リソース

詳細は、DLP のドキュメント全体を参照してください。

DLP のトラブルシューティング ❯

役に立ちましたか？