Test scan を使うと、プロファイルを本番トラフィックに適用する前に、Cloudflare Data Loss Prevention（DLP、データ損失防止）がサンプルコンテンツをどう評価するかを確認できます。テキストの貼り付け、ファイルのアップロード、または HTTP Archive（HAR）ファイルのアップロードを行い、どのプロファイルと検出エントリが一致するかを確認できます。
ウイルス対策スキャンは、コンテンツがライブトラフィックであるかのように実行されます。スキャナーが画像を検出すると、どのプロファイルでも OCR がオフでも Optical Character Recognition（OCR）が動き、抽出したテキストが結果に表示されます。
コンテンツはリアルタイムでスキャンされ、保存されません。
コンテンツは DLP スキャナーへ直接送られます。Gateway ポリシーは評価されず、トラフィックは Gateway を通過せず、Gateway のアクティビティログも作成されません。
このツールは次の目的で使います。
- 新規または更新した 検出エントリ が、想定したコンテンツに一致するかを確認する。
- 本番で使う前に、サンプルコンテンツを 1 つ以上の DLP プロファイル と照合する。
- 信頼度、一致コンテキスト、近傍キーワードを確認して、誤検知と見逃しを調べる。
- DLP がファイルをどう識別するかを確認し、ウイルス対策と OCR の結果を見る。
-
Cloudflare ダッシュボード ↗ で、Zero Trust > Data loss prevention > Test scan を開きます。
-
Input method で、テストするコンテンツの種類を選びます。
- Text: Content to scan にコンテンツを入力または貼り付けます。
- File: アップロード領域にファイルを選ぶかドラッグします。ファイルは最大 10 MB です。複数ファイルを一度にテストするには、
.zipアーカイブをアップロードします。アーカイブ内の各ファイルは個別にスキャンされ、個別に報告されます。 - HAR: アップロード領域に
.harファイルを選ぶかドラッグします。1 ファイルあたり最大 50 個の本文をスキャンします。リクエスト本文とレスポンス本文は同じ上限に含まれます。
-
テストするプロファイルを選びます。Scan against all profiles をオンにするか、リストから 1 つ以上のプロファイルを選びます。
-
Scan を選択します。
入力とスキャン結果に応じて、結果には次のセクションが含まれることがあります。
| セクション | 表示内容 |
|---|---|
| Summary | 一致したプロファイル数とスキャンしたファイル数、および全体のウイルス対策ステータスです。 |
| File metadata | 検出したファイル名、サイズ、MIME タイプ、拡張子、ファイルカテゴリです。 |
| Antivirus results | 各ファイルがクリーン、不審、感染、または未スキャンかと、その SHA-256 ハッシュです。感染ファイルには利用可能なマルウェア詳細が含まれます。 |
| OCR results | OCR が各画像から抽出したテキストです。 |
| Profile matches | 一致したプロファイル、検出エントリ、データクラス、データタグ、秘密度です。 |
| Match contexts | 一致したコンテンツ、信頼度、信頼度を上げたまたは下げた近傍キーワードです。 |
| JSON | スキャナーの完全な応答です。さらに分析するためにダウンロードできます。 |
完全な応答を dlp-scan-results.json として保存するには、JSON を開き Download を選択します。ファイルにはサンプルペイロードと一致コンテキストが含まれることがあります。機密データとして保管し、共有してください。
カスタムプロファイルを使う Gateway ポリシーが、クレジットカード番号を含むスプレッドシートをブロックしていません。テストスキャンで、原因がプロファイル側かポリシー側かを切り分けます。
-
同じファイルでテストスキャンを実行し、カスタムプロファイルだけを選びます。Gateway を経路から外して、プロファイル単体をテストします。
-
スキャンが一致を返す場合、Test scan の設定ではこのサンプルをプロファイルが検出しています。Gateway が同じようにトラフィックを検査する保証にはならないので、Gateway ポリシーの条件、トラフィック経路、TLS 復号を確認してください。
-
スキャンが一致を返さない場合は、プロファイル自体を確認します。プロファイルは 検出エントリ が一致したときに一致し、各エントリはクレジットカード番号パターン、カスタム正規表現、完全一致データセットなど、1 つのパターンまたはデータセットを定義します。想定したエントリがプロファイルにあり、オンになっていることを確認してください。
-
エントリとファイル内の値を照合します。一部のエントリは、パターン照合に加えて 追加の検証 を適用します。想定した形式のテスト値でも、検証に失敗することがあります。そのエントリには有効なテスト値を使ってください。
-
プロファイルの 一致件数 を確認します。サンプルに含まれる一致数より多い一致を要求していると、プロファイルは発火しません。サンプルデータを増やすか、一致件数を下げてください。
-
プロファイルの 信頼度しきい値 を確認します。Test scan は、しきい値未満の検出を Match contexts に表示しません。しきい値が一致を妨げていないかを確認するには、一時的に下げてスキャンを再実行します。一致が出たら、一致コンテキストを確認します。たとえば、「payment」や「billing」などの関連する近傍キーワードを追加すると、信頼度が上がることがあります。適切な場合は、プロファイルの信頼度しきい値を下げることもできます。
意図したプロファイルを選んでいることと、そのプロファイルに想定した検出エントリがあることを確認してください。コンテンツがエントリの一致要件を満たさない場合、プロファイルの 一致件数 がサンプル内の一致数より大きい場合、または検出がプロファイルの 信頼度しきい値 未満の場合、検出は表示されないことがあります。
プロファイルの 信頼度しきい値 を上げて、より高い信頼度の検出だけで DLP が発火するようにするか、一致件数 を増やして、偶発的な 1 件ではプロファイルが発火しないようにします。カスタムエントリでは、正規表現またはデータセットを絞ってください。
AI コンテキスト分析 も本番の誤検知を減らせますが、対応するのは Gateway の HTTP および HTTPS トラフィックだけです。
ここでプロファイルが正しく動いているのに、本番で正当なトラフィックをブロックする場合、ポリシーが広すぎる可能性が高いです。DLP のトラブルシューティング を参照してください。
OCR は画像に対して実行されますが、DLP は抽出したテキストを、OCR がオンのプロファイルに対してだけ照合します。OCR results に想定したテキストが表示され、どのエントリも発火していない場合、選んだプロファイルで OCR がオフです。
すべてのプロファイルに OCR を適用するには、DLP 設定の OCR をオンにします。個別プロファイル で OCR をオンにすることもできますが、プロファイル単位の OCR は非推奨です。
スキャンはコンテンツを検出するが Gateway ポリシーが検出しない場合、選んだプロファイルは Test scan の設定ではそのサンプルを検出できます。Gateway が同じようにトラフィックを復号・検査できる保証にはなりません。Gateway ポリシー、トラフィック経路、TLS 復号、対応ファイルタイプを確認してください。詳細は DLP のトラブルシューティング を参照してください。
ファイルアップロードでは、ファイルが 10 MB 以下であることを確認してください。HAR ファイルでは、有効な HAR データが含まれることを確認してください。スキャナーが一時的に利用できない場合は、待ってからスキャンを再実行してください。
- AI プロンプトプロファイルは非対応です。
- DLP 設定の変更がテストスキャンに反映されるまで、最大 2 分かかることがあります。プロファイル、検出エントリ、またはデータクラスを更新したあと、テストする前に待ってください。
- プロファイル検出は検証されますが、Gateway ポリシーの条件とアクションは検証されません。ポリシー全体が想定どおりにトラフィックを許可、ブロック、または記録することを確認するには、Gateway トラフィックで DLP ポリシーをテスト してください。