Cloudflare の Logpush サービスでは、Zero Trust のログ（DNS クエリ、HTTP リクエスト、デバイスポスチャチェック、Cloudflare One サービスが生成するその他のイベント）を、サードパーティの保存先やサードパーティの セキュリティ情報イベント管理（SIEM） ソリューションへ自動エクスポートできます。エクスポートしたデータは、必要に応じて分析・監査できます。
Zero Trust ログ向けに Logpush を設定するには:
- Cloudflare One ↗ で Insights > Logs を開きます。
- Manage Logpush を選びます。
- Logpush で Create a Logpush job を選びます。Logpush ジョブは、エクスポートするデータセットと送信先を定義します。
- Logpush の送信先 を選びます。
- サービスごとの手順に従い、送信先を設定して検証します。
- エクスポートする Zero Trust データセット を選びます。
- Job name、ログを絞り込む フィルター（特定のユーザーや操作のログだけなど）、ログに含めるデータフィールドを入力します。
- （任意）Advanced settings で、希望するタイムスタンプ形式と、ログサンプリングを有効にするかを選びます。ログサンプリングは、すべてのイベントではなくランダムに抽出したサブセットを配信するため、トラフィックの多いデータセットの保存量を減らせます。
- Submit を選びます。
これで Logpush 連携のセットアップは完了です。Logpush は、選んだ送信先へログをバッチで配信し始めます。複数の送信先を設定したり、Logpush ページに戻ってログにフィールドを追加したりできます。
対応している送信先の詳細は、Enable destinations を参照してください。
Logpush は、ダッシュボードログ のすべてに加え、Cloudflare One ダッシュボードでは利用できないデータセットもサポートします。利用できるフィールドの一覧は Logpush datasets を参照してください。
| データセット | 説明 |
|---|---|
| Access Requests | Cloudflare Access で保護されたサイトへの HTTP リクエスト |
| Audit Logs | Cloudflare Access 経由の認証イベント |
| Browser Isolation User Actions | リモートブラウザーでのユーザーのデータ転送操作（コピー、貼り付け、ダウンロードなど） |
| CASB Findings | Cloudflare の Cloud Access Security Broker（CASB）が検出したセキュリティ上の問題 |
| Device Posture Results | Cloudflare One Client からのデバイスポスチャ状態 |
| DEX Application Tests | Cloudflare One Client からの Digital Experience Monitoring（DEX）自動接続チェック結果 |
| DEX Device State Events | Cloudflare One Client からの Digital Experience Monitoring（DEX）デバイスイベントデータ（接続、CPU 使用率、Disk I/O など） |
| Gateway DNS | Cloudflare Gateway が検査した DNS クエリ |
| Gateway HTTP | Cloudflare Gateway が検査した HTTP リクエスト |
| Gateway Network | Cloudflare Gateway が検査したネットワークパケット |
| MCP Portal Logs | MCP サーバーポータル 経由のリクエスト |
| SSH Logs | Access for Infrastructure ターゲット の SSH コマンドログ |
| WARP Config Changes | デバイスが プロファイル を変更するたびに Cloudflare が生成するイベントログ |
| WARP Toggle Events | デバイスが Cloudflare One Client のオン / オフを切り替えるたびに Cloudflare が生成するイベントログ |
| Zero Trust Network Session Logs | 対応するすべてのオンランプで、Cloudflare Gateway を経由したトラフィックのネットワークセッションログ |
Cloudflare One で Regional Services を使っている場合、トラフィックの復号とルーティングを行う Cloudflare データセンターの範囲を設定できます。GDPR などの地域制限に対応したり、データの流れや処理に地理的制限があるコンプライアンス要件を満たしたりできます。
リージョンマップが正しく適用されていることを確認するには、Zero Trust Network Session ログ の IngressColoName フィールドを確認します。このフィールドは、トラフィックがイングレスした Cloudflare データセンターの名前を示します。地域化は Gateway の上流で適用されるため、イングレスデータセンターは設定したリージョンマップ内にあり、トラフィックが正しいリージョンで処理されていることが確認できます。
Logpush は、各 DNS クエリについて次のフィールドを記録します。
- Query name
- Query type
- Query class
- Response TTL
- Response data
Logpush は DNS 応答データを 2 つの形式で提供します。ResourceRecords は Base64 エンコードのバイナリ形式 ↗ の生 DNS 応答で、コンパクトですが人間が読むにはデコードが必要です。ResourceRecordsJSON は同じデータを JSON で持ち、レコード名、タイプ、クラス、TTL、応答データはすでに解析済みです。例:
{
"ResourceRecords": [
{
"type": "5",
"data": "d3d3LmV4YW1wbGUuY29tAAABAAUAAABleGFtcGxlLmNvbQ=="
},
{
"type": "1",
"data": "ZXhhbXBsZS5jb20AAAEAAQAAAQIDBAUGBwgJ"
}
],
"ResourceRecordsJSON": "[{\"name\":\"www.example.com\",\"type\":\"CNAME\",\"class\":\"IN\",\"ttl\":300,\"rdata\":\"example.com.\"},{\"name\":\"example.com\",\"type\":\"A\",\"class\":\"IN\",\"ttl\":300,\"rdata\":\"203.0.113.0\"}]"
}