転送中のデータ（data in transit）とは、通常、ネットワーク上を移動しているデータを指します。Internet は何千ものネットワークで構成されているため、デバイスからサーバーへ、またその逆へデータが動くあいだ、安全を確保することが重要です。現在、転送中データを生む代表的な活動は次のとおりです。
- オンラインの閲覧と、クラウドアプリケーションへのデータのアップロード / ダウンロード
- テキスト、画像、メールの送信
- API を通じたデータの公開と利用
転送中のデータは送信中に傍受や改ざんを受けやすいと考えられているため、QUIC ↗、Transport Layer Security（TLS）、Secure Sockets Layer（SSL）などの暗号化で保護することが重要です。これにより、移動中もデータは機密に保たれ、不正アクセスから守られます。ネットワーク境界を通過するデータを検査し、その先へ進めてよいかを判断する方法もあります。Data Loss Prevention（DLP）技術を使うと、ネットワークトラフィックの内容を検査し、機密データがリスクのある宛先へ送られるのを遮断できます。このドキュメントでは、転送中データを保護するために Cloudflare が提供する方法を説明します。
Cloudflare は、クラウドネットワークセキュリティサービスの主要プロバイダーの 1 つです。Cloudflare がネットワークトラフィックの保護に使われる主なユースケースは次の 2 つです。
- SSL/TLS を使った、公開 Web サイトと API への安全な接続の提供
- クラウドまたはオンプレミスでホストするプライベートネットワークとアプリケーションへの、安全なトンネルの作成
Cloudflare の SSL サービス は何百万もの Web サイトで使われています。DNS エントリを変更するだけで導入でき、公開 Web サイトと API への接続はすべて Cloudflare のエッジネットワークで終端されます。Cloudflare から宛先の Web サイトまたは API への接続も、同じ SSL 技術で保護できます。より強いセキュリティのため、Cloudflare は 耐量子暗号 ↗ を使います。
- ユーザーのブラウザーと Cloudflare のあいだの接続を TLS/SSL で保護
- Cloudflare から宛先サーバーへの接続を TLS/SSL で保護
プライベートリソース（通常は、公開 Internet への直接接続がない、プライベートネットワーク上のセルフホストアプリケーション）では、転送中データの保護方法が異なります。プライベートネットワークから Cloudflare へトンネルを作る方法はいくつかあります。詳細は SASE リファレンスアーキテクチャ を参照してください。次の図は、その方法をまとめたものです。
注: この画像のラベルは、以前の製品名を反映している場合があります。
プライベートアプリケーションとネットワークを Cloudflare に接続したあと、デバイスエージェントでデバイスを安全に接続できます。ユーザーデバイスからネットワークを横断してアプリケーションまで、データを保護できます。
デバイスからホストされたアプリケーションまでのトラフィックがすべて Cloudflare を経由すると、トラフィックを検査し、データの内容に基づいて追加のセキュリティを適用できます。
よくある課題は、どのデータが機密で、ポリシー介入が必要かを見極めることです。Data Loss Prevention サービスは、トラフィックの内容を検査し、ポリシーへメタデータを渡して適用を左右します。
たとえば、ユーザーが SaaS アプリケーションへファイルをアップロードしようとし、トラフィックが常に Cloudflare ネットワークを経由するよう設定されている場合、Cloudflare DLP は Gateway ポリシーに割り当てた DLP プロファイルでファイルを検査します。DLP プロファイルが一致したあと、Gateway ポリシーはトラフィックを許可または遮断し、その活動はログに書き込まれます。DLP プロファイルは、検出したい機密コンテンツを定義する検出エントリから構成します。Cloudflare DLP は、よくある検出向けの 定義済みプロファイル を提供します。自社データ向けの カスタムプロファイル を作ることもでき、Exact Data Match（EDM）も利用できます。
DLP プロファイルは、ほかのポリシー属性と組み合わせてトラフィックを特定します。たとえば、承認済みのクラウドストレージサービスへ機密データをアップロードする場合にだけポリシーを適用します。
次の図は、Cloudflare がリクエストを検査し、DLP ベースのポリシーでアクセスを適用する一般的な流れです。
- ユーザーが SaaS アプリケーションへファイルをアップロードしようとします（デバイスエージェント が作る、Cloudflare への安全なトンネル経由）。Clientless の選択肢も利用できます。
- Cloudflare の Secure Web Gateway（SWG）は、まずユーザーがその SaaS アプリケーションを使ってよいかを確認し、次にファイルのペイロードに 悪意のあるコード と 機密データ がないかを調べます。
- DLP プロファイルは、ファイルに米国の社会保障番号（SSN）などの国民識別子が含まれると判断します。
- Gateway ポリシーは Block アクション で設定されているため、試行は ログに記録 され、エンドユーザーの Web ブラウザーへ ブロックページ が返されます。