Cloudflare Sensitive Data Detection

Cloudflare Sensitive Data Detection マネージドルールセットは、オリジンサーバーが発生させるデータ漏洩の特定を助けます。ルールはレスポンス本文で一般的な機密データのパターンを探します。対象は次のとおりです。

• 個人を特定できる情報 ↗（PII）— パスポート番号など。
• 金融情報 — クレジットカード番号など。
• シークレット — API キーなど。

Cloudflare Sensitive Data Detection をオンにしても、検出はレスポンス経路の外で行われるため、追加のレイテンシは発生しません。そのため、ルールは常に Log アクションでデプロイされます（すでに送ったレスポンスはブロックできません）。オリジンサーバーから出ていく機密データを把握できます。

オンにすると、Cloudflare Sensitive Data Detection は訪問者へ送るすべてのレスポンスを確認します（カスタムのフィルター式を定義している場合はそれに従います）。キャッシュからのレスポンスと Workers が扱うレスポンスも含まれます。

検出は、レスポンス内のテキスト、HTML、JSON、XML コンテンツを最大 1 MB まで扱います。

現時点では、Cloudflare Sensitive Data Detection は 一致ペイロードのログ をサポートしていません。

Cloudflare Sensitive Data Detection ルールセットは、次のレベルで設定（またはオーバーライド）できます。

• ルールセットレベル
• タグレベル
• ルールレベル

より具体的な設定（ルールおよびタグレベル）は、より広い設定（ルールセットレベル）より優先されます。詳細は、Ruleset Engine のドキュメントの マネージドルールセットをオーバーライドする を参照してください。

Cloudflare ダッシュボードでは、次の Cloudflare Sensitive Data Detection の設定を変更（またはオーバーライド）できます。

• Scope: スコープにカスタムのフィルター式を定義すると、Cloudflare Sensitive Data Detection ルールセットは受信リクエストの一部にだけ適用されます。ダッシュボードでデプロイしたマネージドルールセットは、デフォルトですべての受信トラフィックに適用されます。

Cloudflare Sensitive Data Detection ルールセットをデプロイ したあと、ダッシュボードで次の手順で設定します。

選択したタグのうち少なくとも 1 つが付いたルールに対して、ダッシュボードで次の設定を変更（またはオーバーライド）できます。

• Rule status: 選択したタグを持つすべてのルールのルールステータスを設定します。

Cloudflare Sensitive Data Detection ルールセットをデプロイ したあと、ダッシュボードで特定タグのルールを次の手順で設定します。

選択したルールに対して、ダッシュボードで次の設定を変更（またはオーバーライド）できます。

• Rule status: 1 つのルール、または複数選択した場合は選択したルールのステータス（有効または無効）を設定します。

Cloudflare Sensitive Data Detection ルールセットをデプロイ したあと、ダッシュボードで個々のルールセットルールを次の手順で設定します。

API で特定ゾーンに Cloudflare Sensitive Data Detection ルールセットをデプロイするには、http_response_firewall_managed フェーズの エントリポイントルールセット に、execute アクションのルールを作成します。

この例は、指定したゾーン（$ZONE_ID）の http_response_firewall_managed フェーズに、マネージドルールセットを実行するルールを作成して、Cloudflare Sensitive Data Detection ルールセットをデプロイします。マネージドルールセット内のルールは、すべての受信リクエストに対して実行されます。

1. Get a zone entry point ruleset オペレーションを呼び出し、http_response_firewall_managed フェーズのエントリポイントルールセットの定義を取得します。この作業には ゾーン ID が必要です。

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_response_firewall_managed/entrypoint" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"description": "Zone-level phase entry point (response)",
   		"id": "<RULESET_ID>",
   		"kind": "zone",
   		"last_updated": "2024-03-16T15:40:08.202335Z",
   		"name": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   			// ...
   		],
   		"source": "firewall_managed",
   		"version": "10"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

2. エントリポイントルールセットがすでに存在する場合（つまり、200 OK ステータスコードとルールセット定義を受け取った場合）は、レスポンス内のルールセット ID を控えます。次に、ゾーンルールセットのルールを作成する 操作を呼び出して、既存のルールセットに Cloudflare Sensitive Data Detection マネージドルールセット（ID は e22d83c647c64a3eae91b71b499d988e） をデプロイする execute ルールを追加します。デフォルトでは、ルールはルールセット内の既存ルール一覧の末尾に追加されます。

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$RULESET_ID/rules" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"action": "execute",
   		"action_parameters": {
   				"id": "e22d83c647c64a3eae91b71b499d988e"
   		},
   		"expression": "true",
   		"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   	}'

   {
   	"result": {
   		"id": "<RULESET_ID>",
   		"name": "Zone-level phase entry point (response)",
   		"description": "",
   		"kind": "zone",
   		"version": "11",
   		"rules": [
   			// ... any existing rules
   			{
   				"id": "<RULE_ID>",
   				"version": "1",
   				"action": "execute",
   				"action_parameters": {
   					"id": "e22d83c647c64a3eae91b71b499d988e",
   					"version": "latest"
   				},
   				"expression": "true",
   				"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset",
   				"last_updated": "2024-03-18T18:08:14.003361Z",
   				"ref": "<RULE_REF>",
   				"enabled": true
   			}
   		],
   		"last_updated": "2024-03-18T18:08:14.003361Z",
   		"phase": "http_response_firewall_managed"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. エントリポイントルールセットが存在しない場合（ステップ 1 で 404 Not Found ステータスコードを受け取った場合）、ゾーンルールセットを作成する 操作で作成します。rules 配列に、Cloudflare Sensitive Data Detection マネージドルールセット（ID は e22d83c647c64a3eae91b71b499d988e） を ゾーンのすべての受信リクエスト 向けに実行するルールを 1 件含めます。

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "My ruleset",
   		"description": "Entry point ruleset for WAF managed rulesets (response)",
   		"kind": "zone",
   		"phase": "http_response_firewall_managed",
   		"rules": [
   				{
   						"action": "execute",
   						"action_parameters": {
   								"id": "e22d83c647c64a3eae91b71b499d988e"
   						},
   						"expression": "true",
   						"description": "Execute the Cloudflare Sensitive Data Detection managed ruleset"
   				}
   		]
   	}'

API で Cloudflare Sensitive Data Detection managed ruleset を設定するには、Rulesets API を使って オーバーライド を作成します。次の設定ができます。

• ルールオーバーライドを作成して、個々のルールを無効にします。

API でオーバーライドを作成する例は、マネージドルールセットをオーバーライドする を参照してください。

API でマネージドルールセットを扱う詳細は、Ruleset Engine のドキュメントにある マネージドルールセットを使う を参照してください。

Cloudflare Sensitive Data Detection が検出したデータ漏洩を確認するには、次を行います。

• マネージドルールセットが生成したイベントがないか、Security Events を定期的に確認します。
• WAF アラート を設定し、WAF イベントの急増を通知します。Advanced Security Events Alert では、Enterprise プランで 1 つ以上のドメインで絞り込み、Data Loss Protection サービスで絞ると、Sensitive Data Detection に関する通知だけを受け取れます。