← Cloudflare One / cloudflare-one / troubleshooting

DLP

Используйте это руководство, чтобы устранить типичные проблемы с Data Loss Prevention (DLP).

Политика DLP не срабатывает и не блокирует контент

Чаще всего сообщают о том, что DLP не проверяет и не блокирует контент. Если вы настроили Политика DLP но не проверяет и не блокирует трафик, причина почти всегда в том, что трафик не расшифровывается. Чтобы DLP могла сканировать содержимое HTTPS-запросов, необходимо включить Расшифровка TLS.

Чтобы включить расшифровку TLS:

В Панель управления Cloudflare ↗, перейдите в Zero Trust > Политики трафика > Настройки трафика.
В Прокси и проверка, включите Проверяйте HTTPS-запросы с расшифровкой TLS.

Добавьте следующее разрешение в свой cloudflare_api_token ↗:
- Zero Trust Write

Настройте tls_decrypt аргумент в cloudflare_zero_trust_gateway_settings ↗:

resource "cloudflare_zero_trust_gateway_settings" "team_name" {
	account_id = var.cloudflare_account_id
	settings = {
		tls_decrypt = {
			enabled = true
		}
	}
}

После включения расшифровки TLS вы можете создать политику DLP для проверки содержимого HTTPS-запросов. Например:

Селектор	Оператор	Значение	Логика	Действие
Домен	in	`box.com`	И	Block
Профиль DLP	in	Номера банковских карт

Проверки DLP вызывают ложные срабатывания или блокируют легитимные сайты

Если ваша политика DLP блокирует доступ к критически важным для бизнеса приложениям (таким как Zoho, Google или внутренним доменам) или создает большое количество ложных срабатываний, вероятно, эта политика DLP слишком широкая. Такие профили, как Учётные данные и секреты являются мощным инструментом, но при неправильной настройке области действия могут оказаться слишком агрессивными.

Проблемная конфигурация

Применение чувствительного профиля ко всему трафику приводит к ненужным блокировкам. Например:

Селектор	Оператор	Значение	Действие
Профиль DLP	in	Учётные данные и секреты	Block

Селектор	Оператор	Значение	Логика	Действие
Домен назначения	in	`dropbox.com`, `wetransfer.com`	И	Block
Профиль DLP	in	Financial Information	И
User Group Names	in	`Finance Team`

Обнаружения DLP непоследовательны

Если DLP обнаруживает конфиденциальные данные в открытом тексте, но не в изображениях или определённых приложениях, проверьте следующее:

OCR включён: Чтобы DLP сканировала текст на изображениях (например, на фотографии кредитной карты), необходимо включить Оптическое распознавание символов (OCR) в соответствующем профиле DLP.
Поведение, специфичное для приложения: Некоторые приложения, например WhatsApp Web, используют протоколы или методы шифрования (например, WebSocket), которые Gateway не всегда может полностью проверить с помощью HTTP-политик.
Поддерживаемые типы файлов: Содержимое должно быть в формате поддерживаемый тип файла для проверки DLP.

Отсутствуют параметры DLP или не удаётся создать пользовательские профили

Если вы не можете использовать Профиль DLP селектор при создании политики HTTP или не можете создать собственный профиль DLP, обычно это означает одно из двух:

Неверный план. Для этих функций требуется план Zero Trust Enterprise. Если вы считаете, что для вашего аккаунта должна быть доступна эта возможность, обратитесь в свою команду по работе с аккаунтом, чтобы уточнить условия подписки.
Проблема с правами доступа. Возможно, у вас недостаточно административных прав для настройки параметров DLP. Обратитесь к администратору своей учётной записи Cloudflare.

Дополнительные ресурсы по DLP

Дополнительные сведения см. в полной документации по DLP.

Устранение неполадок DLP ❯

DLP