# Cloudflare DLP のペイロードログ、機密データの見せ方を選べるようになったよ！

やっほー、しぃちゃんだよ！ 今日はセキュリティ担当さんがちょっと嬉しくなる小さな改善を見つけたから、みんなに紹介しちゃうね。

## なにが発表されたの？

Cloudflare の Changelog で、DLP(Data Loss Prevention)のペイロードログに出てくる機密データの「見え方」を選べるようになったよ、って発表があったの。設定は Cloudflare のダッシュボードの Zero Trust > Data loss prevention > DLP settings にある「Payload log masking」カードから変えられるよ。

## 今までどうだったの？

これまではマスキングのモードがひとつだけで、マッチした機密データを全部隠すうえに、文字数まで分からなくなっていたの。だから「これって本当に検知したかったやつ？ それとも誤検知？」を確かめるのがちょっと大変だったんだよね。インシデント対応のときに、手がかりが少なくて困っちゃう場面があったってわけ。

## これで何が変わるの？

これからは、調査に必要な情報量とセキュリティのバランスを、チームが自分で選べるようになるの。がっちり隠したいときはそのままでいいし、誤検知かどうかをすぐ見分けたいときは少しだけ中身を見せる、みたいな使い分けができるんだよ。

## 深く潜ってみよう

選べるマスキングは 3 種類だよ。

- Full Mask(デフォルト): マッチ部分は隠すけど、文字数とフォーマットは残すの。例えば `***-**-****` みたいな感じ。
- Partial Mask: マッチした内容の 25% を見せてくれるよ。例えば `***-**-6789`。
- Clear Text: 違反データをそのまま、隠さずに保存するの。例えば `123-45-6789`。

大事なポイントがひとつ。マスキングのレベルは検知したタイミング、つまりペイロードが暗号化される前に適用されるの。だから後から「もっと見せて」とはできない仕組みだよ。

それともうひとつ気をつけたいのが、Full Mask 以外を選ぶと、そのペイロードの中にある機密データのマッチ全部にマスキングが適用されるってこと。トリガーになったマッチだけじゃないから、Clear Text にするときは慎重にね。

もっと詳しい設定は [DLP のログオプション](https://developers.cloudflare.com/cloudflare-one/data-loss-prevention/dlp-policies/logging-options/#log-the-payload-of-matched-rules)のドキュメントにまとまっているから、[Data Loss Prevention](https://developers.cloudflare.com/cloudflare-one/data-loss-prevention/) を使っているみんなはのぞいてみてね。

## まとめ

- DLP のペイロードログで、機密データの見せ方を選べるようになったよ。
- 選べるのは Full Mask(デフォルト)・Partial Mask(25% 表示)・Clear Text の 3 つ。
- マスキングは検知時、暗号化の前に適用される。Full Mask 以外はペイロード内の全マッチに効く。

Cloudflare の Zero Trust で DLP を運用していて、誤検知の切り分けに手こずっていたインシデント対応チームにこそ刺さるアップデートだね。