この記事では、DLPポリシーのために組織内の機密データを特定するためのカスタムデータ型の作成方法を説明しています。
CatoカスタムDLPデータ型の概要
Catoは、DLPポリシーの一般的なシナリオに対して数百の事前定義された即席データ型とカテゴリを提供します。 ただし、組織によっては、事前定義された型でカバーされていない特定のデータ検査に一致するために、独自に定義されたデータ型を作成する必要がある場合があります。
以下のカスタムデータ型を定義することで、DLPポリシーのコンテンツインスペクションをカスタマイズできます：
Cato DLPポリシーでMicrosoft Information Protection（MIP）フレームワークからMicrosoft Sensitivity Labelsを使用します。
ユーザー定義のデータ型には以下が含まれます：
DLPエンジンが検索する単語またはフレーズを含むアイテムを定義するためにキーワードを使用します。
辞書は最大50語またはフレーズを含むコンテナであり、DLPエンジンは辞書内の任意のアイテムとの一致を検索します。
正規表現データ型を使用すると、DLPエンジンが検索するコンテンツを定義するための正規表現を入力できます。
カスタム機械学習分類子
正確なデータ一致（EDM）プロファイルを使用すると、一般的なデータパターンではなく、特定のデータのコンテンツ一致を定義できます。 EDMプロファイルの詳細については、DLPのための正確なデータ一致（EDM）と作業するを参照してください。
ユーザー定義のデータ型や機密ラベルを作成した後、既存のDLPコンテンツプロファイルに追加するか、新しいものを作成することができます。
Cato DLPで機密ラベルを手動で作成する
機密データをMIPラベルで定義し、CATO DLPポリシーのデータ型としてMIPラベルを使用できます。
詳細を読む
Cato管理アプリケーションで機密ラベルを作成した後、それらをコンテンツプロファイルに追加できます。 その後、MIPラベルに従って、異なるユーザーやグループへのコンテンツアクセスを管理するためのDLPルールを作成できます。
例えば、MIPラベル「機密」が付けられたファイルがある場合、そのラベルをCATO DLPポリシーで作成し、コンテンツプロファイル「制限付きドキュメント」に追加します。 その後、十分なセキュリティクリアランスを持たないユーザーグループへのアクセスをブロックするためのDLPルールを定義します。
DLPエンジンはファイルのメタデータ内の定義されたラベルをスキャンし、実際のコンテンツではスキャンしないため、誤検知結果を減らすのに役立ちます。 エンジンは、構成したラベルIDに従って機密ラベルを強制しますが、名前に従って強制しません。 機密ラベルのラベルIDがMIPラベルIDと完全に一致していることを確認してください。 組織のアカウント用のMIPラベルIDの見つけ方については、Microsoft のドキュメントを参照してください。
注：
ファイルがこのデータ型によって管理されるには、MIPラベルが付けられている必要があります。 ファイルが正しくラベリングされているかどうかを確認するには、DLPバリデーター ツールを使用してください。
機密ラベルを作成するには：
ナビゲーションメニューから、セキュリティ > データ型 & プロファイル を選択し、データ型 タブを選択します。
機密ラベルで、新規をクリックします。 機密ラベルの追加パネルが開きます。
ラベルの名前と説明を入力します。
MIPラベルIDと同じラベルIDを入力します。
適用をクリックします。
ユーザー定義のデータ型の作成
ユーザー定義のデータ型にはキーワード、辞書、正規表現のいずれかが含まれます。
詳細を読む
新規キーワードと新規辞書データ型の作成
DLPエンジンが検索するカスタム機密コンテンツのためにカスタムキーワードまたは辞書を作成します。 辞書の場合、エントリをCSVファイルに維持し、その辞書の値として貼り付けることができます。
DLPエンジンは各キーワードまたは辞書エントリの完全一致を検索します
キーワードは少なくとも8文字（シングルバイトまたはマルチバイトのどちらでも可）でなければなりません
キーワード内の単語や文字の数に上限はありません
キーワードや辞書は大文字小文字を区別しません
辞書内のエントリ間にはORの関係があります
フレーズは各単語の完全一致である必要があります。例えば、フレーズ「health care」は「healthcare」と一致しません
したがって、辞書のために、前述の単語に一致する次の3つの値を作成します：health、care、healthcare
単語とフレーズは標準の単語境界に従って識別されます。例えば、単語の後に空白がある場合など。 単語を検出するには、その前後に境界がなければなりません。 サポートされている単語境界の完全なリストについては、以下を参照してくださいKeywordおよびDictionaryデータ型の単語境界。
マルチバイト文字を検出するために、通常その前後に境界がないので、正規表現データ型の使用をお勧めします。
しきい値と連携
各ユーザー定義データ型のためにしきい値を定義できます。このキーワードまたは辞書がファイル内で一致する回数です。 一致またはしきい値を超えた場合、ファイルはデータコントロールルールと一致します（セキュリティ ＞ アプリケーション制御ページにあります）。
キーワード - キーワードに対するしきい値は、その語やフレーズの正確な一致回数を探します。
例としてappleというキーワードに対するしきい値が3の場合。 ファイルに「apple」の単語が3つ含まれている場合、そのファイルはブロックされます。
辞書 - 辞書に対するしきい値は、その辞書内の任意の値の繰り返し発生を探します。
例えば、辞書にappleとorangeのエントリが含まれており、しきい値が3の場合。 ファイルに「apple」が2回、「orange」が1回含まれている場合、そのファイルはブロックされます。
また、ファイルに「apple」が3回、「orange」が0回含まれている場合でも、ファイルはブロックされます。
ユーザー定義データ型を作成するには：
ナビゲーションメニューから、セキュリティ > データ型 & プロファイル を選択し、データ型 タブを選択します。
ユーザー定義で、新規をクリックし、新規キーワードまたは新規辞書を選択します。
新しいキーワードを作成するには：
キーワードの名前と説明を入力します。
しきい値を選択します。これは、キーワードがファイル内に表示される最小回数を示します。
キーワード/フレーズを入力します。
適用をクリックします。
新しい辞書を作成するには：
辞書の名前と説明を入力します。
しきい値を選択します。これは、辞書エントリの一つがファイル内に表示される最小回数を示します。
辞書のために一つ以上の値を追加（または貼り付け）します。 複数の値をコンマで区切る必要があります。
適用をクリックします。
キーワードおよび辞書データ型の単語境界
キーワードまたはフレーズに一致させるために、DLPエンジンは各単語の終わりを識別するために標準の単語境界を使用します。 これらはエンジンが単語境界として認識する文字です：
（\s, .:;“‘]|^）
新しい正規表現データ型を作成
正規表現を使用して、データ型に一致するコンテンツのタイプを定義します。 例えば、正規表現の数式を使用すると、特定の桁数を持つカスタマイズされた企業IDを簡単に一致させることができます。 各正規表現データ型は単一の正規表現をサポートするため、複数の正規表現を使用する必要がある場合は、各表現のために別のデータ型を作成します。
表現内で単語境界を使用して、データ型に一致するコンテンツを正確に定義します。
正規表現エンジンはUTF-8に基づいており、非英語コンテンツ用の文字をサポートしています。
正規表現のしきい値
このしきい値を定義して、コンテンツがファイル内に出現する回数を指定できます。 そのしきい値を超えると、ファイルはデータコントロールルールと一致します。
例えば、しきい値が5のID用に表現を作成した場合、そのIDを5回以上含むファイルのみがブロックされます。
正規表現の検証
式を検証フィールドを使用して、表現をテストし、コンテンツと正しく一致することを確認できます。 テストをクリックすると、DLPサービスがコンテンツが正規表現と一致するかどうかを確認します。 これは、Cato Cloudで実行されるのと同じサービスであり、テスト結果はアカウントで見られる同じ動作です。
式の検証にはデータ型のしきい値も含まれます。 そのため、しきい値が1を超える場合、その値はテストが成功するために少なくともその回数だけ現れる必要があります。
ユーザー定義正規表現データ型を作成する方法：
ナビゲーションメニューから、セキュリティ > データ型 & プロファイル を選択し、データ型 タブを選択します。
新規をクリックして新しい正規表現を選択します。
キーワードの名前と説明を入力します。
しきい値を選択します。これは、式に一致するテキストがファイル内に現れる最小回数を示します。
式で、このデータ型のための正規表現を入力します。
（任意）式を検証を展開し、テキストを入力してテストをクリックします。
適用をクリックします。
サポートされているオペレーターと量子化子
以下は、ユーザー定義正規表現データ型でサポートされている正規表現のオペレーターと量子化子です：
オペレーター | 一致パターン |
|---|---|
\ | 次のメタ文字を引用 |
^ | 行の先頭と一致 |
$ | 行の末尾と一致 |
. | 任意の単一文字と一致 |
| | 代替 |
() | キャプチャグループはサポートされていません。 括弧はサブ式を境界に使用できます。 |
[xy] | 括弧内で与えられた単一の文字に一致 |
[x-z] | xとzの間の文字範囲 |
[^z] | z以外の任意の文字 |
量指定子 | 一致パターン |
|---|---|
* | 0回以上一致（以下の注意を参照） |
+ | 1回以上一致（以下の注意を参照） |
? | 0または1回一致 |
{n} | n回正確に一致 |
{n,} | n回以上一致 |
{n,m} | n回以上、m回以下一致 |
注：
.*や.+のような無制限の貪欲量指定子の使用は許可されていません。 クラスやセットに文字を含めようとしている場合、それらを逆にしてください。 例、*.
これらの貪欲な量指定子を使用する代わりに、正規表現データ型のキーワードまたはパターンごとに最大50文字をサポートする.{1,50}を使用できます
ユーザー定義MLクラシファイアの作成
業界や企業に関連する専門文書の保護強化のため、独自のユーザー定義機械学習（ML）クラシファイアを作成できます。
詳細を読む
ユーザー定義MLクラシファイアは、偽陽性を大幅に削減し、DLPエンジンの全体的な効果と精度を向上させます。 高度なデータサイエンス類似モデルを使用することで、ML Classifiers は動的に学習してデータパターンの変化に適応し、正確なデータ検出が可能です。
ユーザー定義ML分類器のトレーニング
保護したい文書のサンプルとしてテキストファイルをアップロードすることで、類似した文書をリアルタイムで識別し、無許可のデータ流出を防ぐ機械学習モデルをトレーニングできます。 機械学習モデルは、ファイル内のテキストに基づいています。画像やビデオは無視されます。
MLクラシファイアのファイル要件
MLモデルをトレーニングするために英語のコンテンツのみが使用されます
対応ファイルタイプ: DOC, XLS, CSV, TXT, および PDF
最大10ファイルをアップロードできます
ファイルには最低100語が含まれる必要があります
ユーザー定義MLクラシファイアを作成するためのファイルのアップロード
ユーザー定義データ型のMLモデルをトレーニングするためにサンプルファイルをCMAにアップロードします。 文書を正確にトレーニングするため、少なくとも5つのファイルをアップロードすることをお勧めします。
MLクラシファイア用の文書のアップロード方法：
ナビゲーションメニューから、セキュリティ > データの種類 & プロファイルを選択します。
データの種類タブで、ユーザー定義MLクラシファイアをクリックします。
新規をクリックします。
クラシファイアのための名前と説明を入力して保存して続行をクリックします。
モデルをトレーニングするファイルを追加します。
（オプション）例のファイルをアップロードしてモデルを検証し、検証をクリックします。
保存をクリックします。
データの種類とベストプラクティスの検証
各DLPデータタイプのために、テストファイル内の機密データをDLPエンジンが認識し一致することを検証できます。 検証機能は、データの種類 & プロファイルページにある事前定義、ユーザー定義、および感度ラベルプロファイルに組み込まれています。 新しいまたは既存のキーワード、辞書、またはREGEX文字列を使用して、設定を展開する前にテストする文書をアップロードできます。 事前定義されたデータ型と感度ラベルを検証することもできます。
DLP検証ツールの主な用途の一つは、特定のデータセットのために入力されたデータを使用してキーワードと情報の文字列（正規表現使用）が正しく検出されていることを確認することです。 もう一つのユースケースは、規定されたデータを正しく検出するために、ルールにサンプル文書をアップロードすることです。
ファイルがデータタイプと一致しない場合のトラブルシューティングおよびサポート性のため、DLPエンジンで抽出されたコンテンツの解析済みテキストファイルをダウンロードできます。
辞書データタイプを検証するための手順の例は次のとおりです：
テストファイルを使用して辞書データタイプを検証するには：
ナビゲーションメニューから、セキュリティ > データの種類 & プロファイルを選択し、データの種類タブを選択します。
マウスを辞書データタイプの行に移動して編集アイコンをクリックします。 編集パネルが開きます。
辞書を検証をクリックします。 辞書を検証パネルが開きます。
テストファイルをアップロードし、ファイルをスキャンをクリックします。 スキャン結果が表示されます。
DLPエンジンで抽出されたコンテンツのテキストファイルをダウンロードするには、抽出されたテキストをエクスポートをクリックします。
ユーザー定義データタイプのベストプラクティス
ポリシーを実装する際、またはブロックアクションを伴う新しいアプリケーションを追加する際：
ルールのモニタアクションを使用します。
ルールが生成するイベントをレビューし、許可したいトラフィックのイベント（偽陽性のトラフィック）がないことを確認します。
もし偽陽性のトラフィックがある場合、以下の変更を行うことができます：
ルールのスコープを調整して、偽陽性のトラフィックを除外します
ブロックルールの前に新しい許可ルールを作成し、新しいルールのスコープは偽陽性トラフィックのみに限定されます
正規表現を調整し、スキャンしているコンテンツの正確な例でそれを検証してください
アプリケーション制御ポリシーは、順序付けされたポリシーであり、最終的な暗黙のルールはANY ANY承認です。 ポリシーにルールを追加して、関連するアプリケーショントラフィック、アクティビティおよび基準をブロックします。
既知の制限
ファイル要件に関する情報は、What is the Cato DLP Service?をご覧ください
gzip形式で圧縮された一部のダウンロードでは、DLPのファイルサイズは圧縮ファイルに基づいて計算されます。 圧縮ファイルサイズが1kb未満の場合、スキャンされません。
正規表現の最大制限は256文字です。
Base64エンコードされたファイルはサポートされておらず、DLPエンジンはこれらのファイル内のコンテンツを検査することができません。