在创建数据丢失防护（DLP）策略之前，您可能不知道流量中有哪些敏感数据类型，也不知道这些数据流向何处。被动检测可作为调查起点，帮助您在决定记录或阻止哪些内容之前回答这些问题。
被动检测会随机抽样扫描一部分 Gateway HTTP 请求和响应正文，并将发现结果汇总到一个仪表板。您可以查看匹配了哪些检测条目、追踪它们出现的位置，并找出策略可能发挥作用的地方。利用这些信息构建有针对性的策略，或检查现有策略的缺口。
被动检测无需 Gateway DLP 策略即可运行。它不会改变 Gateway 处理流量的方式，现有策略会继续生效。
要收集被动检测结果：
- 让 HTTP 流量经过 Cloudflare Gateway。
- 启用 Gateway HTTP 过滤。
- 为 HTTPS 流量启用 TLS 解密。
- 确保要扫描的每个检测条目，在账户中至少一个 DLP 配置文件里已启用。被动检测会扫描账户中任意配置文件启用的条目，而不局限于策略选用的配置文件。
对于上传或下载的文件，请参阅支持的文件类型。绕过 Gateway 或匹配 Do Not Inspect 策略的流量不会生成发现。
-
在 Cloudflare 仪表板中，前往 Zero Trust > Insights & Logs > Dashboards。
前往 Dashboards（仪表板） ↗ -
选择 Passive Detection。
-
选择 7 天、30 天或 90 天的时间范围。
-
（可选）选择 Add filter > Traffic direction，然后选择 Request、Response 或 Unknown。
使用 Request 查看发送到目标的数据，使用 Response 查看从目标接收的数据。Unknown 包括未记录流量方向的 HTTP 正文。移除筛选器可包含所有流量方向。请求正文和响应正文分别计数。
打开条目进行调查时，所选时间范围和流量方向也会保持适用。
先查看账户摘要，了解整体情况。然后选择检测条目，查看它出现的位置、匹配的配置文件，以及是否应用了策略执行。
摘要卡片描述所选时间范围和流量方向内的检测情况：
- Total detections：每个条目在一个 HTTP 正文中计数一次。
- Unique traffic with detections：至少有一项检测结果的 HTTP 正文，每个正文只计数一次。
- Entries detected：所选范围内匹配的不同 DLP 条目。
例如，一个请求正文匹配两个不同条目，会为 Total detections 贡献两次检测，但在 Unique traffic with detections 中只计为一个正文。这些计数并不表示正文中包含多少个单独的敏感值。
使用 Detections by data type 查看哪些条目产生最多检测结果。使用 Policy coverage 查找可能需要审查策略的条目。
接下来，使用检测表决定调查对象。比较各条目，再检查其配置文件和目标。抽样流量中发现的每个检测条目在表中占一行。没有检测结果的条目不会显示。
使用以下字段比较条目：
| 字段 | 含义 |
|---|---|
| 条目 | 在抽样流量中发现的 DLP 检测条目。 |
| 配置文件 | 与检测结果关联的配置文件。 |
| 检测结果 | 至少检测到该条目一次的 HTTP 正文。即使同一正文中出现多次，也只计一次。 |
| URL 目标 | 与该条目关联的不同目标数量。 |
| 置信度（高/中/低） | 按高、中、低置信度分组的观察到的检测结果。 |
| 策略覆盖情况 | 扫描正文时，是否有匹配的配置文件被选中用于执行策略。请参阅查找策略覆盖缺口。 |
| 最近出现时间 | 所选时间范围内最后一次观察到该条目的时间。 |
所有时间均以 UTC 报告。
同一个正文可能通过多个匹配的配置文件贡献置信度计数。因此，即使在单个置信度级别内，置信度计数之和也可能超过检测到的正文数量。
选择条目后，打开它查看出现的位置。详情视图先显示随时间变化的检测结果和置信度，再显示与该条目关联的目标和应用程序。
目标按主机和规范化路径对 URL 分组。例如，/users/12345 等路径可能归到 /users/{id} 下。每个目标都包含检测次数、置信度、流量方向和最近检测时间。
展开目标可查看部分匹配的 URL、各自的检测次数和最近出现时间。利用这些详情判断活动是否涉及预期应用程序，或需要进一步调查的目标。
例如，与陌生文件共享目标关联的检测结果可能值得仔细查看。在决定是否创建策略前，请检查该目标是否获准处理相关数据。
仪表板显示检测元数据，不存储原始请求和响应正文。
策略覆盖情况有助于找出需要进一步查看的检测结果。扫描 HTTP 正文时，如果至少有一个匹配的 DLP 配置文件被选中用于执行策略，该检测结果便计为已覆盖。
覆盖并不表示完整的 Gateway 策略已经匹配，也不表示 Gateway 记录或阻止了流量。仪表板将覆盖情况分为三种状态：
| 状态 | 含义 |
|---|---|
| 已覆盖 | 每项检测结果至少有一个匹配的配置文件被选中用于执行策略。 |
| 部分覆盖 | 部分检测结果有匹配的配置文件被选中用于执行策略，其他结果则没有。 |
| 未覆盖 | 没有检测结果拥有被选中用于执行策略的匹配配置文件。 |
从 Not covered 或 Partly covered 的条目开始，检查其目标和相关策略。覆盖缺口说明值得调查，并不意味着应阻止每项检测结果。
了解检测到哪些数据以及它们出现的位置后，请据此制定适合流量的策略。重点保护需要关注的数据类型和目标，而不是对每项检测结果采取同一种操作。
- 选择要处理的检测条目。查看其目标、置信度和策略覆盖情况，判断该活动是否符合预期。
- 配置一个 DLP 配置文件，添加希望策略匹配的检测条目；也可以使用现有配置文件。
- （可选）如果该配置文件可使用测试扫描，请通过测试扫描确认其能检测代表性内容。测试扫描只检查配置文件本身，不评估 Gateway 策略。
- 创建 Gateway DLP 策略以记录或阻止匹配的流量。将策略限定到相关目标、应用程序或用户。
- 使用 Gateway 流量测试策略，并在 HTTP 请求日志中确认其执行了预期操作。
对于现有策略，请利用发现结果检查其范围和检测设置。数据安全分析会显示 DLP 策略配置后的活动。
- 被动检测只随机抽样扫描符合条件的 Gateway HTTP 流量，不会扫描每个请求或响应正文。
- 由于分析抽样，高流量检测的计数可能为估算值。计数描述的是抽样流量，而非所有符合条件的 Gateway 流量。
- 仪表板不报告抽样流量总量或检测率。
- 目标范围限定于单个检测条目。被动检测不提供账户级目标清单。
- 结果不包含用户身份。
仪表板为空并不能证明不存在敏感数据。
如果没有看到结果，请参阅排查 DLP 问题。