DLP 故障排除

使用本指南来排除数据丢失预防（DLP）的常见问题。

DLP 策略未触发或未阻止内容

DLP 未检测或未阻止内容是报告的最常见问题。如果您配置了 DLP 策略但它未能检测或阻止流量，其原因几乎总是流量未被解密。要使用 DLP 扫描 HTTPS 请求的内容，您必须开启 TLS 解密。

要开启 TLS 解密：

在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Traffic policies（流量策略） > Traffic settings（流量设置）。
在 Proxy and inspection（代理与检查） 中，开启 Inspect HTTPS requests with TLS decryption（通过 TLS 解密检查 HTTPS 请求）。

向您的 cloudflare_api_token ↗ 添加以下权限：
- Zero Trust Write

在 cloudflare_zero_trust_gateway_settings ↗ 中配置 tls_decrypt 参数：

resource "cloudflare_zero_trust_gateway_settings" "team_name" {
	account_id = var.cloudflare_account_id
	settings = {
		tls_decrypt = {
			enabled = true
		}
	}
}

开启 TLS 解密后，您可以创建 DLP 策略来检测 HTTPS 请求的内容。例如：

选择器	运算符	值	逻辑	操作
Domain（域名）	in	`box.com`	And（且）	Block（阻止）
DLP Profile（DLP 配置文件）	in	Credit card numbers

DLP 扫描触发误报或阻止合法站点

如果您的 DLP 策略阻止了对业务关键型应用程序（例如 Zoho、Google 或内部域）的访问，或者产生了大量的误报，您的 DLP 策略可能过于宽泛。像 Credentials and Secrets 这样的配置式虽然功能强大，但如果范围界定不正确，可能会过于激进。

有问题的配置

将敏感配置式应用于所有流量会导致不必要的阻止。例如：

选择器	运算符	值	操作
DLP Profile（DLP 配置文件）	in	Credentials and Secrets	Block（阻止）

选择器	运算符	值	逻辑	操作
Destination Domain（目标域名）	in	`dropbox.com`, `wetransfer.com`	And（且）	Block（阻止）
DLP Profile（DLP 配置文件）	in	Financial Information	And（且）
User Group Names（用户组名称）	in	`Finance Team`

DLP 检测不一致

如果 DLP 检测到纯文本中的敏感数据，但未检测到图像或某些应用程序中的敏感数据，请检查以下问题：

OCR 已开启：要让 DLP 扫描图像中的文本（例如信用卡的图片），您必须在 DLP 设置中开启光学字符识别 (OCR)。
特定于应用程序的行为：某些应用程序（如 WhatsApp 网页版）使用 Gateway 可能无法通过 HTTP 策略完全检测的协议或加密方法（例如 WebSocket 连接）。
受支持的文件类型：内容必须属于受支持的文件类型才能进行 DLP 检测。

PII 记录配置式不匹配

**Personally Identifiable Information (PII) Record（个人身份信息记录）**预定义配置式不与孤立的值进行匹配。与大多数配置式不同，它仅在紧密邻近的范围内出现至少三个唯一的检测条目时才会进行匹配，从而减少了由单个、无关联匹配导致的误报。

如果您需要检测单个数据类型（例如单个电子邮件地址或信用卡号），请使用不同的预定义配置式或包含您想要的特定检测条目的自定义配置式。

DLP 选项阻碍或无法创建自定义配置式

如果您在创建 HTTP 策略时无法使用 DLP Profile 选择器，或者被阻止创建自定义 DLP 配置式，这通常意味着以下两种情况之一：

计划不正确。这些功能需要 Zero Trust Enterprise 计划。如果您认为您的账户应该拥有此权限，请联系您的账户团队以确认您的订阅详细信息。
权限问题。您可能没有配置 DLP 设置所需的管理权限。请向您的 Cloudflare 账户管理员核实。