API セキュリティモジュールは、API における機密データのリスクを管理するための 2 つの機能を提供します。
コンプライアンスチェック： 越境での個人データ転送を監視し、セキュリティ評価や規制当局への届出に使用できる統計を生成します。
トレースと監査： 過去 30 日間の機密データトラフィックをクエリし、データ漏洩の発生源を追跡できます。これにより、迅速に対応し、ビジネスへの影響を軽減できます。
両方の機能は、API セキュリティモジュールをサポートする中国本土のリージョンにデプロイされた、サブスクリプションの Web Application Firewall (WAF) インスタンスでのみ利用可能です。両方の機能は、デフォルトで無効になっています。
コンプライアンスチェック
コンプライアンスチェック機能は、API ベースの越境データ転送を追跡し、転送が規制要件を満たしているかどうかを評価します。検出データは、前年の 1 月 1 日から現在まで利用可能です。
コンプライアンスチェックの有効化
[API セキュリティ] ページで、[ポリシー設定] > [適用対象の設定] に移動します。
管理したい保護対象を見つけます。
[コンプライアンスチェック] 列のスイッチをオンにします。
保護対象のトラフィック分析を停止するには、スイッチをオフにします。
詳細については、「ポリシー設定」をご参照ください。
コンプライアンスチェック結果の表示
[API セキュリティ] ページで、[コンプライアンスチェック] タブをクリックします。
チェック結果は重複排除されます。一意の越境転送パターンは、発生回数にかかわらず 1 回としてカウントされます。時間フィルター (過去 1 か月、過去 3 か月、過去 6 か月、過去 12 か月) は、常に前年の 1 月 1 日から現在までのデータを表示する [検出結果] および [検出項目] を除くすべてのセクションに適用されます。
このタブには、次のセクションが含まれています。
| セクション | 内容 |
|---|---|
| 検出結果 | 個人情報データタイプと機密性の高い個人情報データタイプ全体の総合評価。結果は、「リスクは検出されませんでした」または「リスクが検出され、セキュリティ評価が必要です」のいずれかです。右上隅の [検出設定] をクリックして、組み込みまたはカスタムの個人情報データタイプと機密性の高い個人情報データタイプを表示します。[カスタム] パネルで 新規追加された設定 をクリックしてカスタムの機密データタイプを追加し、「ポリシー設定」の説明に従って設定します。 |
| 検出リスト | [準拠必須]、[検出項目]、[評価結果] の列を含む、項目ごとのチェック結果。 |
| アウトバウンド転送データ傾向 | 選択した期間における 3 つの傾向線を示すグラフ： 個人情報の総エントリ数、越境転送されたエントリ数、および越境転送された機密性の高い個人情報のエントリ数。 |
| アウトバウンド転送された個人情報のトップ分布 | 越境転送量による上位 10 の宛先国と、転送量が多いほど濃い色で示される世界地図。ハイ・ローのスライダーを調整して特定の国をハイライト表示できます。ランキングはスライダーの調整による影響を受けません。地図にカーソルを合わせると、アウトバウンドの宛先、そこに転送された個人情報のエントリ数、およびそこに転送された機密性の高い個人情報のエントリ数が表示されます。必要に応じて世界地図を拡大または縮小できます。 |
| アウトバウンド転送された個人情報のタイプ別統計 | データ量レベルと評価結果ごとに分類された個人情報と機密性の高い個人情報。データタイプまたは秘密度レベルでフィルターできます。評価基準については、「越境データ転送のセキュリティ評価と届出の基準とは何ですか？」をご参照ください。 |
| 個人情報内のドメイン名と API 名に関する統計 | 選択した期間中に、各サイト配下の API が越境転送した個人情報のエントリ数と機密性の高い個人情報のエントリ数のリスト。 |
トレースと監査
トレースと監査機能は、過去 30 日間の機密データトラフィックを可視化します。データ漏洩が発生した場合、この機能を使用して漏洩が始まった時期を特定し、データがシステムからどのように流出したかを追跡できます。
トレースと監査の有効化
[API セキュリティ] ページで、[ポリシー設定] > [適用対象の設定] に移動します。
管理したい保護対象を見つけます。
[トレースと監査] 列のスイッチをオンにします。
詳細については、「ポリシー設定」をご参照ください。
機密データログのクエリ
[API セキュリティ] ページで、[トレースと監査] タブをクリックし、[ログクエリ] を選択します。
[ログクエリ] タブには、漏洩した機密データのエントリ数に基づいて降順でソートされた、次の統計が表示されます：
| サブセクション | 内容 |
|---|---|
| IP アドレス統計 | 機密データへのアクセスに使用された IP アドレス |
| ドメイン名統計 | 機密データが漏洩したドメイン名 |
| 機密データタイプ統計 | 漏洩した機密データのタイプ |
| API 統計 | 機密データが漏洩した API とドメイン名 |
| 詳細 | 完全なログエントリ。ドメイン名、API、機密データタイプ、または IP アドレスでフィルターできます。 |
検出可能な機密データタイプに関する詳細については、「API セキュリティモジュールで検出できる機密データのタイプは何ですか？」をご参照ください。API の秘密度レベルに関する詳細については、「API セキュリティモジュールの秘密度レベルとは何ですか？」をご参照ください。
特定のデータ漏洩のトレース
[データトレーサビリティ] を使用して、特定の機密データを検索し、トラフィックログのどこに表示されたかを見つけることができます。
API リクエストセキュリティ ページで ポリシーの設定 > 有効オブジェクトの設定 に移動し、トレースしたい保護対象を見つけて、データのトレーサビリティ 列のスイッチをオンにします。
[トレースと監査] タブで、[データトレーサビリティ] をクリックします。
機密データタイプを選択し、最大 5 つのサンプルデータ値を入力します。複数の値はコンマ (,) で区切ります。
説明交差検証の精度は、サンプルエントリが多いほど向上します。最大 5 つの値を入力できます。
結果リストでトレース結果を見つけ、[操作] 列の [詳細の表示] をクリックして、[ログクエリ] タブで一致するログを表示します。