ZscalerにおけるDLPクラウド間インシデント転送の設定手順（S3）
クラウド間インシデント転送とは？
この機能により、ZscalerはDLPポリシー違反のインシデントを外部システムへ直接転送できます（例：組織が使っているSIEMや監視ツールなど）。言い換えると、DLPインシデントの分析や対応を簡素化し、効率的に行うための方法です。
ゼットスケーラーの水本です。プロフェッショナルサービスのコンサルタントをしています
DLPの持つメリットと組織の目的とをうまくソリューション化できればということで、この記事はZscaler Advent Calendar 2025の7日目向けに作成しました
概要
この記事では、DLP違反のインシデントを引き起こしたファイルと関連情報であるメタデータをお客様自身のAWS環境に自動的に送信する設定の概要と手順を示します
この記事は、顧客のニーズに応じて拡張または変更できる基本的なインシデントデータの管理とWorkflow AutomationをはじめとしたZscalerのソリューションのベースとなる環境の情報を提供することも目的としています
S3を利用したインシデントデータ転送の仕組み
1. インシデントデータとメタデータを分離した2バケットアプローチ
Amazon S3は、インシデントデータとイベントメタデータ用に分離されたバケットを設定することで、データの整理とスケーラビリティを強化します。
-
データバケット:
DLP違反に関する生データを保存するためのバケットです。DLPポリシーに違反しているペイロードや添付ファイル、ファイルハッシュなどが保管されます。 -
メタデータバケット:
各インシデントに関連付けられたメタデータ（例: タイムスタンプ、重大度、違反したポリシー、関係するユーザー、送信元IPアドレスなど）を保存します。これにより、分析ツールでインシデントを追跡・優先順位付けしやすくなります。
2. IAM（Identity and Access Management）の設計
S3をSaaSのように活用するためには、IAMポリシーとロールの設定が不可欠です。IAMにより、Zscalerや他の転送システムが運用する際のアクセス権限を厳密に管理できます。
-
Zscaler用のIAMロール:
Zscalerまたは他のインシデント発信元が、DLP違反ログを指定されたS3バケットにプッシュできるよう設計します。書き込み専用権限をインシデントファイルをアップロードするために付与するなど、最小権限のポリシー設計により、Zscalerが必要な権限を手順を確認しながら設計します。
簡易的なセットアップ手順（主にS3を利用する場合）
-
DLPインシデント転送を有効化する
まず、Zscalerの管理者がこの機能を有効にする必要があります。 -
送信先を選択する
転送されるインシデントは、Amazon S3バケットや、自動ログ取り込みをサポートする外部プラットフォームで処理できます。 -
クラウドストレージバケットを接続する
- S3の場合：AWS内で必要なバケットの権限を設定し、Zscalerが書き込めるようにします。
- Zscalerにアクセスキー（必要に応じて）やバケット名など必要な詳細情報を提供します。
-
転送条件を定義する
転送するインシデントの種類をルールに沿って指定することも可能です。たとえば：- 重大なDLP違反のみを転送する。
- 特定のユーザー、グループ、またはデータ保護ポリシーなどのルールのCriteriaに基づいてフィルタリングを行い、ルールにマッチした条件のみS3に転送する。
-
インシデントデータを転送する
- Zscalerは、定義した条件に一致するログデータをAmazon S3バケットに自動的にエクスポートします。
- エクスポートされたログは、サードパーティのログ分析ソフトウェアやセキュリティソフトを使って確認・保存・分析できます。
- インシデント情報はインサイトログや監査者向けのメールなどで通知できます
-
インシデントデータを確認する
- Zscalerで発生したDLPインシデントやその他のデータがお客様環境に保存されますが、データそのものはDLPインシデントと共通のIDをもつ形式で確認できます
- 管理者視点、ユーザ視点から見て発生したインシデントをそれぞれ効率的に管理する必要があります。
結果として、組織内でデータ保護を行う何らかのワークフローを構成することが望ましいと考えられます。例えばこちらの記事で紹介したようなメールベースのワークフローシステム連携などがまず考えられます。
より高度な管理も考えると、Workflow AutomationとS3の連携が、セキュリティや運用効率の向上を目指す組織にとって非常に重要なツールとなります。
S3を使用したDLPインシデント転送の主なメリット
S3バケットをSaaSのようなインシデント転送アプリケーションとして利用する方法があり、今回はこちらのAmazon Web Servicesを使用したDLP プリケーション統合の設定を元に手順を示します。
Zscaler DLPとAmazon S3をクラウド間連携することで、インシデント管理のための柔軟でクラウドネイティブなリポジトリとして機能できます。ここでは、S3のデータバケット、メタデータバケット、およびIAMを活用して設計する仕組みを説明します。この構造では専用の「Incident Receiver（インシデント受信用の専用プラットフォーム）」を採用せず、S3そのものを管理の中心として使用します。注意点として、IAM設定を適切に行う必要があります。
-
集中ストレージ
インシデントはS3バケット内に元の形式のファイルとして安全に保存されるため、スケーラブルで信頼性の高い保管が可能です。あとから追加のバケットを関連づけることもできます。 -
互換性
Amazon S3との統合機能により、これらのログを監視システムやレポート作成、監査プロセスと簡単に接続できます。 -
効率性
手動でストレージからインシデントを確認する必要がなくなり、自動化されたプロセスを使用することでチームがDLP違反のリアルタイム可視性を得ることができます。SlackやMicrosoft Teamsを使用したワークフロー自動化統合の管理に拡張することもできます。