Data Loss Prevention

Data Loss Prevention nedir?

“Cloudflare Data Loss Prevention (DLP) allows you to scan your web traffic and SaaS applications for the presence of sensitive data such as social security numbers, financial information, secret keys, and source code.”

Üç kavram üzerine kurulu: profiller neyin aranacağını, tespit girdileri hangi desenin aranacağını, ve isteğe bağlı Data Classification bulguların nasıl etiketleneceğini tanımlıyor.

Dört tarama yüzeyi

CASB tarafı için önemli bir ayrım: “Because of this, Gateway and Cloudflare One Client settings (such as Do Not Inspect policies and Split Tunnel configurations) do not affect data at rest scans.”

Nasıl çalışır?

Hazır profiller — sekiz grup, 144 tespit girdisi

AI Prompt · Credentials and Secrets · Financial Information · Health Information · HTTP Archive (HAR) files · Personally Identifiable Information (PII) Record · Social Security, Insurance, Tax, and Identifier Numbers · Source Code

Eşleşme mantığı profile göre değişiyor:

“Most profiles match when any enabled detection entry matches. Some add validation checks to improve accuracy, and a few use profile-specific matching logic to reduce false positives — for example, the PII Record profile requires multiple entries in close proximity.”

PII Record’ın kuralı özellikle sıkı: “this profile matches only when at least three unique detection entries are found in close proximity.”

Doğrulama yöntemleri — ve neyin doğrulanmadığı

Cloudflare API anahtarları için not: “Only credentials generated after Cloudflare’s token format update will be matched by these entries.”

Türkiye — 40 ülke var, Türkiye yok

Hazır tespit girdileri tablosunda Avustralya’dan Uruguay’a 40’tan fazla ülkenin kimlik, vergi ve sosyal güvenlik numarası bulunuyor. turk, türk, TCKN ve Turkiye aramaları sıfır sonuç veriyor — pozitif kontrol aynı tabloda kırk küsur ülke adı döndürüyor, yani arama çalışıyor.

İyi haber: TR ile başlayan IBAN’lar IBAN girdisiyle yakalanıyor ve o checksum doğrulamalı. T.C. Kimlik No içinse özel bir desen yazman gerekiyor.

Regex — Rust lehçesi ve iki sert kısıt

“Regular expressions are written in Rust. Cloudflare recommends validating your regex with Rustexp.” “Custom text pattern detections are limited to 1024 bytes in length.” “DLP does not support regular expressions with + or * operators because they are prone to exceeding the length limit… Cloudflare recommends using a{min,max} instead, such as a{1,1024}.”

Veri setleri — ve gizlilik açısından en önemli ayrım

EDM biçim kuralları: .csv veya .txt, LF satır sonu (CRLF desteklenmiyor), her satır en az altı karakter, ve yüklendikten sonra salt okunur — güncellemek için yeni dosya yüklemek gerekiyor.

Belge parmak izi

“DLP creates a unique fingerprint of the document and compares traffic against it based on how similar it is to the original. This is useful for detecting specific document types common to your organization, such as contract templates or internal reports.”

.docx ve .txt, 10 MB altı, ayarlanabilir minimum benzerlik yüzdesi. Depolama notu: “DLP stores uploaded documents encrypted at rest in a Cloudflare R2 bucket. To upload sensitive data that is only stored in memory, use Exact Data Match datasets.”

Güven seviyeleri — ve bir doküman hatası

“Confidence thresholds indicate how confident Cloudflare DLP is in a detection. DLP determines the confidence level by inspecting the content for proximity keywords… For example, the word ‘SSN’ appearing near a 9-digit number increases confidence.”

Ayrıca: “Not all detection entries support confidence thresholds.”

Match count

“Match count sets a minimum threshold for the number of detections required to trigger an action… Matches do not have to be unique — the same credit card number appearing 10 times counts as 10 matches.”

OCR

“OCR supports scanning .jpg/.jpeg and .png files between 4 KB and 1 MB in size. Text is encoded in UTF-8 format, including support for non-Latin characters.”

Son cümle Türkçe için doğrudan anlamlı. İki tuzak: profil seviyesindeki OCR ayarı kullanımdan kalkıyor (hesap seviyesine geç; ikisi birden açıksa OR mantığı işliyor), ve test taraması üretimden farklı davranıyor — testte OCR profil kapalı olsa bile çalışıyor.

Ne zaman kullanılır, ne zaman kullanılmaz

Uygun olduğu işler

• Kart numarası, IBAN ve kimlik bilgisinin dışarı yüklenmesini engellemek
• Kaynak kodunun yapay zekâ araçlarına yapıştırılmasını yakalamak
• SaaS depolarında duran hassas dosyaları taramak (CASB ile)
• Sözleşme şablonu gibi belirli belge tiplerini parmak iziyle izlemek
• Bulguları önce Allow aksiyonuyla loglayıp gerçek trafiği görmek, sonra engellemek

Uygun olmadığı işler

• TLS denetimi olmadan. Gateway tarafında şart; istisna yalnızca AI Gateway entegrasyonu.
• Sertifika pinleyen mobil uygulamalar. Trafik denetimi tamamen atlıyor — DLP, log ve antivirüs dahil.
• WebSocket tabanlı uygulamalar. WhatsApp Web dokümanda adıyla örnek veriliyor.
• Parola korumalı Office, PDF ve ZIP dosyaları. Taranamıyor.
• T.C. Kimlik No’yu hazır beklemek. Özel desen yazman gerekiyor.
• Kişisel veriyi Custom Wordlist’e koymak. Düz metin saklanıyor ve loglara düz metin düşüyor.
• Türkiye’de metadata sınırı. CMB yalnızca us ve eu.

Somut örnekler

1. Kart numarası engelleme kuralı

API karşılığı:

any(dlp.profiles[*] in {"a0cabf16-7491-4c9a-ac02-f64cabc66394"})

2. T.C. Kimlik Numarası için özel desen

+ ve * desteklenmediği için sınırlı nicelik belirteci kullanmak zorundasın:

# CALISMAZ — + operatoru reddediliyor
[1-9]\d+

# CALISIR — sinirli nicelik belirteci
[1-9][0-9]{10}

3. Önce logla, sonra engelle

Cloudflare’in önerdiği iki kurallı desen:

1. DLP Profile │ in │ Low Confidence Detections  │ Allow   ← logluyor
2. DLP Profile │ in │ High Confidence Detections │ Block   ← engelliyor

“In a Gateway HTTP policy, all matches — including Allow — are recorded in your HTTP request logs.”

4. Yalnızca yüklemeleri taramak

Body Phase │ is │ Request Body
DLP Profile │ in │ Kaynak Kodu
→ Block

Bu, veri sızdırmayı hedefliyor. İndirmeleri taramak istersen Response Body seç — ama dosya tipi seçicisi kullanıyorsan fazı eşleştirmeyi unutma, yoksa kural beklendiği gibi çalışmıyor.

5. Sanitize edilmemiş HAR dosyalarını yakalamak

“Detects HAR files that do not carry a Cloudflare sanitized marker.” “You can use this profile in a Gateway HTTP policy to block HAR file uploads or redirect users to https://har-sanitizer.pages.dev/ to sanitize the file before uploading.”

HAR dosyaları oturum çerezleri ve token taşıyor; destek talebine ham HAR eklemek yaygın bir sızıntı yolu.

Demo 1: Luhn’u kanıtla, Türkçe kimlik için desen yaz

Ön koşullar: Ubuntu masaüstü, Cloudflare One Client Traffic and DNS modunda, TLS decryption açık, kök sertifika kurulu.

Adım 1 — Test hedefi kur

mkdir -p ~/dlp-lab && cd ~/dlp-lab
python3 -m http.server 8090 &
cloudflared tunnel run --url http://localhost:8090 dlp-demo

Bu, gönderdiğin gövdeyi geri yazan basit bir uç nokta — ne gittiğini görebilmek için.

Terminal — python http.server ve cloudflared çıktıları; ardından curl ile 200 dönen bir test isteği

Adım 2 — Hazır profille kural yaz

Panel: Zero Trust → Traffic policies → Firewall policies → HTTP → Add a policy

Panel — HTTP kural formu, DLP Profile seçicisi ve Financial Information profili seçili

Adım 3 — Luhn doğrulamasını sına

sleep 60

# GECERLI Visa test numarasi — Luhn'dan gecer, engellenmeli
curl -s -o /dev/null -w "gecerli kart: %{http_code}\n" \
  https://dlp-demo.ornek.com/ --json '{"not":"kartim 4111 1111 1111 1111"}'

# GECERSIZ — son hane degistirildi, Luhn'dan gecmez
curl -s -o /dev/null -w "gecersiz kart: %{http_code}\n" \
  https://dlp-demo.ornek.com/ --json '{"not":"kartim 4111 1111 1111 1112"}'

İkinci istek geçiyor. Bu, Luhn kontrolünün gerçekten çalıştığının kanıtı — DLP her onaltı haneli sayıyı yakalamıyor.

Terminal, tek kare — iki HTTP kodu alt alta; geçerli kartta blok, geçersizde 200. Luhn'un çalıştığının kanıtı bu

Adım 4 — CVV’nin doğrulanmadığını gör

curl -s -o /dev/null -w "yalniz CVV: %{http_code}\n" \
  https://dlp-demo.ornek.com/ --json '{"not":"cvv 123"}'

Belgelenmiş davranış: “Card verification values (CVVs) are not validated.”

Terminal — CVV içeren isteğin sonucu ve altında Security/Gateway logunda eşleşme olup olmadığı

Adım 5 — TCKN için özel desen yaz — ve önce reddettir

Panel: Data loss prevention → Detection entries → Pattern → Add Pattern

Önce başarısız olacak deseni gir:

[1-9]\d+

Validate Regex düğmesine bas — reddediliyor, çünkü + desteklenmiyor.

Panel — Pattern ekleme formunda regex alanı ve Validate Regex sonucunda çıkan hata mesajı

Adım 6 — Çalışan deseni gir

[1-9][0-9]{10}

Bunu bir özel profile ekle ve kuralı yaz.

sleep 120     # ozel profil yayilimi

curl -s -o /dev/null -w "tckn benzeri: %{http_code}\n" \
  https://dlp-demo.ornek.com/ --json '{"not":"kimlik no 12345678901"}'

curl -s -o /dev/null -w "on haneli:    %{http_code}\n" \
  https://dlp-demo.ornek.com/ --json '{"not":"numara 1234567890"}'

Terminal — on bir haneli sayının engellenmesi, on hanelinin geçmesi; yanında panelde kaydedilmiş desen

Adım 7 — Yanlış pozitifi gör

# Zararsiz bir siparis numarasi da onbir haneli olabilir
curl -s -o /dev/null -w "siparis no: %{http_code}\n" \
  https://dlp-demo.ornek.com/ --json '{"not":"siparis numaram 20260901123"}'

Engelleniyor. Onbir haneli her sayı kimlik numarası değil — match count ve confidence threshold ile daraltman ya da kuralı belirli uygulamalara kısıtlaman gerekiyor.

Terminal — sipariş numarası içeren isteğin engellenmesi; yanında Gateway logunda eşleşen desen adı

Adım 8 — IBAN’ı sına

curl -s -o /dev/null -w "TR IBAN: %{http_code}\n" \
  https://dlp-demo.ornek.com/ --json '{"not":"TR330006100519786457841326 hesabima gonder"}'

Financial Information profilindeki IBAN girdisi checksum doğrulamalı — TR ile başlayan IBAN’lar hazır olarak yakalanıyor.

Terminal — TR IBAN içeren isteğin engellenmesi; Gateway logunda DLP profile ve entry adları görünsün

Demo 2: Şifreli payload kaydı ve maskeleme

Bu demo gizlilik modelini uçtan uca gösteriyor: anahtar çifti üret, açık anahtarı yükle, kaydı çöz, ve maskeleme seviyelerinin farkını gör.

Adım 1 — Anahtar çifti üret

openssl genrsa -out ~/dlp-lab/ozel.pem 2048
openssl rsa -in ~/dlp-lab/ozel.pem -pubout -out ~/dlp-lab/acik.pem
chmod 600 ~/dlp-lab/ozel.pem
cat ~/dlp-lab/acik.pem

Terminal — openssl komutları ve açık anahtarın PEM içeriği; özel anahtar ekranda olmasın

Adım 2 — Açık anahtarı yükle

Panel: Data loss prevention → DLP settings → DLP Payload Encryption public key → yapıştır → Save.

Aynı ekranda Payload log masking seviyesini Full Mask bırak.

Panel — DLP settings ekranında yüklenmiş açık anahtar ve Payload log masking seçenekleri

Adım 3 — Kuralda payload logging’i aç ve tetikle

curl -s -o /dev/null -w "%{http_code}\n" https://dlp-demo.ornek.com/ \
  --json '{"musteri":"Ayşe Yılmaz","kart":"4111 1111 1111 1111","not":"acil"}'

Adım 4 — Kaydı çöz

Panel: Insights → Logs → HTTP request logs → satırı genişlet → Decrypt payload log → özel anahtarı yapıştır → Decrypt.

Eşleşen değer maskeli, iki yanında 75 bayt bağlam görünüyor.

Panel — Decrypt payload log ekranı ve çözülmüş içerik; maskelenmiş kart numarası ile çevresindeki bağlam görünsün

Adım 5 — Maskeleme seviyelerini karşılaştır

Ayarı Partial Mask yap, aynı isteği tekrarla, kaydı tekrar çöz. Sonra Clear Text ile bir kez daha.

Panel — üç ayrı çözülmüş kayıt görüntüsü ya da tek karede karşılaştırma; maskeleme farkı okunabilir olsun

Adım 6 — EDM ile CWL farkını kanıtla

İki küçük veri seti yükle:

# EDM — hash'lenecek
printf 'musteri_no\nMUS-100234\nMUS-100235\nMUS-100236\n' > ~/dlp-lab/edm.csv

# CWL — duz metin saklanacak
printf 'PROJE-ANKARA\nPROJE-IZMIR\n' > ~/dlp-lab/cwl.txt

file ~/dlp-lab/edm.csv ~/dlp-lab/cwl.txt

Her ikisini de birer profile bağla, sonra ikisini de tetikleyen bir istek at ve payload kaydını çöz.

curl -s -o /dev/null -w "%{http_code}\n" https://dlp-demo.ornek.com/ \
  --json '{"not":"MUS-100234 icin PROJE-ANKARA dosyasi"}'

Çözülen kayıtta EDM eşleşmesi redakte, CWL eşleşmesi düz metin görünüyor.

Panel — çözülmüş payload kaydında iki eşleşme yan yana; EDM değeri maskelenmiş, CWL değeri okunabilir. Bu farkın tek karede görünmesi demonun özü

Adım 7 — OCR’ı sına

sudo apt install -y imagemagick
magick -size 800x200 xc:white -pointsize 40 -fill black \
  -annotate +40+100 "Kart: 4111 1111 1111 1111" ~/dlp-lab/kart.png
ls -lh ~/dlp-lab/kart.png     # 4 KB - 1 MB araliginda olmali

Görseli yükleyip taranıp taranmadığına bak. Hesap seviyesinde OCR açık olmalı.

İki bölmeli görüntü — solda üretilen PNG dosyası, sağda Gateway logunda DLP eşleşmesi ve OCR sonucunda çıkarılan metin

Ölçüm tablosu

Fiyatlandırma

Ücretsiz ve Pay-as-you-go planlarda kullanılabilenler, birebir: Financial Information ve Social Security, Insurance, Tax, and Identifier Numbers hazır profilleri, payload logging, ve false positive reporting. Özel profil, özel desen, veri setleri ve belge parmak izi Enterprise eklentisi.

Eklenti fiyatı yayımlanmıyor. Contract katmanı yalnızca “Annual custom price per user” olarak veriliyor.

Limitler

“These limits may be increased on Enterprise accounts.”

Lisanslama ve hukuki çerçeve

Tescilli bir hizmettir ve Cloudflare Hizmet Şartlarına tabidir.

Gizlilik modeli üç katmanlı:

Log saklama: HTTP logları Free 24 saat, Standard 30 gün, Enterprise 30 gün. Ve bir kapı: “Gateway activity logs are not available in the dashboard if you turn on the Customer Metadata Boundary.”

KVKK. Cloudflare’in KVKK ile ilgili yayımlanmış bir sayfası yok; Trust Hub’ın hukuk rejimi dizininde sekiz jurisdiction var ve Türkiye içinde değil. Bu üründe dayanak olarak kullanılabilecek şeyler teknik: eşleşen içerik varsayılan olarak saklanmıyor, saklandığında senin anahtarınla şifreleniyor, ve EDM veri setleri Cloudflare’e ulaşmadan önce şifreleniyor.

Sık yapılan hatalar

Kişisel veriyi Custom Wordlist’e koymak

CWL düz metin saklanıyor ve loglara düz metin düşüyor. Kişisel veri için EDM kullan.

EDM dosyasını CRLF ile yüklemek

Windows’ta üretilmiş CSV’ler çoğunlukla CRLF taşıyor ve reddediliyor. sed -i 's/\r$//' ile dönüştür.

Regex’te + veya * kullanmak

Desteklenmiyor. {min,max} biçimine geç.

CVV’nin yakalanacağını sanmak

“Card verification values (CVVs) are not validated.”

Antivirüs boyut sınırlarını DLP sınırı sanmak

15/25/100 MB rakamları malware taramasına ait.

Body Phase ile dosya tipi seçicisini eşleştirmemek

“If body phase and file type selector logic do not match, the policy may not filter traffic as intended.”

Sertifika pinleyen uygulamaları unutmak

Android’de Google Drive gibi uygulamalar denetimi tamamen atlıyor — DLP, log ve antivirüs dahil.

Özel anahtarı kaybetmek

Eski anahtarla şifrelenmiş kayıtlar kalıcı olarak okunamaz hâle geliyor.

Clear Text maskelemeyi hafife almak

Seçilen seviye o payload penceresindeki tüm eşleşmelere uygulanıyor, yalnızca kuralı tetikleyene değil.

Test taramasının üretimi temsil ettiğini varsaymak

Test taramasında OCR profil kapalı olsa bile çalışıyor, ve AI prompt profilleri hiç desteklenmiyor.