【入門編】 CASBにおけるデータ損失防止（DLP）の正規表現パターンとフィンガープリンティング – ゼロトラスト＆エンタープライズセキュリティ実践ガイド

こんにちは！ネットワークセキュリティの世界へようこそ。
ゼロトラストやエンタープライズの現場を飛び回るセキュリティ・ライターの私ですが、今日は少し視点を変えて、クラウドの安全を守る「CASB（キャスブ）」という強力な相棒について、身近な例えを交えながらじっくりお話ししていきますね。

インフラやネットワークの世界に足を踏み入れたばかりの頃は、英略語の嵐や見慣れないセキュリティ用語に圧倒されてしまいますよね。「本当に自分に理解できるのかな…」と不安になるかもしれませんが、安心してください。一歩ずつ、目の前の扉を一緒に開けていきましょう！

—

1. 会社の金庫番「CASB」と、手紙の検閲というお仕事

皆さんは、普段会社でどんなクラウドサービスを使っていますか？ Microsoft 365、Google Workspace、Slack、Boxなど、ブラウザを開けば仕事がスムーズに進む便利な時代になりましたよね。

でも、セキュリティ担当者の視点からすると、この「便利さ」の裏側には冷や汗モノのリスクが潜んでいます。社員の誰かが、うっかり顧客のクレジットカード番号リストや、来期の極秘プロジェクトの資料を、個人のクラウドストレージにアップロードしてしまったら……想像するだけでゾッとしますよね。

ここで登場するのが、CASB（Cloud Access Security Broker）です。
CASBは、社内の端末とクラウドサービスの間でにっこりと立ち塞がり、すべての通信を監視・制御してくれる「門番」のような存在です。

このCASBの機能の中でも、特に企業の機密情報を守るための要となるのが、今回フォーカスする「データ損失防止（DLP：Data Loss Prevention）」なんです。

郵便局の「秘密を守る仕分け人」に例えてみよう

DLPの動きをイメージしやすくするために、身近な「郵便局の仕分け作業」に例えてみましょう。

想像してみてください。あなたは、ものすごく機密性の高い手紙を海外へ送ろうとしています。郵便局の窓口には、ベテランの仕分け人が座っています。
この仕分け人は、封筒を開けなくても、中の手紙が透けて見えたり、あるいは特別なセンサー（機械）を通したりすることで、次のようなチェックを瞬時に行います。

1. 「おや、この手紙の宛名や数字の並び、クレジットカード番号そっくりだな？」（これが今回学ぶ 「正規表現パターン」 です）
2. 「待てよ、この文章の言い回しやファイルの中身、先週会社が登録した『絶対外に出しちゃいけない極秘設計図』の指紋（ハッシュ値）と完全に一致するぞ！」（これが 「フィンガープリンティング」 です）

仕分け人は、「おっと、これは社外秘の重要データですね。残念ですが、この手紙の持ち出しはお断りします！」と、その場でピシャリとブロックするのです。
DLPは、まさにこのベテラン仕分け人のデジタル版だと言えます。

—

2. 秘密の数字を見抜く！「正規表現パターン」の仕組み

それでは、まず1つ目の武器である「正規表現パターン」から詳しく見ていきましょう。
「正規表現」なんて聞くと、なんだか呪文のように難しそうに感じますよね。でも、恐れることはありません。要は「特定のルール（パターン）に当てはまる文字の並びを見つけるためのテンプレート」のことです。

例えば、日本のクレジットカード番号を思い浮かべてみてください。大抵は「4桁-4桁-4桁-4桁」の数字の並びになっていますよね。
これをすべて「〇〇〇〇-〇〇〇〇-〇〇〇〇-〇〇〇〇」と手動で探していたら、膨大な通信量を前にシステムがパンクしてしまいます。そこで、CASBのDLPには次のようなルール（正規表現）をあらかじめ教えておきます。

# 日本の一般的なクレジットカード番号（16桁）を検出する正規表現のイメージ
\b\d{4}[-\s]?\d{4}[-\s]?\d{4}[-\s]?\d{4}\b

「うわっ、やっぱり難しそう！」と思いましたか？大丈夫、分解して読んでみましょう。

\d{4} は、「数字が4回続きますよ」という意味です。
[-\s]? は、「その間に、ハイフン（-）やスペースが入っていてもいなくても、どちらでもいいですよ」という意味です。

これが4セット繰り返されるデータを見つけたら、CASBは「おっ、これはクレジットカード番号のパターンに一致したぞ！」と判定し、パケットの流れを即座にストップさせるわけです。

実務の現場では、次のようなパターンのルール（設定ファイルやポリシーの定義）をCASBの管理画面に登録していきます。

# CASBのDLPポリシー設定例（疑似コード）
policy_name: "機密情報流出防止_クレジットカード番号"
target_action: "block" # 該当した場合はブロックする
detection_method: "regex"
patterns:
  - name: "VISA/Mastercard形式"
    expression: "\\b4[0-9]{3}[-. ]?[0-9]{4}[-. ]?[0-9]{4}[-. ]?[0-9]{4}\\b"
    severity: "high"
  - name: "マイナンバー形式（12桁）"
    expression: "\\b[0-9]{4}[-. ]?[0-9]{4}[-. ]?[0-9]{4}\\b"
    severity: "critical"

このように、あらかじめ「こういう数字や文字の並びを見つけたらレッドカードだ」とルールを仕込んでおくことで、人間が気づかないスピードで流れるデータから機密情報を守り抜くことができるのです。

—

3. ファイルの「指紋」を取る！「フィンガープリンティング」の深部

正規表現は「パターンの形」を見つけるのが得意でしたが、世の中には形だけでは判断できない厄介なものもあります。
例えば、自社で開発した「極秘のソースコード」や、言葉の並びがバラバラな「企画書のドキュメント」です。これらは決まったフォーマットの数字の並びを持たないため、先ほどの正規表現だけではすり抜けてしまう可能性があります。

そこで登場するのが、2つ目の武器である「フィンガープリンティング（指紋認証）」です。

人間には一人ひとり違う指紋があるように、ファイルにも中身を計算して算出された「唯一無二のデジタル署名（ハッシュ値）」が存在します。
CASBにおけるフィンガープリンティングは、次のようなステップで機能します。

1. セキュリティ管理者が、社内のサーバーにある「絶対に外に出してはいけない重要ファイル（例: new_product_blueprint.pdf）」をCASBに事前登録します。
2. CASBはそのファイルの中身を読み込み、独自の数学的な計算（ハッシュ関数）を行って、そのファイル専用の「指紋（ハッシュ値）」を生成します。
3. その後、社員がクラウドへファイルをアップロードしようとするたびに、CASBは「今まさにアップロードしようとしているファイルの指紋」と、「あらかじめ登録された重要ファイルの指紋」を猛烈なスピードで比較します。
4. もし指紋がピタリと一致すれば、ファイルの中身の名前が書き換えられていようが何だろうが、「これはあの極秘ファイルだ！」と見破り、アップロードを阻止します。

Pythonコードで体感するハッシュ計算の仕組み

「ファイルの指紋を取るって、裏側では一体どんな処理をしているの？」と思った好奇心旺盛な方のために、ファイルのハッシュ値を計算するシンプルなPythonコードを用意しました。仕組みの雰囲気を掴んでみてくださいね。

import hashlib

def calculate_file_fingerprint(file_path):
    """
    指定されたファイルのSHA-256ハッシュ（指紋）を計算する関数です。
    CASBのフィンガープリンティングも、基本的にはこのような仕組みで
    ファイルの同一性を一瞬で見分けています。
    """
    # ハッシュオブジェクトの生成（SHA-256を使用）
    sha256_hash = hashlib.sha256()
    
    # ファイルをバイナリ読み込みモードでオープン
    try:
        with open(file_path, "rb") as f:
            # 大きなファイルでもメモリを圧迫しないよう、少しずつ読み込んでハッシュを更新
            for byte_block in iter(lambda: f.read(4096), b""):
                sha256_hash.update(byte_block)
                
        # 16進数の文字列として指紋（ハッシュ値）を返す
        return sha256_hash.hexdigest()
        
    except FileNotFoundError:
        return "指定されたファイルが見つかりませんでした。"

# 実行例（※架空のファイルパス）
# target_file = "C:/Documents/secret_project.pdf"
# print(f"ファイルのデジタル指紋: {calculate_file_fingerprint(target_file)}")

このように、中身のデータが1バイトでも書き換わればハッシュ値は全く別のものに変化します。CASBはこの強力な技術を使って、改ざんされたファイルや変名された機密データをも逃さずキャッチしているのです。

—

4. 現場のインフラエンジニアが直面する「リアルな課題」と向き合う

さて、ここまで聞くと「CASBとDLPを導入すれば、セキュリティは完璧だね！」と思えるかもしれません。しかし、現場の第一線でインフラやネットワークに触れている私たちエンジニアは、甘い言葉の裏にある「現実の壁」を知っています。

最後に、実務でCASBのDLPを運用する際によくある落とし穴と、その対策について少しだけ触れておきましょう。

誤検知（False Positive）の嵐

正規表現を厳しくしすぎると、例えば「社内のテストデータのやり取り」や「普通のコーディング作業」で使われる一般的な数列まで引っかかってしまい、社員が「業務に必要なファイルがアップロードできない！」とヘルプデスクへ駆け込んでくる事態が発生します。

対策: 例外リスト（ホワイトリスト）を適切に設けたり、重要度（Severity）に応じて「ブロック」ではなく「警告（アラート通知のみ）」にするなど、ビジネスの利便性とセキュリティのバランスを取るチューニングが不可欠です。

暗号化された通信（HTTPS / TLS）の壁

現代のウェブトラフィックは、そのほとんどが暗号化されています。CASBが中身を覗き見してDLPでスキャンするためには、境界上のプロキシや次世代ファイアウォールで一度通信を安全に復号（SSL/TLSインスペクション）し、検査した上で再度暗号化して送り出すという、少しトリッキーなネットワーク経路の設計が必要になります。

対策: 社用端末に適切なルート証明書を配布し、プライバシーに配慮しつつ安全にトラフィックを可視化するインフラ基盤の構築が求められます。

—

おわりに：セキュリティは「日々の対話」から始まる

今回は、CASBにおけるDLPの正規表現パターンとフィンガープリンティングについて、郵便配達の例えやシンプルなコードを交えながらお伝えしてきました。

難解に思えるセキュリティ技術も、突き詰めていれば「大切なものを守るための工夫」の積み重ねです。ネットワークの向こう側でパケットがどのように検査され、安全が守られているのか、その裏側のストーリーを少しでも感じていただけたならライターとしてこれ以上の喜びはありません。

ゼロトラストの時代、ネットワークやセキュリティに正解のゴールはありません。日々の技術のキャッチアップを楽しみながら、一緒に「安全で働きやすいインフラ環境」を作っていきましょう！

それでは、また次回の技術ブログでお会いしましょう！