← Referenční architektury / reference-architecture / architectures

CrowdStrike a Cloudflare - jednotný bezpečnostní ekosystém pro automatizovanou ochranu založenou na riziku

Tato referenční architektura popisuje, jak se řešení Cloudflare a CrowdStrike integrují a vytvářejí jednotný bezpečnostní ekosystém, který spojuje ochranu koncových bodů se síťovým přístupem podle zero trust, sdílením informací o hrozbách a automatizovanými workflow pro nápravu. Tuto integraci mohou organizace využít k zavedení zásad přístupu založených na riziku, ke zlepšení detekce hrozeb a k orchestraci bezpečnostních reakcí napříč oběma platformami.

Dnešní stav kybernetické bezpečnosti staví organizace před řadu komplexních výzev. Rostoucí útočná plocha způsobená prací na dálku, migrací do cloudu a sofistikovanými hrozbami vyžaduje jednotný přístup, který zahrnuje ochranu koncových bodů, zabezpečení sítě a správu identit.

Cloudflare One a CrowdStrike Falcon® nabízejí pro tyto výzvy silné integrované řešení. Spojením špičkové bezpečnostní platformy CrowdStrike se zabezpečenou sítí a možnostmi zero trust od Cloudflare mohou organizace zavést komplexní ochranu, která zabezpečí jak jejich zařízení, tak síťový provoz, a zároveň díky automatizaci a jednotným zásadám zjednoduší správu.

Zero Trust s ohledem na kontext: Samotná identita už k důvěře nestačí. Cloudflare Access přijímá skóre Falcon Zero Trust Assessment (ZTA) v reálném čase a na jejich základě vynucuje dynamické zásady založené na riziku. Díky tomu mají k citlivým zdrojům přístup pouze zařízení ověřená jako zdravá a vyhovující, čímž se účinně blokují kompromitovaná koncová zařízení i v případě, že jsou přihlašovací údaje uživatele platné.

Jednotná viditelnost a rozšířená detekce a reakce (XDR): Síťová data a data z koncových zařízení často leží v oddělených silech. Tato integrace streamuje podrobné síťové protokoly Cloudflare (ze služeb Cloudflare Gateway, Cloudflare Web Application Firewall (WAF) a Cloudflare Email Security) přímo do CrowdStrike Falcon® Next-Gen SIEM. Toto jednotné zobrazení umožňuje analytikům propojit síťové blokace s konkrétními procesy na koncových zařízeních, což poskytuje ucelený obraz celého útočného řetězce.

Automatizovaná náprava: Propojením vynucovacích bodů napříč Cloudflare a CrowdStrike mohou bezpečnostní týmy přejít od manuální reakce k automatizované ochraně. Hrozba zjištěná na koncovém zařízení může vyvolat okamžitou blokaci na hraně sítě (a naopak), což výrazně snižuje riziko i průměrnou dobu reakce (MTTR) bez zvýšení provozní zátěže.

Integrace Cloudflare a CrowdStrike vytváří silný bezpečnostní ekosystém, ve kterém stav zabezpečení zařízení přímo ovlivňuje rozhodnutí o přístupu. Když se uživatel pokusí přistoupit k aplikaci, platforma Cloudflare One ověří požadavek na základě několika faktorů: bezpečnostního hodnocení agenta CrowdStrike Falcon®, identity uživatele z podporovaných poskytovatelů a dalších kontextových informací. Přístup se povolí jen tehdy, když jsou splněny všechny požadavky zásad, čímž se zajistí, že k citlivým zdrojům se dostanou pouze zabezpečená zařízení.

Tento proces průběžného ověřování zlepšuje obousměrné sdílení dat mezi platformami:

1. Posouzení Device Posture: Telemetrie CrowdStrike Zero Trust Assessment (ZTA) v reálném čase ovlivňuje rozhodování o přístupu v Cloudflare Zero Trust.
2. Jednotné bezpečnostní logování: Cloudflare předává bezpečnostní telemetrii do CrowdStrike Falcon Next-Gen SIEM.
3. Zpravodajské informace o zabezpečení e-mailu: Upozornění z Cloudflare Email Security se přivádějí do nástrojů CrowdStrike pro protokolování a analýzu.
4. Postupy automatizované nápravy: Bezpečnostní události spouštějí koordinované automatizované reakce na obou platformách, řízené prostřednictvím CrowdStrike Falcon Fusion SOAR.

Integrace Cloudflare a CrowdStrike vytváří komplexní bezpečnostní architekturu založenou na obousměrné výměně informací o hrozbách. Tento ekosystém propojuje zabezpečení koncových zařízení se síťovým přístupem typu zero trust a automatizovanou reakcí.

Architektura je definována těmito klíčovými toky:

• Řízení přístupu Zero Trust:
  • Na koncovém zařízení uživatele běží jak Cloudflare One Client, tak agent CrowdStrike Falcon.
  • Skóre CrowdStrike Falcon Device Posture a ZTA se s Cloudflare sdílí prostřednictvím rozhraní API mezi službami.
  • Cloudflare využívá tyto informace o stavu zařízení v reálném čase jako klíčový faktor při rozhodování Cloudflare Access, čímž vynucuje zásady zero trust jak pro veřejné, tak pro privátní aplikace.
• Jednotná bezpečnostní telemetrie:
  • Cloudflare odesílá síťové a bezpečnostní protokoly (přes Logpush) do CrowdStrike Falcon NextGen SIEM pro centralizovanou korelaci, analýzu a detekci hrozeb.
• Automatizovaná náprava:
  • Bezpečnostní události a detekce hrozeb v platformě CrowdStrike spouštějí automatizované pracovní postupy izolace a reakce, orchestrované prostřednictvím Falcon Fusion SOAR (security orchestration, automation, and response), který díky automatizaci API provádí obousměrné akce napříč oběma platformami.

Tento integrovaný přístup umožňuje zabezpečený přístup k různým typům aplikací:

• Internetové aplikace (SaaS, webové aplikace)
• Self-hosted aplikace (on-premises, datacentrum)
• SaaS aplikace (chráněné prostřednictvím identity proxy)

Integrace Cloudflare a CrowdStrike umožňuje šest případů použití, které řeší klíčové bezpečnostní výzvy:

Výzva: V hybridním pracovním prostředí přistupují uživatelé k citlivým aplikacím z osobních nebo infikovaných zařízení mimo firemní perimetr, čímž obcházejí tradiční kontroly firewallu.

Řešení: Zapojte skóre CrowdStrike Falcon ZTA přímo do zásad Cloudflare Access a vynucujte podmíněný přístup v reálném čase.

Výzva: Bezpečnostním analytikům dělá potíže propojit síťová upozornění (například blokovanou škodlivou doménu) s konkrétním chováním koncového zařízení, protože data jsou uložena v oddělených silech.

Řešení: Protokoly z Cloudflare Gateway, WAF a Email Security streamujte prostřednictvím Logpush do CrowdStrike Falcon Next-Gen SIEM pro centralizovanou analýzu.

Výzva: Manuální reakce na incidenty je na zastavení automatizovaných útoků příliš pomalá. Než si analytik všimne upozornění, útočník už se může pohybovat dál v síti nebo mít data exfiltrována.

Řešení: Využijte CrowdStrike Falcon Fusion SOAR ke spuštění automatických nápravných akcí v Cloudflare na základě zjištěných hrozeb.

Výzva: Uživatelův notebook je infikován malwarem. Nástroj pro detekci a reakci na koncových zařízeních (EDR) jej sice může odhalit, ale uživatel má stále platné relační tokeny, které mu umožňují přístup k SaaS aplikacím a citlivým datům.

Řešení: Uzavřená reakční smyčka, kdy detekce na koncovém zařízení okamžitě odebere síťový přístup a spustí vyšetřování.

Výzva: Odcházející zaměstnanec se pokusí nahrát firemní zdrojový kód na osobní cloudové úložiště. Provoz je šifrovaný a zařízení je „zdravé“, takže obchází standardní kontroly.

Řešení: Kombinujte kontrolu Cloudflare Data Loss Prevention (DLP) s behaviorální analytikou CrowdStrike a odhalujte i blokujte krádeže dat.

Výzva: Útočníci používají automatizované botnety ke skenování aplikací na zranitelnosti. WAF blokuje známé signatury, ale pomalé a plíživé útoky (low-and-slow) mohou běžnými filtry proklouznout.

Řešení: Údaje o koncových zařízeních využijte k posílení zabezpečení aplikací a vytvořte tak jakýsi imunitní systém pro webová aktiva.

Tento případ použití ukazuje, jak integrace pomáhá zabránit kompromitovaným nebo nespravovaným zařízením v přístupu k firemním zdrojům.

Agent CrowdStrike Falcon průběžně monitoruje koncový bod a na základě stavu operačního systému, úrovně záplat a bezpečnostní aktivity počítá skóre ZTA (1-100). Cloudflare zároveň průběžně aktualizuje rizikové skóre uživatele na základě analýzy chování uživatelů a entit (UEBA).

Když uživatel požádá o přístup k aplikaci, Cloudflare Access požadavek zachytí a dotáže se rozhraní CrowdStrike API na aktuální skóre ZTA daného zařízení.

Cloudflare povolí připojení pouze v případě, že skóre ZTA splňuje minimální práh definovaný v zásadě zero trust. V opačném případě se uživateli zobrazí bloková stránka Cloudflare Access, která ho obvykle vyzve k nápravě zařízení.

Tento případ použití se zaměřuje na komplexní přehled, který odstraňuje slepá místa mezi síťovým provozem a aktivitou na koncových bodech.

Cloudflare Logpush filtruje a přeposílá HTTP požadavky, DNS dotazy a události firewallu do rozhraní data intake API služby Falcon Next-Gen SIEM.

Falcon Next-Gen SIEM tato data indexuje společně s telemetrií koncových bodů, takže analytici mohou dotazovat jedinou datovou sadu.

Analytik vyšetřující výstrahu na koncovém zařízení může okamžitě zobrazit každý síťový požadavek, který dané zařízení přes Cloudflare odeslalo, a identifikovat tak phishingový web nebo server C2, který způsobil infekci.

Tento případ použití ukazuje, jak nasazení CrowdStrike Falcon Fusion SOAR pomáhá zkracovat MTTR u rychle se vyvíjejících hrozeb.

CrowdStrike Falcon detekuje konkrétní indikátor kompromitace (IOC), například škodlivou IP adresu útočící na více koncových bodů.

Na základě detekce se spustí workflow SOAR řešení Falcon Fusion.

Workflow zavolá Cloudflare API a přidá škodlivou IP adresu na blokovací seznam ve Cloudflare WAF nebo Gateway, čímž okamžitě ochrání celou organizaci před daným zdrojem hrozby.

Tento případ použití popisuje, jak se kombinace pilířů integrace využívá k izolaci aktivní kompromitace koncového bodu a zabránění laterálnímu pohybu.

Agent Falcon detekuje spuštění malwaru. Okamžitě sníží skóre ZTA zařízení na „Critical“ a odešle upozornění do SIEM.

Cloudflare Access při kontrole skóre ZTA u hned následujícího požadavku uživateli zablokuje přístup k Salesforce, e-mailu nebo interním nástrojům, čímž zařízení fakticky izoluje od sítě.

Falcon Fusion SOAR automatizuje playbook pro reakci: izoluje koncový bod (síťová izolace) a přidá uživatele do vlastního seznamu v Cloudflare, čímž ho v protokolech označí pro hlubší zpětnou analýzu ve Falcon Next-Gen SIEM a vynutí další zásady připojené k tomuto seznamu.

Tento případ použití ukazuje, jak jednotný přístup pomáhá předcházet exfiltraci dat důvěryhodnými interními aktéry a reagovat na ni.

Cloudflare DLP kontroluje provoz při nahrávání souborů. Detekuje značky zdrojového kódu, událost zaznamená do Falcon Next-Gen SIEM prostřednictvím Logpush a daný požadavek přitom na okamžik zablokuje.

Falcon Next-Gen SIEM tuto DLP událost koreluje s aktivitou koncového bodu (například nedávným použitím USB nebo kopírováním velkých souborů). Toto chování vyvolá označení uživatele štítkem "High Risk".

Falcon Fusion SOAR aktualizuje zásadu Cloudflare Zero Trust tak, aby u tohoto konkrétního uživatele vyžadovala "step-up authentication" nebo vzdálenou izolaci prohlížeče (RBI), čímž zabrání dalšímu přesunu dat i u legitimních úkolů, dokud jej neschválí HR nebo bezpečnostní tým.

Tento případ použití popisuje, jak integrovaná řešení dokážou chránit veřejné aplikace před botnety a zero-day exploity.

Cloudflare WAF blokuje sérii pokusů o SQL injection z konkrétní podsítě. Tyto protokoly se odesílají do Falcon Next-Gen SIEM.

CrowdStrike Threat Intelligence obohacuje data z logů a identifikuje danou podsíť jako součást známé cílené ransomwarové skupiny.

Falcon Fusion SOAR spustí workflow, který aktualizuje pravidla Cloudflare WAF: zvýší citlivost režimu "Bot Fight Mode" pro danou oblast a vytvoří proaktivní blokovací pravidlo pro celé autonomní číslo systému (ASN) spojené s útokem, čímž aplikaci zabezpečí ještě před hlavním útokem.

Integrace Cloudflare a CrowdStrike využívá několik klíčových součástí obou platforem a vytváří tak ucelený bezpečnostní ekosystém.

1. Zero Trust Network Access (ZTNA): Řídí přístup k aplikacím na základě identity, stavu zařízení a dalších kontextových signálů
   • Zásady přístupu k aplikacím
   • Přístup k privátní síti
   • Ověřování pomocí service tokenu
   • Ověření Device Posture
2. Secure Web Gateway (SWG): Kontroluje a filtruje provoz směřující do internetu
   • Filtrování URL
   • Ochrana před malwarem
   • Kategorie obsahu
   • Kontroly typu souboru
3. Data Loss Prevention (DLP): Brání neoprávněnému úniku dat
   • Vestavěné datové profily (PII, finanční údaje, tajné klíče)
   • Vlastní vzory dat
   • Přesné porovnávání dat
   • Znalost kontextu
4. Remote Browser Isolation (RBI): Spouští webový obsah v zabezpečeném cloudovém prostředí
   • Kontroly nahrávání a stahování souborů
   • Omezení schránky
   • Ovládání pomocí klávesnice
   • Pouze vizuální prezentace
5. Email Security: Brání hrozbám šířeným e-mailem
   • Ochrana proti phishingu
   • Kontrola škodlivých příloh
   • Detekce kompromitace firemního e-mailu
   • Izolace odkazů
6. Cloud Access Security Broker (CASB) řízený API: Sleduje využívání a zabezpečení SaaS
   • Správa stavu zabezpečení SaaS
   • Monitorování oprávnění
   • Skenování zabezpečení dat
   • Detekce veřejného sdílení
7. Web Application Firewall (WAF)
   • Detekce a blokování pomocí strojového učení (ML)
   • Vytváření vlastních pravidel
   • Sady spravovaných pravidel
   • Omezení četnosti požadavků

1. Falcon Endpoint Agent: Poskytuje komplexní ochranu koncových zařízení
   • Sledování chování
   • Prevence malwaru
   • Posouzení bezpečnostního stavu zařízení (Device Posture)
   • Správa zranitelností
2. Zero Trust Assessment (ZTA): Vyhodnocuje zabezpečení zařízení v reálném čase
   • Posouzení zabezpečení OS
   • Monitorování stavu senzoru
   • Celkové hodnocení stavu zařízení
   • Průběžné vyhodnocování
3. Falcon Next-Gen SIEM: Centralizuje monitorování a analýzu zabezpečení
   • Ingesce logů, korelace a vyhledávání v reálném čase
   • Pravidla detekce hrozeb a spouštění upozornění
   • Vizualizace zabezpečení pomocí přizpůsobitelných dashboardů
   • Správa upozornění a dlouhodobé úložiště dat
4. Falcon Insight XDR: Poskytuje rozšířené možnosti detekce a reakce
   • Detekce napříč doménami
   • Automatizované vyšetřování
   • Vyhledávání hrozeb
   • Asistovaná náprava
5. Falcon Fusion SOAR: Orchestruje a automatizuje složité bezpečnostní workflow napříč platformami Cloudflare a CrowdStrike pro jednotnou reakci na incidenty
   • Bezpečnostní orchestrace
   • Spuštění playbooku
   • Automatizovaná izolace a obohacení dat
   • Obousměrné uplatňování zásad

Integrace Cloudflare a CrowdStrike poskytuje organizacím komplexní bezpečnostní řešení, které spojuje zabezpečení koncových zařízení, síťový přístup typu zero trust a ochranu aplikací. Díky využití silných stránek obou platforem získají organizace lepší přehled o stavu zabezpečení, mohou automatizovat reakce na hrozby a účinněji chránit své aplikace a data.

Tato referenční architektura ukazuje, jak tato řešení spolupracují při řešení klíčových bezpečnostních výzev, jako je zavádění zero trust, ochrana aplikací a zabezpečení dat. Díky tomuto integrovanému přístupu mohou organizace zlepšit svůj stav zabezpečení a zároveň snížit provozní zátěž bezpečnostních týmů.

• Cloudflare One a CrowdStrike
• CrowdStrike Marketplace - Cloudflare ↗
• CrowdStrike Falcon Fusion SOAR s Cloudflare SASE ↗