← Referenční architektury / reference-architecture / architectures

Referenční architektura s využitím Cloudflare SASE a Microsoftu

V dnešním rychle se vyvíjejícím digitálním prostředí organizace stále více přecházejí na cloud, aby modernizovaly svá prostředí a zvýšily produktivitu. Microsoft se stal předním poskytovatelem cloudových aplikací a služeb a nabízí ucelenou sadu řešení pro podporu hybridní práce. Tento přechod do cloudu ale zároveň přináší nové výzvy a rizika, která je třeba řešit, aby byla zajištěna bezpečnost a integrita zdrojů organizace.

Když organizace přecházejí na hybridní a multicloudová prostředí, často čelí složitosti správy kombinace aplikací Software as a Service (SaaS), vlastních hostovaných aplikací a aplikací mimo web. Tento různorodý ekosystém může zabezpečení a řízení přístupu k těmto prostředkům značně zkomplikovat. Spoléhání na starší, často on-premises řešení Virtual Private Network (VPN) pro bezpečné připojení uživatelů k aplikacím navíc může vytvářet bezpečnostní mezery a bránit produktivitě zaměstnanců. Tyto výzvy pomáhá řešit a k lepším výsledkům v zabezpečení vede spolupráce s Cloudflare, předním poskytovatelem cloudových bezpečnostních a výkonnostních řešení. Cloudflare nabízí bezproblémovou integraci s cloudovým ekosystémem Microsoftu, díky čemuž zákazníci dokážou odstranit bezpečnostní mezery, zvýšit výkon a zajistit spolehlivost napříč hybridními pracovními prostředími.

V tomto diagramu referenční architektury se podíváme na to, jak kombinace platformy Cloudflare Secure Access Service Edge (SASE) a cloudových aplikací a služeb Microsoftu pomáhá dosáhnout zabezpečení podle principu Zero Trust a urychlit modernizaci v cloudu i produktivitu, přičemž zajišťuje komplexní zabezpečení pro hybridní práci. Díky bezpečnému síťovému přístupu Cloudflare, izolaci rizikových uživatelů a viditelnosti aplikací a dat mohou organizace sjednotit správu v jednom rozhraní a umožnit bezpečný přístup k jakémukoli zdroji bez ohledu na jeho umístění.

Tato referenční architektura je určena pracovníkům IT a bezpečnostních týmů, kteří mají na starosti nasazení Microsoftu ve své organizaci nebo je dobře znají. Má vám pomoci pochopit různé způsoby, jakými lze integrovat Microsoft a Cloudflare v rámci programů Zero Trust a SASE.

Pro hlubší základní pochopení Cloudflare doporučujeme následující zdroje:

• Co je Cloudflare? | Web ↗ (čtení na 5 minut) nebo video ↗ (2 minuty)

• Přehled řešení: Cloudflare One ↗ (čtení na 3 minuty)
• Whitepaper: Referenční architektura pro internetově nativní transformaci ↗ (čtení na 10 minut)
• Blog: Zero Trust, SASE a SSE: základní koncepty pro vaši síť nové generace ↗ (čtení na 14 minut)

Čtenáři této referenční architektury se dozvědí:

• Jak lze Cloudflare a Microsoft vzájemně integrovat a chránit tak uživatele, zařízení, aplikace a sítě z pohledu Zero Trust

K tomuto dokumentu je přiložena i referenční architektura s podrobnějším pohledem na Cloudflare a SASE.

Tento dokument sice zkoumá Cloudflare po technické stránce, nenabízí ale podrobný popis každého produktu na platformě. Navštivte dokumentace pro vývojáře ↗ s dalšími informacemi ke konkrétní oblasti produktu nebo případu použití.

Cloudflare Zero Trust Network Access ↗ (ZTNA) nabízí rychlejší a bezpečnější alternativu k tradičním VPN. Nahrazuje on-premises infrastrukturu VPN a chrání libovolnou aplikaci bez ohledu na to, zda běží v místní síti, ve veřejném cloudu, nebo jako Software as a Service (SaaS). Díky integraci s Microsoft Intune a Microsoft Entra ID (dříve Azure Active Directory) umožňuje služba ZTNA od Cloudflare organizacím vynucovat pravidla Zero Trust založená na výchozím zamítnutí a poskytovat podmíněný přístup k interním prostředkům na základě identity uživatele a stavu zařízení.

Microsoft a Cloudflare lze integrovat následujícími způsoby.

• Používání Microsoft Entra ID ↗ k ověřování u všech prostředků chráněných Cloudflare
• Využití Microsoft Intune ↗ stav zařízení (device posture) v zásadách Cloudflare, aby k chráněným prostředkům měla přístup pouze spravovaná a důvěryhodná zařízení
• Používání Cloudflare CASB ke kontrole vašeho Microsoft 365 ↗ tenantů a upozorňuje na bezpečnostní zjištění týkající se nesprávně nakonfigurovaných účtů a sdílených souborů obsahujících citlivá data
• Používání Cloudflare Secure Web Gateway k řízení přístupu k aplikacím Microsoft SaaS, jako jsou Outlook, OneDrive a Teams
• Používání Cloudflare Zabezpečení e-mailu ke zvýšení ochrany e-mailu před phishingovými útoky a napadením firemní e-mailové komunikace.

Integrace Cloudflare s Entra ID vám umožňuje využívat identity z Entra k autentizaci do jakékoli aplikace chráněné Cloudflare. Skupiny lze také importovat prostřednictvím SCIM a používat je v přístupových politikách, což zjednodušuje správu a odděluje řízení přístupu díky správě členství ve skupinách přímo v Entra ID.

• Entra ID umožňuje administrátorům vytvářet a vynucovat zásady jak pro aplikace, tak pro uživatele pomocí zásad Conditional Access.
• Nabízí širokou škálu parametrů pro řízení přístupu uživatelů k aplikacím, jako je úroveň rizika uživatele, úroveň rizika přihlášení, platforma zařízení, poloha, klientské aplikace a další.
• Bezpečnostní týmy mohou definovat své bezpečnostní kontroly v Entra ID a pomocí služby Cloudflare ZTNA je vynucovat na síťové vrstvě u každého požadavku.

Cloudflare dokáže prosazovat zásady přístupu, které zohledňují informace o stavu zařízení (device posture). Intune lze integrovat s Cloudflare tak, aby bylo možné informace o zařízeních spravovaných a chráněných pomocí Intune využít k prosazování řízení přístupu k prostředkům chráněným Cloudflare.

• Se zařízením připojeným pomocí našeho agent, služba ZTNA od Cloudflare může využít rozšířenou telemetrii a kontext poskytované Intune ohledně stavu zabezpečení zařízení uživatele a stavu shody.
• Intune poskytuje podrobné informace o stavu zabezpečení a konfiguraci uživatelských zařízení, což umožňuje informovanější rozhodování o řízení přístupu.
• Díky této integraci mohou administrátoři zajistit, že přístup ke kritickým sítím a aplikacím získají pouze zařízení splňující požadavky na soulad a zabezpečení.

Čím více aplikací SaaS firmy zavádějí, tím obtížnější je udržet jednotnou úroveň zabezpečení, přehlednosti a výkonu. Každá aplikace má vlastní konfiguraci a bezpečnostní požadavky, což týmům IT ztěžuje dodržování shody a ochranu citlivých dat napříč touto různorodou škálou nástrojů.

Cloudflare CASB (Cloud Access Security Broker) tyto problémy řeší tím, že poskytuje rozsáhlý přehled napříč Microsoft 365 a dalšími oblíbenými aplikacemi SaaS. Díky tomu mohou organizace rychle odhalit chybné konfigurace, exponované soubory, přístupy uživatelů i přístupy třetích stran, a zajistit tak bezpečné a compliance vyhovující prostředí SaaS.

Přečtěte si více o tom, jak vám naše řešení CASB může zde chránit data v klidovém stavu.

Cloudflare Secure Web Gateway (SWG) může organizacím pomoci dosáhnout bezpečného přístupu k Microsoft 365 následujícími způsoby:

1. Kontrola a filtrování provozu: SWG od Cloudflare kontroluje veškerý provoz uživatelů a zařízení směřující do internetu, včetně provozu k Microsoft 365. To organizacím umožňuje uplatňovat bezpečnostní zásady, filtrování obsahu a opatření proti hrozbám, aby ke službám Microsoft 365 měl přístup pouze legitimní a autorizovaný provoz. Jak je vidět výše, zásady lze nastavit tak, aby k jakékoli části platformy Microsoft 365 a Azure měla přístup pouze spravovaná a zabezpečená zařízení.
2. Ochrana dat pomocí profilů DLP: Provoz se nekontroluje jen na základě stavu zařízení a informací o identitě, náš DLP engine dokáže také zkoumat obsah požadavku a povolovat či blokovat stahování a nahrávání důvěrných informací z a do Microsoft 365 a Azure.
3. Vynucení Cloudflare gateway: Microsoft 365 lze nastavit tak, aby přijímal provoz uživatelů pouze z určitého rozsahu IP adres. Cloudflare umožňuje definovat a přiřadit IP adresy veškerému provozu opouštějícímu SWG. Organizace tak mohou nastavit Microsoft 365 tak, aby přijímal jen provoz z rozsahu IP adres určeného Cloudflare SWG, čímž zajistí, že veškerý provoz byl před doručením do Microsoft 365 zkontrolován a schválen bezpečnostními zásadami Cloudflare.

Díky využití Cloudflare SWG jako zabezpečené brány pro přístup k Microsoft 365 mohou organizace těžit z pokročilé ochrany proti hrozbám, podrobného řízení přístupu, kontroly provozu a centralizovaného přehledu, čímž svým uživatelům zajišťují bezpečné prostředí a zároveň snižují rizika a udržují soulad s předpisy.

Phishing je hlavní příčinou více než 90 % úniků dat, které vedou k finančním ztrátám a poškození značky. Řešení Cloudflare pro zabezpečení e-mailu stojí před veškerou poštou směřující do vašeho tenanta Microsoft 365 a filtruje spam, hromadné, škodlivé a podvržené zprávy. Řešení dokáže využít Microsoft pravidla pro akce karantény, což umožňuje jemně doladit způsob zpracování jednotlivých detekcí e-mailů.

Cloudové zabezpečení e-mailu lze také nakonfigurovat tak, aby kontrolovalo Schránky Microsoft 365 přes API, čímž odpadá nutnost upravovat stávající záznamy DNS.

Díky Cloudflare a jeho integracím s Microsoftem mohou organizace vybudovat bezpečnostní přístup Zero Trust, který jde nad rámec omezení tradičních modelů síťové bezpečnosti. S Cloudflare Zero Trust Network Access (ZTNA) mohou organizace nahradit vlastní hostované VPN a vynucovat podmíněný přístup na základě identity uživatele a stavu zařízení. Integrace s Microsoft Entra ID umožňuje ověřování a řízení přístupu, zatímco Microsoft Intune poskytuje informace o stavu zařízení. Cloudflare CASB navíc nabízí přehled o zabezpečení konfigurace Microsoft 365, Secure Web Gateway kontroluje a filtruje provoz směřující do Microsoft 365 a zabezpečení e-mailu chrání před phishingovými útoky, čímž zajišťuje bezpečné a compliance vyhovující prostředí. Tento přístup umožňuje rychlejší a bezpečnější přístup k aplikacím a zároveň poskytuje podrobnou kontrolu nad přístupem uživatelů na základě jejich identity a stavu zařízení.

• Přehled partnerství Microsoft a Cloudflare ↗
• Nastavte Microsoft Entra ID (dříve Azure Active Directory) jako zprostředkovatele identity