← Referenční architektury / reference-architecture / architectures

Cloudflare Security Architecture

Dnes musí být vše a všichni propojeni se vším a všude, neustále, a zároveň musí být vše zabezpečené. Mnoho firem ale nemá infrastrukturu, která by této realitě odpovídala. Zaměstnanci historicky pracovali v kanceláři, kde se většina podnikových systémů (souborové servery, tiskárny, aplikace) nacházela v soukromé firemní síti a byla přístupná pouze z ní. Kolem sítě byl vytvořen bezpečnostní perimetr, který ji chránil před vnějšími hrozbami, jež nejčastěji přicházely z veřejného internetu.

S rostoucí šířkou pásma internetu a rostoucí potřebou pracovat mimo kancelář ale VPN umožnily zaměstnancům přístup k interním systémům odkudkoli, kde měli internetové připojení. Aplikace se pak začaly přesouvat mimo firemní síť a fungovat v cloudu, ať už jako SaaS, nebo v prostředí IaaS. Firmy tak rychle rozšiřovaly přístup do svých sítí a investovaly do nových, dynamických metod, jak neustále se měnící bezpečnostní prostředí odhalovat, chránit a řídit. To ale mnoha firmám přineslo složité zásady a křehké sítě s řadou dílčích řešení, z nichž každé chránilo jiný bod přístupu.

Od roku 2010 vytváří Cloudflare jedinečnou rozsáhlou síť, na které provozujeme sadu bezpečnostních služeb umožňujících organizacím vybudovat lepší konektivitu a lépe chránit své veřejné i soukromé sítě, aplikace, uživatele a data. Tento dokument popisuje, jak je tato síť a platforma navržena z bezpečnostního hlediska, jak je provozována a jaké služby mají firmy k dispozici pro řešení vlastních bezpečnostních výzev. Dokument se skládá ze dvou hlavních částí:

• Jak Cloudflare buduje a provozuje svou zabezpečenou globální síť.
• Jak chránit firemní infrastrukturu a aktiva pomocí služeb Cloudflare postavených na síti.

Tento dokument je určen IT a bezpečnostním odborníkům, kteří zvažují použití Cloudflare k zabezpečení částí svého podnikání. Je zaměřen především na ředitele pro informační bezpečnost (CSO/CISO) a jejich přímé týmy, které v organizaci zodpovídají za celkový bezpečnostní program. Protože dokument pokrývá zabezpečení celé platformy Cloudflare, nezachází do hloubky u žádné konkrétní služby. Místo toho navštivte naši Architecture Center ↗ k vyhledání konkrétních informací o dané službě nebo produktu.

Pro hlubší základní pochopení Cloudflare doporučujeme následující zdroje:

• Co je Cloudflare? | Web ↗ (čtení na 5 minut) nebo video ↗ (2 minuty)

• Jak Cloudflare posiluje zabezpečení všude tam, kde podnikáte ↗ (10 minut)

Jakékoli cloudové bezpečnostní řešení musí být rychlé a vždy dostupné. Naše síť chrání více než 20 % internetových webových služeb, funguje ve více než 330 městech a je vzdálena pouhých 50 ms od 95 % populace připojené k internetu. Na každém serveru v každém datovém centru běží všechny služby, takže se provoz kontroluje v jednom průchodu a zpracovává se v blízkosti koncového uživatele. Tyto servery jsou navzájem propojeny prostřednictvím více než 13,000 síťových peeringů s kapacitou přesahující 405 Tbps. Síť Cloudflare je také napojena na každý internetový uzel (IX) ↗ (více než Microsoft, AWS a Google), abychom dokázali propojit provoz z libovolné části internetu.

Cloudflare využívají miliony zákazníků a síť obsluhuje více než 57 milionů požadavků HTTP ↗ za sekundu v průměru, přičemž ve špičce je to více než 77 milionů požadavků HTTP za sekundu. Při analýze veškerého tohoto provozu v průměru detekujeme a blokujeme 209 miliard kybernetických hrozeb denně ↗. Tato síť běží v tak masivním měřítku, aby zákazníkům používajícím naše bezpečnostní produkty zajistila nízkou latenci, přístup k vysoké šířce pásma a spolehlivost, díky které mohou nepřetržitě zabezpečovat svůj byznys. (Uvedené metriky odpovídají stavu k červnu 2024.)

Síť Cloudflare se nepodobá tradiční podnikové síti. Od základu byla navržena s využitím architektury izolace služeb, principu nejnižších oprávnění a modelu zero trust. Veřejně dostupné edge servery a datová centra, ve kterých se nacházejí, lze chápat jako ostrovy v rozlehlém jezeře konektivity: nic zde nedůvěřuje ničemu bez silných přihlašovacích údajů a přísných přístupových zásad.

Jedinečným aspektem bezpečnostní architektury sítě je způsob, jakým využíváme anycast síťování. V každém datovém centru vysíláme celý rozsah sítě Cloudflare (IPv6 i IPv4) pro UDP i TCP. Border Gateway Protocol ↗ (BGP) zajišťuje, že směrovače po celém internetu vybírají pro každého uživatele nejkratší možnou cestu k nejbližšímu serveru Cloudflare, kde se provoz kontroluje. Z bezpečnostního hlediska je to velmi důležité. Při útocích distribuovaného odepření služby (DDoS) na zákazníky za naší sítí pomáhá kombinace vysoké šířky pásma a rozložení požadavků mezi tisíce lokálních serverů udržet naši síť výkonnou a dostupnou i během jedněch z největších útoků v Historie internetu ↗.

Aktualizace serveru, jako jsou přístupové zásady, omezování rychlosti a pravidla firewallu, provádí naše Služba Quicksilver ↗. Změny provedené zákazníkem se v celé síti projeví během pár sekund, takže zákazníci mohou pružně reagovat na měnící se obchodní požadavky a zásady se celosvětově zavádějí velmi rychle.

Každá vrstva sítě dodržuje přísné a důkladně prověřené bezpečnostní kontroly. Procesy běžící na edge jsou navržené na principu need-to-know a fungují s nejnižšími nutnými oprávněními. Máme vlastní systém správy klíčů, který zajišťuje jejich zabezpečení v klidu i při přenosu a správný přístup ke klíčům ve správný čas. Aby byla nad změnami sítě zachována přísná kontrola a podrobná viditelnost, je veškerá infrastruktura spravována jako kód (IaC ↗).

Cloudflare navrhuje a vlastní všechny servery ve své síti. Existují dva hlavní typy.

• Privátní jádrové servery: Řídicí rovina, ve které jsou uložena veškerá zákaznická konfigurace, protokoly a další data.
• Veřejné edge servery: Místo, kde internetový a privátně tunelovaný provoz vstupuje do sítě Cloudflare, kde se kontroluje a poté směruje do cíle.

Hardware serverů navrhuje Cloudflare a vyrábí jej výrobci s dobrou reputací v oboru, kteří absolvují důkladnou kontrolu dodavatelského řetězce a bezpečnosti. Na každém serveru běží stejný softwarový balík, což zajišťuje konzistentní hardwarový design. Operační systém na edge serverech má také jednotný design a vychází z výrazně upravené distribuce Linuxu uzpůsobené rozsahu a rychlosti naší platformy. Cloudflare významně přispívá do jádra Linuxu a pravidelně zveřejňuje informace o tom, jak zabezpečujeme naše servery a služby ↗, čímž pomáháme komunitě Linuxu i zbytku internetu těžit z našich inženýrství ↗.

Každý server provozuje všechny produkty a služby Cloudflare, které zákazníci využívají k zabezpečení svých sítí a aplikací. Tyto služby podrobněji představíme dále v dokumentu, ale nejprve je důležité přiblížit, jak náš software vzniká. Vývojářský tým už od prvotního návrhu každého produktu úzce spolupracuje s bezpečnostním, compliance a rizikovým týmem na kontrole všech aspektů dané služby. Tyto týmy jsou nedílnou součástí vývojářských a produktových týmů, nikoli externí skupinou. Jsou nezbytné pro vše, co ve Cloudflare děláme, a patří mezi ně jedni z nejuznávanějších odborníků v oboru. Kód v každé fázi vývoje kontrolují bezpečnostní týmy a k analýze softwaru na zranitelnosti využíváme řadu automatizovaných systémů. Rámce pro threat modeling a penetrační testování, jako je OWASP ↗, STRIDE ↗, a DREAD ↗ se používají během návrhu, vývoje i v rámci procesu vydávání.

Mnoho našich produktů běží na naší serverless běhové prostředí prostředí, které využívá nejnovější techniky izolace služeb. Předpokládali jsme, že toto zabezpečené runtime prostředí bude pro naše zákazníky velmi cenné, a proto jsme z něj vytvořili produkt, který jim umožňuje sestavení a spustit ↗ vlastní aplikace v naší síti. Více se o tom dozvíte na samém konci tohoto dokumentu.

Abychom zajistili co nejbezpečnější síť a platformu, neustále inovujeme. Je třeba vyvíjet nové technologie, které řeší stále rostoucí škálu bezpečnostních hrozeb a výzev. Cloudflare vede řadu iniciativ, například další zabezpečení BGP pomocí RPKI ↗, a pravidelně přispíváme do pracovních skupin IETF zabývajících se řadou běžných internetových bezpečnostních protokolů. Usilujeme o to, abychom pomohli zvyšovat a sledovat Zavádění IPv6 ↗, což ze své podstaty vytváří bezpečnější internet, a budoucím výzvám čelíme s předstihem díky nasazování technologií, jako je postkvantová kryptografie ↗ dříve, než nárůst výpočetního výkonu kvantových počítačů ohrozí stávající kryptografické techniky.

Bezpečný musí být nejen návrh sítě, ale i způsob, jakým ji provozujeme a udržujeme. Pracujeme ve velmi velkém měřítku a jednotný návrh našich serverů pomáhá optimalizovat nasazování softwaru i monitoring. Určování toho, kdo má přístup ke správě sítě, je plně automatizované: řídí se postupy infrastructure as code a všude se uplatňuje řízení přístupu na základě rolí (RBAC) a princip nejnižších oprávnění.

Zákazníci odesílají do našich produktů a služeb citlivé informace. Posláním týmu Cloudflare pro compliance je zajistit, aby podkladová infrastruktura podporující tyto služby splňovala oborové standardy shody ↗ jako jsou certifikace FedRAMP, SOC II, ISO, PCI, C5, ochrana soukromí a další regulatorní rámce. Tým compliance spolupracuje se všemi inženýrskými týmy, aby pomohl tyto požadavky začlenit do našeho způsobu práce. Z hlediska compliance se zaměřujeme zejména na:

• Ochrana soukromí a zabezpečení zákaznických dat
• Udržování validací souladu s předpisy
• Pomoc zákazníkům s dodržováním jejich vlastních předpisů
• Sledování změn v regulačním prostředí
• Poskytování zpětné vazby regulačním orgánům k připravovaným změnám

Provozujeme také program bug bounty ↗, což motivuje komunitu k tomu, aby nám za finanční odměnu vyhledávala a nahlašovala zranitelnosti.

Cloudflare nejen vybudoval správnou technologii pro zabezpečení naší sítě, ale má také dostatečně obsazené a vyspělé týmy, které zajišťují, že jsou vytvářeny, dodržovány a sledovány správné procesy. Za poslední desetiletí Cloudflare nashromáždil jedny z nejlepších bezpečnostních znalostí v oboru, což zároveň přitáhlo špičkové talenty, aby u nás pracovaly. Tento efekt se každým rokem umocňuje a posouvá naše bezpečnostní dovednosti a znalosti na vyšší úroveň. Jsme také velmi transparentní ohledně toho, jak Cloudflare provozuje a zabezpečuje svou síť, a často publikují na blogu ↗ o našich postupech a vyvíjejícím se přístupu k zabezpečení.

Síť Cloudflare existuje proto, aby zákazníkům poskytovala služby na ochranu jejich vlastních zdrojů, jako jsou uživatelé, aplikace a data. Následující část popisuje, o jaké služby jde, jejich základní architekturu a způsob, jakým je zákazníci využívají. Tato část se nezabývá jednotlivými službami do velké hloubky. Podrobnosti najdete v naší Architecture Center ↗ nebo dokumentace k produktu k lepšímu pochopení konkrétního produktu, služby nebo řešení. Cílem tohoto dokumentu je poskytnout informace o celkové nabídce dostupných bezpečnostních služeb a obecných případech použití, pro které jsou určeny. Proto uvádíme obsah, díky kterému můžete přejít přímo na sekci, která vás zajímá.

1. Zabezpečení veřejných a privátních prostředků
2. Ochrana veřejných zdrojů
   1. Běžné útoky a ochrana proti nim
      1. Útoky DDoS
      2. Útoky zero-day
      3. Neoprávněný přístup
      4. Útoky na straně klienta
      5. Exfiltrace dat
      6. Credential stuffing
      7. Útoky hrubou silou
      8. Skimming platebních karet
      9. Hromadění zásob
      10. Fuzzing (skenování zranitelností)
      11. Útoky Cross-Site Scripting (XSS)
      12. Útoky spočívající ve vzdáleném spuštění kódu (RCE)
      13. útoky SQL injection (SQLi)
      14. Malware
   2. Produkty Cloudflare pro zabezpečení aplikací
      1. Security Analytics
      2. Web Application Firewall (WAF)
      3. Omezení četnosti požadavků
      4. L7 DDoS
      5. API Shield
      6. Bot Management
      7. Client-side security
      8. SSL/TLS
      9. Security Center
      10. Cloudflare for SaaS
   3. Produkty Cloudflare pro zabezpečení sítě
      1. Magic Transit
      2. Cloudflare WAN
      3. Cloudflare Network Firewall
      4. Network Flow
      5. Spectrum
3. Ochrana privátních zdrojů
   1. Zabezpečení konektivity k privátním prostředkům
   2. Připojení uživatelů
   3. Integrace identitních systémů
   4. Řízení přístupu
   5. Ochrana dat
   6. Zabezpečení přístupu k internetu
4. Observabilita
5. Developer platform

Obecně platí, že k efektivnímu boji proti stále širší a komplexnější škále hrozeb a k ochraně před nimi zákazníci potřebují jednotné bezpečnostní řešení, které poskytuje viditelnost, analytiku, detekci a zmírňování dopadů konzistentním a efektivním způsobem provozu. Cloudflare tyto potřeby řeší několika způsoby:

• Provozní konzistence: Cloudflare nabízí jediný dashboard/rozhraní pro všechny administrativní úkony.
• Provozní jednoduchost: Cloudflare je známý tím, že minimalizuje provozní složitost díky dobře navrženým uživatelským rozhraním, která omezují ruční konfiguraci a kroky v rozhraní. Integrace napříč produkty navíc umožňují automatizovat konfiguraci a zásady.
• Neustálé inovace: Cloudflare nepřetržitě inovuje napříč celým svým rozsáhlým portfoliem zabezpečení a přináší jedinečné odlišující funkce, jako je produkt Turnstile nahrazující CAPTCHA nebo první funkce svého druhu na trhu, API Sequence Mitigation.
• Nezávislost na umístění zátěže: Cloudflare byl od počátku navržený především kolem výkonových a bezpečnostních služeb. Díky tomu byl od základu koncipovaný jako nezávislý na umístění pracovní zátěže, přičemž multi-cloud je přirozeně jedním z hlavních případů použití. Zákazníci mohou nasazovat pracovní zátěže napříč více cloudy nebo lokálně (on-prem) a získat přitom stejnou provozní konzistenci.
• Výkon a škálovatelnost: Všechny služby Cloudflare běží na každém serveru v každém datovém centru v rámci stejného globálního cloudu. Díky tomu dosahují maximálního výkonu z hlediska globální dostupnosti a latence a dokážou horizontálně škálovat s využitím plné kapacity globální infrastruktury Cloudflare.
• API na prvním místě: Cloudflare staví na principu API first. Veškerá nastavení a funkce dostupné v uživatelském rozhraní/dashboardu jsou dostupné i přes API. Cloudflare lze snadno nakonfigurovat pomocí Terraformu, což umožňuje automatizaci pracovních postupů a procesů klienta.

Bezpečnostní služby Cloudflare, které chrání sítě, aplikace, zařízení, uživatele a data, lze rozdělit do následujících kategorií.

Tento seznam se zaměřuje na zabezpečení a nezahrnuje produkty jako naši síť pro doručování obsahu (CDN), load balancing nebo služby DNS.

Naši zákazníci se obvykle snaží zabezpečit dva hlavní typy prostředků:

• Veřejné zdroje se definují jako jakýkoli obsah, aktivum nebo infrastruktura s rozhraním dostupným a přístupným z veřejného internetu, například firemní weby, e-shopy nebo API. Lze je také charakterizovat tím, že jsou přístupné anonymním uživatelům nebo lidem, kteří se pro získání přístupu sami zaregistrují, jako jsou sociální sítě, streamovací služby nebo bankovní služby.
• Privátní zdroje se definují jako obsah, aktiva nebo infrastruktura, jejichž zamýšlený okruh uživatelů je omezen na jedinou firmu, organizaci nebo skupinu zákazníků. Tyto služby obvykle vyžadují k přístupu účet a přihlašovací údaje. Příkladem takových prostředků je firemní HR systém, repozitáře zdrojového kódu nebo pokladní systém (POS) provozovaný v síti maloobchodních poboček. K těmto prostředkům mají obvykle přístup pouze zaměstnanci, partneři a další důvěryhodné, známé identity.

Veřejné i privátní zdroje mohou zahrnovat jak komponenty na úrovni infrastruktury, například servery, tak spotřebovávané zdroje, například weby a koncové body API. Komunikace přes sítě a internet probíhá v různých fázích a na různých úrovních, jak ukazuje diagram modelu OSI (open systems interconnection) níže.

Cloudflare dokáže chránit na více vrstvách modelu OSI, přičemž v tomto dokumentu se zaměřujeme především na ochranu prostředků na vrstvách 3, 4 a 7.

• Vrstva 3, označovaná jako „síťová vrstva“, zajišťuje přenos dat mezi dvěma různými sítěmi. Síťová vrstva rozděluje segmenty z transportní vrstvy na menší jednotky, takzvané pakety, na straně odesílatele a na straně příjemce je zase skládá zpět. Právě na síťové vrstvě probíhá routing, tedy hledání nejlepší fyzické cesty, po které se data dostanou k cíli.
• Vrstva 4, označovaná jako „transportní vrstva“, zajišťuje komunikaci mezi oběma zařízeními od konce do konce. Zahrnuje to převzetí dat z relační vrstvy a jejich rozdělení na části zvané „segmenty“, které se následně odešlou na vrstvu 3.

Mezi bezpečnostní produkty Cloudflare, které lze použít pro zabezpečení na vrstvách L3 a L4, patří nabídka síťových služeb Cloudflare, včetně Magic Transit, Cloudflare Network Firewall, Cloudflare WAN, Network Flow (dříve Magic Network Monitoring) a Spectrum.

• Vrstva 7, označovaná jako „aplikační vrstva“, je nejvyšší vrstvou zpracování dat, které probíhá těsně pod povrchem, v zákulisí softwarových aplikací, se kterými uživatelé pracují. Požadavky a odpovědi protokolů HTTP a API jsou událostmi vrstvy 7.

Cloudflare nabízí sadu produktů pro zabezpečení aplikací, která zahrnuje Web Application Firewall (WAF), Rate Limiting, L7 DDoS, API Shield, Bot Management, a zabezpečení na straně klienta.

Aplikace SaaS lze považovat jak za veřejné, tak za privátní. Salesforce má například přímý přístup z internetu, ale obsahuje velmi citlivé informace a obvykle je přístupný pouze z účtů zaměstnanců zřízených IT oddělením. Pro účely tohoto dokumentu budeme aplikace SaaS považovat za privátní prostředky.

Jde o obecná doporučení, protože Cloudflare umožňuje chránit i vysoce citlivé interní aplikace pomocí veřejně dostupných služeb pro vzdálený přístup. Podrobněji se tomu budeme věnovat v dalších částech tohoto dokumentu.

Firmy se při každodenních e-commerce transakcích a budování povědomí o značce spoléhají na veřejné webové stránky a API endpointy, přičemž u řady z nich je online služba přímo jádrem podnikání. Nejvyšší prioritou je proto vysoká dostupnost, výkon a zabezpečení, a právě proto zákazníci využívají Cloudflare k tomu, aby jejich provoz běžel bez přerušení. Bezpečnostní služby Cloudflare pomáhají předcházet podvodům, úniku dat a útokům, které mohou vést k právní odpovědnosti, finančním ztrátám, poškození značky a zpomalení či úplnému výpadku provozu.

Veřejná aktiva je potřeba chránit na více frontách a před různými typy útoků, proto je nutné zavést více různých bezpečnostních funkcí. Zákazníci navíc musí řešit provozní efektivitu řešení, která nasazují. Správa více samostatných produktů pro zmírňování různých útoků nebo využívání více dodavatelů k naplnění bezpečnostních cílů a požadavků firmy přináší řadu provozních neefektivit a problémů, jako je více uživatelských rozhraní a dashboardů, nutnost školení nebo chybějící integrace napříč produkty.

Diagram níže ukazuje typický požadavek na veřejný objekt procházející sítí Cloudflare. Naše bezpečnostní služby jsou součástí širší nabídky funkcí a Cloudflare funguje jako reverzní proxy, kde jsou požadavky směrovány do nejbližšího datového centra a před nasměrováním požadavku na cíl se uplatní výkonnostní a bezpečnostní služby. Tyto služby lze snadno kombinovat a používat společně bez ohledu na to, kde jsou zátěže nasazené: provoz a implementace zůstávají konzistentní. Poznámka: diagram nepopisuje všechny služby Cloudflare do detailu.

Diagram zdůrazňuje následující:

• nejrychlejší DNS služba na světě ↗ poskytuje rychlé překládání veřejných hostitelských názvů
• Zajistěte soulad dat s předpisy pomocí výběr geografických lokalit ↗ pro kontrolu a ukládání dat
• Spectrum rozšiřuje bezpečnostní možnosti Cloudflare na všechny aplikace UDP/TCP
• Bezpečnostní služby zkontrolují požadavek v jednom průchodu
• Služby pro výkon aplikací zpracovávají požadavek rovněž v rámci téhož průchodu
• Smart routing nachází cestu s nejnižší latencí mezi Cloudflare a veřejným cílem

Široké portfolio produktů Cloudflare chrání před celou řadou útoků. Několik běžných útoků je podrobněji popsáno níže a u každého je uveden odkaz na produkty Cloudflare, které se používají ke zmírnění konkrétního útoku.

A distribuovaný útok typu odepření služby (DDoS) ↗ je škodlivý pokus narušit dostupnost cílového serveru, služby nebo sítě zaplavením cíle nebo jeho okolní infrastruktury vlnou provozu. Cílem je zpomalit nebo zhroutit program, službu, počítač nebo síť, případně zcela vytížit kapacitu tak, aby službu nemohl využívat nebo přijímat nikdo jiný. Útoky DDoS mohou probíhat na úrovni L3, L4 nebo L7 a Cloudflare poskytuje ochranu na všech těchto úrovních.

L7 DDoS Protection od Cloudflare zabraňuje odepření služby na vrstvě 7, Spectrum chrání na vrstvě 4 a Magic Transit chrání na vrstvě 3. Kromě těchto klíčových bezpečnostních produktů zaměřených přímo na DDoS poskytuje Cloudflare také pokročilé možnosti rate limitingu, které umožňují omezovat provoz na základě velmi granulárních dat požadavků, včetně informací v headerech a API tokenů. Odepření služby může omezit i funkce Bot Management od Cloudflare, a to efektivním zmírňováním provozu botů.

Produkty: L7 DDoS, Spectrum, Magic Transit

Zero-day exploit (nazývaný také zero-day hrozba) je útok, který zneužívá bezpečnostní zranitelnost, pro kterou ještě neexistuje oprava. Označuje se jako hrozba „zero-day“, protože jakmile je chyba objevena, má vývojář nebo organizace na vyřešení problému „nula dní“.

Firewall pro webové aplikace (WAF) Managed Rules umožňují nasadit předkonfigurované spravované sady pravidel, které poskytují okamžitou ochranu proti následujícímu:

• Zero-day zranitelnosti
• 10 nejčastějších útočných technik
• Použití odcizených nebo uniklých přihlašovacích údajů
• Extrakce citlivých dat

WAF kontroluje příchozí webové požadavky a na základě sad pravidel (rulesets) nasazených na okraji sítě filtruje nežádoucí provoz. Tyto spravované sady pravidel udržuje a pravidelně aktualizuje Cloudflare. Díky rozsáhlým informacím o hrozbách získávaným z celé naší globální sítě dokáže Cloudflare hrozby rychle odhalit a klasifikovat. Jakmile jsou identifikovány nové útoky nebo hrozby, Cloudflare automaticky nasadí příslušná pravidla WAF u zákazníků, aby byli chráněni i před nejnovějšími útoky typu zero day.

Cloudflare kromě toho poskytuje WAF Attack Score, která doplňuje spravovaná pravidla Cloudflare o detekci variant útoků. Tyto varianty útočníci obvykle vytvářejí pomocí technik fuzzingu, kterými se snaží najít způsob, jak obejít stávající bezpečnostní zásady. WAF klasifikuje každý požadavek pomocí algoritmu strojového učení a na základě pravděpodobnosti, že je požadavek škodlivý, mu přiřadí skóre útoku v rozsahu 1 až 99. Na základě tohoto skóre pak lze psát pravidla, která určují, jaký provoz má k aplikaci přístup.

Produkty: WAF: Cloudflare Managed Rules

Neoprávněný přístup může být důsledkem narušeného ověřování nebo řízení přístupu, a to kvůli zranitelnostem v ověřování, slabým heslům nebo snadno obejitelné autorizaci. Ověřování lze posílit pomocí Cloudflare mTLS (mutual TLS) a validace JWT (JSON Web Tokens). Klientům nebo požadavkům API bez platného certifikátu či JWT lze podle bezpečnostní politiky přístup odepřít. Zákazníci mohou certifikáty mTLS vytvářet a spravovat z dashboardu Cloudflare nebo přes API. Cloudflare WAF a Exposed Credentials Check managed ruleset lze použít k odhalení kompromitovaných přihlašovacích údajů použitých v požadavcích na ověření. Zásady WAF lze také použít k omezení přístupu k aplikacím nebo cestám na základě různých kritérií požadavku.

Produkty: SSL/TLS: mTLS, API Shield (ověřování JWT), WAF

Útoky na straně klienta, jako je Magecart ↗ zahrnují kompromitaci knihoven třetích stran, kompromitaci webu nebo zneužití zranitelností za účelem odeslání citlivých uživatelských dat na doménu ovládanou útočníkem. Zabezpečení na straně klienta využívá postavení Cloudflare v síti jako reverzní proxy k přímému získávání informací z prohlížeče o:

1. Jaké soubory nebo moduly JavaScriptu se načítají
2. Navázaná odchozí připojení
3. Přehled souborů cookie používaných aplikací

Zabezpečení na straně klienta využívá detekce škodlivých domén a URL JavaScriptu z threat-feedů. Kromě toho dokáže stáhnout zdrojové soubory JavaScriptu a spustit je klasifikátorem strojového učení, který identifikuje škodlivé chování a aktivitu; výsledkem je JS Integrity Score určující, zda je daný soubor JavaScriptu škodlivý. Zabezpečení na straně klienta dokáže rovněž odhalit změny v souborech JavaScriptu. Upozornění lze nastavit prostřednictvím e-mailů, webhooků a PagerDuty na základě různých kritérií, jako jsou nově zjištěné zdroje, změny kódu nebo škodlivý kód, domény či URL.

Pravidla zabezpečení obsahu lze vytvořit a uplatnit, čímž se přidá další úroveň zabezpečení, která pomáhá odhalovat a zmírňovat určité typy útoků, včetně:

• Vkládání obsahu nebo kódu
• Cross-site scripting (XSS)
• Vkládání škodlivých prostředků
• Škodlivé iframy (clickjacking)

Produkty: Client-side security

Exfiltrace dat je proces získávání citlivých dat pomocí škodlivých taktik nebo prostřednictvím špatně nakonfigurovaných služeb. Cloudflare Sensitive Data Detection řeší běžné hrozby úniku dat. V rámci WAF tato pravidla sledují stahování konkrétních citlivých dat, například finančních a osobních identifikačních údajů. Konkrétní vzory citlivých dat se porovnávají a zaznamenávají do logu. Detekce citlivých dat je také integrována s API Shield, takže zákazníci jsou upozorněni na jakékoli odpovědi API obsahující shody citlivých dat.

Produkty: WAF: Sensitive Data Detection

Credential stuffing je kybernetický útok, při kterém útočník použije přihlašovací údaje získané z úniku dat u jedné služby a pokusí se s nimi přihlásit do jiné, nesouvisející služby. K postupnému vyzkoušení obrovského množství odcizených přihlašovacích údajů se obvykle používají automatizační nástroje nebo skripty, někdy doplněné o další data ve snaze získat kontrolu nad účtem.

Cloudflare Bot Management lze použít k odhalování potenciálně škodlivých botů. Podezřelé požadavky lze prověřovat pomocí výzev Cloudflare, které zastaví automatizované pokusy o získání přístupu. Zásady WAF se specifickými kritérii požadavků pak pomáhají útokům předcházet. Kromě toho lze pomocí spravované sady pravidel Cloudflare WAF a Exposed Credentials Check odhalit kompromitované přihlašovací údaje použité v autentizačních požadavcích. Rate limiting navíc dokáže omezit počet požadavků a snížit účinnost škodlivých technik credential stuffing.

Produkty: Bot Management, WAF, Rate Limiting

Útoky hrubou silou se pokoušejí uhodnout hesla nebo nápovědy pomocí náhodných znaků, které se někdy kombinují s často používanými hesly. K tomu se obvykle využívají automatizované nástroje nebo skripty, jež dokážou v krátké době projít obrovské množství možností.

Cloudflare Bot Management lze použít k odhalování potenciálně škodlivých botů. Podezřelé požadavky lze prověřovat pomocí výzev Cloudflare, které zastaví automatizované útoky hrubou silou. Zásady WAF a rate limiting se specifickými kritérii požadavků pak umožňují uplatnit podrobná pravidla na přihlašovacích stránkách aplikací a provoz blokovat nebo omezovat.

Produkty: Bot Management, WAF, Rate Limiting

Skimming platebních karet je podvodná metoda získávání platebních údajů z webových stránek. Zabezpečení na straně klienta dokáže odhalit klienty používající škodlivé knihovny JavaScriptu nebo připojující se ke známým škodlivým doménám či URL adresám. Zabezpečení na straně klienta také odhaluje změny v souborech nebo kódu použitém na webu a přiděluje souborům JavaScriptu skóre JS Integrity Score, které vyhodnocuje, zda je kód škodlivý. K prosazení pozitivního bezpečnostního modelu lze nasadit zásady CSP (Content Security Policies). Tyto funkce dokážou zabránit tomu, aby napadený kód prováděl škodlivé činnosti, jako je skimming platebních karet.

Produkty: Client-side security

Hromadění zásob nastává, když škodlivé boty nakupují online velké množství produktů a znemožňují nákup skutečným zákazníkům. To může firmám způsobit řadu problémů, včetně umělého nedostatku zboží, zvýšených cen a omezeného přístupu pro legitimní zákazníky. Potenciálně škodlivé boty lze odhalit pomocí Cloudflare Bot Management. Podezřelé požadavky lze prověřit pomocí výzev Cloudflare, které zastaví automatizované procesy. Útokům lze předcházet pomocí zásad WAF se specifickými kritérii požadavků.

Produkty: Bot management, WAF

Fuzzing ↗ je automatizovaná testovací metoda, kterou útočníci používají k tomu, aby do systému pomocí různých kombinací dat a vzorů vkládali neplatné, poškozené nebo neočekávané vstupy. Útočník tak doufá, že najde chyby a zranitelnosti, které pak může zneužít. Cloudflare WAF využívá strojové učení k odhalování pokusů o fuzzing, jejichž cílem je obejít bezpečnostní zásady. Skóre útoku WAF doplňuje managed rules a zvýrazňuje pravděpodobnost útoku.

Bot Management dokáže odhalit potenciálně škodlivé roboty tím, že automatizuje skenování zranitelností. Se službou API Shield mohou zákazníci využít validaci schématu a sequence mitigation, a zabránit tak automatizovanému skenování a technikám fuzzingu u API.

Produkty: WAF, Bot Management, API Shield

Útoky Cross-Site Scripting (XSS) jsou typem injekčního útoku, při kterém se do webů vloží škodlivé skripty, jež pak prohlížeč koncového uživatele spustí a použije k získání citlivých informací, jako jsou relační tokeny, cookies a další údaje.

Cloudflare WAF využívá strojové učení k odhalování pokusů o obejití bezpečnostních zásad a poskytuje specifické WAF Attack Score vyjadřující pravděpodobnost, že jde o útok typu XSS.

Produkty: WAF

Při útoku vzdáleného spuštění kódu (RCE) spouští útočník škodlivý kód v počítačích nebo síti organizace. Schopnost spustit kód řízený útočníkem lze využít k různým účelům, včetně nasazení dalšího malwaru nebo krádeže citlivých dat.

Cloudflare WAF využívá strojové učení k odhalování pokusů o obejití bezpečnostních zásad a poskytuje specifické WAF Attack Score vyjadřující pravděpodobnost, že jde o útok typu RCE.

Produkty: WAF

Structured Query Language Injection (SQLi) je technika injektáže kódu používaná k úpravě nebo získávání dat z databází SQL. Útočník vloží do vstupního pole speciálně sestavené příkazy SQL a získá tak možnost spouštět příkazy, které umožňují získat data z databáze, zničit citlivá data nebo provádět jiné škodlivé zásahy.

Cloudflare WAF využívá strojové učení k odhalování pokusů o obejití bezpečnostních zásad a poskytuje specifické WAF Attack Score vyjadřující pravděpodobnost, že jde o útok typu SQLi.

Produkty: WAF

Malware může označovat viry, červy, trojské koně, ransomware, spyware, adware a další typy škodlivého softwaru. Klíčovým rozlišovacím znakem malwaru je, že musí být záměrně škodlivý; software, který způsobí škodu neúmyslně, se za malware nepovažuje.

Když je aktivní funkce Uploaded Content Scanning, kontrola se snaží zachytit prvky jako nahrané soubory a prověřuje je na škodlivé signatury, například malware. Výsledky kontroly spolu s dalšími metadaty jsou k dispozici jako pole ve vlastních pravidlech WAF, což zákazníkům umožňuje nastavit velmi podrobná zmírňující pravidla.

Produkty: WAF: Uploaded Content Scanning

Tento dokument popsal některé běžné útoky a produkty Cloudflare, které slouží k detekci a zmírnění příslušných hrozeb. Níže podrobněji představujeme jednotlivé produkty z portfolia zabezpečení aplikací a sítě Cloudflare.

Security Analytics spojuje všechny bezpečnostní detekční schopnosti Cloudflare do jednoho dashboardu. Zákazníci zde rychle získají přehled o zmírněném i nezmírněném provozu, útočném provozu, provozu generovaném boty, pokusech o nahrání škodlivého obsahu a podrobnostech k analýze rate limitingu a analýze zneužití účtu. Přímo z dashboardu se zjištěnými hrozbami mohou zákazníci jediným kliknutím nasadit zásady, které tyto hrozby zmírní.

Používání Cloudflare WAF, zákazníci mohou nasadit vlastní pravidla na základě velmi granulárních kritérií požadavku a zmírnit tak konkrétní hrozby nebo blokovat požadavky s určitými anomáliemi HTTP. Kromě toho mohou zákazníci nasadit spravovaná pravidla Cloudflare, která zmírňují útoky zero day, běžné útoky z žebříčku OWASP Top 10, požadavky využívající uniklé přihlašovací údaje a požadavky extrahující citlivá data.

WAF Managed Rules umožňují zákazníkům nasadit předkonfigurované spravované sady pravidel, které poskytují okamžitou ochranu proti:

• Zero-day zranitelnosti
• 10 nejčastějších útočných technik
• Použití odcizených nebo uniklých přihlašovacích údajů
• Extrakce citlivých dat

Omezení četnosti požadavků lze použít ke zmírnění různých útoků, včetně objemových útoků, credential stuffingu, web scrapingu a útoků DoS. Rate limiting od Cloudflare umožňuje zákazníkům definovat limity četnosti pro požadavky odpovídající danému výrazu a akci, která se provede po dosažení tohoto limitu. Rate limiting lze nastavit podrobně podle konkrétních kritérií požadavku nebo hlavičky a lze jej také vázat na relace či API tokeny. Zákazníci mohou po překročení stanoveného limitu nakonfigurovat akce, včetně protokolování, blokování a výzev.

Zákazníci mohou také nastavit, podle jakých kritérií požadavku se počítá, kdy po překročení limitu dojde k omezení nebo blokování. Pro rate limiting lze implementovat dvě různá chování:

1. Blokovat po vybranou dobu. Jakmile se limit překročí, WAF po zvolenou dobu blokuje všechny požadavky, než se čítač znovu vynuluje.

2. Omezit požadavky překračující maximální nakonfigurovanou rychlost. WAF zablokuje veškeré požadavky přesahující nastavený limit, zatímco ostatní požadavky povolí. Toto chování lze přirovnat k efektu klouzavého okna (sliding window).

Cloudflare HTTP DDoS Attack Protection managed ruleset je sada předem nakonfigurovaných pravidel, která se používají ke shodě se známými vektory útoků DDoS na vrstvě 7 (aplikační vrstva) v globální síti Cloudflare. Pravidla odpovídají známým vzorům a nástrojům útoků, podezřelým vzorům, porušením protokolu, požadavkům způsobujícím velké množství chyb na originu, nadměrnému provozu zatěžujícímu origin nebo mezipaměť a dalším vektorům útoků na aplikační vrstvě. Cloudflare seznam pravidel v managed rulesetu pravidelně aktualizuje.

API Shield je produkt Cloudflare pro správu a zabezpečení API. API Shield poskytuje přehled díky funkcím API discovery a analytics, umožňuje správu endpointů, zavádí pozitivní bezpečnostní model a zabraňuje zneužívání API.

API Discovery v rámci API Gateway slouží k rozpoznání všech API koncových bodů v prostředí klienta pomocí strojového učení. Po tomto kroku mohou klienti koncové body uložit do Endpoint Management, aby bylo možné shromažďovat další informace o výkonu a chybách API a uplatňovat bezpečnostní politiky.

Zákazníci mohou zapnout pozitivní bezpečnostní model pomocí mTLS, validace JWT a validace schématu a chránit se proti dalšímu zneužití API díky rate limitingu, ochraně proti objemovému zneužití, zmírňování sekvenčních útoků a ochraně GraphQL.

Bot Management se používá ke zmírňování různých škodlivých aktivit, včetně web scrapingu, price scrapingu, hromadění zásob a credential stuffingu. Cloudflare má vícevrstvé možnosti zmírňování botů, které zahrnují heuristiku, strojové učení, detekci anomálií a JS fingerprinting. Bot management také přiřazuje skóre bota ke každému požadavku. Na základě skóre bota lze vytvářet pravidla WAF pro velmi podrobné bezpečnostní zásady.

Cloudflare navíc může klienty vyzvat k ověření (challenge), pokud má podezření na nežádoucí aktivitu botů. Cloudflare k tomu nabízí challenge platformu, na které se odpovídající typ výzvy dynamicky vybírá podle charakteristik požadavku. To pomáhá vyhnout se CAPTCHA, které vedou ke špatné uživatelské zkušenosti.

Podle charakteristik požadavku zvolí Cloudflare vhodný typ challenge, mimo jiné například:

• Neinteraktivní výzva.
• Vlastní interaktivní výzva (například kliknutí na tlačítko).
• Private Access Tokens (při použití novějších operačních systémů Apple).

S Turnstile, Cloudflare zcela opustil CAPTCHA. Turnstile je chytrá alternativa CAPTCHA od Cloudflare. Lze ji vložit na jakýkoli web bez nutnosti směrovat provoz přes Cloudflare a funguje, aniž by návštěvníkům zobrazovala CAPTCHA. Turnstile umožňuje spouštět výzvy kdekoli na webu méně rušivým způsobem a ke komunikaci s platformou Cloudflare Managed Challenge využívá API.

Client-side security (dříve Page Shield) zajišťuje bezpečnost prostředí prohlížeče návštěvníků webu a chrání před útoky na straně klienta, jako je Magecart. Pomocí Content Security Policy (CSP) nasazené v režimu jen pro hlášení shromažďuje informace z prohlížeče, sleduje načítané prostředky, jako jsou skripty, a odhaluje nové prostředky nebo připojení vytvářená prohlížečem. Klientské zabezpečení navíc zákazníky upozorní, pokud odhalí skripty ze škodlivých domén nebo URL adres, případně připojení z prohlížeče na škodlivé domény či URL adresy.

Zabezpečení na straně klienta dokáže stáhnout zdrojové soubory JavaScriptu a spustit je klasifikátorem strojového učení, který identifikuje škodlivé chování a aktivitu; výsledkem je JS Integrity Score určující, zda je daný soubor JavaScriptu škodlivý.

Cloudflare SSL/TLS nabízí řadu funkcí pro splnění požadavků zákazníků na šifrování a správu certifikátů. Certifikát SSL/TLS je to, co webům a aplikacím umožňuje navazovat zabezpečená spojení. Díky SSL/TLS může klient, například prohlížeč, ověřit pravost a integritu serveru, ke kterému se připojuje, a pomocí šifrování si s ním vyměňovat informace.

Globální síť Cloudflare je jádrem řady produktů a služeb, které Cloudflare nabízí. Pokud jde o SSL/TLS, znamená to, že se v rámci jednoho požadavku může uplatnit místo jednoho hned dvojice certifikátů: edge certifikát a origin certifikát.

Edge certificates se předkládají klientům, kteří navštíví web nebo aplikaci zákazníka. Origin certificates zajišťují zabezpečení a autentizaci na druhé straně sítě, mezi Cloudflare a origin serverem webu nebo aplikace zákazníka. režimy šifrování SSL/TLS určují, zda a jak Cloudflare tyto dva certifikáty použije, přičemž si můžete zvolit mezi několika různými režimy.

Zákazníci mohou také povolit vzájemné zabezpečení transportní vrstvy (mTLS) pro hostname a koncové body API a posílit tak zabezpečení ověřování, protože zajišťuje, že přístup získají pouze zařízení s platným certifikátem. Mezi další bezpečnostní funkce patří Authenticated Origin Pulls lze nakonfigurovat tak, aby pomohl zajistit, že požadavky na origin server pocházejí ze sítě Cloudflare. Keyless SSL umožňuje bezpečnostně uvědomělým klientům nahrát si vlastní certifikáty a využívat přitom výhody Cloudflare, aniž by museli odhalit své soukromé klíče TLS. Díky Cloudflare for SaaS, zákazníci mohou vydávat a ověřovat certifikáty i pro své vlastní zákazníky.

Cloudflare Security Center nabízí správu útočné plochy (ASM), která eviduje IT prostředky, vyhledává potenciální bezpečnostní problémy, řídí rizika phishingu a spoofingu a umožňuje bezpečnostním týmům prošetřit a zmírnit hrozby na několik kliknutí. Security Center je skvělým výchozím bodem pro bezpečnostní analytiky, kteří chtějí získat globální přehled o všech potenciálních problémech napříč aplikacemi a doménami.

Nabízené klíčové funkce:

• Veďte evidenci a kontrolujte aktiva IT infrastruktury, jako jsou domény, ASN a IP adresy.
• Spravujte vždy aktuální seznam nesprávných konfigurací a rizik u IT aktiv v Cloudflare.
• Dotazujte se na data o hrozbách shromážděná v síti Cloudflare a využijte je k prošetření bezpečnostních rizik a reakci na ně.
• Získejte plnou kontrolu nad tím, kdo jménem vaší organizace odesílá e-maily, díky funkci DMARC Management.

Pokud vytváříte a hostujete vlastní nabídku SaaS produktu, pak Cloudflare for SaaS by mohlo být zajímavé. Zákazníkům umožňuje rozšířit výhody zabezpečení a výkonu sítě Cloudflare na jejich zákazníky prostřednictvím vlastních nebo vanity domén. Cloudflare for SaaS nabízí několik možností konfigurace. Na diagramu níže jsou vlastní hostitelské názvy směrovány na výchozí origin server nazvaný "záložní origin".

Magic Transit chrání celé podsítě IP před útoky DDoS a zajišťuje detekci hrozeb v řádu zlomků sekundy, přičemž zároveň zrychluje síťový provoz. Ke zmírňování útoků využívá globální síť Cloudflare a standardní síťové protokoly jako BGP, GRE a IPsec pro směrování a zapouzdření.

Veškerá síťová aktiva, ať jsou umístěna lokálně nebo v privátním či veřejném cloudu, lze snadno chránit tím, že jsou umístěna za sítí Cloudflare a inzerována z ní, s kapacitou přesahující 405 Tbps.

S Cloudflare WAN, zákazníci mohou bezpečně připojit libovolný zdroj provozu (datová centra, pobočky, zařízení, cloudové prostředky) k síti Cloudflare a nakonfigurovat zásady směrování tak, aby data putovala tam, kam mají. Cloudflare WAN podporuje řadu on-rampů, včetně anycastových tunelů GRE a IPsec, Cloudflare Network Interconnect, Cloudflare Tunnel, klienta Cloudflare One a řady partnerů pro síťové on-rampy. Cloudflare WAN pomáhá ukončit závislost na tradičních zařízeních SD-WAN a bezpečně propojuje uživatele, pobočky, datová centra a hybridní cloud prostřednictvím globální sítě Cloudflare bez závislosti na hardwaru nebo softwaru konkrétního dodavatele.

Cloudflare Network Firewall je řešení firewall-as-a-service od Cloudflare, poskytované z globální sítě Cloudflare a integrované s Magic Transit a Cloudflare WAN. Umožňuje prosazovat jednotné zásady síťové bezpečnosti v rámci celé WAN sítě zákazníků, včetně ústředí, poboček a virtuálních privátních cloudů. Zákazníci mohou nasazovat podrobná pravidla, která globálně filtrují podle protokolu, portu, IP adres, délky paketu a shody bitového pole.

Network Flow (dříve Magic Network Monitoring), cloudové řešení pro monitorování síťových toků, které zákazníkům poskytuje viditelnost síťového provozu od začátku do konce, identifikaci typu útoku DDoS a upozornění na objemové útoky. Jakmile dojde k detekci útoku DDoS, lze upozornění doručit e-mailem, přes webhook nebo PagerDuty.

Spectrum je produkt typu reverzní proxy, který rozšiřuje výhody Cloudflare na všechny aplikace TCP/UDP a poskytuje ochranu proti DDoS na úrovni L4. Spectrum navíc nabízí IP firewall, který zákazníkům umožňuje odepřít přístup konkrétním IP adresám nebo rozsahům IP a podrobně tak řídit provoz směřující k aplikačním serverům. Zákazníci mohou také nastavit pravidla pro blokování návštěvníků z konkrétní země nebo dokonce podle čísla autonomního systému (ASN).

Privátní zdroje obvykle obsahují vysoce citlivé, firemní důvěrné informace, a proto je přístup k nim, ať už kvůli zákonům a předpisům, nebo kvůli povaze důvěrnosti daných dat, mnohem více omezený. Privátní aplikace bývaly tradičně dostupné pouze v privátních sítích uvnitř firemních budov, k nimž museli mít uživatelé fyzický přístup. Dnes už ale všichni víme, že k privátním zdrojům je potřeba přistupovat z celé řady míst, a paradoxně mohou privátní aplikace sídlit na velmi veřejných místech. Většina aplikací SaaS je vystavená veřejnému internetu.

Následují typické vlastnosti soukromých zdrojů:

• Uživatelé jsou předem autorizovaní a mají vytvořený účet. Nemohou se jen tak zaregistrovat. Přístup ke zdroji jim musí být udělen konkrétně, ať už přímo, nebo prostřednictvím mechanismů řízení přístupu, jako jsou certifikáty, členství ve skupině nebo přiřazení role.
• Síťový přístup k self-hosted prostředku obvykle vede přes spravované privátní síťové trasy a není dostupný přes běžný internet.
• Privátní zdroje, které se nacházejí v datových centrech (fyzických nebo virtuálních) a jsou připojené k sítím hostovaným a spravovaným danou firmou, ať už jde o lokální infrastrukturu, nebo virtuální privátní sítě provozované ve veřejné cloudové infrastruktuře.

Jak již bylo zmíněno, tradiční přístup k privátním prostředkům vyžadoval fyzický přístup k síti, tedy přítomnost v kanceláři s připojením přes Ethernet. S rostoucími nároky na vzdálený přístup firmy nasazovaly on-premises VPN servery, které uživatelům a zařízením umožňovaly se do těchto privátních sítí „vytočit“. Řada aplikací tyto privátní sítě opustila a přesunula se do aplikací SaaS nebo je dnes hostována ve veřejné cloudové infrastruktuře. Tento tradiční přístup se stal neudržitelným a nákladným, se spoustou různých technologií zajišťujících síťovou konektivitu a řízení přístupu.

Další důležitou skutečností je, že řadu služeb používaných k zabezpečení a propojení veřejných zdrojů lze využít i pro privátní zdroje. Nejzřetelnějším příkladem je Cloudflare WAN a Cloudflare Network Firewall. Zákazníci rovněž používají náš WAF před privátně hostovanými aplikacemi, které jsou přístupné pouze přes privátní sítě. Myšlenka je taková, že i když je přístup k aplikaci možný jen z důvěryhodných privátních připojení, útočník může přesto kompromitovat zařízení, které se jeví jako důvěryhodné, a proto lze útoky typu injekce do aplikace a další zranitelnosti zneužít i ze zařízení s existujícím důvěryhodným přístupem do sítě. To přesně odpovídá myšlence programu zabezpečení Zero Trust. Více o přístupech k Zero Trust s využitím platformy SASE se dozvíte v našem Referenční architektura SASE.

V popisu následujících služeb Cloudflare se dozvíte, jak síť Cloudflare a naše způsoby jejího propojení s vašimi vlastními privátními sítěmi přinášejí vyšší zabezpečení, flexibilitu a centralizovanější řídicí rovinu pro přístup k privátním prostředkům. Následující diagram znázorňuje prostředí, které je typické pro privátní infrastrukturu zákazníka.

Ochranu interních zdrojů lze rozdělit do následujících oblastí.

• Zabezpečení konektivity mezi uživatelem a aplikací/sítí.
• Systémy identity, které zajišťují autentizaci a spravují identity uživatelů a členství ve skupinách.
• Zásady řídící přístup uživatelů k aplikacím a datům.
• Kontrolní mechanismy ochrany dat pro identifikaci a ochranu citlivých a důvěrných dat.
• Ochrana uživatelů a zařízení před útoky (malware, phishing atd.), které vznikají v souvislosti s přístupem k internetu.
• Provozní přehled pro týmy IT a zabezpečení.

Mnoho soukromě hostovaných aplikací a sítí nemá přímé připojení k internetu. Jak již bylo zmíněno, přístup byl tradičně umožňován jedním ze dvou způsobů. Prvním je fyzické připojení uživatelů do stejné sítě, ve které se soukromé prostředky nacházejí, tedy například příchod do kanceláře a připojení k firemní Wi-Fi. Druhým je vytvoření připojení přes virtuální privátní síť (VPN) přes internet a "vytočení se" do soukromé firemní sítě.

Potřeba je dnes ale stále stejná: máte privátní sítě s privátními aplikacemi a vzdálení uživatelé k nim potřebují přístup. Cloudflare byste měli vnímat jako svou novou podnikovou síť, ve které se všichni oprávnění uživatelé (zaměstnanci, kontraktoři, partneři) mohou odkudkoli připojit k libovolné privátní aplikaci. To znamená, že Cloudflare bude v topologii vaší sítě uprostřed a bude zajišťovat propojení mezi všemi sítěmi navzájem.

Na diagramu výše vidíte řadu privátních sítí a zařízení koncových uživatelů připojených ke Cloudflare, který následně zajišťuje směrování a řízení přístupu mezi těmito sítěmi, a tedy i k aplikacím a dalším zdrojům. Tento typ provozu se často označuje jako East to West. Provoz totiž vychází ze soukromě spravované sítě a do ní také směřuje.

Veškerý síťový provoz prochází přes Cloudflare, takže bezpečnostní kontroly jsou definovány a uplatňují se na veškerý provoz mezi sítěmi. Pokud je síť, zařízení nebo uživatel připojen k Cloudflare, lze je identifikovat a uplatnit na ně zásadu. To také znamená, že se zjednodušuje například ochrana dat: stačí zavést jediné pravidlo pro detekci přenosu citlivých dat a přístupu k nim a snadno ho uplatnit v celé síti.

Stávající privátní infrastruktura bývá složitá. Cloudflare nabízí řadu způsobů, jak mohou firmy připojit své sítě a uživatelská zařízení do této nové enterprise sítě. Těmto způsobům často říkáme „on-ramps“, což popisuje, jak se provoz z konkrétní sítě nebo zařízení dostává do Cloudflare. Následující tabulka tyto jednotlivé způsoby shrnuje.

Podrobnosti o fungování těchto metod najdete v naší Referenční architektura SASE.

Všechny výše uvedené metody slouží k připojení sítí a aplikací k Cloudflare, přičemž někteří uživatelé budou na zařízeních připojených přímo k těmto sítím. Mohou se nacházet v centrále firmy nebo pracovat z pobočky či prodejny. Řada uživatelů však pracuje z domova, z kavárny nebo z letadla. Pro připojení těchto uživatelů k Cloudflare nabízí Cloudflare následující metody. Jde o stejný princip jako instalace klienta VPN na zařízení uživatele, s tím rozdílem, že spojení směřuje do naší globální sítě, a ne k vašim vlastním zařízením VPN.

Pro nejlepší uživatelský zážitek a nejvyšší míru kontroly přístupu doporučujeme nasadit náš agent zařízení na zařízení. Agent, který je podporován na Windows, macOS, Linux, iOS a Android, plní dvě hlavní role. Zaprvé směruje veškerý provoz ze zařízení do Cloudflare, čímž umožňuje přístup ke všem vašim stávajícím připojeným privátním sítím a aplikacím. Zadruhé agent poskytuje informace o stavu zařízení, jako je verze operačního systému, stav šifrování úložiště a další podrobnosti. Tyto informace se poté přiřadí k ověřenému uživateli a lze je použít jako součást politiky řízení přístupu. Agenta lze nainstalovat ručně, většina podniků jej však nasazuje pomocí softwaru pro správu zařízení (MDM).

Mohou nastat případy, kdy na zařízeních koncových uživatelů nelze nainstalovat software. V takových případech Cloudflare poskytuje proxy koncový bod, na který lze prohlížeče nakonfigurovat tak, aby přes něj svůj provoz nasměrovaly do Cloudflare. Provádí se to buď ručně samotným koncovým uživatelem, nebo pomocí automatizovaná konfigurace prohlížeče soubory.

V některých situacích nemáte možnost nijak upravit koncové zařízení. Pro tyto případy poskytujeme uživateli možnost přistupovat k prohlížeči, který běží přímo v naší edge síti. Tento služba izolace prohlížeče vyžaduje, aby uživatelé nasměrovali svůj prohlížeč na URL adresu Cloudflare, která následně spustí bezhlavý zabezpečený prohlížeč na jednom z našich edge serverů. Poté se přes připojení HTTPS a WebRTC používají zabezpečené kanály. Další informace najdete v tato architektura.

Uživatelé se nemohou jen tak zaregistrovat a získat přístup k vašim privátním zdrojům; jejich identita a přiřazené přihlašovací údaje se obvykle vytvářejí a spravují ve firemním poskytovateli identity (IdP). Cloudflare se integruje jak s podnikové a spotřebitelské identitní služby, a také poskytnutím jednoduchého jednorázového hesla (OTP) prostřednictvím e-mailu pro případy, kdy potřebujete ověřit uživatele pouze na základě e-mailové adresy.

Cloudflare podporuje integraci s více poskytovateli identity, a to i se stejným typem. Pokud tedy pro své zaměstnance spravujete instanci Okta, ale zároveň jste třeba akvizicí získali jinou společnost s vlastní instancí Okta, lze s Cloudflare integrovat obě. Cloudflare pak funguje jako proxy pro proces SSO. Aplikace se nakonfigurují tak, aby pro ověřování používaly Cloudflare prostřednictvím SAML a OIDC, a Cloudflare následně přesměruje uživatele přes ověřovací tok integrovaného IdP. Informace o skupinách lze do Cloudflare také synchronizovat přes SCIM a použít je v zásadách řízení přístupu.

Díky centralizaci identity do společné vrstvy pro řízení přístupu můžete vytvářet jasně definované a snadno spravovatelné zásady platné v celé síti. Pokud se pak rozhodnete přejít od jednoho poskytovatele identity k jinému, stačí změnit jedinou integraci identity s Cloudflare a všechny navazující aplikace i stávající zásady budou fungovat dál.

Tento dokument se zaměřuje na zabezpečení, a jelikož jsou nyní propojené aplikace, zařízení, identity i sítě, podléhá každý požadavek na jakýkoli síťový zdroj i z něj, a stejně tak na internet, službám Cloudflare pro řízení přístupu a firewall. K uplatňování zásad na provoz slouží dvě služby.

• Zero Trust Network Access: Naše Access spravuje přístup ke konkrétním sítím nebo aplikacím, které jsou považovány za privátní. Vynucuje ověřování buď pro uživatele prostřednictvím stávajícího poskytovatele identity, nebo pro jiné aplikace prostřednictvím servisních tokenů či mTLS.
• Secure Web Gateway: Naše Gateway se používá k analýze provozu a uplatňování zásad bez ohledu na cíl. Nejčastěji se používá k povolování, blokování nebo izolaci provozu směřujícího na internet. Lze jej použít i k uplatnění řízení přístupu na aplikace SaaS, ale Gateway může kontrolovat a zpracovávat jakýkoli provoz procházející přes Cloudflare. Proto jej lze použít také k přidání dalšího řízení přístupu k neinternetovým, privátně tunelovaným aplikacím.

Obě tyto technologie lze kombinovat a zajistit tak odpovídající přístup k privátním aplikacím. Pro uživatele s naším agent zařízení nainstalováno, zásady mohou zahrnovat i požadavky na úrovni zařízení. V kombinaci s identitními údaji lze psát zásady, jako je následující, ke kontrole přístupu například k internímu nástroji pro správu databáze.

• Uživatel se musí ověřit přes firemní IdP a jako součást ověřování použít MFA
• Uživatel musí být ve skupině „Database Administrators“ v IdP
• Zařízení uživatele musí mít Crowdstrike risk score vyšší než 70
• Zařízení uživatele musí mít nainstalovanou nejnovější verzi operačního systému

Lze definovat skupiny přístupu uživatelů, které je možné použít napříč více zásadami. Díky tomu mohou IT a bezpečnostní administrátoři vytvořit jedinou definici toho, jak vypadá zabezpečený administrátor, a tu pak opakovaně používat v mnoha zásadách.

Veškerý provoz protéká přes Cloudflare, a tedy i veškerá data procházejí přes Cloudflare. Díky tomu můžete na tento provoz uplatňovat kontrolu dat. Zaměstnanci obvykle mají přístup k citlivým aplikacím a datům pouze ze správovaných zařízení, kde agent na zařízení instaluje certifikáty Cloudflare, které Cloudflare umožňují ukončovat SSL spojení na naší síti. To následně umožňuje kontrolovat obsah provozu HTTPS a psát zásady pro správu a zabezpečení těchto dat.

Cloudflare má prevence úniku dat (DLP), která umožňuje definovat profily pro identifikaci citlivých dat. Tyto profily se pak používají v zásadách Gateway k rozpoznání konkrétního provozu a jeho povolení, zablokování nebo izolaci.

Stejné profily DLP lze použít i v naší službě Cloud Access Security Broker (CASB), kde je Cloudflare propojen s aplikacemi SaaS přes API. Následně kontrolujeme úložiště a konfiguraci těchto aplikací a hledáme chybnou konfiguraci nebo citlivá data vystavená veřejně.

Velká část této části se zaměřovala na ochranu přístupu k privátním sítím a aplikacím, ale firma musí chránit také své zaměstnance a jejich zařízení. Naše zabezpečená webová brána (SWG) stojí mezi uživateli připojenými ke Cloudflare a jakýmkoli prostředkem, ke kterému se pokoušejí přistoupit, ať už veřejným, nebo soukromým. Lze napsat zásady, které zaměstnancům zabrání v přístupu na rizikové weby nebo na weby, o kterých je známo, že šíří malware. Zásady lze psát i tak, aby zmírňovaly phishingové útoky blokováním přístupu k doménám a webům, o kterých je známo, že jsou součástí phishingových kampaní. Ochrana uživatelů a jejich zařízení před hrozbami z internetu zároveň snižuje související rizika při přístupu týchž uživatelů a zařízení k soukromým prostředkům.

Dalším kritickým privátním zdrojem, který je třeba zabezpečit, je e-mail. Ten často patří k nejcitlivějším ze všech zdrojů, protože obsahuje důvěrnou komunikaci v rámci celé organizace. Je také běžným cílem útoků, převážně formou phishingu. Zabezpečení e-mailu ↗ (CES) prohlíží všechny e-maily ve schránkách vašich zaměstnanců, odhaluje podvržené, škodlivé nebo podezřelé zprávy a lze ji nakonfigurovat tak, aby na ně odpovídajícím způsobem reagovala. CES lze integrovat změnou MX záznamů vaší domény a přesměrováním veškeré pošty přes Cloudflare. Pro Microsoft a Google existuje i druhá možnost: integrace přes API a kontrola e-mailů přímo ve schránce uživatele. U podezřelých e-mailů se odkazy v těle zprávy přepisují tak, aby využívaly služba izolace prohlížeče takže když uživatel danou webovou stránku navštíví, je jeho lokální zařízení chráněno před jakýmkoli škodlivým kódem, který by mohl v prohlížeči běžet.

Ať už jsou vaše prostředky privátní, nebo veřejné, přehled o dění je zásadní. Administrativní dashboard Cloudflare nabízí širokou škálu vestavěných přehledů a reportů pro rychlý souhrnný pohled. Kromě toho lze nastavit i notifikace, které správce informují o důležitých událostech, ať už e-mailem, nebo prostřednictvím služeb, jako je PagerDuty.

Všechny služby Cloudflare poskytují podrobné protokoly o aktivitě. Tyto protokoly lze také exportovat do dalších nástrojů pro bezpečnostní monitoring nebo SIEM prostřednictvím našich integrací pro odesílání protokolů. K dispozici jsou vestavěné integrace pro běžné služby, jako jsou AWS, Datadog, Splunk, New Relic a Sumo Logic. Podporujeme však i obecnou distribuci protokolů do úložišť Azure a Google, jakož i Amazon S3 a služeb kompatibilních s S3.

Následující diagram shrnuje, jak vám služby Cloudflare SASE umožňují propojit a zabezpečit přístup k vašim privátním zdrojům. Podrobnější popis najdete v Referenční architektura SASE.

Mnoho bezpečnostních služeb Cloudflare je postaveno na vysoce optimalizované bezserverové výpočetní platformě založené na V8 Isolates ↗ která pohání naši vývojářskou platformu. Stejně jako všechny naše služby běží i bezserverové výpočetní úlohy na všech serverech v naší globální síti. Naše bezpečnostní služby sice nabízejí širokou škálu funkcí, zákazníci ale vždy ocení maximální flexibilitu psaní vlastního řešení na míru. Zákazníci proto mohou k interakci se síťovým provozem, který proudí do a z jejich prostředků, i k implementaci komplexní bezpečnostní logiky, použít Cloudflare Workers a jejich doprovodné služby (R2, D1, KV, Queues).

Následující případy použití ukazují, jak bezpečnostní týmy našich zákazníků využily naše platforma pro vývojáře ↗:

• V naší službě ZTNA, Cloudflare Access, může požadavek na přístup k privátnímu prostředku obsahovat volání Cloudflare Worker, kterému se předají veškeré známé informace o uživateli. Poté lze implementovat vlastní obchodní logiku pro rozhodnutí o přístupu. Například:
  • Povolte přístup pouze v pracovní době zaměstnance. Ověřujte to pomocí volání API do systémů zaměstnanců.
  • Povolit přístup pouze v případě, že byl v PagerDuty vyhlášen incident.
• Nasaďte honeypoty pro boty: Protože Workers lze připojit k trasám libovolného prostředku chráněného Cloudflare, můžete zkontrolovat skóre bota u požadavku a poté ho přesměrovat nebo upravit, pokud máte podezření, že nejde o legitimní provoz. Můžete například požadavek provést, ale odpověď upravit tak, aby skryla informace nebo změnila hodnoty a chránila tak data.
• Psaní komplexních pravidel typu web application firewall (WAF): Jak je popsáno výše, náš WAF je velmi výkonný nástroj pro ochranu vašich veřejně dostupných aplikací. S Workery ale můžete psát neuvěřitelně komplexní pravidla založená na informacích poskytnutých v IncomingRequestCfProperties, které zpřístupňují metadata ke každému požadavku. Tyto vlastnosti obsahují rozsáhlé informace a lze je vyjádřit v kódu pro efektivní implementaci pravidel.
• Rozšíření provozu o další bezpečnostní informace: vaše downstream aplikace může mít před sebou i jiné bezpečnostní produkty, případně poskytuje vlastní zabezpečení, pokud existují určité HTTP hlavičky. Pomocí Workers můžete jakékoli požadavky na aplikaci obohatit a přidat hlavičky, které downstream aplikaci pomohou zavést silnější bezpečnostní kontroly.
• Napište si vlastní autentizační službu: Někteří zákazníci mají extrémní požadavky a síla Workerů vám, stejně jako nám u vlastní sady produktů, umožňuje napsat celé autentizační zásobníky. Jeden takový zákazník udělala přesně toto ↗. I když to není běžné, jde o příklad flexibility, kterou Cloudflare nabízí. Vlastní složitý kód můžete kombinovat s našimi produkty a přesně tak doladit požadovaný bezpečnostní výsledek.

Používání Workers k implementaci některých bezpečnostních kontrol přináší tyto výhody:

• Pokročilá logika a testovatelnost: Umožňuje implementaci velmi sofistikované logiky, kterou lze snadno testovat pomocí unit testů.
• Dostupnost pro vývojáře: Bezpečnostní funkce jsou dostupné širšímu okruhu uživatelů díky nativní podpoře v jazycích jako JavaScript, TypeScript, Rust a Python, které vývojáři dobře znají.
• Granularita a flexibilita: Nabízí bezkonkurenční granularitu s podporou regulárních výrazů, parsování JSON a snadným přístupem k hlavičkám a tělům požadavků a odpovědí obohaceným Cloudflare. Zásady lze navrhnout na základě libovolné vlastnosti požadavku nebo odpovědi.
• Úprava odpovědi: Zatímco tradiční bezpečnostní řešení se obvykle zaměřují jen na požadavky, Workers umožňuje snadno upravovat i odpovědi. Lze tak například skrýt podrobné chybové zprávy a zvýšit tím bezpečnost.
• Implementace životních cyklů DevSecOps: Workers výrazně usnadňuje dodržování osvědčených postupů DevSecOps, jako je verzování kódu, kontroly kódu, automatizované testy, postupné nasazování a možnost vrátit změny zpět.

Měli byste ale zvážit i následující:

• Náklady: Přidáním Workers do zpracování požadavku vzniknou dodatečné náklady. To však může být přijatelné ve scénářích, kde je významný bezpečnostní přínos dostatečně vysoký.
• Latence: I když je dopad minimální, na latenci provozu bude mít vždy určitý vliv skutečnost, že u každého požadavku běží vlastní logika.
• Vyžaduje vývojářské dovednosti: Může to znít samozřejmě, ale stojí za zmínku: nasazení Workers vyžaduje vývojářský tým, který kód vytvoří, otestuje a bude dále udržovat.

Několik příkladů využití platformy Workers pro zabezpečení nebo autentizace případy použití.

Nyní byste měli mít dobrou představu o obrovském rozsahu sítě Cloudflare, o tom, jak je zabezpečená a provozovaná, a o široké škále služeb, které máte k dispozici pro ochranu firemních aktiv. Vybudovali jsme budoucnost síťování a bezpečnosti a rádi bychom vás vyzvali, abyste zvážili využití našich služeb k lepšímu zabezpečení vaší firmy.

Shrneme si tedy výhody používání Cloudflare pro zabezpečení vaší firmy:

• Chraňte veškerý svůj firemní majetek, veřejný i privátní.
• Využijte komplexní nabídku bezpečnostních služeb na jedné platformě.
• Spolehněte se na masivně škálovanou síť s vysokým výkonem a spolehlivostí.
• Implementujte bezpečnostní kontroly jednou, v jediném dashboardu, a ovlivněte provoz odkudkoli.
• Dejte týmům DevSecOps plnou podporu API a Terraformu.

Máme velmi jednoduchý samoobslužná registrace ↗, kde si můžete řadu našich služeb zdarma vyzkoušet. Pokud chcete při hodnocení Cloudflare spolupracovat s naším týmem odborníků, obraťte se na nás ↗.