← Referenční architektury / reference-architecture / diagrams / sase

Ochranné DNS pro státní správu

Služby ochranného DNS jsou bezpečnostní služby, které analyzují dotazy DNS a blokují přístup ke škodlivým webům a dalšímu nebezpečnému obsahu online. Vzhledem k tomu, že technologie hrají pro chod veřejného sektoru stále důležitější roli, snaží se státní instituce tyto kybernetické bezpečnostní služby zavádět, aby posílily detekci incidentů a reakci na ně a vybudovaly odolnější podnikové sítě. Nasazení tohoto typu řešení tradičně představovalo značné potíže kvůli závislosti na starších systémech, které vyžadovaly nákladný lokální hardware. To ztěžuje nasazení i správu a po nasazení přináší další problémy se škálovatelností a dostupností.

Tato omezení lze dnes řešit pomocí cloudových řešení, jako je Cloudflare Gateway, naší služby Secure Web Gateway. Funkce filtrování DNS ve službě Cloudflare Gateway umožňují administrátorům nabídnout vylepšené zabezpečení. Díky snadno vytvořitelným zásadám podporovaným rozsáhlé zpravodajství o hrozbách ↗, vládní instituce mohou účinně chránit své koncové uživatele před přístupem k potenciálně škodlivé domény. Agentury mohou tuto obranu dále posílit tím, že integrace vlastních dat o hrozbách ↗ do zásad.

V neposlední řadě Cloudflare Gateway odstraňuje obavy ohledně dostupnosti, výkonu a škálovatelnosti, protože je postavena na veřejný DNS resolver Cloudflare 1.1.1.1, jeden z nejrychlejší ↗ a nejrozšířenějších DNS resolverů na světě.

Cloudflare poskytuje flexibilní modely nasazení DNS a zajišťuje spolehlivou ochranu pro každého uživatele bez ohledu na jeho polohu. Služba podporuje jak uživatele v kanceláři, tak vzdálené uživatele a nabízí flexibilitu potřebnou pro pokrytí různorodých provozních požadavků.

IT administrátoři přesměrovávají veřejné DNS požadavky na Cloudflare, kde se filtrují a zaznamenávají podle nastavených zásad filtrování DNS. DNS forwardery mohou tvořit buď privátní DNS infrastruktura organizace, nebo síťová zařízení, například směrovače nasazené na vzdálených pobočkách a nakonfigurované jako lokální DNS servery.

Aby administrátoři odlišili dotazy pocházející od jednotlivých vládních resortů a úřadů, za které odpovídají, nastaví v dashboardu Cloudflare příslušnou lokalitu. Při vytvoření lokality DNS přiřadí Gateway této lokalitě adresy IPv4/IPv6 a názvy hostitelů pro DNS over TLS/HTTPS (DoT/DoH). Administrátoři pak tyto IP adresy a názvy hostitelů používají k odesílání dotazů DNS k překladu. Objekt lokality následně administrátor nastaví s veřejnými IP adresami svých lokálních serverů DNS, díky čemuž dokáže Cloudflare dotazy přesně přiřadit k odpovídající lokalitě.

Filtrování DNS se pak vynucuje pomocí zásad nastavených administrátorem, které slouží k rozpoznání domén spojených s bezpečnostní rizika. Cloudflare průběžně aktualizuje seznam vysoce rizikových domén pomocí jeho rozsáhlé informace o hrozbách ↗. Když DNS dotaz odpovídá označené doméně, provede se akce uvedená v zásadě DNS. Touto akcí může být „Block,' kde Gateway odpovídá 0.0.0.0 pro dotazy IPv4 nebo :: pro dotazy IPv6, nebo zobrazí vlastní blokovací stránka hostovaná Cloudflare. Alternativně Přepsání akci nebo přesměrování URL na blokovací stránku může přesměrovat dotaz DNS na blokovací stránku hostovanou danou vládní agenturou.

Vlastní threat intelligence Cloudflare lze integrovat s daty threat intelligence poskytovanými agenturou nebo třetími stranami. V takovém uspořádání agentura nebo daná třetí strana vystupuje jako poskytovatel kanálu hrozeb do Cloudflare. Díky tomu mohou IT administrátoři vytvářet politiky DNS, které kombinují kategorie bezpečnostních rizik Cloudflare s daty poskytnutými agenturou, a dosáhnout tak jednotného a posíleného zabezpečení (viz diagram níže). Kromě toho veřejně dostupné vlastní kanály indikátorů mohou využívat oprávněné organizace z veřejného i soukromého sektoru bez nutnosti navazovat vztah s poskytovatelem, což dále rozšiřuje možnosti zabezpečení.

U uživatelů, kteří nejsou připojeni k síti agentury, můžete DNS požadavky přesměrovat na Cloudflare pomocí DNS over HTTPS (DoH) název hostitele poskytnutý umístění. K tomu je potřeba konfigurace na každém zařízení, což lze provést pomocí stávajících řešení pro správu. Tento přístup lze dále vylepšit začleněním autentizační token specifický pro daného uživatele. Tyto tokeny umožňují Cloudflare přiřadit DNS dotazy jednotlivým uživatelům, což poskytuje podrobný přehled a usnadňuje uplatňování zásad specifických pro daného uživatele.

Pro pokročilejší zásady DNS založené na identitě lze nasadit agenta zařízení Cloudflare. V tomto nastavení se uživatelé k agentovi zařízení ověřují prostřednictvím poskytovatel identity integrovaný s Cloudflare. Agent se poté nakonfiguruje v Režim pouze DNS, čímž zajišťuje, že všechny veřejné dotazy DNS ze zařízení jsou přesměrovány na Cloudflare. Tyto dotazy obsahují identitu uživatele ze zařízení, což umožňuje prosazování zásad na základě identity.

Následující zásada ukazuje, jak lze informace o skupinách z poskytovatele identity využít k uplatnění konkrétních ochranných zásad DNS.

Agent zařízení je kompatibilní s přední desktopové a mobilní operační systémy, díky čemuž je řešením pro spravovaná i nespravovaná zařízení. Tato univerzálnost umožňuje rozšířit služby zabezpečení DNS například i na osobní zařízení vysoce rizikových jednotlivců, čímž zajišťuje stejnou úroveň ochrany bez ohledu na polohu nebo zařízení. U spravovaných IT zařízení náš agent podporuje nástroje pro spravovaná nasazení, kvůli snadnějšímu nasazení a upgradům.

Pro přesnější řízení toho, které domény jsou povolené nebo blokované, může administrátor nakonfigurovat další zásady Allowed Domain a Blocked Domain. Nastavením těchto zásad s nižší priorita než politika Security Risks, může agentura politiku Security Risks pro konkrétní domény přepsat.

Pro zjednodušení správy povolených a blokovaných domén použijte seznamy. Seznamy lze snadno aktualizovat přes dashboard nebo pomocí API, díky čemuž je úprava zásad efektivnější.

Jednou z klíčových výhod nasazení Cloudflare Gateway jako ochranné služby DNS je lepší přehled, který IT administrátorům poskytuje o stávajících i vznikajících hrozbách ohrožujících vládní ministerstva a agentury. Všechny dotazy DNS odeslané do Cloudflare Gateway se zaznamenávají, a pokud je s dotazem spojena identita, v protokolech se namapuje na odpovídajícího uživatele.

K těmto protokolům lze přistupovat přímo přes Dashboard Cloudflare nebo je lze exportovat do externích systémů k další analýze prostřednictvím Logpush. Cloudflare navíc nabízí robustní analytické funkce, které IT administrátorům umožňují odhalovat trendy a identifikovat indikátory napadení. Vestavěný analytický dashboard najdete v Dashboard Cloudflare, a vlastní dashboardy lze vytvořit pomocí libovolného nástroje kompatibilního s GraphQL, konkrétně pomocí GraphQL API Cloudflare.

Cloudflare Gateway nabízí ucelenou sadu služeb, které jdou nad rámec ochranného DNS a fungují jako plnohodnotný Secure Web Gateway ↗. Podporuje kontrolu HTTP, díky které poskytuje hlubší přehled o uživatelském provozu, a rozšiřuje tak možnosti ochrany před hrozbami a zabezpečení dat, jež mají uživatelé k dispozici.

Při kontrole provozu HTTP Cloudflare brání zásahům do provozu tím, že požadavky HTTPS dešifruje, kontroluje a znovu šifruje přímo v našich datacentrech. Cloudflare Gateway ukládá v klidovém stavu pouze způsobilý obsah v cache a všechny disky s cache jsou v klidovém stavu šifrované. Kromě toho lze nastavit i geografickou oblast serverů, kde probíhá dešifrování TLS, pomocí Regional Services v Cloudflare Data Localization Suite (DLS) a organizace si mohou vybrat mezi přidáním certifikátu Cloudflare do zařízení, nebo pomocí vlastního certifikátu (BYOPKI) pro dešifrování a kontrolu uživatelského provozu.

Když Cloudflare Gateway provádí kontrolu HTTP provozu, rozšiřuje ochranu nad rámec zabezpečení DNS o další funkce, které chrání uživatele při procházení internetu:

• Antivirové skenování (AV): Uživatelé jsou chráněni při stahování souborů z internetu i při jejich nahrávání na internet. Soubory se kontrolují v reálném čase k odhalování škodlivého obsahu.
• Sandboxing: U dříve neviděných souborů může Cloudflare Gateway karanténovat je v zabezpečeném sandboxovém prostředí za účelem analýzy. V tomto sandboxu Cloudflare sleduje chování souboru a porovnává je se známými vzory malwaru. Soubory se uživatelům uvolní pouze v případě, že se v nich nezjistí žádný škodlivý obsah.
• Remote Browser Isolation (RBI): Zásady izolace lze nakonfigurovat tak, aby chránil uživatele při přístupu na potenciálně riziková webová sídla. Například pokud se uživatel pokusí navštívit nově zaznamenanou doménu, která aktivuje izolační zásadu, aktivní obsah webu se spouští v zabezpečeném, izolovaném prohlížeči hostovaném v nejbližším datovém centru Cloudflare. Díky tomu jsou útoky zero day a malware zmírněny dříve, než mohou uživatele ovlivnit. Tento vzdálený způsob prohlížení je plynulý a transparentní, takže uživatelé mohou nadále používat své oblíbené prohlížeče a pracovní postupy. Každá karta a okno prohlížeče jsou automaticky izolovány a relace se po zavření odstraní.

Kromě ochrany před hrozbami umožňuje Cloudflare Gateway během HTTP inspekce zavádět i důkladné zásady ochrany dat, včetně:

• Kontroly nahrávání souborů: Administrátoři mohou vynucovat zásady, které sledují a omezit nahrávání souborů na internet a zabraňuje neúmyslnému sdílení citlivých dat.
• Prevence úniku dat (DLP): Zásady DLP lze nasadit k identifikaci a blokování neoprávněného sdílení důvěrných nebo utajovaných informací. Další podrobnosti najdete v zabezpečení dat při přenosu.
• Remote Browser Isolation (RBI): Nad rámec ochrany před hrozbami izolační zásady může vynutit omezení uživatelských akcí, jako je zakázání funkce kopírování a vkládání nebo vstupů z klávesnice, a chránit tak citlivé informace. Další informace najdete v zabezpečení dat při zpracování.

Rozšíření Cloudflare Gateway z ochranné DNS služby na plnohodnotnou Secure Web Gateway je jednoduchý proces. V dashboardu Cloudflare IT administrátoři nastaví Zásady HTTP kromě stávajících zásad DNS. Tyto zásady HTTP by aktivovaly další ochrany, konkrétně antivirovou kontrolu, sandboxing, Remote Browser Isolation (RBI) a Data Loss Prevention (DLP).

Z pohledu uživatele budou vzdálení pracovníci nadále používat stejného agenta zařízení. Aby mohli využít tato rozšířená opatření ochrany, stačí jim přepnout režim agenta zařízení na Traffic and DNS mode. Tento režim lze také vynutit při nasazování agenta prostřednictvím správy zařízení.

Pro uživatele v kancelářích a na pobočkách lze nakonfigurovat síťové zařízení k vytvoření Tunel IPsec nebo GRE do Cloudflare. Toto nastavení směruje veškerý provoz mířící na internet přes Cloudflare Gateway, takže se bezpečnostní zásady uplatní ještě předtím, než provoz opustí síť směrem na internet. Alternativně Soubory pro automatickou konfiguraci proxy (PAC) lze použít k předávání provozu DNS a HTTP/S směrem ke Cloudflare.

• Přechod na architekturu SASE s Cloudflare
• Zabezpečení aplikací SaaS pomocí frameworku Zero Trust
• Výuková cesta: Zabezpečte svůj internetový provoz a SaaS aplikace