← Referenční architektury / reference-architecture / diagrams / sase

Zabezpečený přístup k SaaS aplikacím pomocí SASE

SaaS aplikace se staly nepostradatelným nástrojem dnešního podnikání. Sice snižují zátěž IT a infrastruktury, zároveň však přinášejí nové bezpečnostní výzvy, se kterými si tradiční architektury těžko poradí. Řada firem proto dnes směřuje k zavedení Architektura Zero Trust ↗, která pro lepší zabezpečení aplikací výrazně kombinuje informace o identitě, zařízení a síti.

Aplikace SaaS však své zabezpečení zaměřují především na vlastní platformu, například na bezpečné ukládání dat v klidu a na to, aby chyby v aplikaci nevedly k úniku zákaznických dat. Tento dokument popisuje, jak některá z těchto omezení aplikací SaaS řešit pomocí platformy Cloudflare Secure Access Service Edge (SASE), konkrétně služeb Zero Trust Network Access (ZTNA) a Secure Web Gateway (SWG) v kombinaci s integracemi na vaše stávající řešení pro identitu a zabezpečení zařízení.

Než probereme konkrétní podrobnosti zavádění SASE pro aplikace SaaS, stojí za to položit si otázku: není SaaS už dostatečně zabezpečené samo o sobě? Velcí poskytovatelé jako Salesforce, ServiceNow, Microsoft a další už dnes nabízejí robustní zabezpečení, včetně integrace s poskytovateli identity pro jednotné přihlašování (SSO), SSL/TLS pro veškerou komunikaci aplikací, šifrování dat v klidu a komplexní auditní záznamy. Poskytovatelé SaaS se ale nesnaží ve svých aplikacích znovu vybudovat celou bezpečnostní platformu, a proto nemohou nabídnout řadu funkcí potřebných pro moderní architekturu zero trust.

SaaS aplikace nedokážou vyhodnotit bezpečnostní stav připojujících se zařízení. Napadený notebook s platnými přihlašovacími údaji vypadá stejně jako bezpečně spravované firemní zařízení. Když se z SaaS aplikace stahují data, aplikace nemá přehled o tom, kam data míří ani zda je zařízení, na které se stahují, zabezpečené. Ověřování u SaaS aplikací bývá obvykle externalizováno přesměrováním uživatelů na identitní službu, takže SaaS aplikace neví, jak se uživatel ověřil, a veškerá důvěra tak leží na poskytovateli identity.

Tyto bezpečnostní problémy ještě umocňuje nedostatečná kontrola síťového přístupu: většina SaaS aplikací přijímá spojení z jakéhokoli zdroje na internetu, i když je někdy lze omezit jen na konkrétní sadu IP adres spojených s jednou nebo více fyzickými pobočkami. Tyto základní síťové kontroly se ale obtížně rozšiřují na vzdálené uživatele pracující z domova nebo na partnery a dodavatele, kteří potřebují přístup.

Platforma SASE od Cloudflare umožňuje zabezpečovat SaaS aplikace přístupem výrazně orientovaným na Zero Trust. Centralizované politiky založené na stavu zařízení, identitních atributech a granulární síťové lokalitě lze uplatnit na jednu nebo více SaaS aplikací. Cloudflare se tak stává novou podnikovou sítí a přístup k internetovým SaaS aplikacím lze omezit jen na uživatele a zařízení připojené k Cloudflare. V podstatě se jedná o novou podnikovou síť v cloudu.

Diagram níže ukazuje, jak se Cloudflare nachází mezi vašimi uživateli, zařízeními a sítěmi, které potřebují přístup k libovolné aplikaci SaaS. Dvě hlavní služby poskytující bezpečnostní funkce jsou:

• Zero Trust Network Access. Cloudflare tak může fungovat jako proxy identity, díky čemuž snadno povolíte ověřování pro jedinou aplikaci SaaS pomocí celé řady poskytovatelů identity. Tato služba navíc umožňuje vyhodnocovat přístup na základě stavu zařízení (device posture) a síťové polohy.
• Secure Web Gateway. Jakmile veškerý provoz směřující k aplikaci SaaS prochází přes naši gateway, připojení HTTPS se ukončují na Cloudflare a vy máte možnost kontrolovat data proudící do aplikace SaaS i z ní. Díky tomu můžete zablokovat export citlivých dat na nezabezpečená místa.

Výše uvedený diagram ukazuje různé způsoby, jak může provoz vstupovat do Cloudflare, přičemž služba ZNTA zajišťuje ověřování a Secure Web Gateway filtruje příchozí i odchozí provoz do aplikace SaaS a z ní.

1. Počáteční požadavky na SaaS aplikaci jsou v rámci procesu SSO přesměrovány na Cloudflare. Služba ZTNA ověřuje uživatele proti stávajícím poskytovatelům identity.
2. Uživateli, ať už ověřenému nebo neověřenému, je odepřen přístup k SaaS aplikaci, pokud jeho provoz nepochází z Cloudflare.
3. Uživatel na nespravovaném zařízení může použít izolaci prohlížeče, kdy prohlížeč přistupující k SaaS aplikaci běží na serveru Cloudflare a výsledek vykreslené stránky se bezpečně doručí do lokálního prohlížeče uživatele.
4. Řízené zařízení je připojeno k Cloudflare pomocí zabezpečeného tunelu, a veškerá komunikace mezi zařízením a aplikací SaaS je tak filtrována a zabezpečena.
   1. Do autorizace provozu z těchto zařízení lze zapojit i stav zařízení hlášený agentem Cloudflare.
5. Zařízení připojené k lokální síti, kde je veškerý internetový provoz směrován do Cloudflare přes zabezpečený tunel IPsec, zajišťuje, že veškerý provoz mezi sítí a aplikací SaaS je filtrován a zabezpečen.
6. Provoz poté prochází naší secure web gateway, kde na něj lze uplatnit zásady DNS a HTTP.
   1. Zásady HTTP umožňují kontrolu dat nahrávaných i stahovaných z aplikace SaaS pomocí profilů DLP.
7. Provoz opouští Cloudflare s konkrétní IP adresou. Aplikace SaaS je nakonfigurována tak, aby povolovala veškerý provoz přicházející z této adresy.

Následuje ukázková sada zásad, která demonstruje, jak lze pomocí Cloudflare zabezpečit přístup k Salesforce.

Prvním krokem je použití zásada odchozí IP adresy ve službě Cloudflare Gateway. Díky tomu můžete zakoupit a přiřadit konkrétní IP adresy uživatelům, jejichž provoz je filtrován přes Gateway. V Salesforce pak vynutíte, aby byl přístup povolen pouze provozu, jehož zdrojová IP adresa odpovídá té ve vaší zásadě pro odchozí provoz. Tato kombinace zajišťuje, že jediná cesta k přístupu do Salesforce vede přes Cloudflare.

Nejde jen o zabezpečení přístupu k Salesforce, ale i o odpovídající ochranu jeho obsahu při používání. Podívejme se nyní na zásadu přístupu, která omezuje přístup na členy skupin Sales nebo Executives. Zároveň využíváme integraci s Crowdstrike, abychom zajistili, že uživatelé pracují na zařízeních spravovaných firmou.

Tato druhá zásada platí pro všechny zaměstnance, před udělením přístupu ale uplatníme ještě několik dalších kroků.

Do této druhé politiky nyní přidáme dočasné ověřování. To znamená, že pokud Cloudflare vyhodnotí, že příchozí požadavek pochází od někoho mimo oddělení Sales nebo Executives, bude muset administrátor takový dočasný přístup výslovně schválit. V praxi lze tuto politiku využít například k zabezpečení přístupu do Salesforce pro zaměstnance mimo oddělení Sales, protože zákaznické údaje mohou být citlivé a důvěrné.

Tento přístup je důležitý z několika důvodů:

• Umožňuje lidský dohled nad potenciálně rizikovými pokusy o přístup a snižuje tak riziko neoprávněného přístupu přes kompromitovaná nebo nezabezpečená zařízení.
• Poskytuje legitimním uživatelům flexibilitu při přístupu k aplikaci i v případě, že jejich zařízení nesplňuje nejpřísnější bezpečnostní standardy. To uživatele motivuje udržovat na svých zařízeních dobré bezpečnostní návyky.
• Protože je navíc veškerý uživatelský provoz směrován přes Cloudflare, můžeme prostřednictvím zásad pro webový provoz vynucovat další bezpečnostní opatření (například zamezení stahování citlivých dat).

Platforma SASE od Cloudflare umožňuje organizacím centralizovat bezpečnostní politiku pro přístup k SaaS aplikacím. Zvyšuje také zabezpečení tím, že vám umožňuje využívat stav zařízení (device posture) a síťové atributy. Můžete ji nakonfigurovat tak, aby vaše SaaS aplikace byla v podstatě dostupná pouze prostřednictvím vaší nové podnikové sítě postavené na Cloudflare.

• Přechod na architekturu SASE s Cloudflare
• Návrh přístupových zásad ZTNA pro Cloudflare Access
• Přístup k privátním aplikacím bez nutnosti nasazovat klientské agenty