← Referenční architektury / reference-architecture / diagrams / security

Zabezpečení dat v klidu

Data v klidu jsou data uložená na pevném místě, například na lokálním pevném disku, on-premises serveru nebo v cloudovém úložišti. Řada firem dnes využívá platformy SaaS, které ukládají velké množství firemních dat ve strukturované podobě (například databáze) i v nestrukturované podobě (soubory jako dokumenty, obrázky nebo tabulky). Zabezpečení samotného úložiště dat, tedy šifrování a spolehlivé zálohování, obvykle stojí mimo vaši kontrolu. Aplikace SaaS vám ale umožňují spravovat uživatelské účty, definovat, k jakým datům mají přístup, a sdílet k nim přístup.

Cloudflare sice převážně zabezpečuje data při přenosu přes naši síť, dokážeme se ale připojit i k vašim aplikacím SaaS a pomocí našich profilů DLP prověřit data v klidovém stavu, která nemusí být dostatečně zabezpečená, a následně vám doporučit, jaké kroky podniknout.

architektura Cloudflare řízená pomocí API Cloud Access Security Broker (CASB) funguje tak, že se integruje s API aplikací SaaS a vyhledává jak neuspořádaná uložená data (dokumenty, tabulky a podobně), tak zkoumá i obecnou konfiguraci aplikace a uživatelských účtů, aby ověřil, že jsou řízení přístupu k datům nastavena správně.

Profily DLP slouží ke zjištění, zda soubory uložené ve vaší aplikaci SaaS neobsahují citlivá data. Nalezené shody se následně porovnají s řízením přístupu a vygenerují se zjištění, například upozornění na tabulku obsahující údaje o platebních kartách, ke které má přístup kdokoli na internetu.

Když je Cloudflare CASB kombinován se službou Cloudflare Secure Web Gateway která kontroluje veškerý provoz směřující do aplikace SaaS a z ní, mohou zákazníci získat komplexní přehled jak o datech v přenosu, tak o datech uložených u aplikací SaaS.

1. Cloudflare autentizuje uživatele, kteří se pokoušejí přistupovat k aplikacím SaaS, bez ohledu na to, zda požadavek zahajují ze spravovaného, nebo nespravovaného koncového bodu.

   1. Pro spravované endpointy doporučujeme nasadit náš agent zařízení k maximalizaci viditelnosti a kontroly nad veškerým provozem mezi zařízením koncového uživatele a požadovanými prostředky.
   2. Pro nespravované endpointy máme bezklientská řešení což vám i nadále umožňuje mít přehled o datech, k nimž uživatelé přistupují, a kontrolovat je.

2. Cloudflare Zero Trust Network Access (ZTNA) lze integrovat přímo s vaším Aplikace SaaS pomocí standardních protokolů (například SAML nebo OIDC), aby se stal počátečním kontrolním bodem pro přístup uživatelů. Access volá váš poskytovatel identity (IdP) podle vašeho výběru a k rozhodování o zásadách využívá i další bezpečnostní signály o vašich uživatelích a zařízeních.

3. V návaznosti na to, co bylo probráno v části Zabezpečení dat při použití, Cloudflare Remote Browser Isolation (RBI) lze také použít s vyhrazené odchozí IP adresy, aby i provoz vzdálených uživatelů bez klienta mohl k požadované aplikaci SaaS přicházet z předvídatelných a konzistentních IP adres.

4. Kromě toho, co jsme popsali v části o zabezpečení dat při přenosu, lze Cloudflare Data Loss Prevention (DLP) použít k vyhledávání souborů ve vašich SaaS aplikacích, které obsahují citlivá data. CASB prohledá každý sdílený a/nebo veřejně přístupný soubor v SaaS aplikaci a hledá citlivý text odpovídající profilu DLP, poté vás upozorní a doporučí, jaké kroky podniknout.

5. Jako doplněk k výše uvedené možnosti vyhrazené výstupní IP adresy umožňují poskytovatelé SaaS omezit přístup ke zdrojům vaší organizace tak, že jej povolí pouze v případě, že provoz pochází z konkrétních IP adres.

6. Když do Cloudflare CASB integrujete aplikaci SaaS třetí strany, CASB provádí pravidelná volání API mimo pásmo, která analyzují přidružená metadata vašich konfigurací, uživatelů, souborů a dalších „objektů“ SaaS. Na základě toho, zda metadata naznačují existenci nezabezpečených nebo potenciálně nebezpečných konfigurací v integrovaných aplikacích SaaS, se pak detekují bezpečnostní problémy neboli „zjištění“ (Findings). Může jít například o nesprávná nastavení aplikací, vystavená nebo citlivá data či uživatelské účty se slabým zabezpečením.

• Zabezpečení dat při přenosu
• Zabezpečení dat při používání