← Referenční architektury / reference-architecture / diagrams / security

Zabezpečení dat při přenosu

Data v pohybu jsou typicky data přenášená po síti. Internet se skládá z mnoha tisíc sítí, a proto je důležité zajistit bezpečnost dat při jejich putování ze zařízení na server a zpět. Mezi dnes nejběžnější činnosti, při kterých vznikají data v pohybu, patří:

• Prohlížení webu a nahrávání či stahování dat do cloudových aplikací a z nich
• Odesílání textových zpráv, obrázků a e-mailů
• Aplikace, které data zpřístupňují i využívají prostřednictvím API

Data v pohybu bývají během přenosu zranitelná vůči odposlechu nebo neoprávněné úpravě, proto je důležité je zabezpečit pomocí šifrovacích technik, jako je QUIC ↗, Transport Layer Security (TLS) nebo Secure Sockets Layer (SSL). To pomáhá zajistit, aby data zůstala důvěrná a chráněná před neoprávněným přístupem po celou dobu přenosu. Existují i další metody kontroly dat při průchodu hranicemi sítě, které slouží k rozhodnutí, zda mohou data pokračovat dál. K prozkoumání obsahu síťového provozu a zablokování citlivých dat před odesláním na rizikovou destinaci lze použít technologie Data Loss Prevention (DLP). Tento dokument popisuje metody, které má Cloudflare k dispozici pro ochranu dat při přenosu.

Cloudflare patří mezi přední poskytovatele cloudových služeb zabezpečení sítí. Existují dva hlavní případy užití, kdy se Cloudflare používá k zabezpečení síťového provozu.

• Zajištění zabezpečeného připojení k veřejným webům a rozhraním API pomocí SSL/TLS
• Vytváření zabezpečených tunelů k privátním sítím a aplikacím hostovaným v cloudu i on-premises

Cloudflare Služby SSL používají miliony webů a lze je snadno zavést pouhou úpravou záznamů DNS, díky čemuž se všechna spojení k veřejným webům a API ukončují na edge síti Cloudflare. Stejné technologie SSL lze použít i k zabezpečení spojení mezi Cloudflare a cílovým webem či API. Pro zajištění nejvyšší úrovně zabezpečení Cloudflare používá postkvantová kryptografie ↗.

1. Připojení mezi prohlížečem uživatele a Cloudflare zabezpečené pomocí TLS/SSL
2. Připojení z Cloudflare k cílovému serveru zabezpečené pomocí TLS/SSL

Privátní zdroje, tedy obvykle svépomocně hostované aplikace v privátních sítích bez přímého připojení k veřejnému internetu, vyžadují jiný způsob zabezpečení přenášených dat. Existuje celá řada způsobů, jak vytvořit tunely z privátních sítí do Cloudflare, a podrobnosti najdete v Referenční architektura SASE, ale následující diagram tyto metody přehledně shrnuje.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

Jakmile jsou soukromé aplikace a sítě připojeny ke Cloudflare, lze zařízení bezpečně připojit prostřednictvím našeho agenta pro zařízení tak, aby byla data zabezpečena od uživatelského zařízení přes celou síť až po aplikaci.

Když veškerý provoz ze zařízení do hostované aplikace prochází přes Cloudflare, můžeme jej kontrolovat a na základě obsahu dat uplatňovat další zabezpečení.

Běžným problémem je určit, jaká data jsou citlivá a vyžadují zásah politiky. Služby Data Loss Prevention slouží ke kontrole obsahu provozu a následně poskytují metadata, která ovlivňují vymáhání politiky.

Pokud se například uživatel pokusí nahrát soubor do SaaS aplikace a trasa provozu je nakonfigurována tak, aby vždy vedla přes síť Cloudflare, Cloudflare DLP prohledává soubor pomocí profilů DLP přiřazených k zásadě Gateway. Po shodě s profilem DLP zásada Gateway provoz povolí nebo zablokuje a aktivita se zapíše do protokolů. Profil DLP se skládá z detekčních položek, které definují citlivý obsah, který chcete odhalit. Cloudflare DLP poskytuje předdefinované profily pro běžné detekce, nebo si můžete vytvořit vlastní profily specifických pro vaše data, a dokonce i možnost využít Exact Data Match (EDM).

Profily DLP se pak kombinují s dalšími atributy zásad, aby bylo možné provoz přesně identifikovat, například vynucovat zásadu pouze při nahrávání citlivých dat do schválených cloudových úložných služeb.

Následující diagram ukazuje typický postup, jakým Cloudflare kontroluje požadavek a vynucuje přístup na základě zásady DLP.

1. Uživatel se pokusí nahrát soubor do SaaS aplikace (přes zabezpečený tunel do Cloudflare vytvořený naším agent zařízení). Clientless možnosti jsou také podporovány.
2. Cloudflare Secure Web Gateway (SWG) nejprve ověří, zda má uživatel povoleno používat požadovanou aplikaci SaaS, a poté prozkoumá obsah souboru kvůli škodlivý kód a citlivá data.
3. Profil DLP zjistí, že soubor obsahuje národní identifikátory, jako jsou americká čísla sociálního pojištění (SSN).
4. Zásada Gateway je nakonfigurována s Akce Block, takže pokus je protokolováno a blokovací stránka vrácenou do webového prohlížeče koncového uživatele.

• Zabezpečení dat při používání
• Zabezpečení dat v klidu