← Referenční architektury / reference-architecture / diagrams / security
Zabezpečení dat při používání
Úvod
Data při použití jsou data, se kterými aktivně pracují, zpracovávají je nebo je upravují aplikace, systémy či uživatelé. Ochrana dat při použití může pro organizace představovat výzvu, protože musí zůstat dostupná a použitelná pro aplikace a uživatele, kteří je potřebují k plnění svých úkolů, a zároveň chráněná před neoprávněným přístupem nebo úpravou.
Naprostá většina interakcí uživatelů s provozně kritickými daty dnes probíhá v moderním internetovém prohlížeči, který dokáže koncovému uživateli poskytnout i celé klientské aplikace, jako jsou e-mailoví klienti, textové editory nebo tabulkové procesory. Díky tomu není nutné na zařízení instalovat žádný software, což zároveň usnadňuje uživatelské interakce, jako je kopírování a vkládání nebo stahování citlivých dat. Tyto interakce mohou představovat trvalé riziko pro organizace, jejichž zaměstnanci a externí spolupracovníci denně pracují s kritickými nebo citlivými daty.
Jednou z metod zabezpečení dat při jejich používání je větší kontrola nad samotnými prohlížeči a nad tím, jak je zaměstnanci využívají k přístupu k aplikacím a datům. Cloudflare k tomu přistoupil vybudováním řešení headless prohlížeče postaveného na naší rozsáhlé globální edge síti, nazvaného Remote Browser Isolation (RBI). Když se uživatel pokusí přistoupit například k soukromě hostovanému prostředku nebo prostředku na veřejném internetu, Cloudflare ho místo přímého předání do prohlížeče uživatele bez dalších bezpečnostních opatření nejprve vykreslí v sandboxovaném prostředí hostovaném na globální síti Cloudflare. Poté se v lokálním prohlížeči uživatele, aniž by to koncový uživatel jakkoli poznal, spustí malý klient v JavaScriptu, který bezpečně načte a vykreslí vzdáleně načtený webový obsah pomocí nové patentované technologie jedinečné pro Cloudflare zvané Network Vector Rendering (NVR).
Ochrana používaných dat pomocí Cloudflare RBI
Cloudflare RBI fakticky vytváří neviditelnou „mezeru“ mezi webovým obsahem, ke kterému uživatel přistupuje, a jeho zařízením, čímž chrání zařízení i síť, k níž je připojeno, před exploity a útoky. Na rozdíl od zabezpečených webových bran, antivirového softwaru nebo firewallů, které se spoléhají na známé vzorce nebo signatury hrozeb, je RBI skutečným mechanismem zero trust. Protože všechny požadavky vytvořené v rámci vzdáleně načtené instance RBI procházejí přes Cloudflare Secure Web Gateway, je možné prosazovat zásady přístupu k datům a zároveň kontrolovat samotný provoz kvůli prosazení zásad pro data v přenosu.
Organizace navíc mohou vynucovat konkrétní kontroly přístupu k datům za použití, například zablokovat možnost stahování/nahrávání, kopírování a vkládání nebo tisku dat.
Běžné politiky používané s RBI:
- Kategorie obsahu - Social Networks (např. Facebook): Vzhledem k obrovskému množství dat, která oblíbené sociální sítě sbírají, jsou tyto aplikace lákavým cílem a dalším vektorem útoku pro útočníky. RBI umožňuje omezit, jaká data lze do těchto aplikací vkládat, zejména pokud odpovídají profilu DLP.
- Aplikace: Umělá inteligence (např. ChatGPT): Nástroje generativní AI mohou zvýšit produktivitu zaměstnanců, ale v tomto stadiu vývoje generativní AI je zásadní vědět, kdo je používá a k čemu. I zde lze uplatnit profily DLP, aby zabránily kopírování a vkládání citlivých dat do veřejných nástrojů AI.
- Aplikace: SaaS (např. Salesforce, Zendesk atd.): Tyto aplikace často obsahují vysoce důvěrné údaje. RBI lze použít k důkladnému omezení přístupu rizikových uživatelů, kteří určitý přístup přesto potřebují, například dodavatelů nebo partnerů. Ovládací prvky jako zákaz tisku nebo dokonce zákaz jakéhokoli vstupu z klávesnice umožní, aby uživatelé třetích stran viděli aplikaci jen v režimu pouze pro čtení, jako by RBI fungovalo jako sklo mezi uživatelem a daty.
Následující diagram znázorňuje typickou interakci mezi uživatelem, RBI a webem, jako je ChatGPT.
- Uživatel se pokusí přihlásit do ChatGPT a požadavek prochází přes Cloudflare, protože uživatel používá náš agent zařízení k maximalizaci viditelnosti a kontroly nad veškerým provozem mezi zařízením koncového uživatele a požadovanými prostředky. Clientless možnosti jsou také podporovány.
- Cloudflare Secure Web Gateway (SWG) nejprve ověří, zda má uživatel povolený přístup k ChatGPT.
- Patentovaný proces Network Vector Rendering (NVR) od Cloudflare začíná tím, že headless prohlížeč v naší edge síti spustí a rasterizuje webovou aplikaci, což zahrnuje zápis kreslicích příkazů SKIA.
- NVR tyto kreslicí příkazy zachytí > tokenizuje > zkomprimuje > zašifruje > a odešle do místního webového prohlížeče.
- Protože tento požadavek běží izolovaně, zásada zároveň brání uživateli v kopírování a vkládání citlivý obsah do ChatGPT ze svého lokálního zařízení. Další nastavení zásady, jako jsou „Disable printing“, „Disable upload / download“ a další.