← Справочные архитектуры / reference-architecture / architectures

CrowdStrike и Cloudflare, единая экосистема безопасности для автоматизированной защиты с учётом риска

Эта эталонная архитектура описывает, как решения Cloudflare и CrowdStrike интегрируются друг с другом, образуя единую экосистему безопасности, которая объединяет защиту конечных точек с сетевым доступом по модели zero trust, обменом данными об угрозах и автоматизированными процессами устранения последствий. Организации могут использовать эту интеграцию для внедрения политик доступа на основе риска, повышения качества обнаружения угроз и координации мер реагирования на обеих платформах.

Современная сфера кибербезопасности ставит перед организациями целый комплекс сложных задач. Из-за удалённой работы, миграции в облако и усложняющихся угроз растёт поверхность атаки, а значит, нужен целостный подход, охватывающий защиту конечных точек, безопасность сети и управление идентификацией.

Cloudflare One и CrowdStrike Falcon® предлагают мощное комплексное решение этих задач. Объединяя ведущую на рынке платформу безопасности CrowdStrike с защищённой сетью и возможностями Zero Trust от Cloudflare, организации могут внедрить всестороннюю защиту устройств и сетевого трафика, одновременно упрощая управление за счёт автоматизации и единообразия политик.

Zero Trust с учётом контекста: Одной только идентификации уже недостаточно для доверия. Cloudflare Access получает показатели Falcon Zero Trust Assessment (ZTA) в реальном времени, чтобы применять динамические политики на основе риска. Благодаря этому доступ к конфиденциальным ресурсам получают только устройства, подтвержденные как исправные и соответствующие требованиям, а скомпрометированные конечные точки блокируются, даже если учетные данные пользователя действительны.

Единая видимость и расширенное обнаружение и реагирование (XDR): Данные о сети и конечных точках часто хранятся разрозненно, в изолированных системах. Эта интеграция передает подробные сетевые журналы Cloudflare (из Cloudflare Gateway, Cloudflare Web Application Firewall (WAF) и Cloudflare Email Security) напрямую в CrowdStrike Falcon® Next-Gen SIEM. Такое единое представление позволяет аналитикам сопоставлять сетевые блокировки с конкретными процессами на конечных точках, получая полную картину цепочки атаки.

Автоматическое устранение угроз: Благодаря объединению точек применения политик в Cloudflare и CrowdStrike команды безопасности могут перейти от ручного реагирования к автоматизированной защите. Угроза, обнаруженная на конечном устройстве, может вызвать немедленную блокировку на границе сети (и наоборот), что значительно снижает риски и среднее время реагирования (MTTR) без увеличения операционной нагрузки.

Интеграция Cloudflare и CrowdStrike создает надёжную экосистему безопасности, в которой состояние защищённости устройства напрямую влияет на решения о доступе. Когда пользователь пытается получить доступ к приложению, платформа Cloudflare One проверяет запрос по нескольким факторам: оценке безопасности от агента CrowdStrike Falcon®, идентичности пользователя от поддерживаемых провайдеров и дополнительным контекстным данным. Доступ предоставляется только при выполнении всех требований политики, что гарантирует доступ к критически важным ресурсам только для защищённых устройств.

Этот процесс непрерывной проверки усиливается двунаправленным обменом данными между платформами:

1. Оценка состояния устройства: Телеметрия CrowdStrike Zero Trust Assessment (ZTA) в реальном времени используется при принятии решений о доступе в Cloudflare Zero Trust.
2. Централизованное ведение журналов безопасности: Cloudflare передает телеметрию безопасности в CrowdStrike Falcon Next-Gen SIEM.
3. Аналитика безопасности электронной почты: Оповещения Cloudflare Email Security поступают в инструменты логирования и анализа CrowdStrike.
4. Рабочие процессы автоматического устранения угроз: События безопасности запускают скоординированные автоматические ответные меры на обеих платформах, оркестрируемые через CrowdStrike Falcon Fusion SOAR.

Интеграция Cloudflare и CrowdStrike формирует комплексную архитектуру безопасности, основанную на двустороннем обмене данными об угрозах. Эта экосистема связывает защиту конечных устройств с сетевым доступом по модели zero trust и автоматическим реагированием.

Архитектура определяется следующими ключевыми потоками:

• Управление доступом Zero trust:
  • На конечном устройстве пользователя работают одновременно Cloudflare One Client и агент CrowdStrike Falcon.
  • Показатели CrowdStrike Falcon Device Posture и ZTA передаются в Cloudflare с помощью API взаимодействия между сервисами.
  • Cloudflare использует эти данные о состоянии устройства в реальном времени как ключевой фактор при принятии решений Cloudflare Access, применяя политики Zero Trust как к публичным, так и к приватным приложениям.
• Централизованная телеметрия безопасности:
  • Cloudflare отправляет журналы сети и безопасности (через Logpush) в CrowdStrike Falcon NextGen SIEM для централизованной корреляции, анализа и обнаружения угроз.
• Автоматическое устранение угроз:
  • События безопасности и обнаруженные угрозы на платформе CrowdStrike запускают автоматизированные процессы сдерживания и реагирования через Falcon Fusion SOAR (оркестрация, автоматизация и реагирование в области безопасности), которая с помощью автоматизации API выполняет двунаправленные действия сразу на обеих платформах.

Такой комплексный подход обеспечивает безопасный доступ к приложениям разных типов:

• Интернет-приложения (SaaS, веб-приложения)
• Приложения, размещённые самостоятельно (локально, в дата-центре)
• SaaS-приложения (защищённые через identity proxy)

Интеграция Cloudflare и CrowdStrike поддерживает шесть сценариев использования, решающих ключевые задачи безопасности:

Проблема: При гибридном формате работы пользователи обращаются к критически важным приложениям с личных или заражённых устройств за пределами корпоративного периметра, в обход традиционных средств контроля межсетевого экрана.

Решение: Интегрируйте показатели CrowdStrike Falcon ZTA непосредственно в политики Cloudflare Access, чтобы применять условный доступ в реальном времени.

Проблема: Аналитикам по безопасности сложно сопоставлять сетевые оповещения (например, о блокировке вредоносного домена) с конкретным поведением конечных устройств, поскольку данные хранятся в разрозненных системах.

Решение: Передавайте логи Cloudflare Gateway, WAF и Email Security через Logpush в CrowdStrike Falcon Next-Gen SIEM для централизованного анализа.

Проблема: Ручное реагирование на инциденты происходит слишком медленно, чтобы остановить автоматизированные атаки. К тому моменту, когда аналитик увидит оповещение, злоумышленник уже может переместиться внутри сети или похитить данные.

Решение: Используйте CrowdStrike Falcon Fusion SOAR, чтобы автоматически запускать в Cloudflare меры по устранению угроз на основе обнаруженных инцидентов.

Проблема: Ноутбук пользователя заражен вредоносным ПО. Хотя средство обнаружения и реагирования на угрозы конечных точек (EDR) может его обнаружить, у пользователя остаются действительные токены сеанса, которые позволяют получать доступ к SaaS-приложениям и конфиденциальным данным.

Решение: Замкнутый цикл реагирования, при котором обнаружение угрозы на конечном устройстве немедленно отзывает сетевой доступ и запускает расследование.

Проблема: Увольняющийся сотрудник пытается загрузить закрытый исходный код в личное облачное хранилище. Трафик зашифрован, а устройство считается «исправным», поэтому стандартные проверки не срабатывают.

Решение: Сочетайте проверку Cloudflare Data Loss Prevention (DLP) с поведенческой аналитикой CrowdStrike, чтобы обнаруживать и блокировать кражу данных.

Проблема: Злоумышленники используют автоматизированные ботнеты для сканирования приложений на уязвимости. WAF блокирует известные сигнатуры, но медленные распределенные атаки (low-and-slow) могут обходить обычные фильтры.

Решение: Используйте данные о конечных точках для повышения безопасности приложений, формируя своего рода иммунную систему для веб-ресурсов.

Этот сценарий показывает, как интеграция помогает не допустить доступа скомпрометированных или неуправляемых устройств к корпоративным ресурсам.

Агент CrowdStrike Falcon непрерывно отслеживает конечное устройство, рассчитывая показатель ZTA (1-100) на основе состояния ОС, уровня установленных исправлений и активности угроз. Параллельно Cloudflare непрерывно обновляет показатель риска пользователя на основе поведенческой аналитики пользователей и сущностей (UEBA).

Когда пользователь запрашивает доступ к приложению, Cloudflare Access перехватывает запрос и обращается к API CrowdStrike, чтобы узнать текущий показатель ZTA устройства.

Cloudflare разрешает подключение только если показатель ZTA достигает минимального порога, заданного в политике Zero Trust; в противном случае пользователю показывается страница блокировки Cloudflare Access, которая обычно предлагает устранить проблему на устройстве.

Этот сценарий сосредоточен на обеспечении полной видимости и устранении слепых зон между сетевым трафиком и активностью на конечных точках.

Cloudflare Logpush фильтрует и пересылает HTTP-запросы, DNS-запросы и события межсетевого экрана в API приёма данных Falcon Next-Gen SIEM.

Falcon Next-Gen SIEM индексирует эти данные вместе с телеметрией конечных точек, позволяя аналитикам обращаться к единому набору данных.

Аналитик, расследующий оповещение с конечной точки, может мгновенно переключиться и увидеть все сетевые запросы, которые это устройство отправило через Cloudflare, и определить фишинговый сайт или C2-сервер, ставший причиной заражения.

Этот сценарий показывает, как внедрение CrowdStrike Falcon Fusion SOAR помогает сократить MTTR при быстро развивающихся угрозах.

CrowdStrike Falcon обнаруживает конкретный индикатор компрометации (IOC), например вредоносный IP-адрес, атакующий несколько конечных точек.

Обнаружение запускает рабочий процесс Falcon Fusion SOAR.

Рабочий процесс вызывает Cloudflare API, чтобы добавить вредоносный IP-адрес в список блокировки в Cloudflare WAF или Gateway, мгновенно защищая всю организацию от этого источника угрозы.

Этот сценарий описывает, как совместные компоненты интеграции используются для локализации активной компрометации конечной точки и предотвращения горизонтального перемещения.

Агент Falcon обнаруживает выполнение вредоносного кода. Он немедленно снижает показатель ZTA устройства до уровня "Critical" и отправляет предупреждение в SIEM.

Проверяя показатель ZTA уже при следующем запросе, Cloudflare Access блокирует пользователю доступ к Salesforce, электронной почте или внутренним инструментам, фактически изолируя устройство от сети.

Falcon Fusion SOAR автоматически выполняет сценарий реагирования: изолирует конечную точку (сетевая изоляция) и добавляет пользователя в пользовательский список в Cloudflare, тем самым помечая его в журналах для более глубокого ретроспективного анализа в Falcon Next-Gen SIEM, а также обеспечивает применение дополнительных политик, привязанных к этому списку.

Этот сценарий показывает, как единый подход помогает предотвращать утечку данных со стороны доверенных инсайдеров и реагировать на неё.

Cloudflare DLP сканирует исходящий трафик загрузки. Он обнаруживает маркеры исходного кода и записывает событие в Falcon Next-Gen SIEM через Logpush, одновременно временно блокируя конкретный запрос.

Falcon Next-Gen SIEM сопоставляет это событие DLP с активностью на конечной точке (например, недавним использованием USB или копированием больших файлов). Такое поведение присваивает пользователю тег «Высокий риск».

Falcon Fusion SOAR обновляет политику Cloudflare Zero Trust, требуя для этого пользователя «усиленную аутентификацию» или изоляцию браузера (RBI), что блокирует дальнейшую передачу данных даже для легитимных задач до получения разрешения от отдела кадров или службы безопасности.

Этот сценарий рассматривает возможности интегрированных решений по защите публичных приложений от ботнетов и эксплойтов нулевого дня.

Cloudflare WAF блокирует серию попыток SQL-инъекций с определённой подсети. Эти журналы отправляются в Falcon Next-Gen SIEM.

CrowdStrike Threat Intelligence обогащает данные журналов и определяет принадлежность подсети к известной группе, атакующей с помощью программ-вымогателей.

Falcon Fusion SOAR запускает рабочий процесс для обновления правил Cloudflare WAF: он повышает чувствительность режима «Bot Fight Mode» для этого региона и создает упреждающее правило блокировки для всего номера автономной системы (ASN), связанного с атакой, укрепляя защиту приложения еще до начала основной атаки.

Интеграция Cloudflare и CrowdStrike использует несколько ключевых компонентов каждой платформы для создания единой экосистемы безопасности.

1. Zero Trust Network Access (ZTNA): Контролирует доступ к приложениям на основе личности пользователя, состояния устройства и других контекстных признаков
   • Политики доступа к приложениям
   • Доступ к частной сети
   • Аутентификация по токену службы
   • Проверка состояния устройства
2. Secure Web Gateway (SWG): Проверяет и фильтрует трафик, направленный в Интернет
   • Фильтрация URL
   • Защита от вредоносного ПО
   • Категории содержимого
   • Управление типами файлов
3. Data Loss Prevention (DLP): Предотвращает несанкционированную утечку данных
   • Встроенные профили данных (PII, финансовые данные, секреты)
   • Настраиваемые шаблоны данных
   • Точное сопоставление данных
   • Учёт контекста
4. Remote Browser Isolation (RBI): Выполняет веб-контент в защищённой облачной среде
   • Управление загрузкой и скачиванием файлов
   • Ограничения буфера обмена
   • Управление вводом с клавиатуры
   • Только визуальное представление
5. Email Security: Предотвращает угрозы, связанные с электронной почтой
   • Защита от фишинга
   • Сканирование вредоносных вложений
   • Обнаружение компрометации корпоративной почты (BEC)
   • Изоляция ссылок
6. Cloud Access Security Broker (CASB) на основе API: Отслеживает использование SaaS-сервисов и их безопасность
   • Управление состоянием защищённости SaaS
   • Мониторинг разрешений
   • Сканирование безопасности данных
   • Обнаружение публично доступных общих ресурсов
7. Web Application Firewall (WAF)
   • Обнаружение и блокировка на основе машинного обучения (ML)
   • Создание настраиваемых правил
   • Управляемые наборы правил
   • Ограничение скорости запросов

1. Falcon Endpoint Agent: Обеспечивает комплексную защиту конечных устройств
   • Мониторинг поведения
   • Профилактика заражения вредоносным ПО
   • Оценка состояния безопасности устройства
   • Управление уязвимостями
2. Zero Trust Assessment (ZTA): Оценивает безопасность устройства в режиме реального времени
   • Оценка безопасности ОС
   • Мониторинг состояния сенсора
   • Общая оценка работоспособности устройства
   • Непрерывная оценка
3. Falcon Next-Gen SIEM: Централизует мониторинг и анализ безопасности
   • Приём журналов, корреляция и поиск в реальном времени
   • Правила обнаружения угроз и срабатывание оповещений
   • Визуализация безопасности с настраиваемыми панелями
   • Управление оповещениями и долгосрочное хранение данных
4. Falcon Insight XDR: Предоставляет расширенные возможности обнаружения угроз и реагирования на них
   • Междоменное обнаружение
   • Автоматическое расследование
   • Поиск угроз
   • Пошаговое устранение проблем
5. Falcon Fusion SOAR: Оркестрирует и автоматизирует сложные процессы обеспечения безопасности на платформах Cloudflare и CrowdStrike для единого реагирования на инциденты
   • Оркестрация безопасности
   • Выполнение плейбука
   • Автоматическая локализация и обогащение данных
   • Двунаправленное применение мер

Интеграция Cloudflare и CrowdStrike предоставляет организациям комплексное решение безопасности, объединяющее защиту конечных точек, сетевой доступ по модели zero trust и защиту приложений. Используя преимущества обеих платформ, организации получают более полную видимость состояния защищённости, могут автоматизировать реагирование на угрозы и эффективнее защищать свои приложения и данные.

Эта эталонная архитектура показывает, как эти решения работают вместе для устранения ключевых проблем безопасности: внедрения zero trust, защиты приложений и защиты данных. Благодаря такому комплексному подходу организации могут повысить уровень безопасности и одновременно снизить операционную нагрузку на команды безопасности.

• Cloudflare One - CrowdStrike
• CrowdStrike Marketplace - Cloudflare ↗
• CrowdStrike Falcon Fusion SOAR и Cloudflare SASE ↗