← Справочные архитектуры / reference-architecture / architectures

Эталонная архитектура использования Cloudflare SASE с Microsoft

В сегодняшних быстро меняющихся условиях организации всё активнее переходят в облако, чтобы модернизировать свою инфраструктуру и повысить продуктивность. Microsoft стала одним из ведущих поставщиков облачных приложений и сервисов, предлагая полный набор решений для гибридной работы. Однако переход в облако несёт и новые риски, которые нужно учитывать, чтобы обеспечить безопасность и целостность ресурсов организации.

По мере перехода на гибридные и мультиоблачные среды организации часто сталкиваются со сложностью управления сочетанием SaaS-приложений, самостоятельно размещённых приложений и приложений, не работающих через веб. Такая неоднородная экосистема усложняет защиту этих ресурсов и контроль доступа к ним. Кроме того, использование устаревших, часто локальных, решений VPN (Virtual Private Network) для безопасного подключения пользователей к приложениям может создавать бреши в безопасности и снижать продуктивность сотрудников. Чтобы преодолеть эти сложности и повысить уровень безопасности, организациям стоит сотрудничать с Cloudflare, ведущим поставщиком решений для облачной безопасности и производительности. Cloudflare предлагает бесшовную интеграцию с облачной экосистемой Microsoft, что позволяет клиентам устранять бреши в безопасности, повышать производительность и обеспечивать надёжность работы в гибридной рабочей среде.

На этой диаграмме эталонной архитектуры показано, как сочетание платформы Secure Access Service Edge (SASE) от Cloudflare и облачных приложений и сервисов Microsoft помогает выстроить защищённость по принципам Zero Trust, ускорить модернизацию облачной инфраструктуры и повысить продуктивность, обеспечивая при этом всестороннюю защиту гибридной работы. Благодаря безопасному сетевому доступу, изоляции рискованных пользователей и видимости приложений и данных от Cloudflare организации могут управлять всем через единый интерфейс и предоставлять безопасный доступ к любому ресурсу независимо от местоположения.

Эта эталонная архитектура предназначена для ИТ-специалистов и специалистов по безопасности, которые отвечают за развёртывания Microsoft в организации или знакомы с ними. Она помогает разобраться в разных способах интеграции Microsoft и Cloudflare в рамках программ Zero Trust и SASE.

Чтобы лучше разобраться в Cloudflare, рекомендуем следующие материалы:

• Что такое Cloudflare? | Сайт ↗ (5 минут на чтение) или видео ↗ (2 минуты)

• Обзор решения: Cloudflare One ↗ (3 минуты на чтение)
• Технический документ: Эталонная архитектура для интернет-нативной трансформации ↗ (10 минут на чтение)
• Блог: Zero Trust, SASE и SSE: базовые концепции для сети нового поколения ↗ (14 минут на чтение)

Прочитав эту эталонную архитектуру, вы узнаете:

• Как интеграция Cloudflare и Microsoft защищает пользователей, устройства, приложения и сети в рамках подхода Zero Trust

К этому документу также прилагается эталонная архитектура с более подробным рассмотрением Cloudflare и SASE.

Хотя этот документ рассматривает Cloudflare на техническом уровне, он не раскрывает все детали каждого продукта платформы. Посетите документация для разработчиков ↗ для получения дополнительной информации по конкретному продукту или сценарию использования.

Cloudflare Zero Trust Network Access ↗ (ZTNA) предлагает более быструю и безопасную альтернативу традиционным VPN. Он заменяет локальную VPN инфраструктуру и защищает любое приложение независимо от того, размещено ли оно в локальной сети, публичном облаке или предоставляется как Software as a Service (SaaS). За счёт интеграции с Microsoft Intune и Microsoft Entra ID (ранее Azure Active Directory) сервис ZTNA от Cloudflare позволяет организациям применять правила Zero Trust по принципу default-deny и предоставлять условный доступ к внутренним ресурсам на основе идентичности пользователя и состояния устройства.

Microsoft и Cloudflare можно интегрировать следующими способами.

• Использование Microsoft Entra ID ↗ для аутентификации при доступе ко всем защищённым ресурсам Cloudflare
• Использование Microsoft Intune ↗ состояние устройства (device posture) в политиках Cloudflare, чтобы доступ к защищённым ресурсам получали только управляемые и доверенные устройства
• Используя Cloudflare CASB чтобы проверить ваш Microsoft 365 ↗ арендаторов и оповещать о результатах проверки безопасности для неправильно настроенных учётных записей и общих файлов, содержащих конфиденциальные данные
• Использование Cloudflare Secure Web Gateway для контроля доступа к SaaS-приложениям Microsoft, таким как Outlook, OneDrive и Teams
• Использование Cloudflare Email security сервис для усиления защиты электронной почты от фишинговых атак и компрометации деловой переписки.

Интеграция Cloudflare с Entra ID позволяет использовать идентификаторы Entra для аутентификации в любом приложении, защищенном Cloudflare. Группы также можно импортировать через SCIM для использования в политиках доступа, что упрощает управление и переносит контроль доступа на уровень управления составом групп в Entra ID.

• Entra ID позволяет администраторам создавать и применять политики как для приложений, так и для пользователей с помощью политик Conditional Access.
• Он предлагает широкий набор параметров для управления доступом пользователей к приложениям, таких как уровень риска пользователя, уровень риска входа, платформа устройства, местоположение, клиентские приложения и другие.
• Команды безопасности могут задавать элементы управления безопасностью в Entra ID и применять их на сетевом уровне для каждого запроса с помощью службы ZTNA от Cloudflare.

Cloudflare может применять политики доступа, учитывающие информацию о состоянии устройства (device posture). Intune можно интегрировать с Cloudflare, чтобы использовать данные об устройствах, управляемых и защищаемых Intune, для контроля доступа к ресурсам, защищенным Cloudflare.

• Когда устройство подключено с помощью нашего агент, сервис ZTNA от Cloudflare может использовать расширенную телеметрию и контекст, предоставляемые Intune в отношении состояния и соответствия требованиям устройства пользователя.
• Intune предоставляет подробную информацию о состоянии безопасности и конфигурации устройств пользователей, что позволяет принимать более обоснованные решения по управлению доступом.
• Эта интеграция позволяет администраторам гарантировать, что доступ к критически важным сетям и приложениям получают только соответствующие требованиям и защищённые устройства.

По мере того как компании внедряют всё больше SaaS-приложений, поддерживать единый уровень безопасности, видимости и производительности становится всё сложнее. У каждого приложения свои настройки и требования к безопасности, из-за чего ИТ-командам сложно соблюдать требования соответствия и защищать конфиденциальные данные в такой разнородной среде.

Cloudflare CASB (Cloud Access Security Broker) решает эти проблемы, обеспечивая широкую видимость Microsoft 365 и других популярных SaaS-приложений. Такая видимость позволяет организациям быстро выявлять ошибки конфигурации, открытые файлы, доступ пользователей и доступ третьих сторон, обеспечивая безопасную и соответствующую требованиям SaaS-среду.

Узнайте больше о том, как наше решение CASB может защитить здесь данные в состоянии покоя.

Secure Web Gateway (SWG) от Cloudflare помогает организациям обеспечить безопасный доступ к Microsoft 365 следующими способами:

1. Проверка и фильтрация трафика: SWG от Cloudflare проверяет весь трафик пользователей и устройств, направленный в интернет, включая трафик к Microsoft 365. Это позволяет организациям применять политики безопасности, фильтрацию контента и меры по предотвращению угроз, чтобы к сервисам Microsoft 365 доходил только легитимный и авторизованный трафик. Как показано выше, политики можно настроить так, чтобы доступ к любой части платформы Microsoft 365 и Azure получали только управляемые защищённые устройства.
2. Защита данных с помощью профилей DLP: трафик проверяется не только на основе состояния устройства и данных идентификации, но наш DLP-модуль также может анализировать содержимое запроса и разрешать или блокировать скачивание и загрузку конфиденциальной информации в Microsoft 365 и Azure и из них.
3. Принудительное использование Cloudflare gateway: Microsoft 365 можно настроить так, чтобы он принимал трафик пользователей только из определенного диапазона IP-адресов. Cloudflare позволяет определить и привязать IP-адреса ко всему трафику, выходящему из SWG. Это означает, что организации могут настроить Microsoft 365 на прием трафика только из диапазона IP-адресов, назначенного Cloudflare SWG, что гарантирует проверку и одобрение всего трафика политиками безопасности Cloudflare до того, как он достигнет Microsoft 365.

Используя Cloudflare SWG в качестве безопасного шлюза для доступа к Microsoft 365, организации получают преимущества расширенной защиты от угроз, детализированного контроля доступа, проверки трафика и централизованной прозрачности, что обеспечивает пользователям безопасную работу, снижает риски и помогает соблюдать требования соответствия.

Фишинг является основной причиной более чем 90% инцидентов, приводящих к финансовым потерям и репутационному ущербу. Решение Cloudflare для защиты почты работает перед всей почтой, поступающей в ваш тенант Microsoft 365, отфильтровывая спам, массовые, вредоносные и поддельные письма. Это решение может использовать Microsoft правила для карантинных действий, что позволяет точно настраивать обработку различных типов обнаружения писем.

Также можно настроить облачную защиту электронной почты для сканирования Почтовые ящики Microsoft 365 через API, что избавляет от необходимости менять существующие DNS-записи.

Используя Cloudflare и его интеграции с Microsoft, организации могут выстроить систему безопасности Zero Trust, выходящую за рамки ограничений традиционных моделей сетевой безопасности. Благодаря Cloudflare Zero Trust Network Access (ZTNA) организации могут отказаться от самостоятельно размещаемых VPN и внедрить условный доступ на основе идентификации пользователя и состояния устройства. Интеграция с Microsoft Entra ID обеспечивает аутентификацию и контроль доступа, а Microsoft Intune предоставляет данные о состоянии устройства. Кроме того, CASB от Cloudflare даёт прозрачность в отношении безопасности конфигурации Microsoft 365, Secure Web Gateway проверяет и фильтрует трафик к Microsoft 365, а защита электронной почты предотвращает фишинговые атаки, обеспечивая безопасную и соответствующую требованиям среду. Такой подход обеспечивает более быстрый и безопасный доступ к приложениям при детализированном контроле доступа пользователей на основе идентификации и состояния устройства.

• Обзор партнёрства Microsoft и Cloudflare ↗
• Настройте Microsoft Entra ID (ранее Azure Active Directory) в качестве поставщика удостоверений