← Справочные архитектуры / reference-architecture / architectures

Повышение уровня безопасности с помощью SentinelOne и Cloudflare One

Интеграция Cloudflare One и SentinelOne предоставляет организациям комплексное решение безопасности, объединяющее защиту конечных точек с Zero Trust Network Access ↗. Эта интеграция позволяет организациям принимать решения о доступе на основе состояния безопасности устройства, обеспечивая доступ к защищенным ресурсам только исправным и соответствующим требованиям устройствам. Данная референсная архитектура описывает, как организации могут внедрить и использовать эту интеграцию для усиления своей защиты. Интеграция может помочь организации или агентству продвинуться в модели зрелости Zero Trust Architecture Maturity Model, чтобы со временем достичь уровня Advanced или Optimal по всем 5 столпов Zero Trust от CISA. ↗

Эта эталонная архитектура предназначена для ИТ-специалистов и специалистов по безопасности, которые внедряют или планируют внедрить модель безопасности Zero Trust на основе Cloudflare и SentinelOne. В ней подробно описаны настройка интеграции, варианты конфигурации и типичные сценарии развёртывания. Для более глубокого понимания этих технологий рекомендуем ознакомиться с основной документацией обеих платформ.

Рекомендуемые материалы для более глубокого понимания интеграции Cloudflare с SentinelOne:

• Интеграция проверки состояния устройств SentinelOne

Cloudflare One может интегрироваться с SentinelOne для применения политик доступа к приложениям и ресурсам на основе состояния устройств. Интеграция построена на проверке состояния устройства между сервисами, которая определяет устройства по их серийным номерам. Это позволяет организациям гарантировать, что доступ к конфиденциальным ресурсам получают только управляемые и защищённые устройства.

Платформа SentinelOne обеспечивает важнейшие функции защиты конечных точек:

Агент SentinelOne должен быть развёрнут на всех управляемых устройствах: он обеспечивает мониторинг безопасности и обнаружение угроз в реальном времени. К ключевым параметрам состояния устройства относятся:

• Статус заражения устройства
• Количество обнаруженных активных угроз
• Статус активности агента
• Статус сетевого подключения
• Рабочее состояние агента

SentinelOne Management Console обеспечивает централизованное управление и полную видимость, включая API, необходимые для интеграции с Cloudflare.

Инфраструктура Cloudflare Zero Trust обеспечивает уровень применения политик:

Cloudflare One Client необходимо развернуть на управляемых устройствах вместе с агентом SentinelOne. Этот клиент устанавливает защищенное соединение с сетью Cloudflare и обеспечивает проверку состояния устройства (device posture).

Дашборд Cloudflare предоставляет интерфейс для настройки:

• Настройки интеграции с поставщиком услуг
• Политики состояния устройства
• Политики доступа, учитывающие проверки состояния устройства

Когда пользователь пытается получить доступ к защищённому ресурсу, происходит следующая последовательность действий:

1. Устройство пользователя подключается к сети Cloudflare через Cloudflare One Client.
2. Cloudflare обращается к API SentinelOne, чтобы проверить состояние защиты устройства.
3. Платформа SentinelOne возвращает текущий статус устройства, включая наличие заражения, обнаруженные угрозы и состояние агента.
4. Cloudflare сопоставляет эту информацию с настроенными политиками.
5. Доступ предоставляется или запрещается по результатам оценки политики.

Для интеграции требуется выполнить определённые шаги настройки:

Сначала в SentinelOne нужно создать сервисную учётную запись с соответствующими разрешениями. Для этого потребуется сгенерировать API-токен и записать URL REST API вашего инстанса.

Далее необходимо настроить SentinelOne как поставщика услуг (Service Provider) в консоли Cloudflare Zero Trust. Это включает следующее:

• Указание токена API и URL-адреса REST API
• Настройка подходящей частоты опроса
• Проверка соединения для обеспечения корректной связи

Наконец, необходимо настроить проверки состояния устройства (device posture checks), чтобы определить требования безопасности для доступа. Подробные инструкции по настройке см. в Интеграция проверки состояния устройств SentinelOne.

Интеграция обеспечивает надёжную проверку безопасности устройств по нескольким атрибутам:

Мониторинг Infection Status не даёт скомпрометированным устройствам получить доступ к конфиденциальным ресурсам. Active Threat Detection не позволяет устройствам с активными инцидентами безопасности сохранять доступ. Agent Health Monitoring подтверждает, что стек безопасности работает исправно и настроен правильно.

SentinelOne предоставляет обнаружение и реагирование на угрозы для конечных точек (EDR) ↗ сигналов, которые помогают определить показатели риска пользователя. Это позволяет организациям выявлять пользователей, которые могут представлять угрозу безопасности, и управлять ими, принимая проактивные меры ещё до наступления инцидентов.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

Архитектура интеграции начинается на уровне управляемого устройства, где работают два ключевых компонента. Агент SentinelOne выступает основным средством защиты: он непрерывно отслеживает угрозы, оценивает состояние устройства и предоставляет данные о статусе безопасности в реальном времени. Рядом с ним Cloudflare One Client устанавливает безопасное соединение и управляет взаимодействием устройства с инфраструктурой Zero Trust Cloudflare. Эти компоненты работают совместно, обеспечивая как безопасность конечной точки, так и защищённый доступ к сети.

Когда пользователь пытается получить доступ к защищённым ресурсам, архитектура запускает сложный процесс проверки. Cloudflare One Client сначала устанавливает защищённый туннель к глобальной сети Cloudflare, создавая зашифрованный канал для всех коммуникаций. Это соединение обеспечивает безопасность всего трафика между устройством и защищёнными ресурсами и позволяет корректно оценивать его на соответствие политикам безопасности.

В основе архитектуры лежит платформа Cloudflare Zero Trust, состоящая из трёх основных движков, работающих совместно. Механизм проверки состояния устройства служит первым рубежом защиты, активно опрашивая платформу SentinelOne для проверки состояния безопасности устройства. Он проверяет ряд параметров, включая наличие заражения, активные угрозы, состояние агента и сетевое подключение. Эта информация становится основой для принятия решений о доступе.

Access Policy Engine затем берёт эту информацию о состоянии устройства и объединяет её с другими контекстными факторами для принятия решений о доступе. Он оценивает заданные политики, которые могут включать такие критерии, как состояние безопасности устройства, идентификация пользователя, местоположение и другие факторы риска. Этот механизм гарантирует, что доступ к защищённым ресурсам получают только устройства, соответствующие всем требованиям безопасности.

Secure Web Gateway добавляет ещё один уровень защиты, фильтруя весь трафик, блокируя доступ к вредоносным сайтам и применяя политики предотвращения утечки данных. Этот компонент гарантирует, что даже после предоставления доступа весь трафик продолжает непрерывно отслеживаться и защищаться.

Платформа SentinelOne играет ключевую роль в этой архитектуре благодаря трём основным компонентам. Компонент Консоль управления обеспечивает централизованное управление всеми конечными точками, позволяя командам безопасности настраивать политики, отслеживать состояние устройств и реагировать на события безопасности. Сервисы API компонент обеспечивает обмен данными с Cloudflare в реальном времени, предоставляя важную информацию о безопасности управляемых устройств.

Security Analytics компонент непрерывно обрабатывает данные телеметрии безопасности со всех конечных точек, выявляя угрозы, оценивая риски и предоставляя подробные сведения о безопасности. Эта информация поступает в Cloudflare через Сервисы API, что позволяет принимать динамические решения о доступе на основе актуальных данных об угрозах.

Когда пользователю требуется доступ к защищённым ресурсам, архитектура следует определённому порядку действий:

Сначала статус безопасности устройства оценивается с помощью Агент SentinelOne, которая передает подробную информацию о состоянии и безопасности на платформу SentinelOne. Одновременно с этим Cloudflare One Client инициирует запрос доступа к платформе Cloudflare Zero Trust.

Далее, Cloudflare Механизм проверки состояния устройства обращается к платформе SentinelOne через её Сервисы API чтобы проверить состояние безопасности устройства. Эта проверка включает все текущие показатели безопасности, статус угроз и сведения о соответствии требованиям. Access Policy Engine затем сопоставляет эту информацию с заданными политиками безопасности.

Если все требования безопасности выполнены, доступ предоставляется через защищенный туннель, установленный Cloudflare One Client. На протяжении всей сессии непрерывный мониторинг гарантирует, что любое изменение состояния безопасности устройства сразу приведет к повторной оценке прав доступа.

Архитектура обеспечивает комплексную защиту за счёт нескольких механизмов. На уровне конечного устройства агент SentinelOne обеспечивает расширенное обнаружение угроз и реагирование на них. Кроме того, Security Analytics компонент обрабатывает эту телеметрию безопасности в реальном времени, обеспечивая быстрое выявление угроз и проблем безопасности.

Cloudflare Secure Web Gateway обеспечивает защиту на уровне сети, фильтруя трафик и предотвращая доступ к вредоносным ресурсам. Этот компонент работает совместно с Access Policy Engine чтобы весь трафик, как к внутренним, так и к внешним ресурсам, соответствовал требованиям безопасности.

Такая интегрированная архитектура даёт несколько ключевых операционных преимуществ. Она позволяет организациям внедрить подлинный контроль доступа Zero Trust, при котором каждый запрос на доступ проверяется исходя из текущего состояния безопасности. Интеграция SentinelOne и Cloudflare обеспечивает бесперебойное применение политик безопасности, объединяя защиту конечных точек с контролем доступа на уровне сети.

Архитектура также поддерживает динамическое применение политик: изменение состояния безопасности устройства может автоматически повлечь ограничение доступа. Это позволяет быстро изолировать скомпрометированные или несоответствующие требованиям устройства от важных ресурсов и поддерживать безопасность организации.

При внедрении этой интеграции организациям стоит учитывать архитектуру своей сети. Ключевые факторы:

• Распределение конечных точек по разным сетям
• Требования к пропускной способности сети и задержке для проверок состояния устройства
• Интеграция с существующими инструментами и процессами обеспечения безопасности

Интеграция Cloudflare One и SentinelOne требует тщательного планирования для успешного внедрения. В первую очередь организации должны подготовить среду: развернуть агент SentinelOne и Cloudflare One Client на всех устройствах, которые будут проходить проверку состояния. Этот базовый шаг обеспечивает готовность как мониторинга безопасности, так и защищённого сетевого подключения перед добавлением дополнительных средств контроля.

При внедрении интеграции организациям стоит рассматривать её как отношения с поставщиком услуг, в которых SentinelOne выступает доверенным источником информации о безопасности устройств. Эти отношения строятся на защищённом взаимодействии через API, при этом особое внимание уделяется правильному управлению учётными данными и регулярной проверке соединения между платформами. Интеграция опирается на способность SentinelOne предоставлять статус безопасности устройства в реальном времени, который Cloudflare затем использует для принятия решений о доступе.

Продуманный дизайн политик критически важен и для безопасности, и для удобства использования. Рекомендуется внедрять политики, которые:

• Начните с базовых требований гигиены безопасности и постепенно повышайте требования к безопасности
• Учитывайте разные роли пользователей и потребности в доступе
• Предусмотрите резервные варианты на исключительные случаи

Настройка политик представляет собой ещё один важный аспект внедрения. Организации могут использовать подробные данные о состоянии устройств от SentinelOne для создания детализированных политик доступа. Эти политики могут учитывать множество факторов, включая статус заражения устройства, активные угрозы и работоспособность агента. Отслеживая эти параметры, организации могут гарантировать, что доступ к защищённым ресурсам получат только устройства, соответствующие их требованиям безопасности.

Регулярное тестирование и мониторинг играют важнейшую роль в поддержании эффективности интеграции. Благодаря возможностям Cloudflare по ведению журналов и тестированию организации могут убедиться, что проверки состояния устройств работают как задумано, а политики применяются корректно. Такая постоянная проверка помогает гарантировать, что преимущества интеграции в области безопасности реализуются последовательно.

Интеграция Cloudflare One и SentinelOne дает организациям мощный инструмент для реализации принципов Zero Trust. Сочетая защиту конечных точек с контролем доступа, организации могут гарантировать, что доступ к критически важным ресурсам получают только защищённые и соответствующие требованиям устройства. Такой подход значительно снижает риск доступа скомпрометированных устройств к корпоративным ресурсам, сохраняя при этом продуктивность пользователей за счет плавных процессов аутентификации и авторизации.

• Обзор партнёрства SentinelOne и Cloudflare ↗