← Справочные архитектуры / reference-architecture / architectures

Архитектура безопасности Cloudflare

Сегодня всё и все должны быть подключены ко всему и везде, постоянно, и при этом всё должно оставаться защищённым. Однако инфраструктура многих компаний не рассчитана на такую реальность. Исторически сотрудники работали в офисе, где большинство корпоративных систем (файловые серверы, принтеры, приложения) находились в частной офисной сети и были доступны только из неё. Вокруг сети создавался периметр безопасности для защиты от внешних угроз, большинство из которых исходило из публичного интернета.

Однако по мере роста пропускной способности интернета и увеличения числа сотрудников, которым требовался доступ к рабочим системам вне офиса, VPN стали давать сотрудникам доступ к внутренним системам из любой точки с подключением к интернету. Затем приложения начали выходить за пределы офисной сети и переезжать в облако: либо в виде SaaS приложений, либо на платформах IaaS. Компании поспешили расширить доступ к своим сетям и начали вкладываться в новые, динамичные способы обнаружения угроз, защиты и управления постоянно меняющейся картиной безопасности. Но в результате у многих компаний появились сложные политики и уязвимые сети с множеством точечных решений, каждое из которых пыталось защитить свою точку доступа.

С 2010 года Cloudflare строит уникальную сеть глобального масштаба, на базе которой работает набор сервисов безопасности, позволяющих организациям выстраивать более надёжную связность и лучше защищать свои публичные и частные сети, приложения, пользователей и данные. В этом документе рассказывается, как устроены эта сеть и платформа с точки зрения безопасности, как они эксплуатируются и какие сервисы доступны бизнесу для решения собственных задач безопасности. Документ состоит из двух основных разделов:

• Как Cloudflare создает и эксплуатирует свою защищенную глобальную сеть.
• Как защитить инфраструктуру и активы вашего бизнеса с помощью сервисов Cloudflare, построенных на базе сети.

Этот документ предназначен для ИТ-специалистов и специалистов по безопасности, которые рассматривают использование Cloudflare для защиты различных аспектов своего бизнеса. Он ориентирован прежде всего на директоров по информационной безопасности (CSO/CISO) и их непосредственные команды, отвечающие за общую программу безопасности в организации. Поскольку документ охватывает безопасность всей платформы Cloudflare, он не углубляется в детали какой-либо отдельной службы. Вместо этого посетите наш Центр архитектурных решений ↗ чтобы найти конкретную информацию об услуге или продукте.

Чтобы лучше разобраться в Cloudflare, рекомендуем следующие материалы:

• Что такое Cloudflare? | Сайт ↗ (5 минут на чтение) или видео ↗ (2 минуты)

• Как Cloudflare усиливает безопасность везде, где ведется ваш бизнес ↗ (10 минут)

Любое решение для облачной безопасности должно быть быстрым и всегда доступным. Наша сеть защищает более 20% веб-ресурсов интернета, работает более чем в 330 городах и находится на расстоянии 50 ms от 95% населения мира, подключённого к интернету. На каждом сервере в каждом дата-центре запущены все службы, поэтому трафик проверяется за один проход и обрабатывается как можно ближе к конечному пользователю. Эти серверы соединены между собой более чем 13,000 сетевых пиров с суммарной пропускной способностью сети свыше 405 Tbps. Сеть Cloudflare также подключена к каждая точка обмена интернет-трафиком ↗ (не только Microsoft, AWS и Google), чтобы иметь возможность обмениваться трафиком с любой точкой интернета.

Cloudflare используют миллионы клиентов, и сеть обслуживает более 57 миллионов HTTP-запросов ↗ в секунду в среднем, а в пике более 77 миллионов HTTP запросов в секунду. Анализируя весь этот трафик, мы в среднем обнаруживаем и блокируем 209 миллиардов киберугроз в день ↗. Такой огромный масштаб сети обеспечивает клиентам, использующим наши продукты безопасности, низкую задержку, доступ к высокой пропускной способности и уровень надежности, который гарантирует непрерывную защиту их бизнеса. (Приведенные показатели актуальны на июнь 2024 года.)

Сеть Cloudflare устроена не так, как традиционная корпоративная сеть. Она с самого начала спроектирована на принципах изоляции сервисов, минимальных привилегий и архитектуры zero trust. Публичные edge-серверы и центры обработки данных, в которых они размещены, можно представить как острова в обширном океане связности, где ничто не доверяет ничему без надежных учетных данных и строгих политик доступа.

Уникальная особенность архитектуры безопасности нашей сети заключается в использовании anycast-маршрутизации. В каждом дата-центре мы анонсируем весь диапазон сети Cloudflare (IPv6 и IPv4) как для UDP, так и для TCP. Протокол граничных шлюзов ↗ (BGP) обеспечивает то, что маршрутизаторы по всему интернету выбирают кратчайший возможный путь для любого пользователя до ближайшего сервера Cloudflare, где проверяется трафик. С точки зрения безопасности это крайне важно. Во время атак типа «распределённый отказ в обслуживании» (DDoS) на клиентов за нашей сетью сочетание высокой пропускной способности и распределения запросов между тысячами локальных серверов помогает сети оставаться производительной и доступной даже во время некоторых из крупнейших атак в История посещений в интернете ↗.

Обновления на сервере, такие как политики доступа, ограничение частоты запросов и правила брандмауэра, выполняются нашими Служба Quicksilver ↗. Изменения клиента распространяются по всей сети за секунды, что позволяет оперативно реагировать на меняющиеся бизнес-требования и обеспечивает быстрое применение политик по всему миру.

Каждый уровень сети соответствует строгим усиленным мерам контроля безопасности. Процессы, работающие на edge, спроектированы по принципу необходимого знания и выполняются с минимальными привилегиями. У нас есть собственная система управления ключами, которая обеспечивает защиту ключей при хранении и передаче, а также предоставление нужного доступа к ключам в нужное время. Для обеспечения строгого контроля и детальной видимости изменений в сети вся инфраструктура управляется через код (IaC ↗).

Cloudflare самостоятельно проектирует и владеет всеми серверами своей сети. Их два основных типа.

• Основные частные серверы: Панель управления, где хранятся все настройки клиента, журналы и другие данные.
• Публичные edge-серверы: Точка, где интернет-трафик и трафик из приватных туннелей поступает в сеть Cloudflare, проверяется и направляется по назначению.

Серверное оборудование разрабатывает Cloudflare, а собирают его признанные в отрасли производители, которые проходят комплексную проверку цепочки поставок и безопасности. На каждом сервере работает одинаковый программный стек, что обеспечивает единообразие аппаратной архитектуры. Операционная система на периферийных серверах тоже имеет единую архитектуру и собрана на основе значительно доработанного дистрибутива Linux, адаптированного под масштаб и скорость нашей платформы. Cloudflare вносит существенный вклад в разработку ядра Linux и регулярно делится информацией о том, как мы защищаем наши серверы и сервисы ↗, принося пользу сообществу Linux и остальному интернету благодаря нашим инженерная команда ↗.

На каждом сервере работают все продукты и сервисы Cloudflare, которые клиенты используют для защиты своих сетей и приложений. Далее в этом документе мы дадим обзор этих сервисов, но сейчас важно понять, как устроена разработка нашего программного обеспечения. Уже на этапе первоначального проектирования каждого продукта инженерная команда работает в тесном контакте с командами безопасности, комплаенса и управления рисками, чтобы проверить все аспекты сервиса. Эти команды можно считать частью инженерных и продуктовых команд, а не внешней группой. Они играют ключевую роль во всём, что мы делаем в Cloudflare, и в их составе одни из самых уважаемых специалистов в отрасли. Код проверяется командами безопасности на каждом этапе разработки, и мы применяем множество автоматизированных систем для анализа программного обеспечения на предмет уязвимостей. Такие подходы к моделированию угроз и фреймворки тестирования на проникновение, как OWASP ↗, STRIDE ↗, а также DREAD ↗ используются на этапах проектирования, разработки и выпуска.

Многие наши продукты работают на нашей serverless-среда выполнения среда, использующая самые современные методы изоляции сервисов. Мы предположили, что такая защищённая среда выполнения будет полезна нашим клиентам, поэтому оформили её в отдельный продукт, что позволяет сборка и запустить ↗ собственные приложения в нашей сети. Подробнее об этом в самом конце данного документа.

Чтобы обеспечивать максимально безопасную сеть и платформу, мы непрерывно совершенствуем технологии. Постоянно растущий спектр угроз и проблем безопасности требует новых решений. Cloudflare руководит рядом инициатив, в том числе по дальнейшему повышению защищённости BGP с помощью RPKI ↗, и регулярно участвуем в рабочих группах IETF, посвященных распространенным интернет-протоколам безопасности. Мы стремимся способствовать повышению и мониторингу Внедрение IPv6 ↗, что само по себе делает интернет более безопасным, и мы стремимся опережать будущие вызовы, внедряя такие технологии, как постквантовая криптография ↗ прежде чем рост вычислительной мощности квантовых компьютеров начнёт угрожать существующим криптографическим методам.

Важна не только безопасность архитектуры сети, но и то, как мы её эксплуатируем и обслуживаем. Мы работаем в огромном масштабе, и единый подход к проектированию серверов помогает оптимизировать развёртывание ПО и мониторинг. Определение того, кто имеет доступ для обслуживания сети, полностью автоматизировано: везде применяются практики infrastructure-as-code с ролевым контролем доступа (RBAC) и принципом минимальных привилегий.

Клиенты передают конфиденциальную информацию в наши продукты и сервисы. Задача команды Cloudflare по вопросам соответствия требованиям состоит в том, чтобы базовая инфраструктура, лежащая в основе этих сервисов, соответствовала отраслевые стандарты соответствия ↗ такие как сертификации FedRAMP, SOC II, ISO, PCI, C5, требования конфиденциальности и нормативные требования. Команда комплаенса работает со всеми инженерными подразделениями, помогая внедрять эти требования в повседневную работу. С точки зрения комплаенса мы фокусируемся на следующих направлениях:

• Конфиденциальность и безопасность данных клиентов
• Поддержание проверок соответствия требованиям
• Помощь клиентам в соблюдении собственных нормативных требований
• Отслеживание изменений в нормативной сфере
• Предоставление обратной связи регулирующим органам о предстоящих изменениях

Мы также используем программа bug bounty ↗, создавая для сообщества стимул находить уязвимости и сообщать нам о них за денежное вознаграждение.

Таким образом, Cloudflare не просто создала технологию, нужную для защиты нашей сети, но и собрала опытные, хорошо укомплектованные команды, которые следят за тем, чтобы правильные процессы создавались, соблюдались и контролировались. За последнее десятилетие компания собрала одну из лучших в отрасли баз экспертизы по безопасности, а это, в свою очередь, привлекает к нам лучших специалистов. Год от года этот эффект только усиливается, поднимая наши навыки и знания в области безопасности на новую высоту. Мы также предельно открыто рассказываем о том, как Cloudflare эксплуатирует и защищает свою сеть, и часто ведут блог ↗ о наших процессах и развивающемся подходе к безопасности.

Сеть Cloudflare существует для того, чтобы предоставлять клиентам сервисы для защиты их собственных активов, таких как пользователи, приложения и данные. В следующем разделе подробно описано, что представляют собой эти сервисы, их базовая архитектура и как их используют клиенты. Обратите внимание, что этот раздел не раскрывает каждый сервис в мельчайших подробностях. Вместо этого обратитесь к нашему Центр архитектурных решений ↗ или документация по продукту чтобы узнать больше о конкретном продукте, услуге или решении. Цель этого документа заключается в том, чтобы предоставить сведения об общем наборе доступных сервисов безопасности и типовых сценариях их использования. Поэтому мы приводим оглавление, с помощью которого можно перейти к интересующему разделу.

1. Защита публичных и частных ресурсов
2. Защита публичных ресурсов
   1. Распространенные атаки и защита от них
      1. DDoS-атаки
      2. Атаки нулевого дня
      3. Несанкционированный доступ
      4. Атаки на стороне клиента
      5. Эксфильтрация данных
      6. Credential stuffing
      7. Атаки полным перебором
      8. Скимминг банковских карт
      9. Скупка товаров
      10. Фаззинг (сканирование на уязвимости)
      11. Атаки Cross-Site Scripting (XSS)
      12. Атаки с удаленным выполнением кода (RCE)
      13. Атаки типа SQL-инъекция (SQLi)
      14. Вредоносное ПО
   2. Продукты Cloudflare для безопасности приложений
      1. Security Analytics
      2. Web Application Firewall (WAF)
      3. Ограничение скорости запросов
      4. L7 DDoS
      5. API Shield
      6. Bot Management
      7. Client-side security
      8. SSL/TLS
      9. Security Center
      10. Cloudflare for SaaS
   3. Продукты сетевой безопасности Cloudflare
      1. Magic Transit
      2. Cloudflare WAN
      3. Cloudflare Network Firewall
      4. Сетевой поток
      5. Spectrum
3. Защита частных ресурсов
   1. Защита подключения к частным ресурсам
   2. Подключение пользователей
   3. Интеграция систем идентификации
   4. Управление доступом
   5. Защита данных
   6. Защита доступа в интернет
4. Observability
5. Платформа для разработчиков

В целом, чтобы эффективно противостоять растущему разнообразию и сложности угроз, клиентам нужно единое решение безопасности, которое обеспечивает видимость, аналитику, обнаружение и устранение угроз согласованно и эффективно. Cloudflare решает эти задачи несколькими способами:

• Операционная согласованность: у Cloudflare единая панель управления и интерфейс для всех административных задач.
• Операционная простота: Cloudflare известна тем, что снижает операционную сложность с помощью продуманных интерфейсов, сокращающих объем ручной настройки. Кроме того, интеграции между продуктами позволяют автоматизировать конфигурации и политики.
• Постоянные инновации: Cloudflare продолжает развивать широкий портфель продуктов безопасности, предлагая уникальные решения, такие как Turnstile, продукт для замены CAPTCHA, и первую в отрасли функцию API Sequence Mitigation.
• Независимость от местоположения нагрузки: Cloudflare изначально строилась вокруг сервисов производительности и безопасности. Поэтому с самого начала она проектировалась независимой от места размещения нагрузки, а мультиоблачность заложена как один из основных сценариев использования. Клиенты могут разворачивать нагрузки в нескольких облаках и/или on-prem и получать одинаковую операционную согласованность.
• Производительность и масштаб: все сервисы Cloudflare работают на каждом сервере в каждом дата-центре в рамках единой глобальной сети, что обеспечивает максимальную производительность с точки зрения глобальной доступности и задержки, а также возможность горизонтального масштабирования за счёт полного потенциала глобальной инфраструктуры Cloudflare.
• API first: Cloudflare придерживается принципа API first. Все настройки и возможности, доступные в UI/дашборде, доступны и через API. Cloudflare легко настраивается с помощью Terraform для автоматизации рабочих процессов клиента.

Сервисы безопасности Cloudflare, защищающие сети, приложения, устройства, пользователей и данные, можно разделить на следующие категории.

Обратите внимание, что этот список посвящён безопасности и не включает такие продукты, как наша сеть доставки контента (CDN), балансировка нагрузки и служба доменных имён (DNS).

Наши клиенты стремятся защитить два основных типа ресурсов:

• Публичные ресурсы определяются как любой контент, ресурс или инфраструктура с интерфейсом, доступным широкой аудитории интернета, например корпоративные сайты, сайты электронной коммерции и API. Также к ним относят ресурсы, доступные анонимным пользователям или тем, кто самостоятельно регистрируется для доступа, например социальные сети, сервисы видеостриминга и банковские сервисы.
• Частные ресурсы определяются как контент, ресурсы или инфраструктура, предназначенные для ограниченного круга пользователей одной компании, организации или группы клиентов. Для доступа к таким сервисам обычно требуются учётные записи и учётные данные. Примеры подобных ресурсов: HR-система компании, репозитории исходного кода и POS-система в сети розничных филиалов. Доступ к этим ресурсам обычно есть только у сотрудников, партнёров и других доверенных, известных пользователей.

Публичные и частные ресурсы также могут включать в себя как инфраструктурные компоненты, например серверы, так и потребляемые ресурсы, например веб-сайты и конечные точки API. Взаимодействие по сетям и через интернет происходит на разных этапах и уровнях, как показано на диаграмме модели взаимодействия открытых систем (OSI) ниже.

Cloudflare может защищать ресурсы на разных уровнях модели OSI, и в этом документе речь пойдет прежде всего о защите ресурсов на уровнях 3, 4 и 7.

• Уровень 3, называемый «сетевым уровнем», отвечает за передачу данных между двумя разными сетями. На сетевом уровне сегменты транспортного уровня разбиваются на более мелкие единицы, называемые пакетами, на устройстве отправителя, а затем эти пакеты собираются заново на устройстве получателя. Именно на сетевом уровне происходит маршрутизация: здесь определяется оптимальный физический путь для доставки данных до места назначения.
• Уровень 4, называемый «транспортным уровнем», отвечает за сквозную связь между двумя устройствами. Это включает получение данных с сеансового уровня и их разбиение на фрагменты, называемые «сегментами», перед отправкой на уровень 3.

Среди продуктов безопасности Cloudflare, которые можно применять для защиты на уровнях L3 и L4, есть сетевые сервисы Cloudflare, в том числе Magic Transit, Cloudflare Network Firewall, Cloudflare WAN, Сетевой поток (ранее Magic Network Monitoring), и Spectrum.

• Уровень 7, называемый «уровнем приложений», является верхним уровнем обработки данных: он работает незаметно для пользователя, под интерфейсом программных приложений, с которыми тот взаимодействует. HTTP- и API-запросы и ответы на них относятся к событиям уровня 7.

У Cloudflare есть набор продуктов для защиты приложений, включающий Web Application Firewall (WAF), Rate Limiting, L7 DDoS, API Shield, Bot Management, а также безопасность на стороне клиента.

Обратите внимание, что SaaS-приложения можно считать одновременно и публичными, и частными. Например, у Salesforce есть прямой доступ из интернета, но при этом он содержит очень конфиденциальную информацию и обычно доступен только сотрудникам с учётными записями, которые выдаёт IT-отдел. В рамках этого документа мы будем рассматривать SaaS-приложения как частные ресурсы.

Это общие рекомендации, поскольку с помощью Cloudflare можно защищать даже самые чувствительные внутренние приложения общедоступными службами удаленного доступа. Подробнее об этом будет рассказано далее в документе.

Компании полагаются на публичные веб-сайты и API-эндпойнты для ежедневных операций электронной коммерции и продвижения бренда, а зачастую весь бизнес представляет собой онлайн-сервис. Ключевую роль здесь играют высокая доступность, производительность и безопасность, и клиенты используют Cloudflare, чтобы их бизнес оставался в рабочем состоянии. Средства защиты Cloudflare помогают предотвращать мошенничество, утечки данных и атаки, которые могут повлечь юридическую ответственность, привести к убыткам и репутационному ущербу, а также замедлить или полностью остановить работу бизнеса.

Публичные активы необходимо защищать сразу по нескольким направлениям и от различных типов атак, поэтому требуется внедрять целый ряд возможностей безопасности. Кроме того, клиентам приходится думать об операционной эффективности внедряемых решений. Использование множества узкоспециализированных продуктов для защиты от разных атак или работа с несколькими поставщиками для достижения целей и требований безопасности компании создаёт немало операционных проблем и неэффективностей, таких как множество интерфейсов и панелей управления, необходимость обучения персонала, отсутствие интеграции между продуктами и так далее.

На диаграмме ниже показан типичный запрос к публичному ресурсу, проходящий через сеть Cloudflare. Наши сервисы защиты являются частью широкого набора возможностей: Cloudflare работает как обратный прокси, маршрутизируя запросы в ближайший дата-центр, где к ним применяются сервисы производительности и защиты перед отправкой к месту назначения. Эти сервисы легко объединяются и используются вместе независимо от того, где развёрнуты рабочие нагрузки: работа и реализация остаются неизменными. Примечание: диаграмма не отражает все сервисы Cloudflare.

На диаграмме выделено следующее:

• самый быстрый DNS-сервис в мире ↗ обеспечивает быстрое разрешение публичных хостов
• Обеспечение соответствия данных требованиям с помощью выбор географических местоположений ↗ для проверки и хранения данных
• Spectrum распространяет возможности защиты Cloudflare на все приложения UDP/TCP
• Службы безопасности проверяют запрос за один проход
• Службы производительности приложений тоже обрабатывают запрос за тот же проход
• Умная маршрутизация находит маршрут с наименьшей задержкой между Cloudflare и публичным адресом назначения

Широкий портфель продуктов Cloudflare защищает от самых разных атак. Ниже подробнее описаны несколько распространенных атак со ссылкой на продукты Cloudflare, которые используются для их отражения.

A распределённая атака типа «отказ в обслуживании» (DDoS) ↗ это злонамеренная попытка нарушить доступность целевого сервера, сервиса или сети путем перегрузки цели или окружающей ее инфраструктуры потоком трафика. Цель заключается в том, чтобы замед лить работу или вызвать сбой программы, сервиса, компьютера или сети либо исчерпать их мощность так, чтобы никто другой не мог воспользоваться сервисом. DDoS-атаки могут происходить на уровнях L3, L4 или L7, и Cloudflare обеспечивает защиту на всех этих уровнях.

L7 DDoS Protection от Cloudflare предотвращает отказ в обслуживании на уровне 7, Spectrum защищает на уровне 4, а Magic Transit защищает на уровне 3. Помимо основных продуктов защиты от DDoS, Cloudflare предоставляет продвинутые возможности rate limiting, позволяющие ограничивать трафик на основе детальных данных о запросах, включая информацию заголовков и API-токены. Возможности Bot Management от Cloudflare также помогают ограничивать атаки типа «отказ в обслуживании», эффективно отсекая бот-трафик.

Продукты: L7 DDoS, Spectrum, Magic Transit

Эксплойт нулевого дня, также называемый угрозой нулевого дня, представляет собой атаку, которая использует уязвимость безопасности, для которой ещё не выпущено исправление. Такую угрозу называют «нулевым днём», потому что после обнаружения уязвимости у разработчика или организации остаётся «ноль дней» на то, чтобы найти решение.

Брандмауэр веб-приложений (WAF) Managed Rules позволяют развёртывать предварительно настроенные управляемые наборы правил, обеспечивающие немедленную защиту от следующего:

• Уязвимости нулевого дня
• 10 основных техник атак
• Использование украденных или скомпрометированных учётных данных
• Извлечение конфиденциальных данных

WAF проверяет входящие веб-запросы и отфильтровывает нежелательный трафик на основе наборов правил (rulesets), развернутых на периметре сети. Эти управляемые наборы правил поддерживает и регулярно обновляет Cloudflare. Благодаря обширным данным анализа угроз, собираемым по всей глобальной сети, Cloudflare способна быстро выявлять и классифицировать угрозы. При обнаружении новых атак и угроз Cloudflare автоматически передаёт клиентам правила WAF, обеспечивая защиту от новейших атак нулевого дня.

Кроме того, Cloudflare обеспечивает WAF Attack Score, который дополняет управляемые правила Cloudflare, выявляя вариации атак. Такие вариации злоумышленники обычно получают с помощью fuzzing-техник, пытаясь найти способы обойти существующие политики безопасности. WAF классифицирует каждый запрос с помощью алгоритма машинного обучения, присваивая ему оценку атаки от 1 до 99 в зависимости от вероятности того, что запрос является вредоносным. На основе этих оценок затем можно писать правила, определяющие, какой трафик допускается к приложению.

Продукты: WAF: Cloudflare Managed Rules

Несанкционированный доступ может возникать из-за нарушения аутентификации или контроля доступа: уязвимостей в механизмах аутентификации, слабых паролей или легко обходимой авторизации. Для усиления аутентификации можно использовать проверку mTLS (mutual TLS) и JWT (JSON Web Tokens) в Cloudflare. Клиентам или API-запросам без действительного сертификата либо JWT доступ можно запретить с помощью политики безопасности. Клиенты могут создавать сертификаты mTLS и управлять ими через панель управления Cloudflare или через API. WAF Cloudflare и Exposed Credentials Check managed ruleset можно использовать для выявления скомпрометированных учетных данных, применяемых в запросах аутентификации. Политики WAF также можно использовать для ограничения доступа к приложениям или путям на основе различных критериев запроса.

Продукты: SSL/TLS - mTLS, API Shield (проверка JWT), WAF

Атаки на стороне клиента, такие как Magecart ↗ предполагают компрометацию сторонних библиотек, компрометацию веб-сайта или эксплуатацию уязвимостей с целью вывода конфиденциальных данных пользователей на домен, контролируемый злоумышленником. Защита на стороне клиента использует положение Cloudflare в сети в качестве обратного прокси для получения информации напрямую от браузера о:

1. Какие файлы и модули JavaScript загружаются
2. Установленные исходящие соединения
3. Инвентаризация файлов cookie, используемых приложением

Защита на стороне клиента использует данные потоков угроз для обнаружения вредоносных доменов и URL-адресов JavaScript. Кроме того, она может загружать исходные файлы JavaScript и пропускать их через классификатор машинного обучения для выявления вредоносного поведения и активности. Результатом является JS Integrity Score, показывающий, является ли файл JavaScript вредоносным. Защита на стороне клиента также умеет обнаруживать изменения в файлах JavaScript. Оповещения по электронной почте, через вебхуки и PagerDuty можно настроить по различным критериям, таким как обнаружение новых ресурсов, изменения кода и вредоносный код, домены или URL-адреса.

Правила безопасности содержимого можно создать и применить, чтобы добавить дополнительный уровень защиты, помогающий обнаруживать и предотвращать определённые виды атак, включая:

• Внедрение контента/кода
• Межсайтовый скриптинг (XSS)
• Внедрение вредоносных ресурсов
• Вредоносные iframe (кликджекинг)

Продукты: Client-side security

Под эксфильтрацией данных понимается процесс получения конфиденциальных данных с помощью вредоносных методов или из-за неправильно настроенных сервисов. Функция Cloudflare Sensitive Data Detection устраняет распространённые угрозы потери данных. В рамках WAF эти правила отслеживают загрузку определённых конфиденциальных данных, например финансовой информации и данных, позволяющих установить личность. Обнаруженные шаблоны конфиденциальных данных сопоставляются и регистрируются в журнале. Обнаружение конфиденциальных данных также интегрировано с API Shield, поэтому клиенты получают уведомления о любых ответах API, содержащих совпадения с конфиденциальными данными.

Продукты: WAF: Sensitive Data Detection

Credential stuffing представляет собой кибератаку, при которой учётные данные, полученные в результате утечки данных на одном сервисе, используются для попытки входа в другой, не связанный с ним сервис. Как правило, для перебора огромного количества похищенных учётных данных используются средства автоматизации или сценарии, иногда дополненные другими данными, в надежде получить контроль над учётной записью.

Cloudflare Bot Management позволяет выявлять потенциально вредоносных ботов. Cloudflare challenges также можно использовать для проверки подозрительных запросов и остановки автоматизированных попыток получить доступ. Политики WAF с заданными критериями запросов помогают предотвращать атаки. Кроме того, управляемый набор правил Cloudflare WAF и Exposed Credentials Check позволяет обнаруживать скомпрометированные учётные данные, используемые в запросах аутентификации. Rate limiting также может ограничивать частоту запросов и снижать эффективность вредоносных техник credential stuffing.

Продукты: Bot Management, WAF, Rate Limiting

При атаках полным перебором злоумышленники пытаются подобрать пароли или подсказки к ним, используя случайные символы, иногда в сочетании с популярными вариантами паролей. Как правило, чтобы перебрать огромное количество вариантов за короткое время, используются средства автоматизации или скрипты.

Cloudflare Bot Management позволяет выявлять потенциально вредоносных ботов. Cloudflare challenges также можно использовать для проверки подозрительных запросов и остановки автоматизированных атак методом перебора (brute force). Политики WAF и Rate limiting с заданными критериями запросов позволяют применять детальные правила на страницах входа в приложение, блокируя или ограничивая трафик.

Продукты: Bot Management, WAF, Rate Limiting

Скимминг банковских карт представляет собой мошеннический метод похищения платёжных данных с веб-сайтов. Client-side security позволяет обнаруживать клиентов, использующих вредоносные библиотеки JavaScript или подключающихся к известным вредоносным доменам и URL-адресам. Client-side security также отслеживает изменения файлов и кода, используемых на сайте, и присваивает файлам JavaScript показатель JS Integrity Score, оценивающий вероятность того, что код является вредоносным. Content Security Policies (CSPs) можно развернуть для применения позитивной модели безопасности. Эти возможности помогают предотвратить выполнение скомпрометированным кодом вредоносных действий, включая скимминг банковских карт.

Продукты: Client-side security

Скупка товаров происходит, когда вредоносные боты используются для покупки больших объёмов товаров в интернет-магазинах, из-за чего добросовестные покупатели не могут их приобрести. Это создаёт множество проблем для бизнеса: искусственный дефицит, завышение цен и потерю доступа для добросовестных клиентов. Cloudflare Bot Management позволяет обнаруживать потенциально вредоносных ботов. Проверки Cloudflare также можно использовать для проверки подозрительных запросов и остановки автоматизированных процессов. Политики WAF с определёнными критериями запросов помогают предотвращать такие атаки.

Продукты: Bot management, WAF

Фаззинг ↗ это метод автоматизированного тестирования, применяемый злоумышленниками, который использует различные комбинации данных и шаблонов для передачи в систему недопустимых, некорректных или неожиданных входных данных. Злоумышленник рассчитывает найти дефекты и уязвимости, которые затем можно эксплуатировать. Cloudflare WAF использует машинное обучение для обнаружения попыток обхода политик безопасности с помощью fuzzing. Оценка атаки WAF дополняет управляемые правила и показывает вероятность атаки.

Bot Management может обнаруживать потенциально вредоносных ботов за счёт автоматизации сканирования уязвимостей. С помощью API Shield клиенты могут использовать проверку схемы и защиту от последовательностей запросов, чтобы предотвратить автоматическое сканирование и фаззинг API.

Продукты: WAF, Bot Management, API Shield

Атаки Cross-Site Scripting (XSS) представляют собой разновидность инъекционных атак, при которых вредоносные скрипты внедряются на веб-сайты, а затем выполняются в браузере конечного пользователя для доступа к конфиденциальной информации, например токенам сессии, файлам cookie и другим данным.

Cloudflare WAF использует машинное обучение для выявления попыток обхода политик безопасности и присваивает отдельный показатель WAF Attack Score, отражающий вероятность того, что запрос является XSS-атакой.

Продукты: WAF

При атаке с удалённым выполнением кода (RCE) злоумышленник запускает вредоносный код на компьютерах или в сети организации. Возможность выполнять код, контролируемый злоумышленником, может использоваться для разных целей, включая развёртывание дополнительного вредоносного ПО или кражу конфиденциальных данных.

Cloudflare WAF использует машинное обучение для выявления попыток обхода политик безопасности и присваивает отдельный показатель WAF Attack Score, отражающий вероятность того, что запрос является RCE-атакой.

Продукты: WAF

SQL-инъекция (Structured Query Language Injection, SQLi) представляет собой технику внедрения кода, которая используется для изменения или получения данных из баз данных SQL. Злоумышленник вставляет специально составленные SQL-команды в поле ввода и тем самым получает возможность выполнять команды, позволяющие извлекать данные из базы, уничтожать конфиденциальные данные или совершать другие вредоносные действия.

Cloudflare WAF использует машинное обучение для выявления попыток обхода политик безопасности и присваивает отдельный показатель WAF Attack Score, отражающий вероятность того, что запрос является SQLi-атакой.

Продукты: WAF

Термином «вредоносное ПО» обозначают вирусы, черви, трояны, программы-вымогатели, шпионское и рекламное ПО и другие виды вредоносного программного обеспечения. Ключевой признак вредоносного ПО в том, что оно создаётся намеренно во вред; программы, которые причиняют вред непреднамеренно, вредоносным ПО не считаются.

При включённом сканировании загружаемого контента система пытается обнаружить такие объекты, как загружаемые файлы, и проверяет их на наличие вредоносных сигнатур, например вредоносного ПО. Результаты сканирования вместе с дополнительными метаданными становятся доступны в виде полей в пользовательских правилах WAF, что позволяет клиентам создавать точечные правила противодействия угрозам.

Продукты: WAF: Uploaded Content Scanning

В этом документе рассмотрены некоторые распространенные атаки и продукты Cloudflare, используемые для обнаружения и нейтрализации соответствующих угроз. Ниже приведены дополнительные сведения о каждом продукте из портфеля решений Cloudflare для безопасности приложений и сети.

Security Analytics объединяет все возможности Cloudflare по обнаружению угроз в единой панели управления. Клиенты сразу видят сводную информацию о заблокированном и незаблокированном трафике, атаках, ботах, попытках загрузки вредоносного содержимого, а также подробный анализ ограничения скорости запросов и попыток захвата учётных записей. Прямо на панели с обнаруженными угрозами клиент может одним нажатием кнопки включить политики для их устранения.

Используя Cloudflare WAF, клиенты могут развертывать пользовательские правила на основе очень детальных критериев запроса, чтобы устранять конкретные угрозы или блокировать запросы с определёнными аномалиями HTTP. Кроме того, клиенты могут развертывать управляемые правила Cloudflare для защиты от атак нулевого дня, распространенных атак из списка OWASP Top 10, запросов с использованием известных утекших учетных данных и запросов, извлекающих конфиденциальные данные.

WAF Managed Rules позволяют клиентам развёртывать предварительно настроенные управляемые наборы правил, обеспечивающие немедленную защиту от:

• Уязвимости нулевого дня
• 10 основных техник атак
• Использование украденных или скомпрометированных учётных данных
• Извлечение конфиденциальных данных

Ограничение скорости запросов можно использовать для снижения различных видов атак, включая объёмные атаки, credential stuffing, веб-скрейпинг и DoS-атаки. Rate limiting в Cloudflare позволяет клиентам задавать лимиты запросов, соответствующих определённому выражению, и действие, которое нужно выполнить при достижении этих лимитов. Ограничение частоты запросов может быть детализировано по конкретным критериям запроса или заголовка, а также может основываться на сессиях или API-токенах. Клиенты могут настраивать такие действия, как логирование, блокировка и challenge, применяемые при превышении заданной частоты.

Клиенты также могут настроить, какие критерии запроса используются в качестве счётчика для определения момента ограничения или блокировки после превышения лимита. Для ограничения скорости запросов клиенты могут реализовать два разных варианта поведения:

1. Блокировать на выбранный срок. После превышения этого показателя WAF блокирует все запросы на выбранный период, пока счетчик не будет сброшен.

2. Ограничение запросов, превышающих максимально настроенную скорость. WAF блокирует запросы, превышающие настроенную скорость, а остальные запросы пропускает. Это поведение можно сравнить с эффектом скользящего окна.

Cloudflare HTTP DDoS Attack Protection managed ruleset представляет собой набор предварительно настроенных правил, используемых для сопоставления с известными векторами DDoS-атак на уровне 7 (уровень приложений) в глобальной сети Cloudflare. Правила распознают известные шаблоны атак и инструменты, подозрительные шаблоны, нарушения протокола, запросы, вызывающие большое количество ошибок источника, избыточный трафик, поступающий к источнику или в кэш, а также другие векторы атак на уровне приложений. Cloudflare регулярно обновляет список правил в managed ruleset.

API Shield это продукт Cloudflare для управления API и обеспечения его безопасности. API Shield обеспечивает видимость за счет обнаружения API и аналитики, предоставляет управление конечными точками, реализует модель позитивной безопасности и предотвращает злоупотребления API.

API Discovery в составе API Gateway с помощью машинного обучения выявляет все конечные точки API в среде клиента. После этого клиенты могут сохранить конечные точки в Endpoint Management, чтобы собирать дополнительные данные о производительности и ошибках API и применять политики безопасности.

Клиенты могут включить позитивную модель безопасности на основе mTLS, проверки JWT и проверки схемы, а также защититься от дополнительных злоупотреблений API с помощью ограничения скорости запросов, защиты от объёмных злоупотреблений, снижения риска нарушений последовательности запросов и защиты GraphQL.

Bot Management используется для противодействия различным вредоносным действиям, включая веб-скрапинг, скрапинг цен, скупку товарных запасов и подбор учетных данных. Cloudflare располагает многоуровневыми возможностями противодействия ботам, включая эвристику, машинное обучение, обнаружение аномалий и JS-фингерпринтинг. Bot Management также присваивает оценку бота каждому запросу. На основе оценок бота можно создавать правила WAF для формирования детализированных политик безопасности.

Кроме того, Cloudflare может выдавать клиентам проверку (challenge), если заподозрит нежелательную активность ботов. Cloudflare предлагает свой проверка платформа, на которой подходящий тип проверки динамически выбирается на основе характеристик запроса. Это помогает избежать CAPTCHA, которые ухудшают опыт пользователя.

В зависимости от характеристик запроса Cloudflare выбирает подходящий тип проверки, включая, но не ограничиваясь следующими:

• Неинтерактивная проверка.
• Настраиваемая интерактивная проверка (например, нажатие кнопки).
• Private Access Tokens (с использованием последних версий операционных систем Apple).

С Turnstile, Cloudflare полностью отказался от CAPTCHA. Turnstile представляет собой умную альтернативу CAPTCHA от Cloudflare. Его можно встроить на любой сайт без пропуска трафика через Cloudflare, и он работает, не показывая посетителям CAPTCHA. Turnstile позволяет запускать проверки в любом месте сайта менее навязчивым способом и использует API для взаимодействия с платформой Cloudflare Managed Challenge.

Client-side security (ранее Page Shield) обеспечивает безопасность браузерного окружения посетителей сайта и защищает от атак на стороне клиента, таких как Magecart. Используя Content Security Policy (CSP), развёрнутую в режиме report-only для сбора информации из браузера, client-side security отслеживает загружаемые ресурсы, такие как скрипты, и обнаруживает новые ресурсы или соединения, инициируемые браузером. Кроме того, client-side security оповещает клиентов при обнаружении скриптов с вредоносных доменов или URL, а также соединений из браузера с вредоносными доменами или URL.

Защита на стороне клиента может загружать исходные файлы JavaScript и пропускать их через классификатор машинного обучения для выявления вредоносного поведения и активности. Результатом является JS Integrity Score, показывающий, является ли файл JavaScript вредоносным.

Cloudflare SSL/TLS предоставляет ряд функций, отвечающих требованиям клиентов к шифрованию и потребностям в управлении сертификатами. Именно сертификат SSL/TLS позволяет веб сайтам и приложениям устанавливать безопасные соединения. При использовании SSL/TLS клиент, например браузер, может проверить подлинность и целостность сервера, к которому он подключается, и использовать шифрование для обмена информацией.

Глобальная сеть Cloudflare лежит в основе целого ряда продуктов и сервисов Cloudflare. Применительно к SSL/TLS это означает, что в одном запросе может участвовать не один, а два сертификата: edge-сертификат и origin-сертификат.

Edge-сертификаты предъявляются клиентам, которые заходят на сайт или в приложение клиента. Origin-сертификаты обеспечивают безопасность и аутентификацию на другом участке сети, между Cloudflare и исходным сервером (origin) сайта или приложения клиента. режимы шифрования SSL/TLS определяют, будет ли Cloudflare использовать оба этих сертификата и как именно, при этом можно выбирать между разными режимами.

Клиенты также могут включить двусторонняя защита транспортного уровня (mTLS) для хостов и конечных точек API, что усиливает безопасность аутентификации и гарантирует доступ только устройствам с действительными сертификатами. Дополнительные функции безопасности, такие как Authenticated Origin Pulls можно настроить так, чтобы запросы к origin-серверу гарантированно поступали из сети Cloudflare. Keyless SSL позволяет клиентам, заботящимся о безопасности, загружать собственные сертификаты и пользоваться преимуществами Cloudflare, не раскрывая приватные ключи TLS. С помощью Cloudflare for SaaS, клиенты также могут выпускать и проверять сертификаты для своих собственных клиентов.

Cloudflare Security Center предлагает управление поверхностью атаки (ASM), которое инвентаризирует ИТ активы, выявляет потенциальные проблемы безопасности, контролирует риски фишинга и спуфинга и позволяет командам безопасности расследовать угрозы и устранять их в несколько кликов. Security Center служит отличной отправной точкой для аналитиков безопасности, чтобы получить общую картину всех потенциальных проблем по всем приложениям и доменам.

Основные возможности:

• Инвентаризируйте и проверяйте активы ИТ-инфраструктуры, такие как домены, ASN и IP-адреса.
• Ведите постоянно актуальный список ошибок конфигурации и рисков в ИТ-активах Cloudflare.
• Запрашивайте данные об угрозах, собранные сетью Cloudflare, чтобы исследовать риски безопасности и реагировать на них.
• Получите полный контроль над тем, кто отправляет письма от имени вашей организации, с помощью DMARC Management.

Если вы создаёте и размещаете собственное SaaS-решение, то Cloudflare for SaaS может представлять интерес. Он позволяет клиентам распространять преимущества сети Cloudflare в области безопасности и производительности на своих клиентов через собственные пользовательские или vanity-домены. Cloudflare for SaaS предлагает несколько вариантов настройки. На диаграмме ниже пользовательские имена хостов маршрутизируются на сервер источника по умолчанию, называемый “fallback origin”.

Magic Transit защищает целые подсети IP от DDoS атак, обнаруживая угрозы менее чем за секунду и одновременно ускоряя сетевой трафик. Для отражения атак используется глобальная сеть Cloudflare с применением стандартных сетевых протоколов, таких как BGP, GRE и IPsec, для маршрутизации и инкапсуляции.

Все сетевые активы, независимо от того, находятся ли они локально или в частных либо публичных облачных средах, можно легко защитить, разместив их за сетью Cloudflare и анонсируя их из этой сети, обладающей пропускной способностью более 405 Тбит/с.

С Cloudflare WAN, клиенты могут безопасно подключить к сети Cloudflare любой источник трафика: дата-центры, офисы, устройства, облачные ресурсы, и настроить политики маршрутизации, чтобы данные попадали туда, куда нужно. Cloudflare WAN поддерживает разные способы подключения, включая туннели anycast GRE и IPsec, Cloudflare Network Interconnect, Cloudflare Tunnel, Cloudflare One Client, а также ряд партнеров по сетевому подключению. Cloudflare WAN помогает отказаться от традиционных устройств SD-WAN и безопасно объединить пользователей, офисы, дата-центры и гибридное облако через глобальную сеть Cloudflare, не полагаясь на оборудование или программное обеспечение конкретного поставщика.

Cloudflare Network Firewall это решение Cloudflare класса firewall-as-a-service, работающее в глобальной сети Cloudflare и интегрированное с Magic Transit и Cloudflare WAN. Оно позволяет применять единые политики сетевой безопасности по всей WAN-сети клиента, включая головной офис, филиалы и виртуальные частные облака. Клиенты могут развертывать детализированные правила, глобально фильтрующие трафик по протоколу, порту, IP-адресам, длине пакета и совпадению битовых полей.

Сетевой поток (ранее Magic Network Monitoring) представляет собой облачное решение для мониторинга сетевых потоков, которое даёт клиентам полную видимость сетевого трафика, определение типа DDoS атак и оповещения об объёмном трафике. При обнаружении DDoS атаки оповещение можно получить по электронной почте, webhook или через PagerDuty.

Spectrum это продукт обратного прокси, распространяющий преимущества Cloudflare на все TCP/UDP-приложения и обеспечивающий защиту от DDoS на уровне L4. Spectrum также предоставляет IP-файрвол, позволяющий клиентам блокировать IP-адреса или диапазоны IP-адресов для детального контроля трафика, поступающего на серверы приложений. Кроме того, клиенты могут настраивать правила для блокировки посетителей из определенной страны или даже по номеру автономной системы (ASN).

Частные ресурсы обычно содержат высокочувствительную конфиденциальную информацию компании, и доступ к ним значительно более ограничен: либо в силу законодательных требований, либо из-за характера конфиденциальности самих данных. Раньше частные приложения были доступны только из частных сетей внутри зданий компании, куда пользователям требовался физический доступ. Однако сегодня всем известно, что доступ к частным ресурсам должен быть возможен из самых разных мест, и, как ни парадоксально, частные приложения могут находиться в весьма публичных местах. Большинство SaaS-приложений открыты для публичного интернета.

Ниже перечислены типичные атрибуты приватных ресурсов:

• Пользователи заранее авторизованы и подготовлены. Они не могут просто зарегистрироваться. Им нужно предоставить конкретный доступ к ресурсу либо напрямую, либо через механизмы контроля доступа, такие как сертификаты, членство в группах или назначение ролей.
• Сетевой доступ к ресурсу, размещённому собственными силами, как правило, жёстко ограничен частными маршрутами и недоступен из обычного интернета.
• Частные ресурсы, размещённые в дата-центрах (физических или виртуальных) и подключённые к сетям, которые размещает и обслуживает сама компания: локальным сетям или виртуальным частным сетям, развёрнутым в публичной облачной инфраструктуре.

Как уже говорилось, для традиционного доступа к частным ресурсам требовался физический доступ к сети: присутствие в офисе с подключением по Ethernet. По мере роста потребности в удалённом доступе компании устанавливали локальные VPN-серверы, позволявшие пользователям и устройствам «дозваниваться» до этих частных сетей. Многие приложения покинули такие частные сети и переехали в SaaS-решения или разместились в инфраструктуре публичного облака. Такой традиционный подход стал неуправляемым и дорогостоящим, поскольку для сетевого подключения и контроля доступа применяется множество разных технологий.

Важно также отметить, что многие сервисы, используемые для защиты и обеспечения связности публичных ресурсов, можно применять и для частных ресурсов. Самый очевидный пример здесь: Cloudflare WAN и Cloudflare Network Firewall. Заказчики также используют наш WAF перед приложениями с частным размещением, доступными только через частные сети. Идея в том, что даже если доступ к приложению возможен только из доверенных частных соединений, злоумышленник всё равно может скомпрометировать устройство, которое считается доверенным, поэтому атаки внедрения на уровне приложения и другие уязвимости могут быть использованы устройствами с уже имеющимся доверенным сетевым доступом. Это полностью соответствует идее программы безопасности Zero Trust. Подробнее о подходах к Zero Trust с использованием платформы SASE читайте в нашем Эталонная архитектура SASE.

По мере описания следующих сервисов Cloudflare вы увидите, как сеть Cloudflare и наши способы подключения к вашим частным сетям обеспечивают более высокий уровень безопасности, гибкости и более централизованную плоскость управления доступом к частным ресурсам. На следующей схеме показана среда, типичная для частной инфраструктуры клиента.

Защиту внутренних ресурсов можно разделить на следующие направления.

• Защита соединения между пользователем и приложением или сетью.
• Системы идентификации, которые обеспечивают аутентификацию и поддерживают данные о пользователях и их членстве в группах.
• Политики, контролирующие доступ пользователей к приложениям и данным.
• Средства защиты данных для выявления и защиты конфиденциальных данных.
• Защита пользователей и устройств от атак (вредоносное ПО, фишинг и т. д.), источником которых является доступ в интернет.
• Операционная видимость для ИТ-команд и команд безопасности.

Многие частные приложения и сети не имеют прямого подключения к интернету. Как уже упоминалось, доступ к ним традиционно обеспечивался одним из двух способов. Первый способ: пользователи физически подключаются к той же сети, где находятся частные ресурсы, например приходят в офис и подключаются к офисному Wi-Fi. Второй способ: установление VPN-соединения через интернет и «дозвон» до частной сети компании.

Однако сегодняшняя потребность остается прежней. У вас есть приватные сети с приватными приложениями, а удаленным пользователям нужен доступ к ним. Cloudflare стоит рассматривать как новую корпоративную сеть, в которой все авторизованные пользователи (сотрудники, подрядчики, партнеры) могут подключаться к любому приватному приложению из любой точки. Это значит, что в топологии вашей сети Cloudflare займет центральное место, обеспечивая связь между всеми сетями.

На диаграмме выше показаны различные частные сети и устройства конечных пользователей, подключённые к Cloudflare, которая обеспечивает маршрутизацию и контроль доступа между этими сетями, а значит и между приложениями и другими ресурсами. Такой трафик часто называют East to West, поскольку он и исходит из частной управляемой сети, и направлен в неё.

Поскольку весь сетевой трафик проходит через Cloudflare, средства защиты определяются и применяются ко всему трафику, перемещающемуся между сетями. Пока сеть, устройство или пользователь подключены к Cloudflare, вы можете идентифицировать их и применять политику. Это также означает, что такие задачи, как защита данных, можно упростить: достаточно одного правила, чтобы обнаруживать передачу конфиденциальных данных и доступ к ним и легко применять его во всей сети.

Существующая частная инфраструктура может быть сложной. Cloudflare предлагает различные способы, с помощью которых компании могут подключать свои сети и пользовательские устройства к этой новой корпоративной сети. Мы часто называем эти способы "точками входа", что описывает, как трафик определённой сети или устройства направляется в Cloudflare. В следующей таблице перечислены эти способы.

Подробнее о том, как работают эти методы, см. в нашей Эталонная архитектура SASE.

Все перечисленные выше методы предназначены для подключения сетей и приложений к Cloudflare, при этом некоторые пользователи будут работать на устройствах, подключённых непосредственно к этим сетям: в головном офисе компании, в филиале или в торговой точке. Однако многие пользователи работают из дома, из кофейни или даже в самолёте. Для подключения таких пользователей к Cloudflare предусмотрены следующие методы. Концепция та же, что и при установке клиента VPN на устройство пользователя, с той разницей, что соединение устанавливается с глобальной сетью Cloudflare, а не с собственными VPN-устройствами компании.

Для наилучшего удобства пользователей и максимального контроля доступа мы рекомендуем развернуть наш агент устройства на устройства. Агент, поддерживаемый на Windows, macOS, Linux, iOS и Android, выполняет две основные функции. Во-первых, он направляет весь трафик с устройства в Cloudflare, обеспечивая доступ ко всем вашим существующим подключённым частным сетям и приложениям. Во-вторых, агент предоставляет информацию о состоянии устройства, например версию операционной системы, статус шифрования хранилища и другие сведения. Эта информация затем связывается с аутентифицированным пользователем и может использоваться в политике контроля доступа. Агент можно установить вручную, но большинство организаций развёртывают его с помощью систем управления устройствами (MDM).

Бывают случаи, когда установить программное обеспечение на устройства конечных пользователей невозможно. В таких случаях Cloudflare предоставляет прокси-конечную точку, к которой можно настроить браузеры для направления трафика в Cloudflare. Это делается либо вручную конечным пользователем, либо с помощью автоматизированная настройка браузера файлы.

В некоторых случаях у вас нет возможности никак изменить конечное устройство. В таких случаях мы предоставляем пользователю доступ к браузеру, который выполняется непосредственно в нашей edge-сети. Это служба изоляции браузера требует, чтобы пользователи открыли в браузере URL адрес Cloudflare, который в свою очередь запускает безопасный headless браузер на одном из наших граничных серверов. Далее используются безопасные каналы через соединения HTTPS и WebRTC. Подробнее см. эта архитектура.

Пользователи не могут просто зарегистрироваться и получить доступ к вашим приватным ресурсам: их идентификационные и учётные данные обычно создаются и управляются в корпоративном поставщике идентификации (IdP). Cloudflare интегрируется как с корпоративные и потребительские сервисы идентификации, а также предоставляет простой сервис одноразовых паролей (OTP) по электронной почте на случай, если пользователя нужно аутентифицировать, зная только его адрес электронной почты.

Cloudflare поддерживает интеграцию с несколькими провайдерами идентификации, в том числе одного типа. Например, если у вас есть инстанс Okta для сотрудников, а после приобретения другой компании появился еще один инстанс Okta, оба можно интегрировать с Cloudflare. В этом случае Cloudflare выступает прокси для процесса SSO. Приложения настраиваются через SAML и OIDC так, чтобы для аутентификации использовать Cloudflare, а Cloudflare, в свою очередь, перенаправляет пользователей через процесс аутентификации интегрированного IdP. Данные о группах также можно синхронизировать в Cloudflare через SCIM и использовать в политиках контроля доступа.

Такая централизация идентификации на едином уровне контроля доступа позволяет создавать четко определенные и легко управляемые политики, применимые ко всей сети. Если впоследствии вы решите перейти от одного IdP к другому, достаточно будет изменить только одну интеграцию идентификации с Cloudflare, а все последующие приложения и существующие политики продолжат работать без изменений.

Этот документ посвящён безопасности. Теперь, когда приложения, устройства, идентичности и сети связаны между собой, каждый запрос к любому ресурсу сети и от него, а также в интернет, проходит через сервисы контроля доступа и межсетевого экрана Cloudflare. Два сервиса применяют к трафику политики на основе правил.

• Zero Trust Network Access: Наш Доступ продукт управляет доступом к определённым сетям или приложениям, которые считаются частными. Он обеспечивает аутентификацию как для пользователей через существующего поставщика идентификации, так и для других приложений через сервисные токены или mTLS.
• Secure Web Gateway: Наш Gateway продукт используется для анализа трафика и применения политик независимо от места назначения. Чаще всего он используется для разрешения, блокировки или изоляции трафика, направленного в интернет. Это можно применять для контроля доступа к SaaS приложениям, но любой трафик, проходящий через Cloudflare, может быть проверен Gateway, который может применить к нему соответствующие действия. Поэтому его также можно использовать для добавления дополнительного контроля доступа к приложениям, не относящимся к интернету и передаваемым через частные туннели.

Эти две технологии можно комбинировать, чтобы обеспечить надлежащий доступ к частным приложениям. Для пользователей с нашим агент устройства установлен, политики также могут включать требования на уровне устройства. В сочетании с данными идентификации можно создавать политики, подобные приведенной ниже, для контроля доступа, например, к внутреннему инструменту администрирования базы данных.

• Пользователь должен пройти аутентификацию через корпоративный IdP с использованием MFA
• Пользователь должен входить в группу "Database Administrators" в IdP
• Показатель риска Crowdstrike для устройства пользователя должен быть выше 70
• Устройство пользователя должно работать на самой последней версии операционной системы

Можно определить группы доступа пользователей, которые затем применяются сразу в нескольких политиках. Это позволяет ИТ-специалистам и специалистам по безопасности один раз описать, как выглядит защищённый администратор, а затем использовать это определение во многих политиках.

Весь трафик проходит через Cloudflare, а значит, через Cloudflare проходят и все данные. Это позволяет применять к такому трафику меры контроля данных. Как правило, сотрудникам разрешается доступ к конфиденциальным приложениям и данным только с управляемых устройств, на которых агент устройства устанавливает сертификаты Cloudflare, позволяющие Cloudflare завершать SSL-соединения в своей сети. Это, в свою очередь, даёт возможность проверять содержимое HTTPS-трафика и создавать политики для управления такими данными и их защиты.

У Cloudflare есть предотвращение потери данных (DLP), определяющий профили для выявления конфиденциальных данных. Эти профили затем используются в политиках Gateway для сопоставления с определённым трафиком и его разрешения, блокировки или изоляции.

Те же профили DLP можно использовать и в нашем сервисе Cloud Access Security Broker (CASB), где Cloudflare интегрируется с SaaS приложениями через API. После этого мы проверяем хранилище и конфигурацию таких приложений на предмет ошибок конфигурации или конфиденциальных данных, оказавшихся в открытом доступе.

Значительная часть этого раздела посвящена защите доступа к приватным сетям и приложениям, но компании также необходимо защищать своих сотрудников и их устройства. Наш защищённый веб-шлюз (SWG) располагается между пользователями, подключёнными к Cloudflare, и любым ресурсом, к которому они пытаются получить доступ, будь то публичным или частным. Можно создавать политики, запрещающие сотрудникам доступ к рискованным сайтам или известным источникам вредоносного ПО. Также можно создавать политики для снижения риска фишинговых атак, блокируя доступ к доменам и сайтам, известным как часть фишинговых кампаний. Защита пользователей и их устройств от угроз интернета также снижает риски, связанные с обращением этих же пользователей и устройств к частным ресурсам.

Ещё один важный частный ресурс, который необходимо защищать, это электронная почта. Часто это один из самых конфиденциальных ресурсов, поскольку он содержит закрытую переписку всей организации. Это также распространённая поверхность атаки, в основном за счёт фишинговых атак. Email security ↗ (CES) проверяет все письма во входящих ящиках ваших сотрудников и выявляет поддельные, вредоносные или подозрительные письма, а также может быть настроен на автоматическое реагирование. CES интегрируется путём изменения MX записей домена и перенаправления всей почты через Cloudflare. Ещё один вариант для Microsoft и Google предполагает интеграцию через API с проверкой писем, уже находящихся во входящих пользователя. В подозрительных письмах ссылки переписываются, чтобы задействовать служба изоляции браузера чтобы при переходе пользователя на этот сайт его локальное устройство было защищено от любого вредоносного кода, который может выполняться в браузере.

Независимо от того, частные у вас ресурсы или публичные, важно видеть, что происходит. В административной консоли Cloudflare есть широкий набор встроенных дашбордов и отчётов для быстрого обзора. Также можно настроить уведомления, чтобы информировать администраторов о важных событиях по электронной почте или через такие сервисы, как PagerDuty.

Все сервисы Cloudflare предоставляют подробные журналы активности. Эти журналы можно экспортировать и в другие инструменты мониторинга безопасности или SIEM-системы с помощью наших интеграций доставки журналов. Есть встроенные интеграции с такими популярными сервисами, как AWS, Datadog, Splunk, New Relic и Sumo Logic. Кроме того, поддерживается доставка журналов в хранилища Azure и Google, а также в Amazon S3 и совместимые с S3 сервисы.

На приведённой ниже диаграмме показано, как сервисы SASE от Cloudflare обеспечивают подключение к вашим частным ресурсам и защищают доступ к ним. Более подробный разбор приведён в Эталонная архитектура SASE.

Многие сервисы безопасности Cloudflare построены на высокооптимизированной бессерверной вычислительной платформе на основе V8 Isolates ↗ который лежит в основе нашей платформы для разработчиков. Как и все наши сервисы, бессерверные вычислительные нагрузки выполняются на всех серверах нашей глобальной сети. Хотя наши сервисы безопасности предлагают широкий набор функций, клиентам всегда важна максимальная гибкость, чтобы писать собственные решения. Поэтому клиенты могут использовать Cloudflare Workers и сопутствующие сервисы (R2, D1, KV, Queues) для работы с сетевым трафиком, поступающим к их ресурсам и исходящим от них, а также для реализации сложной логики безопасности.

Следующие сценарии показывают, как команды безопасности наших клиентов используют наш платформа для разработчиков ↗:

• В нашем сервисе ZTNA, Cloudflare Access, при запросе доступа к частному ресурсу этот запрос может включать вызов Cloudflare Worker с передачей всей известной информации о пользователе. Затем можно реализовать собственную бизнес-логику для принятия решения о доступе. Например:
  • Разрешайте доступ только в рабочее время сотрудника. Проверяйте это через API-запросы к системам учета сотрудников.
  • Разрешать доступ только при наличии объявленного инцидента в PagerDuty.
• Используйте honeypot-ловушки для ботов: поскольку Workers можно подключать к маршрутам любого ресурса, защищённого Cloudflare, вы можете проверять bot score запроса, а затем перенаправлять или изменять запрос, если подозреваете, что трафик нелегитимен. Например, можно выполнить запрос, но изменить ответ, скрыв информацию или подменив значения для защиты данных.
• Написание сложных правил уровня WAF (web application firewall): как было описано выше, наш WAF очень эффективен для защиты общедоступных приложений. Но с помощью Workers можно писать чрезвычайно сложные правила на основе информации, содержащейся в IncomingRequestCfProperties, которые предоставляют метаданные для каждого запроса. Эти свойства содержат обширную информацию и могут быть выражены в виде кода для эффективной реализации правил.
• Дополнение трафика информацией безопасности: перед вашим нижестоящим приложением могут работать другие продукты безопасности, либо само приложение может обеспечивать дополнительную защиту при наличии определенных HTTP-заголовков. С помощью Workers можно дополнять любые запросы к приложению, добавляя заголовки, которые помогают нижестоящему приложению реализовать более строгий контроль безопасности.
• Разработка собственного сервиса аутентификации: у некоторых клиентов бывают экстремальные требования, и возможности Workers позволяют, как это сделали мы сами в своем продуктовом стеке, написать целый стек аутентификации. Один такой клиент сделала именно это ↗. Это нечастый случай, но он показывает, насколько гибко можно использовать Cloudflare. Вы можете сочетать написанный вами сложный код с нашими продуктами, чтобы точно настроить нужный результат в области безопасности.

Использование Workers для реализации части мер безопасности дает следующие преимущества:

• Расширенная логика и тестируемость: Позволяет реализовывать сложную логику, которую легко покрыть модульными тестами.
• Доступность для разработчиков: Функции безопасности доступны более широкой аудитории благодаря нативной поддержке таких языков, как JavaScript, TypeScript, Rust и Python, привычных большинству разработчиков.
• Гранулярность и гибкость: Обеспечивает беспрецедентную гибкость настройки: поддерживает регулярные выражения, разбор JSON и удобный доступ к заголовкам и телам запросов и ответов, обогащённым данными Cloudflare. Политики можно строить на основе любого параметра запроса или ответа.
• Изменение ответа: Традиционные стеки безопасности часто ориентированы только на запросы, тогда как Workers позволяет без труда изменять и ответы. Например, для повышения безопасности можно скрывать подробные сообщения об ошибках.
• Внедрение циклов DevSecOps: Workers значительно упрощает соблюдение лучших практик DevSecOps, таких как контроль версий, аудит кода, автоматизированное тестирование, постепенное развёртывание и возможность отката.

Однако стоит учесть и следующее:

• Стоимость: Добавление Workers в процесс обработки запроса увеличивает расходы. Однако для сценариев со значимым эффектом безопасности это может быть оправдано.
• Задержка: Хотя влияние минимально, задержка трафика всегда будет немного увеличиваться, поскольку на каждый запрос выполняется ваша собственная логика.
• Требует навыков разработчика: Это может показаться очевидным, но всё же стоит упомянуть. Для использования Workers нужна команда разработки, которая будет создавать, тестировать и поддерживать написанный код.

Ниже можно ознакомиться с примерами использования платформы Workers для безопасность или authentication сценариев использования.

Теперь у вас должно сложиться четкое понимание масштаба сети Cloudflare, того, как она защищена и эксплуатируется, а также широкого набора доступных вам сервисов для защиты бизнес-активов. Мы построили будущее сетевых технологий и безопасности и приглашаем вас рассмотреть наши сервисы для более надежной защиты вашего бизнеса.

Таким образом, использование Cloudflare для защиты вашего бизнеса даёт следующие преимущества:

• Защита всех активов вашего бизнеса, будь то публичные или частные.
• Используйте широкий набор сервисов безопасности на единой платформе.
• Полагайтесь на масштабируемую сеть с высокой производительностью и надежностью.
• Настройте меры безопасности один раз, в едином дашборде, и управляйте трафиком из любой точки.
• Дайте командам DevSecOps полную поддержку API и Terraform.

У нас есть очень простой самостоятельная регистрация ↗, где многие наши сервисы можно бесплатно протестировать. Если вы хотите оценить Cloudflare вместе с нашей командой экспертов, пожалуйста, свяжитесь с нами ↗.