← Справочные архитектуры / reference-architecture / diagrams / sase

Защитный DNS для государственных организаций

Защитные DNS-сервисы представляют собой сервисы безопасности, которые анализируют DNS-запросы и блокируют доступ к вредоносным сайтам и другому опасному контенту в интернете. По мере того как технологии приобретают всё большее значение для работы государственного сектора, государственные ведомства стремятся внедрять эти сервисы кибербезопасности, чтобы усилить обнаружение инцидентов и реагирование на них, а также построить более отказоустойчивые корпоративные сети. Раньше внедрение подобных решений было связано со значительными трудностями из-за использования устаревших систем, которые требовали дорогостоящего локального оборудования. Из-за этого решение было сложно развёртывать и обслуживать, а после развёртывания возникали проблемы с масштабируемостью и доступностью.

Сегодня эти ограничения можно устранить с помощью облачных решений, таких как Cloudflare Gateway, наш сервис Secure Web Gateway. Возможности фильтрации DNS в Cloudflare Gateway позволяют администраторам повысить уровень безопасности. Благодаря простым в создании политикам на основе обширная аналитика угроз ↗, государственные учреждения могут эффективно защищать своих конечных пользователей от доступа к потенциально вредоносные домены. Кроме того, организации могут дополнительно усилить эту защиту с помощью интеграция собственных данных аналитики угроз ↗ в политики.

Наконец, Cloudflare Gateway снимает вопросы, связанные с доступностью, производительностью и масштабируемостью, поскольку построен на публичный DNS-резолвер Cloudflare 1.1.1.1, один из самый быстрый ↗ и самых широко используемых DNS-резолверов в мире.

Cloudflare предоставляет гибкие модели развертывания DNS и обеспечивает надежную защиту для каждого пользователя независимо от его местонахождения. Сервис поддерживает как офисных, так и удаленных пользователей, что дает гибкость, необходимую для самых разных операционных требований.

ИТ-администраторы перенаправляют публичные DNS-запросы в Cloudflare, где они фильтруются и записываются в журнал в соответствии с настроенными политиками фильтрации DNS. В роли DNS-форвардеров может выступать как собственная приватная DNS-инфраструктура организации, так и сетевые устройства, например маршрутизаторы на удаленных площадках, настроенные как локальные DNS-серверы.

Чтобы различать запросы, поступающие от подведомственных государственных ведомств и учреждений, администраторы настраивают локацию в дашборде Cloudflare. При создании DNS-локации Gateway присваивает ей адреса IPv4/IPv6 и имена хостов DNS over TLS/HTTPS (DoT/DoH). Администраторы используют эти адреса и имена хостов для отправки DNS-запросов на резолвинг. В свою очередь администратор указывает в объекте локации публичные IP-адреса своих локальных DNS-серверов, что позволяет Cloudflare точно связывать запросы с соответствующей локацией.

Фильтрация DNS затем применяется с помощью политик, настроенных администратором для выявления доменов, связанных с риски безопасности. Cloudflare постоянно обновляет список доменов с высоким риском, используя его обширная аналитика угроз ↗. Когда DNS-запрос соответствует помеченному домену, выполняется действие, указанное в DNS-политике. Таким действием может быть 'Block,' где Gateway отвечает 0.0.0.0 для запросов IPv4 или :: для запросов IPv6, либо отображает пользовательская страница блокировки, размещённая на Cloudflare. В качестве альтернативы Переопределение действие или перенаправление на URL страницы блокировки может перенаправлять DNS-запрос на страницу блокировки, размещённую государственным ведомством.

Собственная информация об угрозах (threat intelligence) Cloudflare легко объединяется с данными об угрозах, которые предоставляет ведомство или сторонние источники. В этой схеме ведомство или сторонняя организация выступает в роли поставщик фида угроз в Cloudflare. Это позволяет ИТ-администраторам создавать DNS-политики, объединяющие категории риска безопасности Cloudflare с данными, предоставленными ведомством, для единой и усиленной защиты (см. диаграмму ниже). Кроме того, общедоступные пользовательские фиды индикаторов доступен подходящим организациям государственного и частного сектора без необходимости устанавливать отношения с провайдером, что дополнительно расширяет возможности безопасности.

Для пользователей, не подключённых к сети агентства, можно перенаправлять DNS-запросы в Cloudflare с помощью DNS over HTTPS (DoH) имя хоста, предоставленное расположение. Для этого требуется настройка на каждом устройстве, что можно сделать с помощью существующих решений для управления. Этот подход можно дополнительно улучшить, если использовать токен аутентификации, привязанный к конкретному пользователю. Эти токены позволяют Cloudflare связывать DNS-запросы с конкретными пользователями, обеспечивая детальную видимость и упрощая применение политик для отдельных пользователей.

Для более сложных DNS-политик на основе учётных данных можно развернуть агент устройства Cloudflare. В этой схеме пользователи проходят аутентификацию в агенте устройства через провайдер идентификации, интегрированный с Cloudflare. Затем агент настраивается в Режим только DNS, гарантируя, что все публичные DNS-запросы с устройства направляются в Cloudflare. Эти запросы содержат сведения об идентификации пользователя с устройства, что позволяет применять политики на основе идентификации.

Следующая политика показывает, как информация о группах от провайдера идентификации используется для применения определённых защитных политик DNS.

Агент устройства совместим с ведущие настольные и мобильные операционные системы, что делает его решением как для управляемых, так и для неуправляемых устройств. Такая универсальность позволяет распространить сервисы DNS-безопасности, например, на личные устройства пользователей повышенного риска, обеспечивая неизменный уровень защиты независимо от местоположения или устройства. Для управляемых ИТ-устройств наш агент поддерживает инструменты управляемого развёртывания, для упрощения развертывания и обновлений.

Чтобы точнее контролировать, какие домены разрешены, а какие заблокированы, администратор может настроить дополнительные политики Allowed Domain и Blocked Domain. Задав эти политики с более низкий приоритет чем политика Security Risks, ведомство может переопределить политику Security Risks для конкретных доменов.

Чтобы упростить управление разрешёнными и блокируемыми доменами, используйте lists. Списки легко обновляются через Dashboard или с помощью API, делая корректировку политик более эффективной.

Одно из ключевых преимуществ использования Cloudflare Gateway в качестве защитного DNS-сервиса заключается в том, что он дает ИТ-администраторам более полную видимость существующих и новых угроз для государственных ведомств и учреждений. Все DNS-запросы, отправленные в Cloudflare Gateway, регистрируются в журнале, и если запрос связан с определенной личностью, она сопоставляется с соответствующим пользователем в журналах.

Доступ к этим журналам можно получить напрямую через Дашборд Cloudflare либо могут быть экспортированы во внешние системы для дальнейшего анализа через Logpush. Cloudflare также предлагает широкие возможности аналитики, которые помогают ИТ-администраторам выявлять тенденции и признаки компрометации. Встроенный дашборд аналитики доступен в Дашборд Cloudflare, а пользовательские дашборды можно создавать в любом инструменте, совместимом с GraphQL, с помощью GraphQL API от Cloudflare.

Cloudflare Gateway предлагает комплексный набор сервисов, выходящий за рамки защитного DNS, и работает как полнофункциональный Secure Web Gateway ↗. Поддерживается проверка HTTP, что дает более глубокую видимость пользовательского трафика и расширяет доступные пользователям возможности защиты от угроз и безопасности данных.

При проверке HTTP-трафика Cloudflare исключает постороннее вмешательство, расшифровывая, проверяя и повторно зашифровывая HTTPS-запросы в наших дата-центрах. Cloudflare Gateway сохраняет в кэше только подходящий для этого контент, и все диски кэша зашифрованы. Кроме того, можно настроить географический регион серверов, где выполняется расшифровка TLS, с помощью Regional Services в Cloudflare Data Localization Suite (DLS), и организации могут выбирать между добавлением сертификата Cloudflare на устройства или используя собственный сертификат (BYOPKI) для расшифровки и проверки пользовательского трафика.

Когда Cloudflare Gateway выполняет проверку HTTP-трафика, защита выходит за рамки DNS-безопасности и дополняется новыми возможностями для защиты пользователей при работе в интернете:

• Антивирусное сканирование (AV): Пользователи защищены при скачивании файлов из интернета и при их загрузке в интернет. Файлы проверяются в реальном времени для обнаружения вредоносного содержимого.
• Песочница: Для файлов, которые ранее не встречались, Cloudflare Gateway может помещать их в защищённую песочницу для анализа. В этой песочнице Cloudflare отслеживает действия файла и сравнивает их с известными шаблонами вредоносного ПО. Файлы передаются пользователям только в том случае, если вредоносное содержимое не обнаружено.
• Remote Browser Isolation (RBI): Политики изоляции можно настроить для защиты пользователей при обращении к потенциально опасным сайтам. Например, если пользователь пытается перейти на ранее не встречавшийся домен, который активирует политику изоляции, активный контент веб-сайта выполняется в безопасном изолированном браузере, размещённом в ближайшем дата-центре Cloudflare. Это гарантирует, что атаки нулевого дня и вредоносное ПО нейтрализуются до того, как смогут затронуть пользователя. Такой удаленный просмотр происходит незаметно и прозрачно, позволяя пользователям продолжать работать в привычных браузерах и рабочих процессах. Каждая вкладка и каждое окно браузера автоматически изолируются, а сессии удаляются при закрытии.

Помимо защиты от угроз Cloudflare Gateway позволяет внедрять надёжные политики защиты данных при проверке HTTP-трафика, включая:

• Управление загрузкой файлов: Администраторы могут применять политики, которые отслеживают и ограничить загрузку файлов в интернет, предотвращая непреднамеренную передачу конфиденциальных данных.
• Предотвращение потери данных (DLP): Политики DLP можно развернуть для выявления и блокировки несанкционированной передачи конфиденциальной или секретной информации. Подробнее см. в защита данных при передаче.
• Remote Browser Isolation (RBI): Помимо защиты от угроз, политики изоляции может обеспечивать ограничения действий пользователей, например отключение функций копирования и вставки или ввода с клавиатуры, для защиты конфиденциальной информации. Дополнительные сведения приведены в защита данных при использовании.

Расширение Cloudflare Gateway от защитного DNS-сервиса до полнофункционального Secure Web Gateway представляет собой простой процесс. С помощью дашборда Cloudflare ИТ-администраторы настраивают Политики HTTP в дополнение к существующим DNS-политикам. Такие HTTP-политики включают дополнительные средства защиты, а именно антивирусное сканирование, песочницу, удаленную изоляцию браузера (RBI) и предотвращение утечки данных (DLP).

С точки зрения пользователя удаленные сотрудники продолжат использовать тот же агент устройства. Чтобы воспользоваться этими расширенными средствами защиты, им достаточно переключить режим агента устройства на Режим Traffic and DNS. Этот режим также можно принудительно включить при развертывании агента через управление устройствами.

Для пользователей в офисах и на площадках можно настроить сетевое устройство, чтобы установить Туннель IPsec или GRE до Cloudflare. Такая настройка направляет весь исходящий в интернет трафик через Cloudflare Gateway, гарантируя применение политик безопасности до выхода трафика в интернет. Как вариант, Файлы автоматической настройки прокси-сервера (PAC) можно использовать для перенаправления DNS- и HTTP/S-трафика в сторону Cloudflare.

• Переход к архитектуре SASE с Cloudflare
• Использование модели нулевого доверия для защиты SaaS-приложений
• Учебный маршрут: защита интернет-трафика и SaaS-приложений