← Справочные архитектуры / reference-architecture / diagrams / security

Защита данных в состоянии покоя

Под данными в состоянии покоя понимаются данные, которые хранятся в фиксированном месте, например на локальном жёстком диске, локальном сервере или в облачном хранилище. Многие компании сегодня используют SaaS-платформы, которые хранят большой объём бизнес-данных как в структурированном виде (например, в базах данных), так и в неструктурированном (файлы: документы, изображения, электронные таблицы). Безопасность самого хранения данных, включая шифрование и надёжное резервное копирование, обычно находится вне вашего контроля. Однако SaaS-приложения позволяют управлять учётными записями пользователей, определять, к каким данным у них есть доступ, а также предоставлять возможность делиться доступом к данным.

Cloudflare в основном защищает данные при передаче через нашу сеть, но также может подключаться к вашим SaaS-приложениям и с помощью профилей DLP проверять хранимые данные, которые могут быть недостаточно защищены, а затем предоставлять рекомендации по дальнейшим действиям.

Управляемая через API инфраструктура Cloudflare Cloud Access Security Broker (CASB) работает, интегрируясь с API SaaS приложений и обнаруживая как неструктурированные данные в состоянии покоя (документы, таблицы и так далее), так и проверяя общую конфигурацию приложения и учётных записей пользователей, чтобы убедиться в корректной настройке контроля доступа к данным.

Профили DLP используются для выявления файлов с конфиденциальными данными в вашем SaaS-приложении. Найденные совпадения затем сопоставляются с элементами контроля доступа, после чего формируются результаты проверки, например уведомление о том, что таблица с данными банковских карт доступна любому пользователю интернета.

Если сочетать Cloudflare CASB с решениями Cloudflare Secure Web Gateway сервиса, который проверяет весь трафик, идущий к SaaS-приложению и от него, клиенты получают полную видимость как передаваемых, так и хранимых данных SaaS-приложений.

1. Cloudflare аутентифицирует пользователей, пытающихся получить доступ к SaaS-приложениям, независимо от того, инициируют ли они запрос с управляемых или неуправляемых конечных точек.

   1. Для управляемых конечных точек мы рекомендуем развернуть наш агент устройства чтобы максимально повысить прозрачность и контроль над всем трафиком между устройством конечного пользователя и запрашиваемыми ресурсами.
   2. Для неуправляемых конечных точек у нас есть решения без клиента что по-прежнему позволяет вам видеть и проверять данные, к которым обращаются пользователи.

2. Cloudflare Zero Trust Network Access (ZTNA) может напрямую интегрироваться с вашим Приложения SaaS с использованием стандартных протоколов (например, SAML или OIDC), чтобы стать первой точкой применения политик доступа пользователей. Access обращается к вашему поставщик удостоверений (IdP) по вашему выбору и использует дополнительные сигналы безопасности о ваших пользователях и устройствах для принятия решений по политикам.

3. Развивая тему, рассмотренную в разделе Securing data in use, Cloudflare Remote Browser Isolation (RBI) также можно использовать вместе с выделенные исходящие IP-адреса, чтобы даже трафик удаленных пользователей без клиента мог поступать к запрошенному SaaS-приложению с предсказуемых и постоянных IP-адресов.

4. Помимо того, что было описано в разделе о защите данных при передаче, Cloudflare Data Loss Prevention (DLP) можно использовать для поиска файлов с конфиденциальными данными в ваших SaaS-приложениях. CASB просканирует каждый общий и/или публично доступный файл в SaaS-приложении на предмет конфиденциального текста, соответствующего профилю DLP, и оповестит вас с рекомендациями по дальнейшим действиям.

5. В дополнение к упомянутому выше варианту с выделенным IP-адресом для исходящего трафика провайдеры SaaS позволяют ограничивать доступ к ресурсам организации, разрешая его только при поступлении трафика с определённых IP-адресов.

6. При интеграции стороннего SaaS-приложения с Cloudflare CASB CASB выполняет регулярные внеполосные вызовы API, анализирующие метаданные ваших конфигураций, пользователей, файлов и других объектов SaaS. Проблемы безопасности, или «находки» (Findings), выявляются на основе того, указывают ли метаданные на небезопасные или потенциально опасные настройки в интегрированных SaaS-приложениях. Сюда может входить неправильная конфигурация приложений, открытые и (или) конфиденциальные данные, а также учётные записи пользователей со слабой защитой.

• Защита данных при передаче
• Защита данных при использовании