← Справочные архитектуры / reference-architecture / diagrams / security

Защита данных при передаче

Под данными при передаче обычно понимаются данные, которые перемещаются по сети. Поскольку интернет состоит из множества тысяч сетей, важно обеспечивать безопасность данных при их перемещении от устройства к серверу и обратно. Сегодня наиболее распространённые действия, порождающие данные при передаче, связаны со следующим:

• Работа в интернете и загрузка и выгрузка данных в облачные приложения и из них
• Отправка текстовых сообщений, изображений и писем
• Приложения, публикующие и потребляющие данные через API

Данные при передаче часто считаются уязвимыми для перехвата или изменения во время передачи, поэтому важно защищать их с помощью методов шифрования, таких как QUIC ↗, Transport Layer Security (TLS) или Secure Sockets Layer (SSL). Это помогает сохранить конфиденциальность данных и защитить их от несанкционированного доступа на всем пути следования. Есть и другие методы проверки данных при пересечении сетевых границ, позволяющие решить, продолжать ли передачу этих данных: технологии предотвращения утечек данных (DLP) можно использовать для проверки содержимого сетевого трафика и блокировки передачи конфиденциальных данных на рискованные адреса. В этом документе описаны методы, доступные Cloudflare для защиты данных при передаче.

Cloudflare является одним из ведущих поставщиков облачных сервисов сетевой безопасности. Для защиты сетевого трафика Cloudflare используется в основном в двух сценариях.

• Обеспечение безопасного подключения к публичным веб-сайтам и API с использованием SSL/TLS
• Создание защищённых туннелей к частным сетям и приложениям, размещённым в облаке или локально

Cloudflare Службы SSL используются миллионами сайтов и легко внедряются путём изменения записей DNS, благодаря чему все соединения с публичными сайтами и API завершаются на edge-сети Cloudflare. Соединение от Cloudflare до конечного сайта или API также можно защитить теми же технологиями SSL. Для максимальной защиты Cloudflare использует постквантовая криптография ↗.

1. Соединение между браузером пользователя и Cloudflare защищено протоколом TLS/SSL
2. Соединение от Cloudflare до сервера назначения защищено протоколом TLS/SSL

Частные ресурсы, как правило, это самостоятельно размещённые приложения в частных сетях без прямого подключения к публичному интернету, поэтому для защиты передаваемых данных требуется иной подход. Существует несколько способов создания туннелей от частных сетей к Cloudflare, подробнее о которых можно узнать в Эталонная архитектура SASE, однако следующая диаграмма хорошо обобщает эти методы.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

После подключения приватных приложений и сетей к Cloudflare устройства можно безопасно подключить через наш агент устройства, чтобы защитить данные на всем пути от устройства пользователя через сеть до приложения.

Когда весь трафик от устройства к размещённому приложению проходит через Cloudflare, мы можем проверять этот трафик и применять дополнительные меры безопасности на основе содержимого данных.

Распространённая сложность связана с тем, чтобы определить, какие данные являются конфиденциальными и требуют применения политики. Службы Data Loss Prevention проверяют содержимое трафика и затем передают политике метаданные, влияющие на применение правил.

Например, когда пользователь пытается загрузить файл в SaaS-приложение, а маршрут трафика настроен так, чтобы всегда проходить через сеть Cloudflare, Cloudflare DLP проверяет файл с помощью профилей DLP, назначенных политике Gateway. После срабатывания профиля DLP политика Gateway разрешит или заблокирует трафик, а действие будет записано в журналы. Профиль DLP строится из записей обнаружения, определяющих конфиденциальное содержимое, которое требуется выявлять. Cloudflare DLP предоставляет предустановленные профили для типовых обнаружений, либо вы можете создать пользовательские профили специфичных для ваших данных, и даже возможность использовать Exact Data Match (EDM).

Профили DLP затем используются вместе с другими атрибутами политики для точного определения трафика, например для применения политики только тогда, когда конфиденциальные данные загружаются в утверждённые облачные хранилища.

На следующей схеме показан типичный порядок действий: как Cloudflare проверяет запрос и применяет доступ на основе политики DLP.

1. Пользователь пытается загрузить файл в SaaS-приложение (через защищённый туннель к Cloudflare, созданный нашим агент устройства). Без клиента также поддерживаются и другие варианты.
2. Cloudflare Secure Web Gateway (SWG) сначала проверит, разрешено ли пользователю использовать запрошенное SaaS приложение, а затем проверит содержимое файла на вредоносный код и конфиденциальные данные.
3. Профиль DLP определяет, что файл содержит национальные идентификаторы, такие как номера социального страхования США (SSN).
4. Политика Gateway настроена с Действие Block, поэтому попытка зарегистрировано и страница блокировки возвращённый в веб браузер конечного пользователя.

• Защита данных при использовании
• Защита данных в состоянии покоя