← Справочные архитектуры / reference-architecture / diagrams / security

Защита данных при использовании

Под данными в использовании понимаются данные, с которыми активно взаимодействуют, которые обрабатываются или изменяются приложениями, системами или пользователями. Для организаций защита данных в использовании может быть сложной задачей, поскольку они должны оставаться доступными и пригодными для использования приложениями и пользователями, которым они нужны для выполнения своих обязанностей, но при этом оставаться защищёнными от несанкционированного доступа или изменения.

Сегодня подавляющее большинство взаимодействий пользователя с критически важными для бизнеса данными происходит в современном интернет-браузере, который теперь позволяет доставлять конечному пользователю целые клиентские приложения, такие как почтовые клиенты, текстовые редакторы и табличные процессоры. Это означает, что на устройство не нужно устанавливать никакого ПО, а также упрощает такие действия пользователя, как копирование и вставка или скачивание конфиденциальных данных. Подобные действия создают постоянный риск для организаций, чьи сотрудники и подрядчики каждый день работают с критически важными и (или) конфиденциальными данными.

Один из способов защиты данных при использовании заключается в том, чтобы усилить контроль над самими браузерами и тем, как сотрудники используют их для доступа к приложениям и данным. Cloudflare решает эту задачу с помощью headless-браузера, построенного поверх нашей масштабной глобальной edge-сети и получившего название Remote Browser Isolation (RBI). Когда пользователь пытается получить доступ, например, к ресурсу с приватным размещением или ресурсу в публичном интернете, вместо того чтобы напрямую отдавать его браузеру пользователя без дополнительной защиты, Cloudflare сначала отрисовывает ресурс в изолированной среде в глобальной сети Cloudflare. Затем, без какой либо заметной разницы для конечного пользователя, в его локальном браузере запускается небольшой JavaScript клиент, который безопасно получает и отображает загружаемый удалённо веб-контент с помощью уникальной запатентованной технологии Cloudflare под названием Network Vector Rendering (NVR).

Cloudflare RBI фактически создаёт невидимый «зазор» между веб-содержимым, к которому обращается пользователь, и его устройством, тем самым защищая устройство и сеть, к которой оно подключено, от эксплойтов и атак. В отличие от защищённых веб-шлюзов, антивирусного ПО или файрволов, которые полагаются на известные шаблоны или сигнатуры угроз, RBI является настоящим механизмом Zero Trust. Поскольку все запросы, выполняемые в удалённо загружаемом экземпляре RBI, проходят через Cloudflare Secure Web Gateway, можно применять политики доступа к данным, а также проверять сам трафик для применения политик защиты передаваемых данных.

Более того, организации могут применять специальные средства контроля доступа к используемым данным, например блокировать возможность скачивания и загрузки, копирования и вставки, а также печати данных.

Типичные политики, используемые с RBI:

• Категория контента: Социальные сети (например, Facebook): учитывая большие объёмы данных, которые собирают популярные социальные платформы, такие приложения представляют собой привлекательную цель и ещё один вектор атаки для злоумышленников. RBI позволяет ограничивать, какие данные, особенно если они соответствуют DLP профилю, могут быть вставлены в такие приложения.
• Приложение - Искусственный интеллект (например, ChatGPT): генеративные AI инструменты могут повышать продуктивность сотрудников, но на текущем этапе развития генеративного AI крайне важно понимать, кто их использует и для чего. Здесь также можно применять DLP профили, чтобы предотвратить копирование и вставку конфиденциальных данных в публичные AI инструменты.
• Приложение - SaaS (например, Salesforce, Zendesk и другие): такие приложения часто содержат крайне конфиденциальные данные. RBI можно использовать, чтобы существенно ограничить доступ для рискованных пользователей, которым требуется некоторый доступ, например подрядчиков или партнёров. Такие меры, как запрет печати или даже полный запрет ввода с клавиатуры, позволяют сторонним пользователям видеть только режим просмотра приложения, как если бы RBI было стеклянной перегородкой между пользователем и данными.

На следующей схеме показано типичное взаимодействие между пользователем, RBI и веб-сайтом, например ChatGPT.

1. Пользователь пытается войти в ChatGPT, и запрос проходит через Cloudflare, так как на устройстве пользователя работает наш агент устройства чтобы максимально повысить прозрачность и контроль над всем трафиком между устройством конечного пользователя и запрашиваемыми ресурсами. Без клиента также поддерживаются и другие варианты.
2. Cloudflare Secure Web Gateway (SWG) сначала проверит, разрешён ли пользователю доступ к ChatGPT.
3. Запатентованный процесс Network Vector Rendering (NVR) от Cloudflare начинается с того, что headless-браузер в нашей edge-сети запускает и растеризует веб-приложение, записывая команды отрисовки SKIA.
4. NVR перехватывает эти команды рисования, токенизирует их, сжимает, шифрует и отправляет в локальный веб-браузер.
5. Поскольку запрос выполняется в изолированном режиме, политика также запрещает пользователю копирование и вставка конфиденциальные данные в ChatGPT со своего локального устройства. Дополнительные настройки политики, такие как ‘Disable printing’, ‘Disable upload / download’ и другие.

• Защита данных при передаче
• Защита данных в состоянии покоя