← Cloudflare One / cloudflare-one / remote-browser-isolation

Zásady izolace

S Browser Isolation můžete definovat zásady, které dynamicky izolují webové stránky na základě identity, bezpečnostních hrozeb nebo obsahu.

Když zásada HTTP použije akci Isolate, prohlížeč uživatele transparentně obdrží klienta vzdáleného prohlížeče kompatibilního s HTML. Zásady izolace lze uplatnit na požadavky, které obsahují Accept: text/html* (požadavky na webové stránky). Díky tomu mohou zásady Browser Isolation fungovat současně s provozem API.

Následující příklad zapíná izolaci veškerého webového provozu:

Pokud místo toho potřebujete izolovat konkrétní stránky, můžete uvést domény, pro které chcete provoz izolovat:

Můžete se rozhodnout deaktivovat izolaci pro určité cíle nebo kategorie. Následující konfigurace deaktivuje izolaci pro provoz směřující do example.com:

Když web izolujete, můžete uživatelům na tomto webu také omezit, co dělají. Následující volitelná nastavení se zobrazí v tvůrci zásad Gateway HTTP, když vyberete Isolate akci. Tato nastavení nakonfigurujte tak, aby zabránit ztrátě dat ↗ když uživatelé komunikují s nedůvěryhodnými webovými stránkami ve vzdáleném prohlížeči, například aby se zabránilo uživateli zkopírovat důvěrná data z izolované interní aplikace.

    flowchart LR
			subgraph remotebrowser[Remote browser]
        siteA["Isolated
				website"]--Data-->remoteclip["Remote
				clipboard"]
      end
			subgraph client[Client]
        localclip["Local
				clipboard"]
      end
			remoteclip-->localclip

• Allow: (Výchozí) Uživatelé mohou kopírovat obsah z izolovaného webu do místní schránky.
• Povolit pouze v izolovaném prohlížeči: Uživatelé mohou kopírovat obsah pouze z izolovaného webu do vzdálené schránky. Nemohou kopírovat obsah ze vzdáleného prohlížeče do místní schránky. Toto nastavení můžete použít společně s Vložit (z klienta na vzdálený počítač): Povolit pouze v izolovaném prohlížeči a povolit kopírování a vkládání pouze mezi izolovanými weby.
• Nepovolit: Zakazuje uživatelům kopírovat obsah z izolovaného webu.

    flowchart LR
			subgraph client[Client]
        localclip["Local
				clipboard"]
      end
			subgraph remotebrowser[Remote browser]
				remoteclip["Remote
				clipboard"]-->siteA["Isolated
				website"]
      end
			localclip--Data-->remoteclip

• Allow: (Výchozí) Uživatelé mohou vkládat obsah z místní schránky do izolovaného webu.
• Povolit pouze v izolovaném prohlížeči: Uživatelé mohou vkládat obsah pouze ze vzdálené schránky do izolovaného webu. Nemohou vkládat obsah z místní schránky do vzdáleného prohlížeče. Toto nastavení můžete použít společně s Kopírovat (ze vzdáleného zařízení do klienta): Povolit pouze v izolovaném prohlížeči a povolit kopírování a vkládání pouze mezi izolovanými weby.
• Nepovolit: Zakazuje uživatelům vkládat obsah do izolovaného webu.

• Allow: (Výchozí) Uživatel může stahovat soubory z izolovaného webu do místního počítače.
• Nepovolit: Zakazuje uživatelům stahovat soubory z izolovaného webu do svého lokálního počítače.
• Zobrazit ve vzdáleném prohlížeči: Uživatelé mohou otevírat a prohlížet soubory v izolovaném prostředí.

• Allow: (Výchozí) Uživatelé mohou nahrávat soubory ze svého místního počítače na izolovaný web.
• Nepovolit: Zakazuje uživatelům nahrávat soubory ze svého lokálního počítače do izolovaného webu.

• Allow: (Výchozí) Uživatelé mohou zadávat vstup z klávesnice na izolovaném webu.
• Nepovolit: Zakazuje uživatelům zadávat vstupy z klávesnice do izolovaného webu.

• Allow: (Výchozí) Uživatelé mohou tisknout izolované webové stránky na svém místním počítači.
• Nepovolit: Zakazuje uživatelům tisknout izolované webové stránky do svého lokálního počítače.

S vlastními blokovacími dialogy můžete hostovat vlastní blokovací stránku, když je uživatelům zablokováno provádění konkrétních akcí, jako například kopírování, vkládání, stahování, nahrávání, zadávání vstupů z klávesnice, nebo tisk, v rámci izolované relace prohlížeče.

Správci mohou nakonfigurovat vlastní blokovací dialogy, které uživatelům vysvětlí důvod blokování a pomocí poskytnutých parametrů dotazu jim poradí, jak problém vyřešit:

• action: kopírovat, vkládat, stahovat, nahrávat, používat klávesnici a tisknout
• cf_colo: například sea01
• client_url: například https://example.com
• policy_id: 32znakové ID
• rbi_debug_id: 32znakové ID
• user_id: 32znakové ID

Vlastní blokovací dialogy jsou stále v beta verzi. Pokud je chcete začít používat, kontaktujte tým spravující váš účet.

Izolujte bezpečnostní hrozby, jako je malware a phishing.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Isolate all security threats",
		"description": "Isolate security threats such as malware and phishing",
		"enabled": true,
		"action": "isolate",
		"filters": [
				"http"
		],
		"traffic": "any(http.request.uri.security_category[*] in {68 178 80 83 176 175 117 131 134 151 153})",
		"identity": "",
		"device_posture": ""
	}'

Izolujte kategorie obsahu s vysokým rizikem, jako jsou nově registrované domény.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Isolate high risk content",
		"description": "Isolate high risk content categories such as newly registered domains",
		"enabled": true,
		"action": "isolate",
		"filters": [
				"http"
		],
		"traffic": "any(http.request.uri.content_category[*] in {32 169 177 128})",
		"identity": "",
		"device_posture": ""
	}'

Izolujte weby se zprávami a médii, které jsou terčem malvertisingových útoků.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Isolate news and media",
		"description": "Isolate news and media sites, which are targets for malvertising attacks",
		"enabled": true,
		"action": "isolate",
		"filters": [
				"http"
		],
		"traffic": "any(http.request.uri.content_category[*] in {122})",
		"identity": "",
		"device_posture": ""
	}'

Izolovat obsah, který nebyl kategorizován pomocí Cloudflare Radar.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Isolate uncategorized content",
		"description": "Isolate content not categorized by Cloudflare Radar",
		"enabled": true,
		"action": "isolate",
		"filters": [
				"http"
		],
		"traffic": "not(any(http.request.uri.content_category[*] in {2 67 125 133 3 75 183 89 182 6 90 91 144 150 7 70 74 76 79 92 96 100 106 107 116 120 121 122 127 139 156 164 99 9 101 137 10 103 146 11 12 77 98 108 110 111 118 126 129 172 168 113 33 179 166 15 115 119 124 141 161 17 85 87 102 157 135 138 180 162 140 142 32 169 177 128 22 73 82 88 148 23 24 181 71 72 173 78 84 86 94 97 104 105 114 174 93 130 132 136 147 149 154 158 152 26 69 184 81 95 109 123 145 155 159 160 163 165 167}))",
		"identity": "",
		"device_posture": ""
	}'

Izolujte používání ChatGPT.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Isolate ChatGPT",
		"description": "Isolate the use of ChatGPT",
		"enabled": true,
		"action": "isolate",
		"filters": [
				"http"
		],
		"traffic": "any(app.ids[*] in {1199})",
		"identity": "",
		"device_posture": ""
	}'