Zero Trust Gateway (SWG)
Cloudflare Gateway vede odchozí internetový provoz vaší organizace přes hranu sítě Cloudflare, kde ho kontroluje a filtruje. Blokuje malware, phishing, command-and-control komunikaci ransomwaru i porušení firemních politik dřív, než se dostanou k uživatelům nebo než data opustí firmu.
Přehled
Chránit perimetr kancelářské sítě přestalo stačit ve chvíli, kdy práce kancelář opustila. Zaměstnanci pracují z domácí Wi-Fi i z kaváren a používají cloudové SaaS aplikace. Starou webovou proxy na appliance proto buď všichni obcházejí, nebo se z ní stává úzké hrdlo, přes které se musí veškerý vzdálený provoz vracet oklikou.
Gateway je Secure Web Gateway (SWG) dodávaná z hrany sítě Cloudflare: DNS dotazy a webový provoz každého uživatele se filtrují v nejbližší z více než 300 lokalit a platí pro ně stejná politika, ať uživatel sedí ve vaší pražské kanceláři, nebo v hotelu v zahraničí. S Access se doplňuje: Gateway řídí provoz směřující ven do internetu, Access řídí provoz přicházející dovnitř k vašim aplikacím.
Klíčové funkce
- DNS filtrování podle kategorií threat intelligence (malware, phishing, C2, nově registrované domény) i podle kategorií obsahu
- Plná inspekce HTTP(S) s dešifrováním TLS, kontrolou typů souborů a inline antivirovým skenováním stahovaných souborů
- Pravidla na síťové vrstvě (L4) pro libovolné porty a protokoly, nejen webový provoz
- Threat intelligence průběžně odvozovaná z útočného provozu, který Cloudflare vidí napříč svou sítí
- Profily Data Loss Prevention (DLP), které v odesílaných datech detekují čísla platebních karet, osobní údaje nebo vzory, které si sami definujete
- Přehled o shadow IT a kontroly SaaS pro jednotlivé aplikace (např. povolit firemní tenant, blokovat osobní účty)
- Politiky podle skupin z vašeho poskytovatele identity: jiná pravidla pro finance, vývoj nebo hosty
- Remote Browser Isolation (doplněk), která rizikové weby renderuje v jednorázovém cloudovém prohlížeči
Jak to funguje
Provoz se do Gateway dostává několika cestami: klient WARP na noteboocích a telefonech přeposílá DNS a síťový provoz šifrovaným tunelem; kancelářské sítě mohou nasměrovat své resolvery na DNS endpointy Gateway nebo připojit celé lokality tunely; uzamčená prostředí pokryjí PAC soubory proxy. Bez ohledu na způsob připojení se politika řídí identitou uživatele, ne sítí, ve které se zrovna nachází.
DNS filtrování je první a nejlevnější vrstva: na dotaz na známou škodlivou doménu Gateway odpoví blokovací stránkou dřív, než vznikne jakékoli spojení. HTTP inspekce jde hlouběji. S nasazeným kořenovým certifikátem vaší organizace Gateway dešifruje TLS na hraně sítě, skenuje stahované soubory na malware, vynucuje pravidla pro typy souborů a DLP a znovu šifruje. Kategorie a data o hrozbách se průběžně aktualizují podle toho, co Cloudflare vidí ve své síti, takže nově zneužité domény bývají blokované během minut od prvního výskytu.
Vše se centrálně loguje (každé zablokované stažení, každá DLP shoda) a logy lze exportovat do vašeho SIEM. Bezpečnostní týmy tak získávají zpět viditelnost, o kterou přišly, když uživatelé opustili firemní síť.
Tarify a licencování
Gateway je součástí platformy Cloudflare One / Zero Trust s cenou za uživatele. Bezplatná úroveň pokrývá až 50 uživatelů s DNS filtrováním a základními HTTP politikami. Placené plány prodlužují uchovávání logů a zvyšují kvóty; funkce jako plné DLP a Remote Browser Isolation jsou doplňky nebo součásti balíčků Enterprise.
Nasazení s Integrity
Integrity je certifikovaný partner Cloudflare a tento produkt dodává včetně bezplatného pilotního provozu. Výsledky tak uvidíte na vlastním provozu dřív, než se k čemukoli zavážete.
Chcete začít? Kontaktujte nás a domluvíme bezplatný pilotní provoz.
Časté dotazy
Nerozbíjí TLS inspekce aplikace a nenarušuje soukromí?
Některé aplikace používají certificate pinning a musí dostat výjimku. Pokud jde o soukromí, politiku inspekce určujete vy a citlivé kategorie (zdraví, bankovnictví) se z ní obvykle vyjímají. Při blokaci uživatel vidí srozumitelnou blokovací stránku.
Nezpomalí směrování všeho přes Cloudflare internet našim lidem?
Obvykle ne, spíš naopak. Provoz vstupuje do Cloudflare v nejbližším z více než 300 měst a dál jede po jeho páteřní síti. Pro většinu uživatelů to vyrovná nebo překoná výchozí trasy jejich ISP. Staré proxy naproti tomu vedou provoz oklikou přes jediné datové centrum.
Stačí samotná Gateway k připravenosti na NIS2?
Soulad s NIS2 nezajistí žádný produkt sám o sobě. Gateway ale přímo pokrývá několik opatření, která se dají očekávat: ochranu před malwarem, filtrování webu, logování a kontrolu úniku dat i při hybridní práci.
