Zero Trust Gateway (SWG)
Cloudflare Gateway пропускает исходящий интернет-трафик вашей организации через границу сети Cloudflare, где он проверяется и фильтруется: вредоносное ПО, фишинг и командные серверы вымогателей блокируются до того, как доберутся до пользователей, а нарушения политики пресекаются до того, как данные покинут компанию.
Обзор
Защиты периметра офисной сети стало недостаточно, когда работа вышла за пределы офиса. Сотрудники работают через домашний Wi-Fi и из кафе, сервисы живут в облаке, и старый аппаратный веб-прокси либо обходят стороной, либо он становится узким местом: через него приходится заворачивать весь удалённый трафик, а это добавляет задержку.
Gateway работает как защищённый веб-шлюз (SWG) на границе сети Cloudflare: DNS-запросы и веб-трафик каждого пользователя фильтруются в ближайшей из 300+ точек присутствия, и политика одна и та же, сидит ли человек в офисе или в отеле за границей. Он дополняет Access: Gateway управляет трафиком, идущим из компании в интернет, а Access управляет трафиком, идущим в ваши приложения.
Ключевые возможности
- DNS-фильтрация по категориям киберугроз (вредоносное ПО, фишинг, C2, свежезарегистрированные домены) и по категориям контента
- Полная инспекция HTTP(S) с расшифровкой TLS, контролем типов файлов и антивирусной проверкой загрузок «на лету»
- Правила сетевого уровня (L4) для произвольных портов и протоколов, а не только веб-трафика
- Данные о киберугрозах, непрерывно извлекаемые из атакующего трафика, который Cloudflare видит по всей своей сети
- Профили предотвращения утечек данных (DLP), обнаруживающие в загрузках номера карт, персональные данные и ваши собственные шаблоны
- Выявление теневого ИТ и контроль SaaS по отдельным приложениям (например, разрешить корпоративный тенант и заблокировать личные аккаунты)
- Политики по группам из вашего провайдера идентификации: разные правила для финансов, инженеров или гостей
- Remote Browser Isolation (дополнение): рискованные сайты отрисовываются в одноразовом облачном браузере
Как это работает
Трафик попадает в Gateway одним из нескольких способов: клиент WARP на ноутбуках и телефонах передаёт DNS- и сетевой трафик по шифрованному туннелю; офисные сети могут направить свои резолверы на DNS-эндпоинты Gateway или подключить целые площадки туннелями; для жёстко ограниченных сред есть PAC-файлы прокси. Каким бы ни был способ подключения, политика привязана к пользователю, а не к сети, в которой он оказался.
DNS-фильтрация служит первым и самым дешёвым слоем: на запрос к заведомо вредоносному домену возвращается страница блокировки ещё до установления какого-либо соединения. HTTP-инспекция идёт глубже: с развёрнутым корневым сертификатом вашей организации Gateway расшифровывает TLS на границе сети, проверяет загрузки на вредоносное ПО, применяет правила по типам файлов и DLP и снова шифрует трафик. Cloudflare видит трафик всей своей сети и непрерывно обновляет категории и данные об угрозах, поэтому домены, недавно задействованные в атаках, обычно блокируются в течение минут после первого обнаружения.
Все события, включая каждую заблокированную загрузку и каждое срабатывание DLP, централизованно журналируются и выгружаются в ваш SIEM. Команды безопасности снова видят то, что перестали видеть, когда пользователи ушли из офисной сети.
Тарифные планы и лицензирование
Gateway входит в платформу Cloudflare One / Zero Trust с оплатой по пользователям. Бесплатный уровень покрывает до 50 пользователей с DNS-фильтрацией и базовыми HTTP-политиками. Платные планы расширяют хранение логов и квоты; такие функции, как полный DLP и Remote Browser Isolation, поставляются как дополнения или как компоненты пакетов Enterprise.
Внедрение с Integrity
Integrity, сертифицированный партнёр Cloudflare, поставляет этот продукт вместе с бесплатным пилотом: вы увидите результат на собственном трафике до того, как возьмёте на себя какие-либо обязательства.
Готовы начать? Свяжитесь с нами, чтобы договориться о бесплатном пилоте.
Частые вопросы
Не ломает ли инспекция TLS приложения и не нарушает ли она приватность?
Некоторые приложения используют certificate pinning, и их нужно выводить в исключения. Что касается приватности: политику инспекции определяете вы, и чувствительные категории (здоровье, банкинг) обычно исключаются на уровне политики. При блокировке пользователь видит понятную страницу блокировки.
Не замедлит ли маршрутизация всего трафика через Cloudflare интернет для сотрудников?
Как правило, нет: чаще наоборот. Трафик входит в Cloudflare в ближайшем из 300+ городов и идёт по её магистрали; для большинства пользователей это не хуже, а то и лучше маршрутизации их провайдера по умолчанию, тогда как устаревшие прокси заворачивают трафик через один дата-центр.
Достаточно ли одного Gateway, чтобы соответствовать NIS2?
Одного продукта для соответствия требованиям недостаточно, но Gateway напрямую закрывает несколько типичных мер контроля: защиту от вредоносного ПО, веб-фильтрацию, журналирование и контроль утечек данных при гибридной работе.
