Cloudflare Zero Trust Network

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

En una cuenta de Cloudflare Zero Trust Network hay algunas configuraciones y servicios que se pueden configurar. En esta página vamos a analizar las configuraciones relacionadas con la seguridad de cada sección:

Analytics

• Útil para conocer el entorno

Gateway

• En Policies es posible generar políticas para restringir por DNS, red o HTTP quién puede acceder a las aplicaciones.

• Si se utiliza, se podrían crear políticas para restringir el acceso a sitios maliciosos.

• Esto es solo relevante si se está utilizando un gateway, si no, no hay razón para crear políticas defensivas.

Access

Applications

En cada aplicación:

• Verificar quién puede acceder a la aplicación en las Policies y asegurarse de que solo los usuarios que necesitan acceso a la aplicación puedan acceder.

• Para permitir el acceso se van a utilizar Access Groups (y se pueden establecer reglas adicionales también)

• Verificar los proveedores de identidad disponibles y asegurarse de que no sean demasiado abiertos

• En Settings:

• Verificar que CORS no esté habilitado (si está habilitado, verificar que sea seguro y que no esté permitiendo todo)

• Las cookies deben tener el atributo Strict Same-Site, HTTP Only y binding cookie debe estar habilitado si la aplicación es HTTP.

• Considerar habilitar también Browser rendering para mejor protección. Más información sobre remote browser isolation aquí.

Access Groups

• Verificar que los grupos de acceso generados estén correctamente restringidos a los usuarios que deberían permitir.

• Es especialmente importante verificar que el grupo de acceso predeterminado no sea muy abierto (no esté permitiendo demasiada gente) ya que por defecto cualquier persona en ese grupo podrá acceder a las aplicaciones.

• Tenga en cuenta que es posible dar acceso a TODOS y otras políticas muy abiertas que no se recomiendan a menos que sea 100% necesario.

Service Auth

• Verificar que todos los tokens de servicio expiren en 1 año o menos

Tunnels

TODO

My Team

TODO

Logs

• Podría buscar acciones inesperadas de los usuarios

Settings

• Verificar el tipo de plan

• Es posible ver el nombre del propietario de la tarjeta de crédito, últimos 4 dígitos, fecha de expiración y dirección

• Se recomienda agregar una expiración de asiento de usuario para eliminar usuarios que realmente no utilizan este servicio

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.