Cloudflare Zero Trust Network

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Em uma conta Cloudflare Zero Trust Network existem algumas configurações e serviços que podem ser configurados. Nesta página, vamos analisar as configurações relacionadas à segurança de cada seção:

Analytics

• Útil para conhecer o ambiente

Gateway

• Em Policies é possível gerar políticas para restringir por DNS, rede ou HTTP quem pode acessar aplicações.

• Se utilizado, políticas podem ser criadas para restringir o acesso a sites maliciosos.

• Isso é relevante apenas se um gateway estiver sendo usado, caso contrário, não há razão para criar políticas defensivas.

Access

Applications

Em cada aplicação:

• Verifique quem pode acessar a aplicação nas Policies e verifique se apenas os usuários que precisam de acesso à aplicação podem acessar.

• Para permitir o acesso, Access Groups serão utilizados (e regras adicionais também podem ser definidas)

• Verifique os provedores de identidade disponíveis e certifique-se de que não estão muito abertos

• Em Settings:

• Verifique se CORS não está habilitado (se estiver habilitado, verifique se é seguro e não está permitindo tudo)

• Os cookies devem ter o atributo Strict Same-Site, HTTP Only e o binding cookie deve estar habilitado se a aplicação for HTTP.

• Considere habilitar também o rendering do navegador para melhor proteção. Mais informações sobre isolamento de navegador remoto aqui.

Access Groups

• Verifique se os grupos de acesso gerados estão corretamente restritos aos usuários que devem permitir.

• É especialmente importante verificar se o grupo de acesso padrão não está muito aberto (não está permitindo muitas pessoas) pois por padrão qualquer um nesse grupo poderá acessar aplicações.

• Note que é possível dar acesso a TODOS e outras políticas muito abertas que não são recomendadas, a menos que 100% necessário.

Service Auth

• Verifique se todos os tokens de serviço expiram em 1 ano ou menos

Tunnels

TODO

My Team

TODO

Logs

• Você pode procurar por ações inesperadas de usuários

Settings

• Verifique o tipo de plano

• É possível ver o nome do proprietário do cartão de crédito, últimos 4 dígitos, data de expiração e endereço

• É recomendado adicionar uma Expiração de Assento de Usuário para remover usuários que realmente não utilizam este serviço

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.