Cloudflare Zero Trust Network Em uma conta da Rede de Confiança Zero da Cloudflare , existem algumas configurações e serviços que podem ser configurados. Nesta página, vamos analisar as configurações relacionadas à segurança de cada seção:
Análises
Útil para conhecer o ambiente
Gateway
Em Políticas restringir por DNS , rede ou requisição HTTP quem pode acessar aplicativos.
Se usado, políticas podem ser criadas para restringir o acesso a sites maliciosos.
Isso é apenas relevante se um gateway estiver sendo usado , caso contrário, não há motivo para criar políticas defensivas.
Acesso
Aplicativos
Em cada aplicativo:
Verifique quem pode acessar o aplicativo nas Políticas e verifique que apenas os usuários que precisam de acesso ao aplicativo podem acessar.
Para permitir o acesso, serão usados Grupos de Acesso regras adicionais )
Verifique os provedores de identidade disponíveis e certifique-se de que não sejam muito abertos
Verifique se o CORS não está habilitado (se estiver habilitado, verifique se é seguro e não está permitindo tudo)
Os cookies devem ter o atributo Strict Same-Site , HTTP Only e o cookie de ligação deve estar habilitado se o aplicativo for HTTP.
Grupos de Acesso
Verifique se os grupos de acesso gerados estão corretamente restritos aos usuários que devem permitir.
É especialmente importante verificar se o grupo de acesso padrão não é muito aberto (não está permitindo muitas pessoas) pois por padrão qualquer pessoa nesse grupo poderá acessar aplicativos .
Note que é possível dar acesso a TODOS e a outras políticas muito abertas que não são recomendadas a menos que sejam 100% necessárias.
Autenticação de Serviço
Verifique se todos os tokens de serviço expiram em 1 ano ou menos
Túneis
TODO
Minha Equipe
TODO
Logs
Você pode procurar por ações inesperadas de usuários
Configurações
Verifique o tipo de plano
É possível ver o nome do proprietário do cartão de crédito , os últimos 4 dígitos , a data de validade e o endereço
É recomendável adicionar uma Expiração de Assento de Usuário para remover usuários que realmente não usam este serviço
