Cloudflare Zero Trust Network

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

• Якщо ви хочете побачити рекламу вашої компанії на HackTricks або завантажити HackTricks у форматі PDF, перевірте ПЛАНИ ПІДПИСКИ!

• Отримайте офіційний PEASS & HackTricks мерч

• Дізнайтеся про Сім'ю PEASS, нашу колекцію ексклюзивних NFT

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за мною на Twitter 🐦 @hacktricks_live.

• Поділіться своїми хакінг-прийомами, надсилайте PR до HackTricks та HackTricks Cloud репозиторіїв.

У обліковому записі Cloudflare Zero Trust Network є деякі налаштування та сервіси, які можна налаштувати. На цій сторінці ми збираємося проаналізувати налаштування, пов'язані з безпекою, кожного розділу:

Аналітика

• Корисно для ознайомлення з оточенням

Шлюз

• У Політиках можна створювати політики для обмеження за допомогою DNS, мережі або HTTP запитів, хто може отримати доступ до додатків.

• Якщо використовується, можна створити політики, щоб обмежити доступ до шкідливих сайтів.

• Це має значення лише в разі використання шлюзу, якщо ні, немає причин створювати оборонні політики.

Доступ

Додатки

Для кожного додатку:

• Перевірте хто може отримати доступ до додатку в Політиках та переконайтеся, що тільки користувачі, які потребують доступ до додатку, можуть отримати його.

• Для надання доступу будуть використовуватися Групи доступу (і також можна встановити додаткові правила)

• Перевірте доступні постачальники ідентичності та переконайтеся, що вони не занадто відкриті

• У Налаштуваннях:

• Перевірте, що CORS не ввімкнено (якщо ввімкнено, переконайтеся, що він безпечний і не дозволяє все)

• Куки повинні мати атрибут Strict Same-Site, HTTP Only та ввімкнене прив'язування куки, якщо додаток працює через HTTP.

• Розгляньте також ввімкнення Браузерного відтворення для кращого захисту. Додаткова інформація про віддалену ізоляцію браузера тут.

Групи доступу

• Перевірте, що створені групи доступу правильно обмежені для користувачів, яким вони повинні дозволяти.

• Особливо важливо перевірити, що типова група доступу не є дуже відкритою (вона не дозволяє занадто багатьом людям), оскільки за замовчуванням будь-хто в цій групі зможе отримати доступ до додатків.

• Зверніть увагу, що можливо надати доступ КОЖНОМУ та інші дуже відкриті політики, які не рекомендується, якщо це не є на 100% необхідним.

Автентифікація служби

• Перевірте, що всі службові токени закінчуються протягом 1 року або менше

Тунелі

TODO

Моя Команда

TODO

Логи

• Ви можете шукати несподівані дії від користувачів

Налаштування

• Перевірте тип плану

• Можливо побачити ім'я власника кредитної картки, останні 4 цифри, термін дії та адресу

• Рекомендується додати термін дії місця користувача, щоб видаляти користувачів, які насправді не використовують цей сервіс