Cloudflare Zero Trust Network У обліковому записі Cloudflare Zero Trust Network є деякі налаштування та сервіси , які можна налаштувати. На цій сторінці ми збираємося проаналізувати налаштування, пов'язані з безпекою, кожного розділу:
Аналітика
Корисно для ознайомлення з оточенням
Шлюз
У Політиках
можна створювати політики для обмеження за допомогою DNS , мережі або HTTP запитів, хто може отримати доступ до додатків.
Якщо використовується, можна створити політики , щоб обмежити доступ до шкідливих сайтів.
Це має значення лише в разі використання шлюзу , якщо ні, немає причин створювати оборонні політики.
Доступ
Додатки
Для кожного додатку:
Перевірте хто може отримати доступ до додатку в Політиках та переконайтеся, що тільки користувачі , які потребують доступ до додатку, можуть отримати доступ.
Для надання доступу будуть використовуватися Групи доступу
(і також можна встановити додаткові правила )
Перевірте доступні постачальники ідентичності та переконайтеся, що вони не занадто відкриті
Перевірте, що CORS не ввімкнено (якщо ввімкнено, переконайтеся, що він безпечний і не дозволяє все)
Куки повинні мати атрибут Strict Same-Site , HTTP Only та ввімкнене прив'язування куки , якщо додаток працює через HTTP.
Групи доступу
Перевірте, що створені групи доступу правильно обмежені для користувачів, яким вони повинні дозволяти.
Особливо важливо перевірити, що типова група доступу не є дуже відкритою (вона не дозволяє занадто багатьом людям ), оскільки за замовчуванням будь-хто в цій групі зможе отримати доступ до додатків .
Зверніть увагу, що можливо надати доступ КОЖНОМУ та інші дуже відкриті політики , які не рекомендується, якщо це не є на 100% необхідним.
Автентифікація служби
Перевірте, що всі службові токени закінчуються протягом 1 року або менше
Тунелі
TODO
Моя Команда
TODO
Логи
Ви можете шукати несподівані дії від користувачів
Налаштування
Можливо побачити ім'я власника кредитної картки , останні 4 цифри , термін дії та адресу
Рекомендується додати термін дії місця користувача , щоб видаляти користувачів, які насправді не використовують цей сервіс