Cloudflare Zero Trust Network

Вивчайте та практикуйте взлом AWS:Навчання HackTricks AWS Red Team Expert (ARTE) Вивчайте та практикуйте взлом GCP: Навчання HackTricks GCP Red Team Expert (GRTE)

Підтримайте HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами на Twitter 🐦 @hacktricks_live.

• Поширюйте хакерські трюки, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв GitHub.

У обліковому записі Cloudflare Zero Trust Network є деякі налаштування та сервіси, які можна налаштувати. На цій сторінці ми збираємося проаналізувати налаштування, пов'язані з безпекою, кожного розділу:

Аналітика

• Корисно для ознайомлення з оточенням

Шлюз

• У Політиках можна створювати політики для обмеження за допомогою DNS, мережі або HTTP запитів, хто може отримати доступ до додатків.

• Якщо використовується, можна створити політики, щоб обмежити доступ до шкідливих сайтів.

• Це має значення лише в разі використання шлюзу, якщо ні, немає причин створювати оборонні політики.

Доступ

Додатки

Для кожного додатку:

• Перевірте хто може отримати доступ до додатку в Політиках та переконайтеся, що тільки користувачі, які потребують доступ до додатку, можуть отримати доступ.

• Для надання доступу будуть використовуватися Групи доступу (і також можна встановити додаткові правила)

• Перевірте доступні постачальники ідентичності та переконайтеся, що вони не занадто відкриті

• У Налаштуваннях:

• Перевірте, що CORS не ввімкнено (якщо ввімкнено, переконайтеся, що він безпечний і не дозволяє все)

• Куки повинні мати атрибут Strict Same-Site, HTTP Only та ввімкнене прив'язування куки, якщо додаток працює через HTTP.

• Розгляньте також ввімкнення Браузерного рендерингу для кращого захисту. Додаткова інформація про віддалену ізоляцію браузера тут.

Групи доступу

• Перевірте, що створені групи доступу правильно обмежені для користувачів, яким вони повинні дозволяти.

• Особливо важливо перевірити, що типова група доступу не є дуже відкритою (вона не дозволяє занадто багатьом людям), оскільки за замовчуванням будь-хто в цій групі зможе отримати доступ до додатків.

• Зверніть увагу, що можливо надати доступ КОЖНОМУ та інші дуже відкриті політики, які не рекомендується, якщо це не є на 100% необхідним.

Автентифікація служби

• Перевірте, що всі службові токени закінчуються протягом 1 року або менше

Тунелі

TODO

Моя Команда

TODO

Логи

• Ви можете шукати несподівані дії від користувачів

Налаштування

• Перевірте тип плану

• Можливо побачити ім'я власника кредитної картки, останні 4 цифри, термін дії та адресу

• Рекомендується додати термін дії місця користувача, щоб видаляти користувачів, які насправді не використовують цей сервіс