Integracja Cloudflare Gateway z platformą obliczeniową
Tradycyjne rozwiązania kontroli dostępu i zapory internetowe działają w oparciu o stały schemat, w którym ruch sieciowy jest dopasowywany do warunków, a system wykonuje określoną akcję typu przepuszczenie, zablokowanie, izolacja lub rejestracja zdarzenia. Takie podejście stosowane jest od niemal trzydziestu lat i sprawdza się w standardowych scenariuszach, jednak napotyka ograniczenia w złożonych środowiskach firmowych.
Większość dostawców zabezpieczeń oferuje zewnętrzny dostęp poprzez interfejsy API, dostawców infrastruktury jako kodu czy webhooki, co zdaniem twórców platformy nie jest wystarczające. Prawdziwa programowalność wymaga uruchamiania własnego kodu bezpośrednio w ścieżce oceny zasad bezpieczeństwa. Cloudflare łączy swoją zaporę internetową oraz system zapobiegania utracie danych z globalną platformą obliczeniową brzegową.
Dzięki temu oba systemy działają na tych samych maszynach w centrach danych, a przekierowanie ruchu do skryptu odbywa się jako lokalne wywołanie funkcji. Nie występuje dodatkowe opóźnienie sieciowe związane z przekraczaniem jej granic, a administratorzy zyskują pełną kontrolę nad przetwarzaniem ruchu bez konieczności utrzymywania własnych serwerów proxy.
Akcja Forward do transformacji i obsługi ruchu
Nowa akcja o nazwie Forward pozwala na przekierowanie dopasowanego ruchu HTTP do Cloudflare Worker, który działa jako warstwa pośrednicząca inline. Skrypt otrzymuje pełne nagłówki oraz treść żądania, dzięki czemu może je modyfikować, przekazać do źródła, odebrać odpowiedź i zmienić ją przed odesłaniem do użytkownika.
Platforma przejmuje obsługę połączeń protokołu TCP, zakończenie szyfrowania TLS, zarządzanie certyfikatami oraz negocjację wersji HTTP, podczas gdy kod skryptu odpowiada wyłącznie za logikę transformacji. Reguły tego typu można wykorzystać do modyfikacji żądań przed ich dotarciem do serwera źródłowego lub do wykonywania operacji asynchronicznych.
Ruch może być przekazywany do skryptu wyłącznie w celu wykonania operacji w tle, takich jak wysłanie powiadomienia do komunikatora, zapisanie danych w magazynie obiektowym czy przesłanie logów do zewnętrznego systemu, podczas gdy właściwy ruch sieciowy dociera do celu bez zakłóceń.
Funkcje niestandardowe do oceny zasad w locie
Funkcje niestandardowe pozwalają na wywoływanie skryptu Worker w trakcie procesu oceny zasad bezpieczeństwa w zaporze. Funkcja ta przyjmuje kontekst żądania zawierający źródłowy adres IP, cel, tożsamość użytkownika oraz nagłówki HTTP, a następnie zwraca określony typ danych wykorzystywany w warunkach reguły.
Przykładem zastosowania jest analiza nagłówka autoryzacji zawierającego token JWT, z którego skrypt wyodrębnia role użytkownika i zwraca odpowiednią wartość. Administrator może utworzyć regułę dopasowującą ruch na podstawie zwróconej roli, bez konieczności stawiania dedykowanych serwerów pośredniczących wykonujących takie operacje.
Rozwiązanie to obsługuje nie tylko ruch HTTP, ale również ruch warstwy czwartej dla dowolnych portów i protokołów sieciowych, ponieważ funkcja opiera się na metadanych połączenia oraz tożsamości urządzenia.
Niestandardowe sprawdzanie poprawności w systemie DLP
Tradycyjne systemy zapobiegania utracie danych wyszukują informacje pasujące do znanych wzorców, takich jak wyrażenia regularne czy listy słów, co często prowadzi do sytuacji, w których system wykrywa pasujący wzorzec, ale nie wie, czy dany fragment danych jest rzeczywiście używany w firmie.
Nowe funkcje weryfikacji umożliwiają zdefiniowanie własnej logiki sprawdzania poprawności bezpośrednio w kodzie skryptu. W przypadku wykrycia poufnego ciągu znaków, takiego jak klucz API serwisu GitHub, system może wysłać zapytanie weryfikacyjne do odpowiedniego interfejsu API, sprawdzić status klucza i na tej podstawie podjąć decyzję o zablokowaniu lub przepuszczeniu ruchu.