Cloudflare CASB, riskli dosya paylaşımları için otomatik düzeltme yeteneği kazandı

Cloudflare, cloud access security broker (CASB) ürününe otomatik düzeltme politikaları ekledi; böylece güvenlik ekipleri, yeni bir bulgu tespit edildiği anda insan müdahalesi olmadan çalışan olay temelli yanıtlar tanımlayabiliyor: riskli bir dosya paylaşımını iptal etmek, bir webhook göndermek veya her ikisini birden. Şirket, özelliği 11 Eylül'de Cloudflare blogunda duyurdu.

Pasif uyarılardan otomatik yanıta

Cloudflare One'ın bir parçası olan CASB, SaaS uygulamalarına istemci olmadan bağlanır ve aşırı paylaşılmış dosyalar, atıl yönetici anahtarları ve token'lar ile fazla yetki verilmiş OAuth uygulamaları gibi duruş risklerini sürekli olarak ortaya çıkarır. Cloudflare'ın belirttiğine göre, SaaS Security Posture Management (SSPM) kategorisindeki araçlar çoğunlukla yalnızca tespit yapan sistemler gibi davranıyordu: sorunun ne olduğunu bildiriyor ama düzeltmeyi yöneticilere bırakıyorlardı.

Bu yük kötü biçimde büyüyebilir. Cloudflare, bir Google Workspace kiracısındaki tek bir hatalı paylaşım ayarının neredeyse anında binlerce bulgu üretebileceğine, hatta disiplinli ekiplerin bile tespit ile düzeltme arasında saatlerce veya günlerce süren bir boşlukla karşılaşabileceğine dikkat çekiyor; bu da hassas bir belgenin indirilmesi, iletilmesi veya dizine eklenmesi için bolca zaman demek. Cloudflare bu yılın başlarında manuel düzeltme eylemlerini kullanıma sunmuştu; böylece yöneticiler, bulguları satıcı konsolları arasında gezinmek yerine Cloudflare dashboard'undan çözebiliyordu. Ancak her eylem, daha önce defalarca görülen bulgu türlerinde bile, bir kişinin onayını gerektiriyordu. Yeni politikalar bu insanı döngüden çıkarıyor.

Politikalar nasıl çalışıyor

Politika, bir bulgu türüne bağlı otomatik bir iş akışıdır. Tarama servisi bir eşleşme tespit ettiğinde, politika bir düzeltme eylemi tetikler, bir webhook gönderir veya her ikisini birden yapar; böylece kuruluşlar Cloudflare'ın yerel düzeltme yeteneklerine güvenebileceği gibi olayları bir güvenlik operasyon merkezi veya SOAR platformu gibi kendi sistemlerine de yönlendirebilir.

Cloudflare yaygın bir senaryo öneriyor: bir kuruluş herkese açık dosya paylaşımını yasaklıyor ama düzenli olarak dış taraflarla iş birliği yapan pazarlama ekibini muaf tutuyor. Kuyruk temelli araçlarda, izin verilen istisnalar gerçek ihlallerin yanında birikir ve her biri ayrı ayrı önceliklendirme gerektirir. Politikalar devredeyken, herkese açık paylaşım tespitten sonraki birkaç dakika içinde iptal edilir.

Politika oluşturmak için bir satıcı seçmek, uygulama yapılacak entegrasyonu veya kiracıyı (veya o satıcıya ait tüm entegrasyonları) belirlemek, bir bulgu türü seçmek ve bir eylem belirlemek gerekir. Eylemler iki kategoriye ayrılır:

• Düzeltmeler (Remediations): Cloudflare'ın SaaS entegrasyonunun API'sine karşı birinci taraf olarak yürüttüğü eylemler. Bunlar şu anda Microsoft ve Google Workspace dosya ve klasör bulgu türlerini kapsıyor ve entegrasyonun izinlerini okuma/yazma olacak şekilde yükseltmeyi gerektirebilir.
• Webhooks: bulgu ayrıntılarının Slack, Microsoft Teams, Jira, ServiceNow ve Tines gibi hedeflere veya herhangi bir özel HTTP endpoint'ine iletilmesi.

Webhook yükü, bulgunun önem derecesini ve türünü, etkilenen varlığın adını ve satıcısını ile erişim düzeyi, indirme sayıları ve sahiplik ayrıntıları gibi dosya metadata'sını taşır.

Cloudflare'ın kendi developer platformu üzerine inşa edildi

Arka uç tamamen Cloudflare developer platformu üzerinde, yani müşterilerin de kullanabildiği aynı platform üzerinde çalışıyor. Bir bulgu tespit edildiğinde, bulgu motoru Cloudflare Queues üzerinde bir mesajı kuyruğa alır; bir Worker, bir politikanın eşleşip eşleşmediğini kontrol eder ve eşleşiyorsa işi, dayanıklı yürütme için Cloudflare Workflows üzerinde çalışan düzeltme pipeline'ına devreder. İşler süreç yeniden başlamalarından etkilenmez ve yeniden denemeler otomatik yapılır. Bir satıcı API'si hız sınırı hatası döndürürse, workflow bir bekleme süresi boyunca duraklar ve işi bırakmak yerine yeniden dener. Cloudflare'ın tespitten tamamlanmış düzeltmeye kadar hedefi beş dakika veya daha az.

Denetlenebilirlik

Her politika eylemi, Cloudflare One'daki Insights altında iki tür kayıt üretir. Admin Activity kayıtları, politika tanımlarındaki değişiklikleri kaydeder — bir politikayı kimin oluşturduğu, düzenlediği veya devre dışı bıraktığı ve ne zaman — böylece bir politika kapatıldıysa ve bir risk sızdıysa bir zaman çizelgesi sağlar. Yeni Cloud & SaaS Security politikaları kaydı ise runtime sonuçlarını yakalar: hangi bulgunun tetiklendiği, hangi dosya üzerinde eylem yapıldığı, eylemin başarılı olup olmadığı ve başarısızsa yetkilendirme hatası veya hız sınırı gibi spesifik hata.

Neden önemli

Bir SaaS yanlış yapılandırmasını tespit etmek ile düzeltmek arasındaki aralık, verinin gerçekten sızdığı yerdir. Bu döngüyü otomatik olarak kapatarak — ve yerel düzeltmeyi mevcut araçlara webhook aktarımlarıyla eşleştirerek — Cloudflare, CASB'yi bir raporlama aracından bir yanıt sistemine dönüştürüyor ve bunu herhangi bir müşterinin de inşa edebileceği Queues, Workers ve Workflows yapı taşları üzerinde yapıyor. Sınırlara dikkat etmek gerekir: yerleşik düzeltme şu anda yalnızca Microsoft ve Google Workspace dosya ve klasör bulgularına uygulanıyor, dolayısıyla diğer risk türleri hâlâ webhook temelli harici otomasyona bağımlı. Bu paketleri büyük ölçekte kullanan kuruluşlar için önceliklendirme kuyruklarından dakikalar süren düzeltmeye geçmek, maruziyet penceresini anlamlı biçimde daraltıyor.