Cloudflare دروازه وب امن خود را برنامه‌پذیر کرد

به گزارش وبلاگ Cloudflare، این شرکت با پیوند دادن Cloudflare Gateway و سامانه جلوگیری از نشت داده (DLP) به پلتفرم Cloudflare Workers، امکان اجرای منطق سفارشی هنگام ارزیابی سیاست‌های امنیتی را فراهم کرده است. قابلیت Forward اکنون به‌صورت بتای عمومی عرضه شده، توابع سفارشی Gateway تا پایان سال در دسترس قرار می‌گیرند و توابع اعتبارسنجی سفارشی DLP نیز از همین حالا قابل استفاده‌اند.

اجرای کد سفارشی در مسیر ترافیک

دروازه‌های وب امن معمولاً پس از تطبیق ترافیک با یک شرط، اقدام ثابتی مانند اجازه، مسدودسازی، جداسازی یا ثبت رویداد انجام می‌دهند. تغییر تازه Cloudflare به تیم‌های امنیتی اجازه می‌دهد یک Cloudflare Worker را مستقیماً وارد مسیر تصمیم‌گیری کنند؛ در نتیجه می‌توان درخواست یا پاسخ HTTP را تغییر داد، داده‌های داخلی را به ارزیابی سیاست افزود یا یک اقدام جانبی را بدون متوقف کردن ترافیک اجرا کرد. در قابلیت Forward، درخواست منطبق با سیاست به Worker فرستاده می‌شود و کد می‌تواند سرآیندها یا بدنه درخواست را بررسی و اصلاح کند، پاسخ سرویس مبدأ را تغییر دهد یا رویدادی را برای سامانه‌های دیگر بفرستد. مدیریت اتصال‌های TCP، خاتمه و رمزگذاری دوباره TLS، گواهی‌ها و مذاکره نسخه HTTP همچنان بر عهده Gateway می‌ماند. Cloudflare می‌گوید چون Gateway و Workers روی همان زیرساخت و ماشین‌ها اجرا می‌شوند، فراخوانی Worker یک پرش شبکه جدید ایجاد نمی‌کند و اثر کارایی به زمان اجرای کد محدود است. توابع سفارشی نیز اطلاعاتی مانند IP مبدأ، مقصد، هویت کاربر، وضعیت دستگاه و سرآیندهای HTTP را دریافت می‌کنند و یک مقدار رشته‌ای، عددی یا بولی به موتور سیاست برمی‌گردانند. مدیر شبکه می‌تواند این خروجی را مانند دیگر شرط‌های داخلی Gateway در قوانین HTTP یا ترافیک لایه چهار به کار بگیرد.

کاربرد برای حفاظت از داده‌های سازمانی

این معماری می‌تواند برای افزودن نقش کاربر از داده‌های JWT به سرآیند درخواست، نمایش صفحه دریافت دلیل دسترسی به مقصد حساس، بررسی فایل در سرویس سندباکس و ارسال هشدار هم‌زمان به ابزارهای عملیاتی استفاده شود. در بخش DLP نیز تابع اعتبارسنجی می‌تواند پس از شناسایی یک الگو، منبع معتبر سازمان را بررسی کند؛ برای نمونه، مشخص شود کلید شناسایی‌شده هنوز فعال است یا نه، سپس تصمیم اجرای سیاست گرفته شود. این رویکرد می‌تواند خطاهای مثبت کاذب را کاهش دهد، بدون آنکه مجموعه داده مرجع حساس الزاماً به ارائه‌دهنده منتقل شود. قابلیت Forward در بتای عمومی است و Custom Functions برای Gateway پیش از پایان سال عرضه خواهد شد. Cloudflare اعلام کرده هر دو قابلیت پس از عرضه عمومی برای همه انواع طرح‌ها ارائه می‌شوند؛ درخواست‌های ارسال‌شده به Workers نیز مطابق تعرفه معمول Workers محاسبه خواهند شد. برای سازمان‌ها، ارزش اصلی این تغییر کاهش نیاز به پراکسی‌ها و زنجیره‌های جانبی جداگانه است، هرچند کدهای قرارگرفته در مسیر زنده ترافیک باید با دقت طراحی و از نظر زمان اجرا و رفتار جایگزین آزموده شوند.