O Cloudflare One é a plataforma de secure access service edge (SASE) da Cloudflare. O SASE unifica a rede empresarial com a segurança Zero Trust: cada pedido é autenticado e autorizado com base na identidade e no contexto antes de o acesso ser concedido, e a segurança e a rede são geridas a partir de um único plano de controlo.
O security service edge (SSE), a vertente de segurança do SASE, tem três componentes principais: acesso à rede Zero Trust, um gateway web seguro e um cloud access security broker. No Cloudflare One, estes são o Access, o Gateway e o CASB, e a plataforma acrescenta isolamento remoto do navegador, prevenção de perda de dados, segurança de e-mail e monitorização da experiência digital.
O Access nega por predefinição, mas o Gateway permite o tráfego que não corresponde a nenhuma política. Configurar ambos corretamente, e mantê-los corretos à medida que mudam os colaboradores, os fornecedores e as aplicações, é um trabalho contínuo e não uma implementação única.
O Access funciona como um proxy baseado na identidade à frente das suas aplicações. Funciona com qualquer fornecedor de identidade SAML ou OIDC, incluindo vários em simultâneo. As políticas Bypass e Service Auth são avaliadas primeiro, e a primeira correspondência Allow ou Block decide o resultado.
O conector cloudflared cria ligações apenas de saída da sua infraestrutura para a Cloudflare, pelo que a firewall à frente das suas aplicações pode bloquear todo o tráfego de entrada.
O Gateway inspeciona e filtra o tráfego dos utilizadores nas camadas DNS, de rede e HTTP. A inspeção HTTPS exige um certificado raiz da Cloudflare em cada dispositivo, e uma alteração de política pode demorar até 60 segundos a chegar a todos os centros de dados.
O Cloudflare One Client, anteriormente WARP, envia o tráfego do dispositivo para a Cloudflare e reporta o estado do dispositivo, como a versão do sistema operativo e a encriptação do disco. As verificações de postura limitam o acesso a dispositivos geridos ou em bom estado.
O CASB da Cloudflare liga-se a APIs de SaaS e de cloud com permissões só de leitura e procura configurações incorretas e outros problemas de segurança que podem ocorrer depois de um utilizador iniciar sessão.
O DLP analisa tráfego HTTP, ficheiros de aplicações SaaS e prompts de IA à procura de dados sensíveis, e precisa de desencriptação TLS para ler o tráfego web. O Browser Isolation executa o conteúdo web ativo num navegador remoto em vez de no dispositivo.
| Plano | O que inclui |
|---|---|
| Free | Até 50 utilizadores. CASB com até 2 integrações de API só de leitura, perfis DLP predefinidos limitados, 24 horas de retenção de registos e até 3 localizações de escritório. Sem SLA de disponibilidade. |
| Pay-as-you-go | Para equipas com mais de 50 utilizadores e necessidades de SSE mais restritas. Os mesmos limites de CASB e DLP do Free, 30 dias de retenção de registos, até 50 localizações, um SLA de disponibilidade e Browser Isolation como complemento. |
| Contract | Para uma implementação SASE completa ou de segurança do espaço de trabalho: 6 meses de retenção de registos, até 250 localizações, autenticação mTLS, endpoints de proxy com ficheiro PAC e Logpush para um SIEM ou armazenamento na cloud. DLP completo, segurança de e-mail, Browser Isolation, IPs de saída dedicados e serviços de rede são complementos. |
Os preços por utilizador e as condições dos complementos da Cloudflare mudam, pelo que esta tabela indica apenas capacidades. A Vigilbase dimensiona o licenciamento Cloudflare Zero Trust para os utilizadores, as aplicações e os complementos abrangidos, e opera-o através do Managed Cloudflare.
Preços do Cloudflare Zero Trust →Começamos por um inventário de aplicações internas, identidades e dispositivos e, depois, acordamos a política de acesso, os contactos de aprovação e uma forma de verificar o acesso pretendido antes da implementação.
Confirmamos a configuração do fornecedor, as claims de grupo e a política de MFA e, depois, testamos os percursos reais dos utilizadores antes da implementação.
A arquitetura adequada depende do protocolo da aplicação, da conectividade e dos requisitos do cliente. Validamos os caminhos de acesso pretendidos e planeamos a transição com testes de acesso e um plano de reversão.
Cada política tem um responsável e um processo de revisão. Verificamos que o acesso previsto de colaboradores e fornecedores funciona e que o acesso fora da política acordada é negado.
O Zero Trust muda quando um fornecedor precisa de acesso, uma equipa se reorganiza ou uma aplicação é migrada. Testamos a integração de novos utilizadores, a remoção de acessos e o acesso de emergência face à política acordada.
O Core oferece governação e gestão de alterações em horário de expediente, com resposta em regime de melhores esforços. O Priority acrescenta operações 24/7, mitigação ativa de ameaças dentro do SLA e um gestor técnico de conta designado. O Critical acrescenta escalamento imediato e liderança sénior de incidentes.
A Cloudflare avisa que algumas regras Allow comuns permitem que qualquer pessoa chegue a uma aplicação e que as políticas Bypass não aplicam controlos do Access e não ficam registadas. Revemos as regras das políticas e testamos as políticas Bypass antes de chegarem à produção.
O Gateway permite o tráfego que não corresponde a nenhuma política, e uma política Do Not Inspect ignora todas as políticas HTTP restantes. Verificamos a ordem das políticas e confirmamos que o Gateway está a receber tráfego dos seus dispositivos antes de confiar nele.
Uma alteração no fornecedor de identidade, numa claim de grupo ou na postura do dispositivo pode bloquear as pessoas que precisam de acesso. A Cloudflare aconselha a verificar os resultados de postura antes de os aplicar; testamos os percursos reais dos utilizadores e mantemos um plano de reversão.
Nas aplicações SaaS, o Access aplica a política no início de sessão e quando a sessão é reemitida, e o Gateway não termina uma sessão ativa quando uma verificação de postura posterior falha. Planeamos a remoção de acessos tendo isso em conta.
O Access pode substituir alguns padrões de acesso por VPN, mas a arquitetura adequada depende do protocolo, da conectividade e do cliente. Planeamos a transição em função das aplicações e dos utilizadores no âmbito.
Acesso interno e Zero Trust →Vigilbase OS
O Vigilbase OS, o sistema operativo da cibersegurança, liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar. A integração nativa com a Cloudflare coloca os seus eventos Cloudflare ao lado dessas ferramentas, e o agente Vigil investiga incidentes de gravidade elevada enquanto os analistas da Vigilbase tratam das exceções.
A Cloudflare é o fornecedor onde as ações de resposta em direto são executadas atualmente. Escolhe o nível de autonomia: manter as ações desativadas, propô-las para aprovação ou permitir a execução de ações de baixo risco e reversíveis. O registo mostra a investigação, as ações executadas e a verificação. Para fornecedores sem ações em direto, a investigação devolve os passos que a sua equipa deve concluir.
Comece a utilizar o Vigilbase OSO Cloudflare Zero Trust é a vertente de segurança do Cloudflare One, a plataforma SASE da Cloudflare. Autentica e autoriza cada pedido com base na identidade e no contexto antes de conceder acesso, com o Access para aplicações, o Gateway para o tráfego dos utilizadores, o Tunnel para redes privadas e o Cloudflare One Client para dispositivos.Princípios Zero Trust e controlos de acessoAcesso interno e Zero Trust
O Cloudflare One é a plataforma: a oferta SASE da Cloudflare, que unifica a rede com a segurança Zero Trust. Cloudflare Zero Trust refere-se normalmente aos serviços de segurança que a integram, como Access, Gateway, CASB, DLP e Browser Isolation, e aos planos Zero Trust que os licenciam.A arquitetura SASE explicadaAcesso interno e Zero Trust
O plano Free da Cloudflare abrange até 50 utilizadores. O Pay-as-you-go tem um preço por utilizador por mês, e os planos Contract têm um preço anual personalizado por utilizador. Os complementos como Browser Isolation, DLP completo e segurança de e-mail têm custo adicional.Acesso interno e Zero TrustO licenciamento Cloudflare Enterprise explicado
O CASB da Cloudflare liga-se às APIs de ambientes SaaS e cloud com permissões só de leitura e de privilégio mínimo, e procura configurações incorretas e outros problemas de segurança. Os planos Free e Pay-as-you-go permitem até duas integrações CASB.A arquitetura SASE explicada
Pode substituir alguns padrões de acesso por VPN. O Access aplica políticas a aplicações individuais com base na identidade e, quando configurada, na postura do dispositivo, e o Tunnel liga aplicações privadas sem ligações de entrada. A arquitetura adequada depende do protocolo da aplicação, da conectividade e dos requisitos do cliente.O acesso à rede Zero Trust explicadoAcesso interno e Zero Trust
A Vigilbase vende a licença Cloudflare, implementa o Cloudflare Zero Trust e opera-o através do Managed Cloudflare: integração de identidade, conceção e afinação de políticas, testes de acesso e controlo de alterações. Core, Priority e Critical definem a cobertura e o processo de escalamento.Compare Core, Priority e CriticalAcesso interno e Zero Trust
Os detalhes sobre o Cloudflare Zero Trust e o Cloudflare One nesta página resumem a documentação e a página de planos da Cloudflare. Os planos, os limites e os complementos mudam, pelo que deve confirmar as condições atuais com a Cloudflare ou connosco antes de comprar.
Fontes dos fornecedores consultadas
Diga-nos que aplicações, fornecedores de identidade e dispositivos estão no âmbito. Definimos em conjunto o âmbito da licença Zero Trust, da implementação e da cobertura operacional.
