Cloudflare hat die Integration von Cloudflare Gateway und Data Loss Prevention in die Edge-Computing-Plattform Cloudflare Workers angekündigt. Damit wird das sichere Web-Gateway von einem Modell mit statischen Entscheidungen wie Zulassen, Blockieren und Isolieren auf die Ausführung benutzerdefinierten Codes innerhalb des Pfads zur Bewertung der Sicherheitsrichtlinie selbst umgestellt.
Die Integration ist für Zero-Trust-Tarife verfügbar und bietet zwei zentrale Möglichkeiten, einen Worker aus Gateway-Richtlinien aufzurufen: eine neue Aktion namens Forward, die derzeit als öffentliche Beta verfügbar ist, sowie Custom Functions, deren Einführung vor Ende des Jahres 2026 erwartet wird.
Anfragen weiterleiten oder benutzerdefinierte Logik ausführen
Die Aktion Forward fungiert als Inline-Proxy für Anfragen, die der Richtlinie entsprechen. Der Worker empfängt HTTP-Anfrage-Header und den Anfragetext und kann diese vor der Weiterleitung an den Ursprungsdienst ändern. Anschließend kann er die Antwort vor der Rückgabe an den Benutzer bearbeiten. Gateway übernimmt dabei TCP-Verbindungen, die TLS-Terminierung, die erneute Verschlüsselung, die Zertifikatsverwaltung und die Aushandlung der HTTP-Version, sodass dem Worker lediglich die Weiterleitungslogik obliegt.
Forward kann auch für Nebenaktionen verwendet werden, ohne den Anfragepfad zu unterbrechen, etwa zum Senden einer Benachrichtigung an Slack oder PagerDuty, zum Protokollieren von Daten in R2, zum Aufrufen eines Webhooks oder zum Aktualisieren eines KV-Speichers. Cloudflare zufolge erfolgt der Aufruf des Workers auf derselben Infrastruktur, auf der Gateway ausgeführt wird, und über einen lokalen Aufruf, der keine Weiterleitung des Datenverkehrs über ein separates Netzwerk erfordert.
Custom Functions rufen einen Worker während der Richtlinienbewertung auf und geben einen Wert vom Typ Text, Zahl oder Boolean zurück. Dieser Wert kann als Selector in HTTP- oder Netzwerkrichtlinien verwendet werden. Der Worker kann je nach Richtlinienphase einen Kontext empfangen, der die Quell-IP-Adresse, die Benutzeridentität, den Gerätestatus, HTTP-Header und Verbindungsdaten umfasst.
Beispiele für die Nutzung
Cloudflare erklärt, dass eine benutzerdefinierte Funktion einen JWT-Claim auslesen und die Rolle oder Gruppe des Benutzers extrahieren kann. Das Ergebnis kann anschließend verwendet werden, um den Zugriff zu erlauben oder dem an den Ursprungsdienst gerichteten Request einen Header wie X-App-Role hinzuzufügen. Außerdem können Interstitial-Seiten erstellt werden, die den Benutzer auffordern, den Zugriff auf ein sensibles Ziel zu begründen, wobei die Sitzung in KV und das Audit-Protokoll in D1 oder einer internen Datenbank über Hyperdrive gespeichert werden können.
Weitere Einsatzmöglichkeiten sind die Prüfung von Dateien über einen externen Sandbox-Dienst, das Senden sofortiger Benachrichtigungen beim Auslösen einer DLP-Regel sowie die Durchführung von Risikoberechnungen auf Grundlage mehrerer interner Quellen. Cloudflare unterscheidet die beiden Wege klar: Custom Functions eignen sich für schnelle, spezifische und zustandslose Bewertungen, während Forward auf die Weiterleitung von Live-Anfragen sowie die Verarbeitung von Anfragen und Antworten ausgerichtet ist.
Erweiterung der DLP-Funktionen
Cloudflare hat außerdem die Verfügbarkeit benutzerdefinierter Validierungsfunktionen für DLP angekündigt. Diese Funktionen ermöglichen es Kunden, ihre eigene maßgebliche Datenquelle zu verwenden, um das Erkennungsergebnis vor einer Durchsetzungsentscheidung zu überprüfen. Ein Beispiel ist die Prüfung, ob ein erkanntes GitHub-Token tatsächlich aktiv ist, anstatt sich lediglich auf die Übereinstimmung mit einem Muster zu verlassen, das Geheimnissen oder Tokens ähnelt.
Die Validierungsfunktion erhält einen Datenausschnitt und die Position des übereinstimmenden Abschnitts. Anschließend kann sie eine externe API aufrufen und ein Ergebnis zurückgeben, das eine Übereinstimmungsbewertung oder eine Veto-Entscheidung umfasst. Dadurch lässt sich zwischen dem Vorhandensein eines sensiblen Musters und der Frage unterscheiden, ob der konkrete Fall tatsächlich ein Datenleck oder eine unbefugte Nutzung darstellt.
Was ändert sich in der Praxis?
Cloudflare will den Bedarf an von Sicherheitsteams verwalteter Zwischeninfrastruktur verringern, etwa an NGINX-Clustern, die ausschließlich zum Auslesen von JWT-Claims oder zum Ändern von Headern eingesetzt werden. Die neue Flexibilität verlagert jedoch einen Teil der Verantwortung auf den Kundencode: Anwendungen, die Forward verwenden, müssen sorgfältig konzipiert werden, damit sie die Benutzererfahrung nicht beeinträchtigen. Außerdem muss für den Ausfall einer Custom Function oder das Überschreiten ihrer Ausführungszeit im Voraus ein Fallback-Verhalten festgelegt werden.
Über Workers weitergeleiteter Datenverkehr wird als gewöhnliche Workers-Anfragen abgerechnet. Die Funktionen arbeiten mit Workers Free, Workers Paid und Workers for Enterprise, wobei der kostenlose Tarif die Ausführungszeit und die Zahl der täglichen Anfragen begrenzt. Cloudflare zufolge wird die allgemeine Verfügbarkeit beider Wege allen Kunden und für alle Tarifarten offenstehen. Das Unternehmen plant zudem, die Integrationspunkte innerhalb der Cloudflare-One-Suite zu erweitern, wobei Email Security der nächste Schritt sein soll.