Cloudflare a annoncé l’ajout de politiques de remédiation automatique à son service Cloudflare CASB. Les équipes de sécurité peuvent ainsi définir des actions exécutées automatiquement lorsqu’un risque est détecté dans des applications SaaS, au lieu de se contenter d’enregistrer l’alerte et d’attendre l’intervention d’un administrateur système. Les actions comprennent la suppression du partage de fichiers dangereux et l’envoi des détails de l’événement via des Webhooks vers les plateformes et canaux opérationnels choisis par l’organisation.
De l’alerte à l’action
CASB surveille la posture des applications SaaS à la recherche de problèmes tels que des fichiers dont le périmètre de partage a été élargi, des clés ou jetons d’accès administratifs inactifs et des applications OAuth disposant de privilèges excessifs. Ces résultats étaient principalement présentés sous forme d’alertes ou nécessitaient une intervention manuelle depuis le tableau de bord Cloudflare, ce qui créait un délai entre la détection du problème et sa correction.
Les nouvelles politiques permettent à l’organisation de définir une fois pour toutes la logique de réponse. Lorsqu’un nouveau résultat correspond aux conditions de la politique, CASB exécute automatiquement l’action définie. Cloudflare donne l’exemple d’une organisation qui interdit le partage public des fichiers tout en autorisant des exceptions pour le service marketing ; dans ce cas, la politique peut supprimer immédiatement le partage public dès la détection d’un fichier non conforme à la règle, au lieu de laisser l’infraction dans une liste en attente d’un examen individuel.
Comment fonctionnent les politiques ?
Le moteur a été conçu au sein de la plateforme de développement Cloudflare et utilise Cloudflare Queues pour placer les messages des résultats détectés dans une file de traitement. Un consommateur exécuté via Cloudflare Workers vérifie ensuite l’existence d’une politique correspondante et crée une tâche transmise au pipeline de traitement reposant sur Cloudflare Workflows. Workflows assure une exécution reprenable, avec une nouvelle tentative automatique en cas d’échec de l’opération ou de redémarrage des composants.
Workflows gère également les limites de débit imposées par les interfaces de programmation des fournisseurs SaaS : il peut suspendre la tâche pendant la période d’attente appropriée, puis effectuer une nouvelle tentative au lieu de l’abandonner. Cloudflare fixe un objectif temporel de cinq minutes ou moins entre la détection du résultat et l’achèvement de la remédiation.
Actions et intégrations disponibles
Pour créer une politique, le client indique le fournisseur ainsi que l’intégration ou le locataire concernés, puis sélectionne le type de résultat qui déclenchera la politique et l’action requise. La remédiation peut être combinée à l’envoi d’un Webhook. La remédiation native exécutée directement par Cloudflare via l’interface SaaS comprend des actions pour les types de résultats relatifs aux fichiers et aux dossiers dans Microsoft et Google Workspace. Leur utilisation peut nécessiter la mise à jour des autorisations de l’intégration en mode lecture-écriture.
Les Webhooks peuvent être dirigés vers Slack, Microsoft Teams, Jira, ServiceNow, Tines ou tout point de terminaison HTTP personnalisé utilisé par l’organisation. Cela permet de relier CASB à un centre des opérations de sécurité, à une plateforme SOAR ou aux systèmes d’automatisation internes sans devoir créer un système indépendant de traitement des événements.
Audit et limites actuelles
Cloudflare enregistre deux types de journaux dans la section Insights de Cloudflare One. Admin Activity indique qui a créé, modifié ou désactivé la politique, ainsi que le moment où cela s’est produit, tandis que les journaux des politiques Cloud & SaaS Security enregistrent le résultat de chaque appel, notamment le résultat ayant déclenché la politique, le fichier concerné, l’état de réussite ou d’échec et les erreurs telles que 401 Unauthorized ou les réponses liées au dépassement des limites de débit.
En pratique, ces journaux fournissent à l’organisation une piste d’audit reliant un résultat précis, comme un fichier largement accessible, à l’action automatisée qui l’a traité et à son horodatage. Toutefois, le périmètre de la remédiation native reste actuellement limité aux types de résultats relatifs aux fichiers et aux dossiers dans Microsoft et Google Workspace, et certaines actions dépendent de l’octroi d’autorisations d’écriture à l’intégration. Cloudflare indique que la prise en charge de Custom Findings sera ajoutée dans les semaines suivantes, ce qui pourrait élargir la capacité des clients à définir une logique de détection adaptée à leurs besoins spécifiques.
Les CASB Policies sont disponibles dans la section Cloud & SaaS findings du tableau de bord. Les clients doivent connecter leur intégration Microsoft 365 ou Google Workspace, ou la mettre à jour avec des autorisations Read-Write, avant de créer leur première politique de remédiation.