Cloudflareは、Cloudflare CASBサービスに自動修復ポリシーを追加したと発表した。これによりセキュリティチームは、SaaSアプリケーションでリスクが検出された際に自動実行するアクションを定義でき、アラートを記録してシステム管理者の対応を待つだけで済ませる必要がなくなる。アクションには、危険なファイルの共有解除や、組織が選択したプラットフォームおよび運用チャネルへのWebhookによるイベント詳細の送信が含まれる。
アラートからアクションへ
CASBはSaaSアプリケーションの状態を監視し、共有範囲が拡大されたファイル、休止中の管理用アクセスキーやアクセストークン、過剰な権限を持つOAuthアプリケーションなどの問題を探す。これらの結果は主にアラートとして表示されるか、Cloudflareのダッシュボードから手動で処理する必要があったため、問題の検出から修正までに時間差が生じていた。
新しいポリシーにより、組織は対応ロジックを一度定義できる。新たな結果がポリシーの条件に一致すると、CASBは指定されたアクションを自動的に実行する。Cloudflareは、マーケティング部門には例外を認めつつ、ファイルの一般公開を禁止する組織を例に挙げている。この場合、ポリシーはルールに違反するファイルを検出すると直ちに一般公開を解除でき、違反を個別確認待ちのリストに残す必要がない。
ポリシーの仕組み
このエンジンはCloudflareの開発者向けプラットフォーム内に構築されており、Cloudflare Queuesを使用して検出結果のメッセージを処理キューに入れる。その後、Cloudflare Workers上で動作するコンシューマーが一致するポリシーの有無を確認し、Cloudflare Workflowsを基盤とする処理パイプラインに渡すタスクを作成する。Workflowsは再開可能な実行を提供し、処理に失敗した場合やコンポーネントが再起動した場合には自動的に再試行する。
WorkflowsはSaaSプロバイダーのAPIが課すリクエストレート制限にも対応する。適切な待機時間の間タスクを一時停止し、破棄するのではなく再試行できる。Cloudflareは、結果の検出から修復完了までの時間を5分以内とする目標を掲げている。
利用可能なアクションと統合
ポリシーを作成するには、顧客が対象のベンダーと統合またはテナントを指定し、ポリシーを起動する結果の種類と必要なアクションを選択する。修復とWebhook送信を組み合わせることもできる。CloudflareがSaaS APIを通じて直接実行するネイティブ修復には、MicrosoftおよびGoogle Workspaceにおけるファイルとフォルダーの結果タイプ向けのアクションが含まれる。利用には、統合の権限を読み取り・書き込みモードに更新する必要がある場合がある。
Webhookは、Slack、Microsoft Teams、Jira、ServiceNow、Tines、または組織が使用する任意のカスタムHTTPエンドポイントに送信できる。これにより、イベント処理用の独立したシステムを構築せずに、CASBをセキュリティオペレーションセンター、SOARプラットフォーム、社内自動化システムに接続できる。
監査と現在の制限
Cloudflareは、Cloudflare OneのInsightsセクション内に2種類のログを記録する。Admin Activityは、誰がポリシーを作成、変更、無効化したかとその時刻を記録する。一方、Cloud & SaaS Securityポリシーのログは、ポリシーを起動した結果、影響を受けたファイル、成功または失敗の状態、401 Unauthorizedやリクエストレート制限超過の応答などのエラーを含む、各呼び出しの結果を記録する。
実際には、これらのログによって、組織は、広範囲に公開されたファイルなどの特定の結果と、それを処理した自動アクションおよびその実行時刻との間に監査証跡を確立できる。ただし、ネイティブ修復の範囲は現在もMicrosoftおよびGoogle Workspaceにおけるファイルとフォルダーの結果タイプに限定されており、一部のアクションでは統合に書き込み権限を付与する必要がある。Cloudflareは、Custom Findingsのサポートを今後数週間以内に追加するとしており、顧客が固有のニーズに合った検出ロジックを定義する能力が拡大する可能性がある。
CASB PoliciesはダッシュボードのCloud & SaaS findingsセクションから利用できる。顧客は、最初の修復ポリシーを作成する前に、Microsoft 365またはGoogle Workspaceの統合を接続するか、Read-Write権限で更新する必要がある。