Cloudflare Zero Trust Network

Tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprende y practica Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

En una cuenta de Cloudflare Zero Trust Network hay algunas configuraciones y servicios que se pueden configurar. En esta página vamos a analizar las configuraciones relacionadas con la seguridad de cada sección:

Analytics

  • Útil para conocer el entorno

Gateway

  • En Policies es posible generar políticas para restringir por DNS, red o HTTP quién puede acceder a las aplicaciones.
  • Si se utiliza, se podrían crear políticas para restringir el acceso a sitios maliciosos.
  • Esto es solo relevante si se está utilizando un gateway, si no, no hay razón para crear políticas defensivas.

Access

Applications

En cada aplicación:

  • Verificar quién puede acceder a la aplicación en las Policies y asegurarse de que solo los usuarios que necesitan acceso a la aplicación puedan acceder.
  • Para permitir el acceso se van a utilizar Access Groups (y se pueden establecer reglas adicionales también)
  • Verificar los proveedores de identidad disponibles y asegurarse de que no sean demasiado abiertos
  • En Settings:
  • Verificar que CORS no esté habilitado (si está habilitado, verificar que sea seguro y que no esté permitiendo todo)
  • Las cookies deben tener el atributo Strict Same-Site, HTTP Only y binding cookie debe estar habilitado si la aplicación es HTTP.
  • Considerar habilitar también Browser rendering para mejor protección. Más información sobre remote browser isolation aquí.

Access Groups

  • Verificar que los grupos de acceso generados estén correctamente restringidos a los usuarios que deberían permitir.
  • Es especialmente importante verificar que el grupo de acceso predeterminado no sea muy abierto (no esté permitiendo demasiada gente) ya que por defecto cualquier persona en ese grupo podrá acceder a las aplicaciones.
  • Tenga en cuenta que es posible dar acceso a TODOS y otras políticas muy abiertas que no se recomiendan a menos que sea 100% necesario.

Service Auth

  • Verificar que todos los tokens de servicio expiren en 1 año o menos

Tunnels

TODO

My Team

TODO

Logs

  • Podría buscar acciones inesperadas de los usuarios

Settings

  • Verificar el tipo de plan
  • Es posible ver el nombre del propietario de la tarjeta de crédito, últimos 4 dígitos, fecha de expiración y dirección
  • Se recomienda agregar una Expiración de Asiento de Usuario para eliminar usuarios que realmente no utilizan este servicio

Tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprende y practica Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks