Cloudflare Zero Trust Network

Reading time: 3 minutes

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

Em uma conta Cloudflare Zero Trust Network existem algumas configurações e serviços que podem ser configurados. Nesta página, vamos analisar as configurações relacionadas à segurança de cada seção:

Analytics

  • Útil para conhecer o ambiente

Gateway

  • Em Policies é possível gerar políticas para restringir por DNS, rede ou HTTP quem pode acessar aplicações.
  • Se utilizado, políticas podem ser criadas para restringir o acesso a sites maliciosos.
  • Isso é relevante apenas se um gateway estiver sendo usado, caso contrário, não há razão para criar políticas defensivas.

Access

Applications

Em cada aplicação:

  • Verifique quem pode acessar a aplicação nas Policies e verifique que apenas os usuários que precisam de acesso à aplicação possam acessar.
  • Para permitir o acesso, Access Groups serão utilizados (e regras adicionais também podem ser definidas)
  • Verifique os provedores de identidade disponíveis e certifique-se de que não estão muito abertos
  • Em Settings:
  • Verifique se CORS não está habilitado (se estiver habilitado, verifique se é seguro e não está permitindo tudo)
  • Os cookies devem ter o atributo Strict Same-Site, HTTP Only e o binding cookie deve estar habilitado se a aplicação for HTTP.
  • Considere habilitar também Browser rendering para melhor proteção. Mais informações sobre isolamento de navegador remoto aqui.

Access Groups

  • Verifique se os grupos de acesso gerados estão corretamente restritos aos usuários que devem permitir.
  • É especialmente importante verificar se o grupo de acesso padrão não está muito aberto (não está permitindo muitas pessoas) pois por padrão qualquer um nesse grupo poderá acessar aplicações.
  • Note que é possível dar acesso a TODOS e outras políticas muito abertas que não são recomendadas, a menos que 100% necessário.

Service Auth

  • Verifique se todos os tokens de serviço expiram em 1 ano ou menos

Tunnels

TODO

My Team

TODO

Logs

  • Você pode procurar por ações inesperadas de usuários

Settings

  • Verifique o tipo de plano
  • É possível ver o nome do proprietário do cartão de crédito, últimos 4 dígitos, data de expiração e endereço
  • É recomendado adicionar uma Expiração de Assento de Usuário para remover usuários que realmente não utilizam este serviço

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks