Zero trust pristup uz Cloudflare

Za malu firmu, zero trust pristup je pravilo o vratima, a ne slogan proizvoda. Svaki zahtjev prema wp-adminu, deployu ili internom alatu mora reći ko je, i taj odgovor mora isteći. To što neko sjedi na kancelarijskoj mreži, ili zna adresu servera, nije razlog da ga pustite unutra.

Javni sajt treba da ostane javan. Admin panel, SSH, staging i alati koje koristi samo osoblje ne treba. CodeWiz već drži Cloudflare u produkciji za hosting, a javni sajt ide preko Cloudflarea. Za sve ostalo Cloudflare Access provjerava identitet na rubu, drži sesiju kratkom i daje deploy poslu vlastiti kredencijal.

Ovo je za vlasnike kojima je wp-admin i dalje otvoren svijetu, SSH port proslijeđen na ruteru, a staging hostname može otvoriti bilo ko. Ne treba vam veliki sigurnosni tim. Treba vam imenovana osoba na svakim vratima, i način da je uklonite onog dana kad ode.

Šta zero trust pristup mijenja na mreži

U ovom modelu, zero trust pristup znači da mreža nije granica povjerenja. Laptop na kancelarijskom Wi-Fi-u nije “unutra”. Zahtjev sa kuhinjskog stola nije “izvana” na način koji kancelariju čini pouzdanom, a kuću nepouzdanom. Svaki zahtjev se autentifikuje zasebno, za aplikaciju kojoj pokušava da pristupi, i tek onda se pušta ili odbija.

To je suprotno od VPN-a na koji se mnoge male firme i dalje oslanjaju. VPN kaže: kad ste na ovoj mreži, serveri su vaši da ih vidite. Nasuprot tome, zero trust pristup kaže da je mreža samo put. Aplikacija i dalje pita ko ste. Cloudflareov pojmovnik te ideje kaže isto: ne dajete povjerenje zato što znate odakle je zahtjev došao.

Maloj firmi to pravilo treba na pet vrata: wp-admin, SSH, deploy, staging i bilo koji interni alat. Marketinški sajt može ostati otvoren. Tih pet ne smije na anoniman zahtjev odgovoriti formom za prijavu, shellom ili nedovršenom stranicom. Izgubljeni laptop ne smije zadržati sesiju od sedmicu dana, a ugovarač koji je završio u petak ne smije u ponedjeljak otvoriti admin.

Identitet ispred admin URL-ova

wp-admin na otvorenom internetu je stalan poziv. Botovi cijeli dan probaju uobičajene lozinke, a procurjela lozinka urednika je dovoljna kad ispred WordPressa ne stoji niko. Imenovani identitet ispred tog URL-a je zero trust pristup koji skida anonimni saobraćaj prije nego što PHP uopšte krene.

Cloudflare Access stoji na hostnameu, na putanji, ili na oboje. Osoba se prijavljuje poslovnim nalogom koji već imate, na primjer Google Workspace, Microsoft Entra ili GitHub, ili jednokratnim kodom na adresu koju ste naveli. Sesija traje satima, ne mjesecima. Dokumentacija Cloudflare One pokriva aplikacije, pravila i to trajanje sesije.

Javni sajt ostaje kakav jeste: proxied, keširan tamo gdje je to sigurno, a objašnjen je u našim bilješkama o Cloudflare konfiguraciji. Staging, admin i interni alati dobijaju vlastito pravilo. Dizajner kojem treba samo staging ne dobija pravilo koje otvara i SSH.

Pravila o uređaju i zemlji, bez blokade putnika

Provjere uređaja i zemlje su dodatni signali. Ako su pretjerano stroge, zaključaju baš onu osobu koja može popraviti pravilo. Pravila o zemlji podržavaju zero trust pristup kad prate ljude koji putuju, a padaju kad pretpostave da svi sjede u jednoj kancelariji.

Praktičan skup je poslovni identitet, drugi faktor kod tog provajdera, i neobavezna provjera da je laptop jedan od onih koje vodite. Zemlje su mjesta na kojima zaista radite, plus izuzetak sa datumom za put. Kad put završi, završi i izuzetak. Niko ne dijeli lozinku “samo za ovu sedmicu”.

• Dva imenovana admina, da izgubljen telefon ili let ne ostave firmu bez prijave.
• Sesije ostaju kratke na adminu i SSH-u i kad je pravilo o zemlji privremeno prošireno zbog puta.
• Nova zemlja prvo postavlja pitanje, prije nego što postane trajna rupa. Dodajte je za te datume, pa je uklonite.
• Ne tražite provjeru uređaja koju može proći samo kancelarijski desktop, ako ljudi koji vode sajt rade kod klijenata.

Service tokeni za deploy

Ljudi i pipeline nisu isti pozivaoci. Osoba može koristiti browser i drugi faktor. CI posao ne može. Tretirajte pipeline kao zaseban zero trust pristup: service token na deploy hostnameu, sačuvan kao CI tajna, nikad kao nečija lozinka u varijablama.

Token smije zvati deploy aplikaciju i ništa drugo. Ne može otvoriti wp-admin, staging ni SSH. Ako iscuri, povučete token, a prijave osoblja i dalje rade. Ako osoba ode, uklonite njen mejl, a noćni deploy i dalje radi. Ta dva povlačenja nisu isto dugme.

• Zasebna Access aplikacija za deploy hostname ili putanju, sa pravilom koje prima service token i ne nabraja cijelu firmu.
• Tajna živi u CI sistemu, ne u repozitoriju i ne u poruci u chatu.
• Rotirajte je kad ode neko ko je mogao čitati CI varijable, i po kalendaru čak i kad niko nije otišao.
• Ljudsku sesiju držite kratkom, a token uskim. Širina je ono što jednu procurjelu vrijednost pretvori u sva vrata.

SSH kroz tunel, umjesto otvorenog porta

SSH port na ruteru je javni servis ispred kojeg stoji lozinka ili ključ. Skeneri ga nađu, a ključevi završe na laptopima koji se izgube. SSH, kao i admin panel, pripada modelu koji zovemo zero trust pristup: server otvara odlazni tunel, i niko sa interneta ne može otvoriti port 22.

Cloudflare Tunnel, pokrenut kao cloudflared na mašini, drži tu vezu. Access stoji ispred SSH hostnamea. Osoba koja prođe pravilo dobije kratkotrajan certifikat i poveže se običnim klijentom ili sesijom u browseru. Certifikat istekne. Ključ zaboravljen u kućnom direktorijumu više nije jedina kontrola.

Ovo radi samo ako je stari put zatvoren. Ako IP servera i dalje prima SSH sa cijelog interneta, tunel je glavni ulaz pored otvorenih sporednih vrata. Hosting i DNS je mjesto na kojem se taj origin zaključava: proxied imena, nema DNS-only zapisa uperenog u SSH host, i nema ulaznog admin porta ostavljenog za hitne slučajeve.

Šta zero trust pristup ne zamjenjuje

Sam zero trust pristup odgovara na pitanje ko smije pokucati. Ne krpi aplikaciju, ne vraća stanje od prošlog utorka i ne sprečava nalog urednika da izveze sve kupce. Ti poslovi ostaju. Kapija može ostaviti utisak da su gotovi, a nisu.

• Zakrpe: WordPress core, pluginovi, teme, PHP, Node.js i operativni sistem i dalje traže ažuriranja. Zid za prijavu ih ne instalira.
• Backupi: isprobane obnove baze i uploadovanih fajlova. Access neće vratiti obrisanu prodavnicu.
• Najmanja prava unutar aplikacije: odvojeni WordPress korisnici, urednici koji nisu administratori, API tokeni suženi na jedan posao.
• Ostale kontrole javnog sajta: TLS, firewall, uredna zaglavlja i DNS koji kupcima i dalje razrješava ime.
• Pravi pregled koda i konfiguracije kad treba da znate šta napadač i dalje može nakon što je ušao.

Sigurnosni audit i penetration testing traže slabosti u aplikaciji i na serveru. Ovo podešavanje odlučuje ko uopšte može doći do aplikacije. Treba vam oboje. Ni jedno ne znači da se sistem ne može probiti.

Greške koje ostavljaju sporedna vrata

• Jedna dijeljena admin prijava iza kapije. Access zabilježi mejl. WordPress svaku izmjenu zapiše kao admin, pa ne možete ukloniti jednu osobu bez nove lozinke za sve.
• Zaobilaženje preko DNS-a. Hostname je zaštićen, ali drugi zapis gleda u IP origina, ili origin i dalje prima cijeli internet. Ko ima IP, obiđe pravilo.
• Bypass pravilo ostavljeno uključeno poslije testa, pa putanja koja treba da traži identitet to ne radi.
• Jedan service token za svaku aplikaciju, uključujući wp-admin, jer je tako bilo brže napraviti.
• Pravilo o zemlji i jedan admin koji je u inostranstvu i sada je zaključan.
• Staging ostavljen za indeksiranje, ili povezan sa javnog sajta, pa hostname nikad nije bio kontrola.

Dijeljena prijava preživi inače pažljivo puštanje. Takav zero trust pristup i dalje izgleda zeleno: svaki zahtjev jeste autentifikovan, ali kao gomila. Svakoj osobi dajte mejl na rubu i korisnika unutar WordPressa, i oboje uklonite kad ode.

Kako radimo

1. Mapiramo vrata. wp-admin, SSH, deploy, staging i svaki interni alat: ko ga koristi, i koje adrese i dalje odgovaraju bez prijave.
2. Biramo pravila. Provajder identiteta, trajanje sesije, zemlje, drugi imenovani admin, i koje površine ostaju javne. Obično samo javni sajt.
3. Gradimo kapiju. Access aplikacije, tunel bez ulaznog admin porta, i service token koji može deployovati, a ne može da pregleda.
4. Testiramo dosadne slučajeve. Anonimni zahtjevi padaju. Imenovana osoba uđe. Povučeni mejl ne uđe. Putnik ne ostane nasukan. Pipeline i dalje isporučuje.
5. Zatvaramo stari put tek kad je novi korišten na pravom poslu. To znači javni SSH port i svaki direktan put do origina.
6. Predajemo spisak. Ko smije dati pristup, gdje token živi, i šta se mijenja kad neko dođe, ode ili sjedne u avion.

Zašto CodeWiz

• Isti rub kao javni sajt. CodeWiz je 2023. osnovao Dragan Plavšić u Banjoj Luci. Cloudflare već držimo u produkciji za hosting, uključujući javni sajt, pa je privatan admin pravilo na stacku koji vodimo.
• Gradimo ono što kapija čuva. WordPress, Laravel, Node.js i interni alati su svakodnevni posao, pa se pravilo pristupa i prijava u aplikaciju projektuju zajedno.
• Hosting i sigurnost ostaju povezani. DNS, certifikati i origin idu uz hosting. Slabosti unutar aplikacije idu uz sigurnosne preglede, a zero trust pristup stavljamo na privatna vrata i ne pravimo se da je kapija završila ostalo.
• Skrojeno za mali tim. Nekoliko ljudi dobije imenovane korisnike i kratku sesiju, ne dijagram mreže koji neće voditi.
• Prvo open-source, uz poštenu cijenu. Premium razvoj bez premium cijena, sa klijentima lokalno i u inostranstvu. Koristimo one Cloudflare funkcije koje će tim zaista održavati.

Često postavljana pitanja

Je li zero trust pristup samo za velike kompanije?

Nije. Korisna verzija je kratak spisak: nema otvorenog wp-admina, nema otvorenog SSH-a, deploy ima zaseban kredencijal, a interni alati nisu na javnom internetu. Provajder identiteta koji već imate, plus Cloudflare Access na nekoliko hostnameova, dovoljan je za početak.

Treba li vam i dalje VPN?

Često ne. VPN pomaže kad ljudi moraju ući u privatnu mrežu. Ako svaki osjetljiv alat provjerava identitet, a serveri ne primaju ulazni admin saobraćaj, malo toga ostaje da VPN krije. Zadržite ga samo tamo gdje sistem ne može stajati iza Accessa. Da li VPN već daje zero trust pristup? Samo ako se svaki zahtjev i dalje provjerava. Većina VPN-ova malih firmi tu i stane, na samoj mreži.

Zamjenjuje li Access WordPress lozinku?

Ne. Access odlučuje smije li zahtjev uopšte stići do WordPressa. WordPress i dalje ima korisnike, uloge i vlastitu prijavu. Uključite i tamo drugi faktor. Jedan dijeljeni administratorski nalog čini da se dnevnik na rubu i dnevnik u WordPressu ne slažu oko toga ko je radio.

Šta ako neko od vas putuje?

Dodajte zemlju za datume puta, ili se oslonite na identitet i vođeni uređaj, i novu zemlju potvrdite umjesto da je zabranite. Zadržite drugu osobu koja može promijeniti pravilo. Ne dijelite zajedničku lozinku za hotel.

Hoće li ovo zaustaviti napad na javni sajt?

Zaustavlja anonimne posjetioce da dođu do vrata koja ste zatvorili. Ne krpi plugin, ne popravlja pokvarenu provjeru unutar prodavnice i ne vraća bazu. Javne stranice ostaju javne kupcima. Kapija smanjuje izloženost. Nije tvrdnja da se sajt ne može kompromitovati.

Zatražite zero trust pristup za vaša admin vrata

Recite nam gdje vam danas stoje wp-admin, SSH, staging i deploy, i ko do njih mora izvan kancelarije. Predložićemo kratkotrajan setup na Cloudflare Accessu, uz javni sajt koji ostaje javan i origin koji više ne prima sporedna vrata. Javite nam se da krenemo, ili pogledajte šire usluge hostinga, sigurnosti i samih aplikacija.