コンテンツにスキップ

ブラウザアイソレーションの設定

Cloudflare Browser Isolation seamlessly executes active webpage content in a secure isolated browser to protect users from zero-day attacks, malware, and phishing.

ブラウザアイソレーションは、従来のセキュアウェブゲートウェイの能力を超える方法を使用して、ユーザーにユニークで透明な保護を提供します。このセクションでは、デバイスまたはネットワークからのトラフィックの大部分がCloudflareに転送されることを前提に、外部サービス向けのブラウザアイソレーションに主に焦点を当てています。ブラウザアイソレーションの他のアプリケーションについては、ゼロトラストウェブアクセス（ZTWA）学習パスを参照してください。

なお、Cloudflareのブラウザアイソレーション技術は、ユーザーの日常的なブラウジングの100%に使用されることを目的に構築されました。これらの推奨事項は、ブラウザアイソレーションの使用を制限したり注意深く行うべきだと示唆するものではなく、技術と実際のセキュリティの利点をバランスさせる実用的な結果を特定するのに役立ちます。

ブラウザアイソレーションを最大限に活用する

組織がブラウザアイソレーションの実装に興味がある場合、Cloudflareが推奨するいくつかの方法があります。

シャドウITのためのコピー、ペースト、アップロード/ダウンロードをブロックする

Cloudflare Zero Trustの展開を開始した場合、シャドウITディスカバリーを使用してユーザートラフィックパターンを視覚化し始めたかもしれません。この機能は、ユーザーが使用している検出されたSaaSアプリケーションを可視化します。管理者は、適切な組織の使用に基づいてアプリケーションやサービスを分類できます。シャドウITディスカバリーを使用していない場合は、手動または他のツールで類似のリストを維持し、そのデータをゼロトラストリストに移行し、APIを介して更新することで同様の結果を得ることができます。

重いブロックポリシーを適用することなく、定義したカテゴリに一致するアプリケーションへのユーザートラフィックをアイソレートするポリシーを適用することで、潜在的なリスクを制御し、ユーザーの行動を形成できます。その後、コピー/ペーストやアップロード/ダウンロードを制限する能力など、ポリシーに追加のパラメータを設定できます。ユーザーはツール内の情報にアクセスできますが、データ損失のリスクを最小限に抑えることができます。

  1. ゼロトラスト ↗に移動し、ゲートウェイ > ファイアウォールポリシーを選択します。

  2. HTTPタブで、ポリシーを追加を選択します。

  3. ポリシーに名前を付けます。

  4. トラフィックで、次の式を追加します：

    セレクタ演算子値アクション
    ホストリスト内シャドウITアイソレート

  5. ポリシー設定を構成で、次のオプションをオンにします：

    • コピー / ペーストを無効にする
    • ファイルダウンロードを無効にする
    • ファイルアップロードを無効にする

  6. ポリシーを作成を選択します。

すべての「グレーリスト」トラフィックをアイソレートする

未知の脅威やゼロデイ脅威から保護するためにブラウザアイソレーションを使用する一般的な方法は、セキュリティ姿勢を劇的に強化できます：すべてのHTTPトラフィックを既知の許可、既知の悪意のあるもの、未知のバケットに分けます。トラフィックを分類したら、未知のバケット内のすべてをアイソレートします。

これを実現するために、次のポリシーを作成できます：

  • Cloudflareアプリケーション定義またはリストを使用して、すべての既知のアプリケーションと信頼できるウェブサイトに対する明示的な許可ポリシー
  • すべてのセキュリティリスク、既知の悪意のあるトラフィック、および許可されていない使用に対する明示的なブロックポリシー
  • この中間にあるすべてのトラフィックをアイソレートするポリシー

この文脈では、組織にとって未知のトラフィックがある場合、Cloudflareはデフォルトでそれをアイソレートします。Cloudflareは、クライアント側で悪意のあるコードが実行されるのを防ぎ、追加の制御を提供します。

  • 既知のアプリケーションとウェブサイトを許可：

    セレクタ演算子値アクション
    ドメインリスト内既知のドメイン許可

  • セキュリティリスクをブロック：

    セレクタ演算子値アクション
    セキュリティリスクinすべてのセキュリティリスクブロック

  • その他のすべてのトラフィックをアイソレート：

    セレクタ演算子値アクション
    ホスト正規表現に一致.*アイソレート

リンクベースのアイソレーションを使用したベンダーチェーン

セキュリティフレームワーク内に存在する可能性のある多くのベンダーは、URL操作をサポートしています。URL操作をブラウザアイソレーションのオンランプとして使用して、追加のセキュリティ制御を追加できます。

たとえば、ZscalerやProofpointのようなベンダーは、静的または動的形式でURLにリンクを前置きすることを許可します。Cloudflareアカウント用に生成されたクライアントレスアイソレーションリンクを前置きすることで、潜在的にリスクのあるクリックに対して追加のセキュリティ利益を得ることができます。これは、今日Cloudflareを介して送信されていないトラフィック（別のプロキシを介してなど）がある場合、特定のフィルタリングされたリクエストにリンクを前置きして、エンドポイントエージェントをインストールせずにトラフィックをCloudflareのアイソレートブラウザセッションに自動的に送信できることを意味します。

flowchart TB
    %% アクセシビリティ
    accTitle: ブラウザアイソレーションアーキテクチャ
    accDescr: インラインブラウザアイソレーションのためのユーザートラフィックの操作順序を説明するフローチャート。

    %% ユーザートラフィック
    user(["ユーザーが </br>risky.example.com にアクセス"])--"接続する"-->cloud[サードパーティSWGクラウド]

    %% サードパーティSWG
    cloud-->warning[サードパーティの中断ブロックまたは警告ページ]
    warning--"Cloudflareサブドメインを追加"-->biso

    %% ブラウザアイソレーション
    subgraph cf [Cloudflareグローバルネットワーク]
    biso[[Cloudflareクライアントレスウェブアイソレーション]]
    inline(["アイソレートされたブラウザ"])
    biso--"ユーザーのブラウザが </br>customer.cloudflareaccess.com/browser/risky.example.com にアクセス"-->inline
    end
Cloudflare DashboardDiscordCommunityLearning CenterSupport Portal
Cookie Settings