Cloudflare Gateway tích hợp Workers: tùy biến chính sách bảo mật bằng code
"Cloudflare announced the release of 'Forward' actions and custom validation functions for Cloudflare Gateway and DLP, allowing users to run their own code (Cloudflare Workers) inline during policy evaluation. This addresses the trade-off between customization and maintenance overhead faced by security teams, enabling dynamic traffic manipulation and integration with external systems. The features are available to Zero Trust plan users."
Việc có thể tùy biến chính sách bảo mật bằng code giúp tăng cường khả năng ứng phó với các mối đe dọa mới và phức tạp. Tuy nhiên, cần đảm bảo code được viết an toàn để tránh lỗ hổng bảo mật.
Tính năng này giúp giảm chi phí vận hành và tăng tính linh hoạt cho các đội bảo mật. Khả năng tích hợp với hệ thống bên ngoài (Slack, SIEM) giúp tự động hóa quy trình và cải thiện hiệu quả làm việc.
Cloudflare vừa cho phép chạy code (Cloudflare Workers) trực tiếp trong quy trình kiểm tra chính sách của Gateway và DLP (Data Loss Prevention). Tính năng này có tên 'Forward' action và custom validation functions, dành cho người dùng gói Zero Trust.
Đây là cách các đội bảo mật có thể tùy biến sâu hơn mà không cần tự xây dựng và bảo trì hạ tầng riêng. Thay vì chỉ chọn 'cho phép', 'chặn', 'cô lập', 'ghi log', họ có thể can thiệp vào luồng dữ liệu, tích hợp với hệ thống bên ngoài.
Cloudflare cho rằng các giải pháp bảo mật truyền thống có giới hạn. Các doanh nghiệp thường phải lựa chọn giữa việc tự xây dựng hệ thống bảo mật (linh hoạt nhưng tốn công) hoặc sử dụng dịch vụ của vendor (tiện lợi nhưng thiếu tùy biến). Forward action và custom validation functions giúp phá vỡ thế cân bằng này.
Ví dụ, một công ty muốn thêm header HTTP dựa trên thông tin trong JWT (JSON Web Token). Trước đây, họ phải dựng thêm NGINX proxy. Giờ đây, họ có thể dùng Worker để xử lý trực tiếp. Hoặc, họ có thể gửi thông báo Slack ngay khi phát hiện đăng ký dịch vụ SaaS mới, thay vì phải chờ 5-15 phút qua pipeline phức tạp.
Cloudflare nhấn mạnh lợi thế cạnh tranh của mình: khả năng kết hợp edge computing (Workers) và secure web gateway trên cùng một mạng lưới toàn cầu. Việc chuyển dữ liệu giữa hai thành phần này diễn ra nhanh chóng vì là lời gọi hàm nội bộ, không gây thêm latency. Các giải pháp khác thường yêu cầu triển khai tự động trên cloud riêng, dẫn đến độ trễ và chi phí quản lý cao hơn. Programmability giờ đây không chỉ là API, Terraform, hay webhook, mà là khả năng chạy arbitrary logic do chính người dùng viết. Đây là bước tiến quan trọng trong việc xây dựng SASE platform (Secure Access Service Edge).
Câu hỏi thường gặp
Forward action và Custom Functions khác nhau như thế nào?
Forward action cho phép định tuyến lưu lượng HTTP đã khớp chính sách đến một Worker để xử lý. Custom Functions (sắp ra mắt) cho phép tùy biến logic kiểm tra chính sách bằng code.
Tính năng này có gây ra độ trễ không?
Cloudflare khẳng định không có độ trễ đáng kể vì Workers và Gateway chạy trên cùng một hạ tầng. Việc chuyển dữ liệu giữa hai thành phần là lời gọi hàm nội bộ.
Ai có thể sử dụng tính năng này?
Tính năng này dành cho người dùng gói Zero Trust của Cloudflare. Forward action đã có, còn Custom Functions sẽ ra mắt trước cuối năm.
Góc nhìn của Orange Cloud
Theo chúng tôi, khả năng tích hợp Workers vào Gateway đặc biệt hữu ích cho các doanh nghiệp Việt Nam đang tìm cách tùy biến chính sách bảo mật cho môi trường phức tạp. Thay vì phụ thuộc vào các giải pháp 'một kích cỡ phù hợp với tất cả', họ có thể tự viết code để giải quyết các vấn đề cụ thể. Tuy nhiên, việc này đòi hỏi đội ngũ kỹ thuật có kỹ năng lập trình và hiểu biết về Workers. Hiện tại, tính năng Forward action đã có, còn Custom Functions sẽ ra mắt trước cuối năm.