Cloud Access Security Broker (CASB)

Cloud Access Security Broker (CASB) to warstwa kontroli, która staje pomiędzy użytkownikami a usługami chmurowymi i pilnuje, jak korzystają z nich pracownicy. Pośredniczy w ruchu do aplikacji SaaS, PaaS i IaaS, dzięki czemu firma widzi, z jakiej chmury się korzysta, i może kontrolować swoje dane, dostępy oraz reagować na zagrożenia tam, gdzie zwykła zapora i brama webowa nie sięgają. Termin spopularyzował Gartner około 2012 roku, opisując CASB przez tzw. cztery filary: widoczność, zgodność, bezpieczeństwo danych i ochronę przed zagrożeniami.

Czym jest CASB?

CASB rozszerza zasady bezpieczeństwa firmy poza jej własną sieć — na usługi w chmurze, do których ludzie logują się z dowolnego urządzenia i miejsca. Zwykła zapora patrzy na ruch sieciowy na styku z internetem. CASB idzie dalej i rozumie, co dzieje się w samej aplikacji chmurowej: kto się loguje, do jakiej usługi, co robi (pobiera plik, udostępnia go, zmienia uprawnienia) i jakich danych to dotyczy. Dlatego potrafi wymusić regułę na poziomie konkretnej akcji w aplikacji, a nie tylko adresu IP czy domeny.

CASB nie zastępuje zabezpieczeń samego dostawcy chmury. Działa w modelu współdzielonej odpowiedzialności: dostawca dba o infrastrukturę, a CASB pomaga firmie-klientowi pilnować tego, za co odpowiada ona sama — konfiguracji, dostępów, danych i tego, co robią użytkownicy.

Jakie są cztery filary CASB?

• Widoczność — wykrycie wszystkich używanych usług chmurowych, także tzw. shadow IT, czyli aplikacji, które pracownicy uruchamiają bez zgody działu IT. CASB tworzy spis takich aplikacji, ocenia ich ryzyko i pokazuje, kto i jak z nich korzysta.
• Zgodność — pilnowanie wymogów prawa i wewnętrznych zasad firmy wobec danych w chmurze, m.in. RODO/GDPR, HIPAA czy PCI DSS, wraz z audytem i raportowaniem.
• Bezpieczeństwo danych — ochrona danych w ruchu, w spoczynku i w użyciu: rozpoznawanie danych wrażliwych, Data Loss Prevention (DLP, czyli zapobieganie wyciekom), szyfrowanie, tokenizacja oraz kontrola, kto ma dostęp do plików.
• Ochrona przed zagrożeniami — wykrywanie złośliwego oprogramowania, przejętych kont i zachowań, które odbiegają od normy, np. logowania z nietypowego miejsca czy nagłego pobierania dużej ilości danych. Pomaga w tym analiza zachowań użytkowników (UEBA).

Jak działa CASB?

Działanie CASB można rozłożyć na trzy kroki:

1. Wykrywanie (discovery) — znalezienie wszystkich aplikacji chmurowych, i tych zatwierdzonych, i nieautoryzowanych. Najczęściej dzieje się to przez analizę logów z zapór i bram webowych (proxy).
2. Klasyfikacja (classification) — przypisanie poziomu ryzyka każdej usłudze i danym, które przez nią płyną.
3. Remediacja (remediation) — reakcja zgodna z regułami: zezwolenie, ograniczenie lub zablokowanie akcji, kwarantanna pliku, wymuszenie uwierzytelnienia wieloskładnikowego, alert do zespołu bezpieczeństwa (SOC).

Jakie są tryby wdrożenia CASB?

• Tryb API (out-of-band) — łączy się wprost z API dostawcy chmury. Może skanować dane w spoczynku i konfigurację bez przekierowywania ruchu, ale nie blokuje akcji na bieżąco i działa tylko dla zatwierdzonych aplikacji, które takie API udostępniają.
• Forward proxy (inline) — ruch użytkownika idzie przez CASB w drodze do chmury, dzięki czemu można na żywo stosować DLP i blokować akcje. Zwykle wymaga agenta lub konfiguracji na zarządzanym urządzeniu.
• Reverse proxy (inline) — ruch idzie przez CASB po stronie aplikacji, najczęściej dzięki integracji z dostawcą tożsamości (SAML, SSO). Obejmuje też urządzenia prywatne, ale działa tylko dla aplikacji, które taką integrację obsługują.
• Multimode (hybrydowy) — łączy tryb API z trybem inline, żeby mieć naraz szeroki zasięg i blokowanie na żywo.

Tryb inline dokłada trochę opóźnienia i bywa miejscem, którego awaria przerywa ruch. Tryb API tych kosztów nie ma, ale reaguje dopiero po fakcie. Wybór zależy od tego, co jest ważniejsze: blokowanie na bieżąco czy szeroka widoczność i kontrola konfiguracji.

CASB a shadow IT

Shadow IT to usługi chmurowe używane bez wiedzy działu IT — od prywatnych kont do współdzielenia plików po niezatwierdzone narzędzia AI. To realne ryzyko, bo dane firmy trafiają poza zasięg jej zasad i monitoringu. CASB wykrywa takie aplikacje na podstawie ruchu, ocenia ich ryzyko i pozwala zdecydować: dopuścić, ograniczyć (np. zablokować wysyłanie plików) albo zablokować w całości.

Czym CASB różni się od DLP, SASE i SSE?

CASB a DLP. DLP to technologia, która wykrywa i blokuje wyciek danych wrażliwych. CASB zwykle ma funkcje DLP, ale stosuje je w kontekście aplikacji chmurowych. Klasyczne DLP chroni dane w sieci, na komputerach i w pamięci masowej w siedzibie firmy (on-premises). W praktyce oba podejścia często się łączą albo dzielą te same reguły.

CASB a SASE i SSE. Security Service Edge (SSE) to dostarczany z chmury zestaw usług bezpieczeństwa, który łączy CASB, bramę webową (SWG) i Zero Trust Network Access (ZTNA). Secure Access Service Edge (SASE) to szersza całość: SSE plus funkcje sieciowe (np. SD-WAN) w jednej chmurowej platformie. Innymi słowy CASB jest częścią SSE, a SSE — częścią SASE. Samodzielny CASB nadal istnieje, ale coraz częściej jest wchłaniany przez te platformy.

Dlaczego CASB jest ważny dla bezpieczeństwa i monitoringu?

Dla zespołu bezpieczeństwa (SOC) i osób monitorujących sieć CASB jest cennym źródłem informacji o tym, co dzieje się w aplikacjach chmurowych. Tego nie widać w logach zapory ani w przepływach NetFlow. Zdarzenia z CASB — logowania, operacje na plikach, zmiany uprawnień, próby udostępnienia czegoś na zewnątrz — zwykle trafiają do systemu SIEM i są zestawiane z innymi źródłami. Dzięki temu łatwiej wykryć takie sytuacje jak przejęcie konta, wyprowadzenie danych do prywatnej chmury czy nadużycie uprawnień.

Warto jednak znać ograniczenia. Tryb API reaguje z opóźnieniem, więc nie zatrzyma akcji w chwili, gdy się dzieje. Tryb inline obejmuje tylko ruch, który przez niego przechodzi — ruch z urządzeń prywatnych, sieci spoza kontroli firmy albo bezpośrednio przez API aplikacji może go ominąć. Ruch jest zaszyfrowany (TLS), więc dokładniejsza inspekcja wymaga jego odszyfrowania, a to rodzi pytania o wydajność i prywatność. CASB jest więc warstwą uzupełniającą, a nie zamiennikiem dla NDR, EDR czy kontroli tożsamości.

Dowiedz się więcej

• SaaS Security Posture Management (SSPM) — SSPM wspiera CASB w wykrywaniu i korygowaniu ryzykownych ustawień usług SaaS.
• BYOD (Bring Your Own Device) — CASB kontroluje dostęp do chmury z urządzeń prywatnych w modelu BYOD.
• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Network visibility pomaga CASB wykrywać ruch do aplikacji chmurowych i anomalie.