The Cloudflare Blog

Introducing automatic remediation policies with Cloudflare CASB

8.5内容质量

TL;DR · AI 摘要

Cloudflare CASB新增自动修复策略功能，通过事件驱动逻辑实现安全风险的即时响应，将文件共享风险处置时间从小时级缩短至秒级。

核心要点

  • 自动修复策略可将文件共享风险处置时间从小时级缩短至秒级
  • CASB内置的自动化引擎支持webhook触发和SOAR平台集成
  • 营销部门可设置例外规则允许外部协作但禁止公开共享

结构提纲

按章节快速跳转。

  1. §引言

    宣布Cloudflare CASB新增自动修复策略功能，解决传统SSPM工具被动报警的痛点。

  2. ·传统SSPM工具局限性

    现有工具仅能检测风险但无法自动修复，导致误操作窗口长达数小时。

  3. ·自动修复策略机制

    内置自动化引擎在检测到风险时立即执行预设动作，如撤销权限或触发webhook。

  4. ›营销部门例外规则案例

    允许营销团队外部协作但禁止公开共享，违规文件自动触发修复流程。

  5. ·与传统方案对比

    将单个误配置文件共享的处置时间从小时级缩短至秒级响应。

思维导图

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）
  • Cloudflare CASB自动修复策略
    • 核心优势
      • 秒级响应
      • 减少人为干预
    • 实现机制
      • 事件驱动逻辑
      • webhook集成
    • 应用场景
      • 文件共享管控
      • 权限自动撤销

金句 / Highlights

值得收藏与分享的关键句。

#Cloudflare#CASB#SSPM#Zero Trust
打开原文

通过 Cloudflare CASB 引入自动修复策略 | Cloudflare 博客

post

CASB

Cloudflare One

零信任

2026年9月11日

通过 Cloudflare CASB 引入自动修复策略

Michael Leslie 和 Abe Carryl

6分钟阅读

复制链接

今天，我们通过引入自动修复策略，使 Cloudflare CASB 的能力达到前所未有的高度。这意味着安全团队现在可以设计基于事件的逻辑，自动撤销高风险文件共享并触发自定义 Webhook，而无需人工干预。

当我们在今年推出 Cloudflare CASB（云访问安全代理）时，我们的目标是让安全团队在配置错误演变为事件之前，就能全面了解其 SaaS 应用程序的安全态势。通过快速且无需客户端的集成，CASB 可持续监控组织内所有用户，识别诸如过度共享的文件、闲置的管理员密钥和令牌、以及拥有过度权限的 OAuth 应用等风险。

多年来，包括 Cloudflare CASB 在内的 SaaS 安全态势管理（SSPM）工具一直充当被动的警报系统。大多数 SSPM 工具只会告知您问题所在，但不会帮助您解决问题，这使得管理员不得不面对日益增长的待办事项清单。一个 Google Workspace 租户中配置错误的文件共享策略可能在几秒钟内生成数千条发现记录，即使是最有纪律的团队，也需要数小时甚至数天的时间来处理检测到的问题与修复之间的窗口期——这足以让敏感文件被下载、转发或索引。

通过自动修复策略，CASB 用户现在可以在检测到新发现后立即配置应触发的操作。

从被动防御转向主动预防

今年早些时候我们推出手动修复操作时，我们赋予安全团队直接从 Cloudflare 控制台解决配置错误的能力。这消除了客户需要登录多个 SaaS 门户以处理 Cloudflare CASB 检测到的安全和内容发现的需要。然而，这仍然需要人工确认并启动每个单独的修复操作，即使他们之前已经见过这种类型的发现。

CASB 策略是直接内置于 Cloudflare One 的原生自动化引擎，能够在检测到发现时立即采取行动。安全团队只需定义一次响应逻辑，无论是撤销文件共享的访问权限、向安全运营中心（SOC）发送 Webhook，还是将事件转发到安全编排、自动化和响应平台（SOAR）。该引擎会自动执行客户配置的操作。

例如，许多组织实施了禁止公开共享文件的控制措施。然而，他们可能会为经常需要与外部方协作的市场部门用户和组设置例外。SSPM 允许客户在检测到违反策略的公开共享文件时收到通知。在许多解决方案中，这种被允许的行为会进入一个包含数百个潜在违规的队列，迫使管理员逐一处理每个实例。

CASB 策略正是为这种场景而设计。与其等待人工发现并处理问题，自动化会在检测到问题的瞬间立即触发。公开共享会在几分钟内被撤销，从而保持发现记录的 backlog 清晰干净。

CASB 策略的工作原理

/think

CASB 策略本质上是自动化工作流程，用于告诉我们的扫描服务在检测到新发现时应采取什么操作。随后，已配置的策略会指示 CASB 触发修复操作、发送 webhook 或两者同时执行。这使组织能够灵活选择依赖 CASB 原生修复功能，或使用自己的内部自动化服务和通信渠道——无需在多个平台中手动操作，也无需构建自己的事件处理系统。

CASB 策略主页面视图。在此视图中，可以创建、更新和删除策略。

我们是如何构建的

CASB 策略的架构完全基于 Cloudflare 开发者平台——这与所有 Cloudflare 客户使用的平台相同。

当检测到发现项时，发现引擎会将一个编排消息加入 Cloudflare 队列。Worker 消费者随后检查是否有策略配置与传入的发现项匹配。如果存在匹配项，它会创建相应的任务并将其传递给修复流程，该流程在 Cloudflare Workflows 上运行以实现持久且容错的执行。这意味着任务在进程重启后仍能继续执行，重试会自动处理。

Cloudflare Workflows 还能优雅地处理第三方 API 的速率限制。如果供应商返回速率限制错误，工作流会暂停适当的回退窗口时间并重试，而不会丢失任务。我们从检测到完成修复的目标时间是五分钟或更短。

CASB 策略后端系统的系统架构图。

如何创建策略

要开始操作，请导航到 Cloudflare 仪表板并创建第一个策略。策略可以同时包含修复操作和 webhook 操作，但至少需要：

  • 选择供应商。选择该策略应适用的供应商及其集成或租户。
  • 选择集成。您可以手动选择特定集成，或设置为适用于所选供应商的所有集成。
  • 选择发现类型。选择应触发策略的 CASB 发现类型。
  • 选择操作。选择触发器后，将显示该发现类型可用的操作。有两个类别：执行修复。Cloudflare 直接针对 SaaS 集成 API 执行的第一方操作。CASB 目前支持 Microsoft 和 Google Workspace 文件/文件夹发现类型的修复操作。请注意，这可能需要升级集成的权限以实现读写。发送 webhook。将发现详细信息发送到配置的 webhook 目标，例如 Slack、Microsoft Teams、Jira、ServiceNow、Tines 或团队使用的任何自定义 HTTP 端点。

创建新 CASB 策略的界面。

示例 webhook 格式

code
{
"id"
:
"019f1755-23d0-7097-a9b5-fb2f82edbfc9"
,
"type"
:
"casb.finding_instance.policy_dispatch"
,
"metadata"
: {
"actor"
:
""
,
"time_sent"
:
"2026-06-30T07:01:34.066Z"
,
"destination"
:
"<example web hook reciver url>"
,
"version"
:
1
},
"data"
: {
"object"
:
"finding_instance"
,
"action"
:
"policy_dispatch"
,
"finding"
: {
"id"
:
"865184c0-9e17-411a-aa5a-a54995d70cb0"
,
"severity"
:
"High"
,
"dashboard_url"
:
"..."
,
"type_name"
:
"File publicly accessible with view access"
},
"asset"
: {
"id"
:
"019f1754-cff8-74f8-bbe7-ed0e8b8ffb73"
,
"name"
:
"q3_financial_report_preview.xlsx"
,
"vendor"
:
"<example vendor name>"
,
"type"
:
"File"
,
"vendor_url"
:
"<example vendor URL>"
},
"dlp"
: {
"profiles"
: []
},
"metadata"
: {
"access"
:
"open"
,
"download_count"
:
0
,
"download_url"
:
"<example vendor file URL>"
,
"effective_access"
:
"open"
,
"effective_permission"
:
""
,
"file_name"
:
"q3_financial_report_preview.xlsx"
,
"full_path"
:
"All Files/q3_financial_report_preview.xlsx"
,
"is_password_enabled"
:
false
,
"owned_by_created_at"
:
"2022-11-01T09:24:17-07:00"
,
"owned_by_enterprise_name"
:
"Cloudflare CASB"
,
"owned_by_id"
:
"21665592646"
,
"owned_by_role"
:
"admin"
,
"owned_by_user_name"
:
"Cloudflare CASB"
,
"preview_count"
:
0
,
"size"
:
42
,
"url"
:
"<example vendor URL"
}
}
}

保持可见性与合规性

每个策略操作会在Cloudflare One的Insights中生成两类日志。

管理员活动日志。这些日志记录策略定义的变更情况：谁创建了策略、谁编辑了策略、谁禁用了策略以及何时进行的这些操作。如果策略被关闭且风险未被拦截，审计日志会呈现事件的时间线。

云与SaaS安全策略日志。这类新日志记录策略调用的运行时结果。包括触发策略的发现项、操作的文件、操作是否成功或失败，以及失败时的具体错误信息（例如401未授权或供应商返回的API速率限制响应）。

对于合规性用例，执行日志是修复的证明。它将特定发现项（例如过度共享的文件Q4_Financials.pdf）与特定的自动操作和事件时间戳关联。

入门指南

客户今天可以在仪表板的“云与SaaS发现项”部分找到CASB策略。将Microsoft 365或Google Workspace集成连接或更新为读写权限，创建您的首个修复策略。

在接下来的几周内，我们还将为CASB添加自定义发现项的支持。不同组织在检测方面有独特需求，我们希望赋予客户扩展或定义发现逻辑以满足这些需求的能力。

新用户？注册即可获得50个免费席位，开始使用CASB，或联系我们的团队讨论大规模部署方案。如需完整的设置说明，请访问我们的开发者文档。

目录栏

讨论栏

相关标签和社交媒体链接

相关标签

关注社交媒体

  • Cloudflare
  • Abe Carryl

电子邮件订阅