Cloudflare Browser Isolation とは

高パフォーマンスのリモートブラウザ分離（RBI）
Cloudflare Browser Isolation はすべてのコードを当社のグローバルネットワークのエッジで実行し、ランサムウェア、フィッシング、ブラウザのゼロデイ脆弱性からユーザーを隔離します。

通常のクラウドベースのRBIシステム（下記の青い破線のボックス①）では、個々のリモートブラウザ②はクラウドで削除可能なコンテナインスタンスとして実行されます。通常ユーザー1人につき1つのインスタンスです。リモートブラウザは、特定のプロトコルとデータフォーマット③を使って、Webページのレンダリングされたコンテンツをユーザーのエンドポイントデバイス④に送信します。キーストローク、マウスコマンド、スクロールコマンドなどのユーザーの動作は、セキュアな暗号化チャンネルを介して分離サービスに送り返されます。その後で、リモートブラウザによって処理され、リモートブラウザのWebページへの変更はエンドポイントデバイスに送り返されます。

リモートChromiumブラウザのSkia描画コマンド①をインターセプト（傍受）してからトークン化して圧縮し、そして暗号化してワイヤ②を介して、ユーザーエンドポイントデスクトップまたはモバイル端末でローカルに実行するHTML5準拠のWebブラウザ③（Chrome、Firefox、Safariなど）へと送信します。NVRにキャプチャされたSkia APIコマンドは事前にラスタ化されています。つまり非常にコンパクトだという意味です。

Cloudflare Browser Isolation を利用する方法

以下の 5 つの方法があります

日常的に Dogfooding するための設定

以下のようなイメージで、Google 検索でリストされる URL を Clientless Web Isolation のプレフィックスをつけてリライトします。

Clientless Web Isolation 設定

以下のドキュメントに従って設定します。

Chrome 拡張 ReWrite インストール設定

以下の Chrome 拡張をインストールします。

TEAM_NAME に合わせて以下のようなリライトルールを設定します。

"match": ["http://", "https://"], 
"substitute": "https://TEAM_NAME.cloudflareaccess.com/browser/https://", 
"url": ["www.google.com/*"];

動作確認

上記の設定を適用すると、以下のように Clientless Web Isolation のリンクに書き換わります。

クリックすると、連携済みの IdP を経由して認証が求められます。

その後、リモートブラウザ分離（RBI）によってブラウジングがおこなわれていることが確認できます。

ここでは、リモートブラウザのブラウジング結果が canvas 要素を使って、ローカルブラウザに表示されます。

参考：ユースケース

例えば、以下のようなユースケースにも対応できます。

ローカルクリップボードのコンテンツをリモート Web ページにコンテンツを貼り付けたい
リモート Web ページのコンテンツをローカルクリップボードにコピーするのを禁止したい

この場合、以下のような分離設定によって、実現できます。

コピー（リモートからクライアントへ） ＞ 許可しない
貼り付け（クライアントからリモートへ） ＞ 許可

参考：ユーザアクションログ

上記ポリシーを設定した場合、以下のようなユーザアクションログが確認できます。

Logpush によってログデータを取り込み、SIEM で監視・分析することも運用として想定できます。

user-action.log

[
  {
    "AccountID": "xxx",
    "Decision": "allow",
    "DomainName": "www.yahoo.co.jp",
    "Timestamp": "2025-02-18T17:24:27Z",
    "Type": "paste",
    "UserID": "zzz"
  },
  {
    "AccountID": "xxx",
    "Decision": "block",
    "DomainName": "www.yahoo.co.jp",
    "Timestamp": "2025-02-18T17:24:36Z",
    "Type": "copy",
    "UserID": "zzz"
  }
]

まとめ

製品を提案する立場上、日頃から使用感に慣れて、説明できるようにしておく必要があると思い、今回の発想に至りました。

Dogfooding によって、バグ等があれば、適時社内で製品担当者へのフィードバックを挙げられます。

もちろんデモ用途にも便利かなと思います。