從VPN到SASE：不止安全，還有連接
01
SASE 的含義——不僅僅是一個流行詞
近年來，數(shù)字化、云計算的發(fā)展加速了安全訪問服務(wù)邊緣（SASE，Secure Access Service Edge）的采用，以實現(xiàn)統(tǒng)一的云原生網(wǎng)絡(luò)和安全服務(wù)。SASE 模型最初由 Gartner于 2019 年推出，它將網(wǎng)絡(luò)和安全解決方案連接起來。
下面是一個簡單的SASE定義：
Secure Access Service Edge（縮寫為 SASE）是一種云架構(gòu)模型，它結(jié)合了網(wǎng)絡(luò)和安全即服務(wù)功能，將它們作為單一的基于云的服務(wù)提供。隨著企業(yè)攻擊面不斷擴展到云應(yīng)用、本地資源和個人設(shè)備，SASE 網(wǎng)絡(luò)提供了一個具有完全集成的安全和網(wǎng)絡(luò)堆棧的上下文感知解決方案，可以在數(shù)據(jù)流向的任何地方執(zhí)行策略。
企業(yè)可以將他們的網(wǎng)絡(luò)和安全工具整合到一個無縫的管理解決方案中。換句話說，在遠程工作和云服務(wù)激增的時代，SASE為企業(yè)提供了一種方便、敏捷、可擴展的網(wǎng)絡(luò)和安全 SaaS 解決方案。
02
SASE 是如何工作的？
SASE將SD-WAN邊緣功能與全面的云安全功能相結(jié)合，包括
-
防火墻即服務(wù) (FWaaS)
-
云安全 Web 網(wǎng)關(guān) (SWG)
-
零信任網(wǎng)絡(luò)訪問 (ZTNA)
-
云訪問安全代理 (CASB)
-
Web 應(yīng)用程序和 API 保護即服務(wù) (WAAPaaS)
傳統(tǒng)上，來自分支機構(gòu)的應(yīng)用流量通過MPLS服務(wù)傳輸?shù)狡髽I(yè)數(shù)據(jù)中心進行驗證，當(dāng)所有應(yīng)用程序都托管在數(shù)據(jù)中心時這種方式很有效，但隨著業(yè)務(wù)向云遷移，傳統(tǒng)架構(gòu)不再能夠滿足需求。
如今，越來越多的應(yīng)用程序、數(shù)據(jù)和工作負載位于云數(shù)據(jù)中心和基礎(chǔ)設(shè)施即服務(wù) (IaaS) 平臺中。這意味著 IT 組織需要重新考慮如何建立網(wǎng)絡(luò)以及如何保護他們的用戶和資源。基于邊界的安全性無法管理從多個位置通過云訪問應(yīng)用程序的遠程用戶。通過數(shù)據(jù)中心和公司防火墻路由去往互聯(lián)網(wǎng)的流量首先會導(dǎo)致性能和用戶體驗下降。
SASE旨在通過轉(zhuǎn)換和統(tǒng)一廣域網(wǎng)和網(wǎng)絡(luò)安全來解決這些問題。傳統(tǒng)的網(wǎng)絡(luò)架構(gòu)是圍繞網(wǎng)絡(luò)策略執(zhí)行點和強制路由流量構(gòu)建的。SASE 架構(gòu)顛覆了這種模式，安全和廣域網(wǎng)功能在 SASE PoP上作為單一服務(wù)提供，用戶連接到最近的可用 PoP 以訪問服務(wù)。
通過集成高級 SD-WAN 和安全功能，SASE 模型降低了操作復(fù)雜性，同時確保對應(yīng)用程序、用戶、設(shè)備和物聯(lián)網(wǎng) (IoT) 的一致策略實施和訪問控制。
03
SASE 模型的組成部分
SASE將安全重點從以流量為中心轉(zhuǎn)移到以身份為中心，將安全性嵌入到網(wǎng)絡(luò)中。SASE解決方案包括以下組成部分
-
軟件定義的廣域網(wǎng) (SD-WAN)
SD-WAN 為 SASE 解決方案提供了基礎(chǔ)，實現(xiàn)了優(yōu)化的網(wǎng)絡(luò)路由和增強的性能。SD-WAN 是基于 Internet 的 VPN 的靈活可靠替代方案，也是 MPLS 的一種更經(jīng)濟實惠的替代方案。一些核心功能包括：延遲優(yōu)化、流量路由、全球分布式網(wǎng)關(guān)、內(nèi)聯(lián)加密等
-
零信任網(wǎng)絡(luò)訪問 (ZTNA)
ZTNA 提供了粒度級控制來驗證應(yīng)用程序的用戶身份，這使得它非常適合 SASE。ZTNA 是為適應(yīng)業(yè)務(wù)變化而設(shè)計的，是 SASE 安全的一個可靠、彈性的組成部分。
-
云訪問安全代理 (CASB)
CASB 整合了多種類型的安全策略實施，并將它們應(yīng)用于企業(yè)在云中使用的一切——無論用戶從什么設(shè)備訪問它，包括非托管智能手機或個人筆記本電腦。這使組織能夠安全地使用云，而不會損害其企業(yè)數(shù)據(jù)，這對于正在進行數(shù)字化轉(zhuǎn)型的企業(yè)來說是一大優(yōu)勢。
-
防火墻即服務(wù) (FWaaS)
就像傳統(tǒng)防火墻會形成圍繞企業(yè)內(nèi)部網(wǎng)絡(luò)的屏障一樣，基于云的防火墻將形成圍繞云平臺、基礎(chǔ)設(shè)施和應(yīng)用程序的虛擬屏障。云防火墻也可以保護內(nèi)部基礎(chǔ)設(shè)施。
-
安全 Web 網(wǎng)關(guān) (SWG)
一個強大的 SWG 應(yīng)該提供：
-
URL過濾
-
數(shù)據(jù)丟失和泄漏預(yù)防
-
惡意代碼檢測
-
遠程瀏覽器隔離 (RBI)
-
應(yīng)用程序識別和控制功能
-
監(jiān)控和審計追蹤
審計追蹤是企業(yè)安全態(tài)勢的重要組成部分。它記錄了使用數(shù)據(jù)發(fā)生的每個事件、活動或事務(wù)。審計追蹤可幫助組織確保合規(guī)性、進行數(shù)字取證、維護數(shù)據(jù)完整性、執(zhí)行業(yè)務(wù)分析、檢測欺詐并防止數(shù)據(jù)泄露
由于企業(yè)數(shù)據(jù)使用量龐大，每天的審計日志量可達數(shù)十萬。這種級別的規(guī)模和復(fù)雜性需要自動監(jiān)控和跟蹤。
-
威脅預(yù)防
SASE 模型中的高級威脅防御策略可以包括用于入侵威脅檢測和防御、高級惡意軟件保護和端點安全威脅防御的工具。
-
可擴展性
-
數(shù)據(jù)丟失防護 (DLP)
DLP 對于保護個人身份信息 (PII) 和知識產(chǎn)權(quán)、保護移動員工、加強自帶設(shè)備 (BYOD) 環(huán)境的安全性以及保護遠程云系統(tǒng)上的數(shù)據(jù)尤為重要。DLP 是SASE模型下集成安全方法的重要組成部分。
04
SASE 的 11 項優(yōu)勢
據(jù)Gartner 預(yù)測，到 2025 年，至少 60% 的企業(yè)將擁有明確的 SASE 采用戰(zhàn)略和規(guī)劃，高于 2020 年的 10%。以下是采用SASE的 11 個好處：
1. 集中式動態(tài)RBACSASE 依賴于集中式基于角色的訪問控制 (RBAC)，它根據(jù)用戶在組織中的角色來限制訪問。角色由公司分配，并確定通過系統(tǒng)授予每個用戶的權(quán)限和訪問權(quán)限。
例如，角色可能包括管理員、專家和最終用戶——每個人都有不同級別的訪問或權(quán)限。一些員工可能有權(quán)訪問和修改文檔，而其他員工只能查看文件。
這使組織能夠以更有針對性和更靈活的方式保護訪問。使用 RBAC，員工只能訪問完成工作所必需的信息，從而限制了公司內(nèi)部可以訪問或共享敏感數(shù)據(jù)的人數(shù)。
2. 跨混合環(huán)境的集中式管理SASE 統(tǒng)一了網(wǎng)絡(luò)管理，可提供跨所有混合環(huán)境的集中式管理。隨著組織越來越多地遷移到云中，安全環(huán)境變得更加復(fù)雜，需要不同的工具和管理解決方案將它們組合在一起。這在數(shù)據(jù)和網(wǎng)絡(luò)管理中產(chǎn)生了盲點，使組織容易受到攻擊。
SASE 通過彌合這些技術(shù)差距并將網(wǎng)絡(luò)和安全管理置于一個無縫保護傘下，解決了數(shù)據(jù)和工具孤立的問題。
3. 用戶、應(yīng)用程序和數(shù)據(jù)整體治理通過統(tǒng)一安全技術(shù)堆棧，SASE 模型改進了用戶、應(yīng)用程序和數(shù)據(jù)的整體治理。它確保最佳實踐安全解決方案（包括 RBAC、DLP、FWaaP 和 SWG）在所有環(huán)境中得到應(yīng)用，消除安全邊界中的漏洞并實施一致的策略和合規(guī)性，無論用戶身在何處或他們?nèi)绾卧L問數(shù)據(jù)。
4. 審計追蹤和報告數(shù)據(jù)監(jiān)控和報告是網(wǎng)絡(luò)安全的重要組成部分。依靠機器學(xué)習(xí)和人工智能，SASE 模型將審計跟蹤和報告機制構(gòu)建到網(wǎng)絡(luò)架構(gòu)中，以確保在混合環(huán)境中每個接觸點的全面可見性和實時、可擴展的威脅預(yù)防、檢測和分析。
5. 簡化的安全模型SASE 的最大好處之一是它簡化了云和混合安全模型。傳統(tǒng)網(wǎng)絡(luò)解決方案需要額外的工具和系統(tǒng)來跟上數(shù)字化的步伐、攻擊面的擴大和新出現(xiàn)的安全威脅。然而，傳統(tǒng)解決方案往往無法滿足當(dāng)今現(xiàn)代 IT 保護其組織所需的高級功能。
SASE 通過應(yīng)用 FWaaS 解決了這一挑戰(zhàn)，F(xiàn)WaaS 將 URL 過濾、反惡意軟件和防火墻等安全功能嵌入到其基礎(chǔ)設(shè)施中。這簡化了安全管理，使組織能夠設(shè)置和執(zhí)行統(tǒng)一的策略，快速識別問題。
6. 一致的邊-邊安全SASE 將網(wǎng)絡(luò)和安全功能結(jié)合在一個單一的多租戶云平臺中，增強了安全性和性能。作為完整網(wǎng)絡(luò)安全堆棧的一部分，該解決方案將 SWG、NGFW 和 DLP 等高級安全功能嵌入到其架構(gòu)中，實現(xiàn)了邊-邊的保護。
7. 降低成本SASE 消除了多廠商物理和虛擬設(shè)備的需求，降低了采用和維護解決方案的成本，同時簡化了后端的管理。通過最大限度地減少 IT 工作負載、提高效率和降低人員成本進一步節(jié)省成本，并且不會犧牲安全性。
8. 減少管理工作和時間SASE 通過一個基于云的中央應(yīng)用程序簡化了網(wǎng)絡(luò)安全管理。這意味著當(dāng)網(wǎng)絡(luò)擴展時，架構(gòu)的復(fù)雜性不會增加。這減少了管理工作量，并讓 IT 員工騰出時間專注于其他高價值的優(yōu)先事項。
9. 減少依賴SASE 模型可以減少組織對多個設(shè)備和供應(yīng)商的依賴。這不僅可以最大程度地減少成本和資源投資，還可以讓組織對其網(wǎng)絡(luò)基礎(chǔ)設(shè)施和邊緣安全具有更大的控制力和靈活性。
10. 更快更可靠的服務(wù)SASE用基于 ZTNA 原則的網(wǎng)絡(luò)安全取代傳統(tǒng)的 VPN 設(shè)備。對于傳統(tǒng)的 VPN 解決方案，企業(yè)必須部署額外的設(shè)備來填補功能上的空白（如 SD-WAN 安全和 NGFW）。VPN 設(shè)備通常會降低 WAN 速度，對性能產(chǎn)生負面影響，因為它們有 CPU 和資源限制。云原生 SASE 解決方案不受規(guī)模限制，并通過其底層基礎(chǔ)設(shè)施提供額外的 WAN 優(yōu)化，從而實現(xiàn)更快、更可靠的服務(wù)。
11. 永久數(shù)據(jù)保護如今，企業(yè)收集、處理和分發(fā)大量數(shù)據(jù)，包括敏感的專有數(shù)據(jù)和個人數(shù)據(jù)。為了跨環(huán)境保護數(shù)據(jù)，SASE 支持通過云交付 DLP（數(shù)據(jù)丟失防護），從根本上消除了采用和維護多種保護工具的需要。這允許組織在所有邊緣應(yīng)用一致的安全策略，從移動設(shè)備到云，再到本地位置。
05
SASE 和 SD-WAN 有什么關(guān)系？
SASE 將 SD-WAN 與網(wǎng)絡(luò)安全相結(jié)合，提供了一個整體的網(wǎng)絡(luò)管理解決方案，可簡化訪問、增強安全性并提高性能。SD-WAN 將SDN的概念與傳統(tǒng) WAN 技術(shù)相結(jié)合，以提供更好的流量路由和網(wǎng)絡(luò)操作。它在組織現(xiàn)有 WAN 連接上充當(dāng)Overlay網(wǎng)絡(luò)，以改善網(wǎng)絡(luò)流量。
-
SASE 和 SD-WAN 之間主要區(qū)別
但是，SASE 和 SD-WAN 之間存在幾個主要區(qū)別：
#
部署和架構(gòu)
SD-WAN 可以通過物理、軟件或云連接進行部署，具體取決于組織的需要。它主要將分支機構(gòu)連接到數(shù)據(jù)中心，而 SASE 僅作為專注于端點和最終用戶設(shè)備的云原生解決方案運行。
企業(yè)可以選擇 DIY、托管或混合 SD-WAN，其中 IT 可以自行管理網(wǎng)絡(luò)，也可以將管理外包給第三方供應(yīng)商，或兩者兼而有之。SASE 平臺通過單一的即服務(wù)（as-a-service）工具提供綜合的網(wǎng)絡(luò)和安全功能。與 SD-WAN 相比，這通常更簡單，更適合組織定制。
#
安全性
SD-WAN 具有一些安全功能，但主要側(cè)重于網(wǎng)絡(luò)管理。相比之下，SASE 具有內(nèi)置的安全性，采用了 SD-WAN 的許多優(yōu)勢，例如可擴展性和簡化的管理，以獲得更安全的云原生解決方案。
#
流量和連接
SASE 和 SD-WAN 具有不同的架構(gòu)，這會影響各自處理流量和連接的方式。
SD-WAN 將分支機構(gòu)連接到組織的網(wǎng)絡(luò)和數(shù)據(jù)中心資源，遵循配置的網(wǎng)絡(luò)策略來確定如何通過數(shù)據(jù)中心路由和回程流量。
SASE 專注于云環(huán)境以及將端點連接到服務(wù)邊緣。因為它是基于云的，所以不需要通過數(shù)據(jù)中心回傳流量，而是通過全球分布的 PoP 進行路由。
#
遠程訪問
由于 SASE 基于云，因此它具有內(nèi)置的遠程訪問功能，相比之下，SD-WAN 依賴昂貴的第三方服務(wù)來改進遠程訪問功能，從而限制了公司選擇連接遠程員工的規(guī)模。
在許多方面，SASE 更是 SD-WAN 的進化。它將 SD-WAN 的功能和優(yōu)勢與高級網(wǎng)絡(luò)安全服務(wù)相結(jié)合，打造出無縫的一體化解決方案。
-
SASE vs SD-WAN vs SWG vs UTM / NGFW
-
實際采用 SASE 有多難？
雖然SASE采用率正在上升，但這種轉(zhuǎn)變可能需要時間，尤其是對于已經(jīng)將資源投入到現(xiàn)有安全和數(shù)字化轉(zhuǎn)型計劃中的大型企業(yè)而言。
以下是采用SASE的潛在挑戰(zhàn)：
＞ SASE 的成熟度——網(wǎng)絡(luò)即服務(wù) (NaaS) 和安全即服務(wù) (SECaaS) 市場尚不成熟，這意味著構(gòu)建 SASE 解決方案的供應(yīng)商仍在不斷發(fā)展。目前市場上的SASE廠商很多是安全供應(yīng)商增加了云和 SD-WAN 功能，又或是添加了安全功能的網(wǎng)絡(luò)供應(yīng)商。
＞ 尋找值得信賴的供應(yīng)商和服務(wù)提供商——同樣，由于 SASE 技術(shù)還很年輕，因此可能需要更長的時間來確定滿足企業(yè)需求的供應(yīng)商。企業(yè)需要從一開始就充分了解需求，并據(jù)此評估供應(yīng)商以及他們提供的服務(wù)水平。
＞ 現(xiàn)有解決方案與SASE之間的取舍——許多大型企業(yè)在軟硬件解決方案方面都進行了大量投資，難以舍棄。企業(yè)通常有專門的人員甚至團隊負責(zé)和管理當(dāng)前的解決方案。采用 SASE 可能會破壞原本的規(guī)劃，企業(yè)需要考慮對員工進行再培訓(xùn)和重新分配任務(wù)，這可能會減緩采用速度。
06
如何開始采用 SASE？
組織想要順利過渡到 SASE 模型需考慮到以下幾個因素：
1. 確定安全性和合規(guī)性要求SASE 不是一個單一的工具，而是一個用于集成和改進現(xiàn)有安全堆棧的框架。為了成功采用此模型，首先需要根據(jù)網(wǎng)絡(luò)環(huán)境和用戶需求了解組織的安全要求。
此外，需查看安全策略和標(biāo)準(zhǔn)以確保SASE 網(wǎng)絡(luò)具有內(nèi)置的合規(guī)性措施。在一開始就確定這些要求，將能夠更好地設(shè)計出滿足組織需求并確保最高標(biāo)準(zhǔn)安全性和合規(guī)性的體系結(jié)構(gòu)。
2. 了解用戶和應(yīng)用程序每個組織都有一個獨特的用戶群，組織配置架構(gòu)時可以提前了解他們在網(wǎng)絡(luò)中如何運行和交互。換句話說，如果組織不了解自己的 IT 環(huán)境，就很難對其進行適當(dāng)?shù)谋Ｗo。由于 SASE 支持 ZTNA，這需要根據(jù)業(yè)務(wù)需求定義訪問控制，因此了解 IT 環(huán)境的結(jié)構(gòu)和用例對于成功采用至關(guān)重要。
3. 獲得整個團隊的支持遷移需要對IT 和安全基礎(chǔ)架構(gòu)進行全面檢查，這可能會打擾到團隊，所以如果提前與利益相關(guān)者溝通，獲得團隊的支持，組織遷移到 SASE 模型會更順利。
4. 針對特定目標(biāo)測試 SASE 解決方案一旦組織采用了 SASE 模型，如何知道它是否成功？需要概述解決方案的關(guān)鍵目標(biāo)和優(yōu)先級，并將其作為衡量遷移有效性的基準(zhǔn)。如果沒有達到目標(biāo)，需要確定SASE 解決方案中可能存在的差距。
5. 實施 SASE 作為云遷移的一部分云遷移和數(shù)字化工作正在興起。據(jù) Gartner 稱，在 COVID-19 后，69% 的董事會加快了他們的數(shù)字業(yè)務(wù)計劃。如果企業(yè)正在加入云遷移，將 SASE 作為云戰(zhàn)略的一部分，可以更有效地調(diào)整整個組織的云計劃。
07
七大疑問
-
SASE 有什么用？
SASE 是一種云架構(gòu)模型，它結(jié)合了網(wǎng)絡(luò)和安全即服務(wù)，通過單一的云交付平臺向客戶分發(fā)網(wǎng)絡(luò)和安全功能，用于改善工作人員的的遠程訪問
-
SASE 需要哪些特性？
結(jié)合 SD-WAN 和安全功能
可擴展、敏捷和自我修復(fù)的云原生架構(gòu)
全球分布的 PoP 結(jié)構(gòu)，無論用戶位于何處，都能確保高級 WAN 和安全功能
驅(qū)動影響安全策略實時上下文的身份驅(qū)動服務(wù)
-
SASE 安全嗎？
-
SASE 是 VPN 嗎？
-
SASE 是 SD-WAN 嗎？
-
SASE 會取代 SD-WAN 嗎？
-
SASE 是 SD-WAN 和安全的未來嗎？
SASE 是一個不斷發(fā)展的框架，可以解決傳統(tǒng)安全和網(wǎng)絡(luò)解決方案（如 SD-WAN）的挑戰(zhàn)和問題。隨著混合工作和云應(yīng)用的興起，傳統(tǒng)的安全和網(wǎng)絡(luò)方法已不再足夠。SASE 提供了一種簡化的集成解決方案，以更高效、更易于管理且更具成本效益的模式中滿足大多數(shù)網(wǎng)絡(luò)和安全需求。
08
基于云的網(wǎng)絡(luò)安全的未來
數(shù)字化和遠程工作將繼續(xù)存在，這意味著組織將需要采用能夠滿足遠程用戶和分布式員工需求的網(wǎng)絡(luò)和安全態(tài)勢。SASE為網(wǎng)絡(luò)安全的未來提供了一個基于云的、動態(tài)的、完全集成的愿景。
下載文檔
