Secure access service edge

Un servei d'accés segur a la vora (SASE) (també secure access secure edge) és una tecnologia que s'utilitza per oferir controls de seguretat i de xarxa d'àrea extensa (WAN) com a servei de computació en núvol directament a l'origen de la connexió (usuari, dispositiu, dispositiu de la Internet de les coses (IoT) o ubicació de computació perimetral) en lloc d'un centre de dades.^[1] Utilitza tecnologies de computació en núvol i perifèrica per reduir la latència que resulta del backhauling de tot el trànsit WAN a llargues distàncies a un o uns quants centres de dades corporatius, a causa de l'augment del moviment fora de les instal·lacions d'usuaris dispersos i les seves aplicacions.^[2] Això també ajuda les organitzacions a donar suport a usuaris dispersos.

La seguretat es basa en la identitat digital, el context en temps real i les polítiques de compliment normatiu i de l'empresa, en lloc d'un dispositiu de seguretat com un tallafocs. Una identitat digital pot estar associada a qualsevol cosa, des d'una persona fins a un dispositiu, un servei al núvol, un programari d'aplicació, un sistema IoT o qualsevol sistema informàtic.^[3]

El terme va ser encunyat el 2019 per l'analista de mercat Neil MacDonald de Gartner.^[4]

SASE combina SD-WAN amb funcions de seguretat de xarxa, com ara agents de seguretat d'accés al núvol (CASB), passarel·les web segures (SWG), inspecció d'antivirus/programari maliciós, xarxes privades virtuals (VPN), tallafocs com a servei (FWaaS) i prevenció de pèrdua de dades (DLP), tot proporcionat per un únic servei al núvol a la vora de la xarxa.

Les funcions de SASE SD-WAN poden incloure la priorització del trànsit, l'optimització de la WAN, les xarxes troncals convergents i l'autocuració mitjançant plataformes d'intel·ligència artificial AIOps per millorar la fiabilitat i el rendiment.^[5][6]

Les funcions WAN i de seguretat es proporcionen normalment com un únic servei en punts de presència (PoP) SASE dispersos situats el més a prop possible d'usuaris dispersos, sucursals i serveis al núvol.^[7] Per accedir als serveis SASE, les ubicacions perimetrals o els usuaris es connecten al PoP disponible més proper. Els proveïdors de SASE poden contractar diversos proveïdors de xarxa troncal i socis d'interconnexió per oferir als clients un rendiment WAN ràpid i de baixa latència per a connexions PoP-a-PoP de llarga distància.^[7]

El terme SASE va ser encunyat pels analistes de Gartner Neil McDonald i Joe Skorupa i descrit en un informe del cicle d'expectació de xarxes^[8] i de tendències de mercat del 29 de juliol de 2019,^[9] i en un informe de Gartner del 30 d'agost de 2019.^[10]

El 2021, Gartner va definir un subconjunt de capacitats SASE, anomenat Secure Services Edge (SSE).^[11] SSE és un conjunt de serveis de seguretat SASE que es poden implementar juntament amb serveis de xarxa, com ara SD-WAN, per proporcionar una solució completa.^[11]

SASE està impulsat per l'auge de la computació mòbil, perifèrica i en núvol a l'empresa en detriment de la LAN i el centre de dades corporatiu. A mesura que els usuaris, les aplicacions i les dades es traslladen del centre de dades empresarial al núvol i a la vora de la xarxa, cal traslladar també la seguretat i la WAN a la vora per minimitzar els problemes de latència i rendiment.^[12]

El model de computació en núvol està pensat per delegar i simplificar el lliurament de funcions de seguretat i SD-WAN a múltiples dispositius i ubicacions de computació perimetral. Segons Gartner, segons la política, també es poden aplicar diferents funcions de seguretat a diferents connexions i sessions de la mateixa entitat, ja siguin aplicacions SaaS, xarxes socials, aplicacions de centres de dades o banca personal.^[13]

L'arquitectura del núvol proporciona millores típiques del núvol com ara elasticitat, flexibilitat, agilitat, abast global i gestió delegada.

Els elements principals de SASE són:

• Convergència de les funcions de seguretat de la WAN i de la xarxa.
• Una arquitectura nativa del núvol que ofereix una WAN convergent i seguretat com a servei que ofereix l'escalabilitat, l'elasticitat, l'adaptabilitat i l'autocuració típiques de tots els serveis al núvol.
• Teixit de PoPs distribuït globalment que ofereix una gamma completa de capacitats WAN i de seguretat amb baixa latència, allà on es trobin oficines comercials, aplicacions al núvol i usuaris mòbils. Per oferir una baixa latència en qualsevol ubicació, els PoP SASE han de ser més nombrosos i extensos que els que ofereixen els proveïdors típics de núvol públic i els proveïdors SASE han de tenir relacions de peering extenses.
• Serveis basats en la identitat. Una identitat es pot associar a qualsevol cosa, des d'una persona o una sucursal fins a un dispositiu, aplicació, servei, dispositiu IoT o ubicació de computació perimetral a l'origen de la connexió. La identitat és el context més significatiu que afecta la política de seguretat de SASE. Tanmateix, la ubicació, l'hora del dia, la postura de risc/confiança del dispositiu i l'aplicació que es connecten, i la sensibilitat de les dades proporcionaran un altre context en temps real que determinarà els serveis i les polítiques de seguretat aplicats a cada sessió WAN i al llarg de cada sessió.
• Suport per a totes les vores per igual, incloent-hi ubicacions físiques, centres de dades al núvol, dispositius mòbils dels usuaris i computació perimetral, amb la col·locació de totes les capacitats al PoP local en lloc de la ubicació perimetral. Les connexions perimetrals al PoP local poden variar des d'una SD-WAN per a una sucursal fins a un client VPN o accés web sense client per a un usuari mòbil, passant per múltiples túnels des del núvol o connexions directes al núvol dins d'un centre de dades global.^[14]

Gartner i altres promouen una arquitectura SASE per a l'empresa mòbil i habilitada per al núvol. Els beneficis inclouen:

SD-WAN és una tecnologia que simplifica les xarxes d'àrea extensa mitjançant el control centralitzat del maquinari o programari de xarxa que dirigeix el trànsit a través de la WAN. També permet a les organitzacions combinar o substituir connexions WAN privades amb connexions d'Internet de banda ampla, LTE i/o 5G. El controlador central estableix polítiques i prioritza, optimitza i encamina el trànsit WAN, seleccionant dinàmicament el millor enllaç i ruta per a un rendiment òptim. Els proveïdors de SD-WAN poden oferir algunes funcions de seguretat amb els seus dispositius virtuals o físics SD-WAN, que normalment s'implementen al centre de dades o a la sucursal.

Normalment, SASE incorpora SD-WAN com a part d'un servei al núvol que també ofereix accés mòbil i una pila de seguretat completa des d'un PoP local.

NGFW combina un tallafocs tradicional amb altres funcions de seguretat i xarxa orientades al centre de dades virtualitzat. Les funcions de seguretat inclouen el control d'aplicacions, la inspecció profunda i xifrada de paquets, la prevenció d'intrusions, el filtratge de llocs web, l'antiprogramari maliciós, la gestió d'identitats, la intel·ligència d'amenaces i fins i tot la gestió de la qualitat del servei i l'amplada de banda de la WAN.^[15]

NGFW ofereix un subconjunt de la pila de seguretat que ofereix SASE i, normalment, no inclou serveis SD-WAN. NGFW es pot implementar localment o com a servei al núvol, mentre que SASE és una arquitectura al núvol per definició. Mentre que SASE centra la seguretat en les connexions WAN, un NGFW es pot implementar a qualsevol lloc, inclòs internament al centre de dades.

FWaaS és un tallafocs que s'ofereix com a servei al núvol, en lloc de ser localment com a programari o maquinari. La majoria de proveïdors de FWaaS ofereixen capacitats NGFW. Normalment, una organització sencera està connectada a un únic núvol FWaaS sense necessitat de mantenir la seva pròpia infraestructura de tallafocs. SASE combina FWaaS perimetral amb altres funcions de seguretat i SD-WAN.^[16]

El MEF, originalment conegut com a Metro Ethernet Forum, s'ha convertit en una organització d'estàndards de nova generació amb un ampli enfocament en serveis d'infraestructura de seguretat i xarxa definida per programari per a proveïdors de serveis, fabricants de tecnologia i disseny de xarxes empresarials. Amb l'objectiu de crear un futur on sigui possible la interoperació entre les millors solucions, MEF es va proposar crear una sèrie d'estàndards industrials que es poguessin aprofitar tant per a la formació com per a la integració. Es va establir el comitè de definició de serveis MEF SASE (MEF W117), que proporcionarà un esborrany d'especificació tècnica per a ús públic. Aquesta especificació ha estat obra de diversos fabricants de tecnologia, així com de diversos proveïdors de serveis, i es basa en les especificacions tècniques actuals de la MEF, com ara la versió 1 de l'esborrany MEF 70.1, els atributs del servei SD-WAN i el marc de serveis.

MEF va publicar un esborrany de treball; "MEF W117 draft 1.01 SASE (Secure Access Service Edge) SASE Service Attributes and Service Framework" agost de 2021. El document està disponible per a les empreses i membres participants del MEF.