Qu’est-ce que le SASE ? Définition, architecture et avantages du Secure Access Service Edge
Que trouverez-vous ici ?
- 1. Qu’est-ce que le SASE ? Comprendre le Secure Access Service Edge
- 2. Composants principaux de l'architecture SASE
- 3. Comment le SASE fonctionne pour sécuriser et connecter les utilisateurs distribués
- 4. Principaux avantages de l'adoption d'un cadre SASE
- 5. Choisir entre des solutions SASE à fournisseur unique et à fournisseurs multiples
- 6. Défis courants dans la mise en œuvre du SASE et comment les résoudre
- 7. Voici des exemples de cas d’utilisation : Soutenir le travail hybride et la migration vers le cloud
- 8. Foire aux questions
Le Secure Access Service Edge, généralement abrégé en SASE, est un modèle fourni par le cloud qui combine réseau et sécurité en un seul service. C’est important car la plupart des entreprises ne fonctionnent plus à partir d’un seul endroit. Les utilisateurs travaillent depuis leur domicile, des succursales, des aéroports, des hôtels et partout ailleurs, tandis que les applications résident sur des plateformes SaaS et de multiples clouds. Les anciennes conceptions de réseau supposent toujours que le trafic doit d’abord passer par un centre de données central, et cette hypothèse ajoute du délai et du travail opérationnel supplémentaire. Le SASE vise à supprimer une partie de cette friction en rapprochant le contrôle d’accès et la gestion du trafic de l’utilisateur. Cet article explique ce qu’est le SASE, comment il fonctionne, où il est utile et à quoi faire attention lors de la comparaison des modèles de déploiement.
Qu’est-ce que le SASE ? Comprendre le Secure Access Service Edge
Le SASE, prononcé « sassy », combine réseau et sécurité dans une architecture basée sur le cloud. L’idée pratique est simple : cessez de traiter la connectivité et la protection comme des piles distinctes gérées par des équipes et des outils séparés.
Gartner a introduit le terme en 2019 pour décrire l’évolution des réseaux et de la sécurité en entreprise. Le problème était déjà évident : les entreprises acheminaient toujours le trafic distant vers les centres de données de l’entreprise pour inspection, alors même que les utilisateurs et les applications s’étaient déplacés bien au-delà de l’ancien périmètre. Cette conception ajoutait de la latence et rendait le travail distribué plus difficile à prendre en charge.
Ce qui change dans un modèle SASE, c’est l’endroit où l’application des politiques a lieu. Au lieu de renvoyer le trafic vers un périmètre central, la politique est appliquée au niveau des points de présence cloud répartis dans les régions. Un utilisateur se connecte à un point de présence proche, le trafic y est inspecté, la politique y est appliquée, et la session est envoyée vers une application SaaS, une application privée ou l’internet public.
C’est pourquoi le SASE apparaît le plus souvent dans les organisations avec du personnel distant, des succursales, des sous-traitants et des environnements multi-cloud. La promesse ne se limite pas à une sécurité renforcée. Il s’agit d’un accès moins contraignant pour les personnes qui ne se trouvent plus systématiquement à l’intérieur d’un périmètre réseau unique.
Les sections ci-dessous présentent les principaux composants d’une architecture SASE, la manière dont ils s’articulent et les domaines où ce modèle tend à être utile. Lorsque les exemples de fournisseurs sont utiles, Cato constitue un point de référence, mais les idées plus larges s’appliquent au-delà de tout fournisseur unique.
Composants principaux de l’architecture SASE
Une plateforme SASE combine les fonctions WAN avec la sécurité fournie par le cloud. Dans la plupart des cas, les éléments principaux sont SD-WAN, la passerelle Web sécurisée (SWG), le courtier de sécurité d’accès au cloud (CASB), l’accès réseau Zero Trust (ZTNA) et le pare-feu en tant que service (FWaaS).
La distinction importante est que ces éléments sont censés partager un modèle de gestion et de politique unique. S’il ne s’agit que de produits voisins avec des intégrations lâches, qualifier l’ensemble de SASE ne règle pas grand-chose.
SD-WAN : Optimisation de la connectivité
Le SD-WAN est la couche réseau au sein du SASE. Il achemine le trafic sur des transports tels que le haut débit, MPLS, LTE et 5G en fonction des performances et de la disponibilité. Cela en fait une alternative plus flexible aux anciennes conceptions WAN basées principalement sur MPLS.
Au sein du SASE, le SD-WAN est important car il aide à éliminer le backhaul inutile. Au lieu d’envoyer le trafic d’un utilisateur distant vers le siège social pour inspection avant qu’il ne puisse atteindre une application cloud, le trafic peut aller vers un PoP proche et continuer à partir de là.
La distinction est importante car les termes sont flous dans le marketing. Le SD-WAN est une partie du SASE et traite de la connectivité. Le SASE est le modèle plus large qui y ajoute une sécurité intégrée. Le SD-WAN seul peut améliorer le flux de trafic, mais il ne comble pas les failles de sécurité qui apparaissent une fois que les utilisateurs et les applications sont distribués. L’explication de Cato sur ce qui n’est pas du SASE est une référence sur ce point.
Services de sécurité : SWG, CASB, FWaaS et ZTNA
Le volet sécurité du SASE comprend généralement quatre services principaux :
- Passerelle web sécurisée (SWG) Inspecte et filtre le trafic web pour bloquer les destinations malveillantes, appliquer les règles d’utilisation acceptable et réduire le risque de fuite de données via le navigateur.
- Broker de sécurité d’accès au cloud (CASB) Offre aux équipes une visibilité sur l’utilisation des SaaS et aide à appliquer des contrôles tels que la prévention des pertes de données, la surveillance du shadow IT et les politiques de conformité.
- Firewall-as-a-Service (FWaaS) Fournit des capacités de pare-feu basées sur le cloud telles que le filtrage applicatif, la prévention des intrusions et l’inspection des menaces sans dépendre partout de matériel de pare-feu sur site.
- Accès réseau Zero trust (ZTNA) Accorde l’accès au niveau de l’application en fonction de l’identité vérifiée et de la confiance accordée à l’appareil, plutôt que de supposer que quelqu’un est en sécurité simplement parce qu’il se trouve sur un réseau particulier.
Dans l’ensemble, ces services soutiennent une approche de confiance zéro (zero-trust). Chaque session est évaluée au lieu d’être autorisée automatiquement en raison de son origine. Si vous souhaitez un exemple de fournisseur sur la manière dont cela est packagé, le matériel ZTNA de Cato est une référence à consulter.
Points de présence natifs dans le cloud et dorsale mondiale
L’aspect performance du SASE dépend fortement de ses points de présence cloud. Ces PoP sont les endroits où l’inspection et l’application des politiques se produisent à proximité de l’utilisateur. Dans ce contexte, cloud-native devrait signifier que la plateforme a été conçue pour le cloud dès le départ, et non adaptée ultérieurement à partir d’un logiciel d’appliance.
Cette configuration est utile car elle évite de renvoyer le trafic vers un centre de données d’entreprise distant juste pour appliquer des contrôles. Plus le point d’application est proche de l’utilisateur, plus il est facile de maintenir la latence sous contrôle.
Le transport est l’un des domaines où les différences entre les fournisseurs deviennent réelles. Certaines plateformes dépendent principalement de l’internet public entre les PoP, ce qui peut rendre les performances moins prévisibles. Cato Networks exploite une dorsale privée et présente cela comme un avantage, en particulier pour le trafic sensible à la latence traversant les régions.
Gestion centralisée et application des politiques
L’un des arguments opérationnels les plus crédibles en faveur du SASE est la gestion unifiée. Dans une plateforme bien intégrée, les politiques de réseau et de sécurité résident au même endroit au lieu d’être réparties entre plusieurs outils.
Cela permet de maintenir plus facilement la cohérence des politiques entre les utilisateurs, les appareils, les bureaux et les clouds. Les règles basées sur l’identité peuvent suivre l’utilisateur au lieu de changer à chaque modification du chemin réseau.
Les environnements hérités fonctionnent généralement à l’inverse. Les pare-feu, les concentrateurs VPN, les proxys et les outils CASB se trouvent souvent dans des consoles distinctes avec des journaux et des modèles de politique séparés. Cela crée des angles morts et une charge administrative importante qui pourrait être évitée. Cato avance le même argument dans ses propres documents sur la cohérence des politiques, mais le problème est réel même sans l’argumentaire commercial.
Comment le SASE fonctionne pour sécuriser et connecter les utilisateurs distribués
Le concept devient plus clair une fois que l’on examine le flux de trafic. Une session typique se présente comme suit :
- L’utilisateur se connecte depuis n’importe quel emplacement ou appareil. Il peut s’agir d’un ordinateur portable géré dans une succursale, d’une station de travail à domicile ou d’un appareil personnel avec un accès limité.
- Le trafic est envoyé vers le PoP cloud le plus proche. Un agent, un tunnel ou un appareil de périphérie dirige la session vers un point d’application proche afin que le premier saut reste court.
- L’identité et la posture de l’appareil sont vérifiées via ZTNA. La plateforme vérifie l’utilisateur, évalue la santé de l’appareil et prend en compte les signaux contextuels avant d’accorder l’accès.
- Les politiques de sécurité sont appliquées en ligne via des services tels que SWG, CASB et FWaaS. Le trafic est inspecté pour détecter les menaces, vérifié par rapport aux politiques d’accès et de données, et filtré avant de continuer.
- Le trafic est acheminé vers la destination en utilisant la logique SD-WAN, une dorsale privée, une sortie Internet directe ou tout chemin qui correspond le mieux aux exigences de l’application et de la politique.
- L’activité est enregistrée dans la couche de gestion afin que les équipes puissent examiner le comportement des utilisateurs, les événements de sécurité et les performances du réseau sans avoir à assembler des données provenant de plusieurs produits.
L’objectif de ce flux est de donner aux utilisateurs un accès sans faire de l’emplacement le centre du modèle de sécurité. Le trafic Internet, l’accès SaaS et l’accès aux applications privées peuvent tous relever de la même approche de politique.
Cato décrit son modèle de déploiement comme un moyen de connecter des sites, des utilisateurs et des ressources cloud sans refonte majeure. Cela doit encore être testé dans l’environnement réel, mais cela aide à expliquer pourquoi la plateforme est souvent vendue comme étant plus facile à adopter qu’une alternative assemblée.
Principaux avantages de l’adoption d’un cadre SASE
En pratique, les gens s’intéressent généralement au SASE pour un petit nombre de raisons :
- Complexité réduite et consolidation des fournisseurs. Une plateforme convergée peut remplacer une prolifération d’outils de réseau et de sécurité distincts, ce qui signifie moins d’intégrations à maintenir, moins de politiques qui se chevauchent et moins de travail administratif quotidien.
- Performance améliorée. Envoyer les utilisateurs vers un PoP proche pour inspection peut réduire la latence qui provient du renvoi du trafic via une pile de pare-feu centrale ou un centre de données.
- Évolutivité : Comme le service est fourni via le cloud, les équipes peuvent ajouter des utilisateurs, des sites et un volume de trafic sans planifier chaque étape en fonction des limites des appareils.
- Prise en charge du travail hybride et à distance. Le modèle d’accès reste globalement le même, que l’utilisateur soit à domicile, dans une succursale ou sur le réseau de l’entreprise.
- Une posture de sécurité cohérente : Un modèle de politique partagé permet d’éviter plus facilement les dérives et les lacunes qui apparaissent lorsque des outils distincts appliquent des règles distinctes dans des lieux distincts.
- Visibilité et conformité améliorées. La télémétrie centralisée peut faciliter l’examen des incidents, le reporting et le travail d’audit, à condition que la plateforme expose les données de manière suffisamment claire pour être utile.
- Réduction des coûts. Certaines organisations peuvent supprimer les circuits MPLS, le matériel de sécurité et les licences logicielles redondantes, bien que les économies réelles dépendent de ce qui est remplacé et de la minutie avec laquelle la migration est planifiée.
Ces avantages sont particulièrement marqués pour les équipes qui tentent de prendre en charge un environnement plus distribué sans alourdir la charge opérationnelle. Le document de Cato sur la gestion des cyber-risques défend le même point de vue du côté du fournisseur.
Choisir entre des solutions SASE à fournisseur unique et à fournisseurs multiples
L’une des décisions les plus importantes dans un projet SASE consiste à savoir s’il faut acheter la plateforme auprès d’un seul fournisseur ou l’assembler à partir de plusieurs.
Dans un modèle à fournisseur unique, un seul prestataire fournit les éléments de réseau et de sécurité sur une plateforme partagée avec une couche de gestion et un moteur de politique uniques. Dans un modèle à fournisseurs multiples, les équipes associent des produits de réseau et de sécurité distincts, puis assument la charge de les faire fonctionner comme un système unique.
Les équipes doivent également décider si elles ont besoin d’une solution SASE complète ou uniquement SSE, qui couvre le volet sécurité sans la couche WAN. Une approche multi-fournisseurs peut fonctionner, mais elle entraîne généralement plus de travail d’intégration, plus d’incohérences dans les politiques et plus de confusion lorsqu’un problème survient et que la responsabilité devient floue.
Cato Networks est un exemple simple de l’argumentaire en faveur d’un fournisseur unique. Elle s’appuie sur une gestion unifiée, une dorsale privée et une adoption modulaire afin que les organisations puissent commencer par des éléments comme le SD-WAN ou le ZTNA et se développer ultérieurement. C’est plus facile à apprécier qu’une transition complète immédiate, mais cela doit encore faire ses preuves lors d’un projet pilote réel.
Défis courants dans la mise en œuvre du SASE et comment les résoudre
Le SASE peut simplifier beaucoup de choses, mais le déploiement se heurte toujours à des problèmes connus :
- Silos organisationnels. Les équipes de mise en réseau et de sécurité utilisent souvent des outils différents, répondent à des incitations différentes et travaillent selon des rythmes différents. Si cela ne change pas, la plateforme peut converger alors que le modèle opérationnel ne le fait pas.
- Intégration héritée. Les contrats MPLS, l’infrastructure VPN et les pare-feu sur site disparaissent rarement dès le premier jour. Une migration progressive est importante car la plupart des organisations doivent maintenir certaines parties de l’ancien environnement en fonctionnement pendant que le nouveau modèle est mis en ligne. La conception modulaire de Cato est un exemple de la façon dont les fournisseurs essaient de rendre cette transition moins douloureuse.
- Couverture et performance des PoP. Un fournisseur peut revendiquer une portée mondiale et ne pas être adapté si le PoP le plus proche est éloigné de vos utilisateurs ou si les performances interrégionales sont incohérentes. La couverture, les SLA et la conception du backbone méritent un examen attentif avant que quiconque ne signe un contrat.
- Conception des politiques et stratégie d’identité. Le SASE repose fortement sur l’identité et la posture des appareils, de sorte qu’une segmentation faible ou une conception négligée des politiques d’accès tend à apparaître rapidement. Les équipes doivent trier les groupes d’utilisateurs, l’intégration des identités et les règles d’accès de base avant le déploiement, et non pendant le nettoyage.
- Complexité de la sélection des fournisseurs. Certaines plateformes ont été conçues pour le cloud. D’autres ont été assemblées plus tard et commercialisées sous la même étiquette. Cette différence apparaît généralement rapidement lorsque les équipes doivent résoudre des problèmes ou gérer des politiques entre différents produits.
La plateforme cloud native à fournisseur unique de Cato est souvent utilisée comme référence pour l’intégration. La question de savoir si elle tient la route dépend de l’environnement, mais la question derrière la comparaison est la bonne : à quel point la plateforme est-elle réellement unifiée ?
Voici des exemples de cas d’utilisation : Soutenir le travail hybride et la migration vers le cloud
Sécurité de la main-d’œuvre hybride et distante
Le SASE convient parfaitement aux utilisateurs distants et hybrides car il remplace l’ancienne habitude de forcer tout le monde à passer par une infrastructure VPN traditionnelle. Les politiques basées sur l’identité peuvent suivre l’utilisateur à travers les emplacements et les appareils, ce qui rend l’accès plus cohérent et réduit les exceptions fragiles.
Migration vers le cloud et le SaaS
À mesure que davantage d’applications migrent vers le cloud public et les plateformes SaaS, le renvoi du trafic via un centre de données pour inspection a moins de sens. Le SASE permet à l’inspection de se produire plus près de l’utilisateur tout en donnant aux équipes de sécurité une visibilité sur le trafic vers le cloud et les décisions d’accès.
Transformation des succursales
Les succursales sont un autre cas d’utilisation courant. Au lieu de gérer des routeurs, des pare-feu et des proxys séparés sur chaque site, les organisations peuvent connecter la succursale à un PoP proche et déplacer une plus grande partie de la pile de sécurité vers le cloud. Cela peut réduire les frais généraux matériels et raccourcir la mise en service du site de plusieurs semaines à quelque chose de beaucoup moins pénible.
Fusions, acquisitions et expansion rapide
Le SASE peut également aider lorsque les organisations doivent connecter rapidement de nouveaux bureaux, utilisateurs ou entreprises acquises. Étendre une plateforme cloud partagée est généralement plus facile que d’expédier une infrastructure de sécurité physique partout et d’essayer de fusionner des piles héritées sous la pression du temps.
Scénarios spécifiques à l’industrie
Les exigences de l’industrie comptent toujours. Dans le secteur de la santé, la pression concerne la conformité, les cliniques distribuées, la télésanté et les dispositifs médicaux. Dans le secteur manufacturier, le défi inclut souvent les réseaux d’usine, la technologie opérationnelle et l’accès des tiers. Cato dispose de documents distincts sur les deux, mais l’essentiel est que le déploiement doit toujours correspondre au secteur plutôt que d’aplatir chaque environnement dans le même modèle.
À travers ces cas d’utilisation, le fil conducteur est la cohérence. Si la plateforme est véritablement unifiée, les équipes peuvent appliquer la même architecture et le même modèle de politique à des scénarios très différents sans tout reconstruire à chaque fois.
Foire aux questions
Qu’est-ce que le SASE en termes simples ?
Le SASE est une approche fournie par le cloud qui combine mise en réseau et sécurité afin que les utilisateurs puissent accéder aux applications depuis n’importe où sans dépendre d’un assemblage disparate de systèmes VPN, pare-feu, proxy et MPLS distincts.
Comment le SASE permet-il la sécurité Zero Trust ?
Il fonctionne en vérifiant l’identité et la confiance de l’appareil avant d’accorder l’accès à des applications spécifiques. Les décisions d’accès sont basées sur le contexte, et non uniquement sur l’emplacement réseau, de sorte qu’aucun utilisateur ou appareil n’est approuvé automatiquement.
Pourquoi les organisations passent-elles au SASE ?
Principalement parce que l’ancien modèle périmétrique est mal adapté aux environnements modernes. Les équipes souhaitent moins d’outils à gérer, une meilleure prise en charge du travail à distance et une sécurité plus cohérente pour les utilisateurs, les sites et les applications cloud.
Quelles sont les principales différences entre le SASE et le SD-WAN ?
Le SD-WAN gère le volet connectivité : sélection du chemin, choix du transport et optimisation du trafic. Le SASE inclut le SD-WAN mais y ajoute des services de sécurité fournis par le cloud tels que SWG, CASB, ZTNA et FWaaS.
Que doivent prendre en compte les dirigeants lors de la sélection d’une plateforme SASE ?
Les dirigeants doivent examiner attentivement si la plateforme a été réellement conçue pour le cloud, si la mise en réseau et la sécurité sont gérées au même endroit, quelle est la solidité de l’empreinte PoP dans les régions importantes, et si le déploiement peut être progressif sans créer de désordre. La conception de l’infrastructure dorsale compte également. Un fournisseur comme Cato présentera son infrastructure dorsale privée et sa plateforme unifiée comme des avantages, mais ces affirmations doivent être testées par rapport aux besoins réels de l’organisation.
Le SASE marque un véritable changement, s’éloignant d’une conception centrée sur le périmètre pour se tourner vers un modèle qui suit les utilisateurs et les applications où qu’ils se trouvent. Lorsqu’il fonctionne, il peut réduire la prolifération opérationnelle, améliorer les performances d’accès et rendre l’application des politiques plus cohérente. Le véritable test n’est pas l’étiquette. Il s’agit de savoir si la plateforme est réellement intégrée, si la couverture réseau correspond à l’entreprise et si le plan de déploiement correspond à l’environnement.
This page was machine-translated. If you notice any inaccuracies or have feedback, please feel free to send it to us here.
