Che cos’è SASE? Definizione, architettura e vantaggi di Secure Access Service Edge

Nel loro insieme, questi servizi supportano un approccio zero-trust. Ogni sessione viene valutata invece di essere lasciata passare a causa del luogo da cui ha avuto origine. Se desideri un esempio di fornitore su come ciò venga pacchettizzato, il materiale ZTNA di Cato è un punto da cui iniziare a guardare.

Punti di presenza nativi nel cloud e backbone globale

Il lato prestazioni di SASE dipende pesantemente dai suoi punti di presenza nel cloud. Quei PoP sono i punti in cui l’ispezione e l’applicazione delle policy avvengono vicino all’utente. In questo contesto, cloud-native dovrebbe significare che la piattaforma è stata progettata per il cloud fin dall’inizio, non adattata in seguito da un software per appliance.

Questa configurazione è utile perché evita di inviare il traffico verso un lontano data center aziendale solo per applicare i controlli. Più il punto di applicazione è vicino all’utente, più è facile mantenere la latenza sotto controllo.

Il trasporto è una delle aree in cui le differenze tra i fornitori diventano reali. Alcune piattaforme dipendono principalmente dall’internet pubblico tra i PoP, il che può rendere le prestazioni meno prevedibili. Cato Networks gestisce una dorsale privata e la propone come un vantaggio, specialmente per il traffico sensibile alla latenza che attraversa le regioni.

Gestione centralizzata e applicazione delle policy

Uno degli argomenti operativi più credibili a favore di SASE è la gestione unificata. In una piattaforma ben integrata, le policy di rete e di sicurezza risiedono nello stesso posto invece di essere suddivise tra più strumenti.

Ciò rende più semplice mantenere la coerenza delle policy tra utenti, dispositivi, uffici e cloud. Le regole basate sull’identità possono seguire l’utente invece di cambiare ogni volta che cambia il percorso di rete.

Gli ambienti legacy di solito funzionano al contrario. Firewall, concentratori VPN, proxy e strumenti CASB risiedono spesso in console separate con log separati e modelli di policy separati. Ciò crea punti ciechi e una grande quantità di lavoro amministrativo evitabile. Cato sostiene lo stesso punto nel proprio materiale sulla coerenza delle policy, ma il problema è reale anche senza l’argomentazione di vendita.

Come funziona SASE per proteggere e connettere gli utenti distribuiti

Il concetto diventa più chiaro una volta osservato il flusso del traffico. Una sessione tipica appare così:

1. L’utente si connette da qualsiasi posizione o dispositivo. Potrebbe trattarsi di un portatile gestito in una filiale, una workstation domestica o un dispositivo personale con accesso limitato.
2. Il traffico viene inviato al PoP cloud più vicino. Un agente, un tunnel o un dispositivo edge indirizza la sessione verso un punto di applicazione vicino, in modo che il primo hop rimanga breve.
3. L’identità e la postura del dispositivo vengono verificate tramite ZTNA. La piattaforma verifica l’utente, valuta l’integrità del dispositivo e considera i segnali contestuali prima di concedere l’accesso.
4. Le policy di sicurezza vengono applicate in linea tramite servizi come SWG, CASB e FWaaS. Il traffico viene ispezionato alla ricerca di minacce, controllato rispetto alle policy di accesso e dati, e filtrato prima di proseguire.
5. Il traffico viene instradato verso la destinazione utilizzando la logica SD-WAN, una dorsale privata, un breakout internet diretto o qualsiasi percorso che meglio si adatti ai requisiti dell’applicazione e delle policy.
6. L’attività viene registrata nel livello di gestione in modo che i team possano esaminare il comportamento degli utenti, gli eventi di sicurezza e le prestazioni della rete senza dover unire dati provenienti da diversi prodotti.

Lo scopo di quel flusso è fornire agli utenti l’accesso senza rendere la posizione il centro del modello di sicurezza. Il traffico internet, l’accesso SaaS e l’accesso alle applicazioni private possono tutti rientrare nello stesso approccio alle policy.

Cato descrive il suo modello di implementazione come un modo per connettere siti, utenti e risorse cloud senza una riprogettazione importante. Questo deve ancora essere testato nell’ambiente reale, ma aiuta a spiegare perché la piattaforma viene spesso venduta come più facile da adottare rispetto a un’alternativa assemblata.

Principali vantaggi dell’adozione di un framework SASE

In pratica, le persone solitamente si interessano al SASE per un piccolo insieme di motivi:

1. Riduzione della complessità e consolidamento dei fornitori. Una piattaforma convergente può sostituire una proliferazione di strumenti di rete e sicurezza separati, il che significa meno integrazioni da mantenere, meno policy sovrapposte e meno lavoro amministrativo quotidiano.
2. Prestazioni migliorate. Inviare gli utenti a un PoP vicino per l’ispezione può ridurre la latenza derivante dal rimbalzo del traffico attraverso uno stack firewall centrale o un data center.
3. Scalabilità: Poiché il servizio è fornito dal cloud, i team possono aggiungere utenti, siti e volume di traffico senza pianificare ogni passaggio in base ai limiti delle appliance.
4. Supporto per il lavoro ibrido e da remoto. Il modello di accesso rimane sostanzialmente lo stesso, che qualcuno si trovi a casa, in una filiale o sulla rete aziendale.
5. Postura di sicurezza coerente. Un modello di policy condiviso rende più facile evitare le derive e le lacune che si presentano quando strumenti separati applicano regole separate in luoghi separati.
6. Visibilità e conformità migliorate. La telemetria centralizzata può facilitare il lavoro di revisione degli incidenti, reportistica e audit, supponendo che la piattaforma esponga i dati in modo sufficientemente chiaro da essere utile.
7. Costi inferiori. Alcune organizzazioni possono dismettere circuiti MPLS, hardware di sicurezza e licenze software sovrapposte, sebbene i risparmi effettivi dipendano da ciò che viene sostituito e da quanto attentamente viene pianificata la migrazione.

Tali vantaggi si fanno sentire maggiormente per i team che cercano di supportare un ambiente più distribuito senza accumulare ulteriore carico operativo. Il materiale sulla gestione del rischio informatico di Cato sostiene lo stesso punto dal lato del fornitore.

Scegliere tra soluzioni SASE a fornitore singolo e multi-fornitore

Una delle decisioni più importanti in un progetto SASE è se acquistare la piattaforma da un unico fornitore o assemblarla da diversi.

In un modello a fornitore singolo, un unico fornitore fornisce gli elementi di rete e sicurezza su una piattaforma condivisa con un livello di gestione e un motore di policy unici. In un modello multi-fornitore, i team abbinano prodotti di rete e sicurezza separati e si fanno carico dell’onere di farli comportare come un unico sistema.

I team devono anche decidere se necessitano di un SASE completo o solo di SSE, che copre il lato sicurezza senza il livello WAN. Un approccio multi-vendor può funzionare, ma solitamente comporta più lavoro di integrazione, maggiore incoerenza nelle policy e più confusione quando qualcosa si rompe e la responsabilità diventa poco chiara.

Cato Networks è un esempio diretto della proposta single-vendor. Si basa su una gestione unificata, una dorsale privata e un’adozione modulare, in modo che le organizzazioni possano iniziare con componenti come SD-WAN o ZTNA ed espandersi in seguito. È più facile da apprezzare rispetto a un passaggio tutto in una volta, ma deve comunque superare un vero progetto pilota.

Sfide comuni nell’implementazione SASE e come affrontarle

Il SASE può semplificare molto, ma il rollout incontra comunque problemi noti:

1. Silos organizzativi. I team di rete e di sicurezza spesso utilizzano strumenti diversi, rispondono a incentivi differenti e lavorano con ritmi diversi. Se ciò non cambia, la piattaforma potrebbe convergere mentre il modello operativo no.
2. Integrazione legacy. I contratti MPLS, l’infrastruttura VPN e i firewall on-premises raramente scompaiono dal primo giorno. Una migrazione graduale è importante perché la maggior parte delle organizzazioni deve mantenere in funzione parti del vecchio ambiente mentre il nuovo modello diventa operativo. Il design modulare di Cato è un esempio di come i fornitori cerchino di rendere tale transizione meno dolorosa.
3. Copertura e prestazioni dei PoP. Un fornitore può vantare una portata globale ed essere comunque una scelta inadeguata se il PoP più vicino è lontano dai propri utenti o se le prestazioni tra regioni sono incoerenti. La copertura, gli SLA e il design della dorsale meritano un’attenta analisi prima che chiunque firmi un contratto.
4. Design delle policy e strategia di identità. SASE si basa fortemente sull’identità e sulla postura del dispositivo, quindi una segmentazione debole o un design approssimativo delle policy di accesso tendono a emergere rapidamente. I team dovrebbero definire i gruppi di utenti, l’integrazione dell’identità e le regole di accesso di base prima dell’implementazione, non durante la fase di pulizia.
5. Complessità della selezione del fornitore. Alcune piattaforme sono state create per il cloud. Altre sono state assemblate in seguito e commercializzate sotto la stessa etichetta. Questa differenza solitamente emerge rapidamente quando i team devono risolvere problemi o gestire le policy tra diversi prodotti.

La piattaforma cloud-native a fornitore singolo di Cato viene spesso utilizzata come punto di riferimento per l’integrazione. Se regga il confronto dipende dall’ambiente, ma la domanda alla base del paragone è quella giusta: quanto è davvero unificata la piattaforma?

Casi d’uso di Cato SASE Supporto al lavoro ibrido e alla migrazione al cloud

Sicurezza della forza lavoro ibrida e remota

SASE si adatta bene agli utenti remoti e ibridi perché sostituisce la vecchia abitudine di forzare tutti attraverso la tradizionale infrastruttura VPN. Le policy basate sull’identità possono seguire l’utente attraverso posizioni e dispositivi, il che rende l’accesso più coerente e riduce le eccezioni fragili.

Migrazione al cloud e SaaS

Man mano che sempre più applicazioni si spostano verso piattaforme cloud pubbliche e SaaS, il backhauling del traffico attraverso un data center per l’ispezione ha sempre meno senso. SASE consente all’ispezione di avvenire più vicino all’utente, offrendo comunque ai team di sicurezza visibilità sul traffico diretto al cloud e sulle decisioni di accesso.

Trasformazione della filiale

Le filiali sono un altro caso d’uso comune. Invece di gestire router, firewall e proxy separati in ogni sito, le organizzazioni possono connettere la filiale a un PoP vicino e spostare gran parte dello stack di sicurezza nel cloud. Ciò può ridurre il sovraccarico hardware e ridurre i tempi di attivazione del sito da settimane a qualcosa di molto meno gravoso.

Fusioni, acquisizioni ed espansione rapida

SASE può anche essere d’aiuto quando le organizzazioni devono rendere operativi rapidamente nuovi uffici, utenti o aziende acquisite. Estendere una piattaforma cloud condivisa è solitamente più semplice che spedire infrastrutture di sicurezza fisiche ovunque e cercare di unire stack ereditati sotto pressione temporale.

Scenari specifici del settore

I requisiti del settore contano ancora. Nel settore sanitario, la pressione riguarda la conformità, le cliniche distribuite, la telemedicina e i dispositivi medici. Nel settore manifatturiero, la sfida include spesso reti di stabilimento, tecnologia operativa e accesso di terze parti. Cato dispone di materiale separato per entrambi, ma il punto fondamentale è che l’implementazione deve comunque adattarsi al settore invece di appiattire ogni ambiente nello stesso modello.

In tutti questi casi d’uso, il filo conduttore è la coerenza. Se la piattaforma è realmente unificata, i team possono mantenere la stessa architettura e lo stesso modello di policy in scenari molto diversi senza dover ricostruire tutto ogni volta.

Domande frequenti

Cos’è SASE in termini semplici?

SASE è un approccio distribuito via cloud che combina networking e sicurezza, in modo che le persone possano raggiungere le applicazioni da ovunque senza fare affidamento su un insieme frammentato di sistemi VPN, firewall, proxy e MPLS separati.

In che modo SASE abilita la sicurezza Zero Trust?

Funziona verificando l’identità e l’attendibilità del dispositivo prima di concedere l’accesso a specifiche applicazioni. Le decisioni di accesso si basano sul contesto, non solo sulla posizione di rete, quindi nessun utente o dispositivo è considerato attendibile automaticamente.

Perché le organizzazioni stanno passando a SASE?

Principalmente perché il vecchio modello perimetrale si adatta male agli ambienti moderni. I team desiderano meno strumenti da gestire, un supporto migliore per il lavoro da remoto e una sicurezza più coerente tra utenti, siti e applicazioni cloud.

Quali sono le principali differenze tra SASE e SD-WAN?

SD-WAN gestisce l’aspetto della connettività: selezione del percorso, scelta del trasporto e ottimizzazione del traffico. SASE include SD-WAN ma aggiunge servizi di sicurezza forniti dal cloud come SWG, CASB, ZTNA e FWaaS.

Cosa dovrebbero considerare i leader quando scelgono una piattaforma SASE?

I leader dovrebbero esaminare attentamente se la piattaforma sia stata realmente creata per il cloud, se il networking e la sicurezza siano gestiti in un unico punto, quanto sia solida la presenza dei PoP nelle regioni rilevanti e se l’implementazione possa essere graduale senza creare disordine. Anche la progettazione della dorsale è importante. Un fornitore come Cato presenterà la propria dorsale privata e la piattaforma unificata come vantaggi, ma tali affermazioni devono essere verificate rispetto ai requisiti effettivi dell’organizzazione.

SASE segna un vero cambiamento rispetto alla progettazione incentrata sul perimetro, verso un modello che segue utenti e applicazioni ovunque si trovino. Quando funziona, può ridurre la proliferazione operativa, migliorare le prestazioni di accesso e rendere l’applicazione delle policy più coerente. La vera prova non è l’etichetta. È verificare se la piattaforma sia effettivamente integrata, se la copertura di rete sia adatta all’azienda e se il piano di implementazione corrisponda all’ambiente.