江苏龙网

  1. 首页 > 资讯 > 科技 > >

FreeBuf■SASE是一个什么样的黑科技( 四 )



FreeBuf■SASE是一个什么样的黑科技
本文插图

图5：SASE全球PoP（Points of Presence）来源：Cato Networks官网
最终 ， SASE 架构的目标是要能够更容易地实现安全的云环境 。 SASE 提供了一种摒弃传统方法的设计理念 ， 抛弃了将 SD-WAN 设备、防火墙、IPS 设备和各种其他网络及安全解决方案拼凑到一起的做法 。 SASE以一个安全的全球SD-WAN服务代替了难以管理的技术大杂烩 。
SASE的理念就是借助SD-WAN搭建起来的虚拟化架构去集中化 ， 将核心能力附加到边缘 ， 使数据处理和安全能力都在边缘进行 ， 以满足当前和未来云上和移动业务的动态需求 。
SASE框架和能力
为云原生构建统一管理的SD-WAN服务
提供一个全局的、安全管理的SD-WAN服务 。 能够从遗留的MPLS(一组单点解决方案和昂贵的托管服务)转移到简单、敏捷和可负担得起的网络 。 自助服务还是托管服务取决于自己 。

FreeBuf■SASE是一个什么样的黑科技
本文插图

图6：Cato云平台 来源：Cato Netwoks官网
用云原生网络架构取代传统的电信网络 。 将全球私有主干网、Edge SD-WAN、安全即服务（SaaS）、安全优化的云和移动访问聚合到一个云服务中 。 因此 ， 云解决了组织的全球网络、安全、云和移动需求 ， 以支持完整的WAN转换过程 。
SASE能力
核心能力：即插即用可视化 ， 优化与管控
SASE体系结构由两个核心组件组成 。 SASE云充当网络和安全功能的聚合器 。 SASE边缘连接器将流量从物理、云和设备边缘驱动到SASE云处理 。 SASE使用一个单通道的流量处理引擎来有效地应用优化和安全检查 ， 并为所有流量提供丰富的前后关联 。 将SASE模型与堆叠单点产品进行对比 ， 在堆叠单点产品中 ， 每个产品分析特定需求的流量 ， 增加解密等操作的开销 ， 并且缺少在其他网络和安全点产品中生成的前后联系 。 SASE可选能力包括：
1.认证：在连接边缘时 ， 动态风险评估驱动多因素认证的激活 。
2.访问：对关键应用程序和服务的访问由支持应用程序和用户的下一代防火墙策略控制 。 此外 ， 零信任网络访问模型可以确保用户只能访问授权的应用程序 ， 而不能获得一般的网络访问权限 。
3.优先级：应用程序标识为流量分配优先级 ， 以对损失敏感（loss-sensitive）的应用程序进行优化（如VOIP和虚拟桌面访问（VID）） ， 而不是其他流量（如常规的Internet浏览） 。
4.解密：为启用深度包检查 ， 可以对加密的通信流进行一次解密 ， 从而允许多个威胁预防引擎处理这些通信流 。
5.威胁预测：多个安全引擎解析流量以检测有风险的访问 。 这包括寻找恶意网站的安全Web网关、防止下载恶意文件的反恶意软件、停止指示机器人活动的入站和出站异常连接的IPS等等 。
6.数据防泄漏：SASE应用特定的数据防泄漏规则来检测网络流量中的敏感数据并阻止其泄漏 。 类似地 ， 云访问服务代理(CASB)可以对云应用程序实施粒度访问控制 。
这是SASE功能的一个子集 ， SASE体系结构的设计目的是用新引擎快速扩展“单通道流量处理引擎” 。 SASE这个独特优势是未来的网络向SASE云扩展 ， 新的功能无缝扩展到任何人和任何地方 。 类似地 ， 使SASE云服务适应新的威胁或攻击载体可以集中完成 ， 并立即影响所有企业和所有边缘 ， 而不需要部署或激活这些新增功能（类似思科APIC自动化即插即用） 。
SASE安全架构
SASE安全架构包括以下几个组件：PoP实例、边缘、安全即服务、威胁检测与响应管理（MDR） 。
PoP实例—流量处理引擎
PoP结构
核心云网络, 由地理上分布的PoPs(Points of Presence)组成 ， 每个PoP运行多个处理服务器 。 每个PoP运行一个专门构建的软件栈 ， 在所有流量上应用路由、加密、优化和高级安全服务 。 PoP由运行相同软件栈的多个功能强大的现有服务器(commodity off the shelf servers,COTS)组成 。


推荐阅读


上一篇：「手机」市场对苹果新手机有点不买账

下一篇：「手机大魔王」小米往日旗舰机今降至“红米价”！第一批用户直呼买早了