Définition
Secure Access Service Edge (SASE) offre un réseau convergé et des fonctionnalités de sécurité en tant que service, notamment SD-WAN, SWG (Secure Web Gateway), CASB (Cloud Access Secure Broker), NGFW (Next-Gen FireWall) et Zero Trust Network Access (ZTNA). SASE supporte des télétravailleurs et des accès sécurisés on-premise qu’importe l’endroit ou se situe l’utilisateur. SASE est principalement fournit en tant que service et permet un accès zéro confiance basé sur l’identité de l’appareil ou de l’entité, combiné avec un contexte en temps réel et des politiques de sécurité et de conformité.
Les problèmes que nous essayons de résoudre
- Les données sont partout
- Les menaces sont de plus en plus sophistiquées
- Une perte de visibilité sur le réseau
- Les utilisateurs sont partout sur le globe et utilisent des applications SaaS
Principes
Depuis 2020 et la crise du covid, il y a une forte demande pour la sécurité et un accès direct au cloud sans avoir le goulot d’étranglement central et la latence d’un VPN traditionnel. SASE tente de résoudre ce problème en combinant Security as a Service et Network as a Service. Gartner a défini trois niveaux pour mettre en place une solution SASE avec ses composantes :
L’approche traditionnelle consistait à avoir les utilisateurs avec un VPN dans un emplacement centralisé où la politique de sécurité et l’inspection peuvent être appliquées, cela crée de la latence pour les utilisateurs, des circuits plus coûteux pour les entreprises et des dispositifs d’inspection plus grands pour gérer le trafic. La passerelle Web sécurisée et les vendeurs de FaaS résolvent ce problème en distribuant les moteurs d’inspection aux emplacements POP régionaux en s’associant avec des fournisseurs SaaS pour appliquer la sécurité directement dans l’environnement cloud lui-même.
SASE est conçu en pensant à l’utilisateur final et cela commence par l’idée du ZTNA (Zero Trust Network Access). Cela signifie que nous ne faisons pas attention d’où l’utilisateur se connecte tant qu’il peut vérifier son identité et l’appareil qu’il utilise pour se connecter. Dans un vrai réseau Zero Trust, un utilisateur de confiance disposant des bons privilèges peut se connecter qu’aux ressources spécifiques auxquelles il essaie d’accéder et à rien d’autre.
Que se passe-t-il si l’utilisateur doit se reconnecter au réseau de l’entreprise ? Comment puis-je tirer parti des avantages SDWAN tout en ayant une politique de sécurité unique lorsque mes utilisateurs rentrent chez eux ?
Le SDWAN joue un rôle central en faisant du services chaining d’inspection de sécurité vers la passerelle WEB sécurisée lorsqu’une inspection est requise. Lorsque qu’un utilisateur distant se connecte au réseau interne de l’entreprise, il s’authentifie toujours avec le modèle Zero Trust et on peut laisser l’appareil SDWAN faire la meilleure décision de direction sur la façon d’accéder à ses ressources.
Un Trust Broker ou CASB est tout aussi important pour votre posture de sécurité que le pare-feu l’est pour votre réseau. Dans le contexte du SASE, CASB doit être intégré dans une solution unique, ce qui signifie une visibilité sur vos applications SaaS où qu’elles soient utilisées centralisant vos politiques de sécurité en appliquant qui a accès à vos applications cloud; et même en mettant les utilisateurs en quarantaine si nécessaire lorsqu’un comportement suspect est détecté. Cela implique avoir une solution SASE qui intègre un CASB dans le management plane et ayant la même politique, que vos utilisateurs qu’ils soient sur le réseau ou hors du réseau.
Conclusion
Pour résumer, tout commence par un accès réseau Zero Trust, il s’agit du mécanisme d’authentification et d’autorisation qui permet à un utilisateur d’accéder à une ressource, peu importe son emplacement de connexion. S’ils sont hors du réseau, leur client les connecte à l’emplacement POP le plus proche où les services de sécurité les inspectent et les acheminent en conséquence, s’ils sont derrière le réseau d’entreprise le SDWAN les dirige là ou ils doivent aller et décharge l’inspection de sécurité si nécessaire.
