¿Qué es Secure Access Service Edge (SASE)?

¿Qué significa SASE?

SASE (se pronuncia "sase" en español), o perímetro de servicio de acceso seguro, definido por primera vez por Gartner® en el informe de 2019 "The Future of Network Security is in the Cloud", es una convergencia de capacidades WAN con funciones de seguridad de red destinadas a ofrecer a las empresas mayor agilidad, rendimiento de la red más sólido y confiable, visibilidad y control más profundos y granulares en entornos de TI heterogéneos, y mucho más.

SASE es diferente al perímetro de servicio de seguridad (SSE) que Gartner define como un subconjunto de SASE que solo se centra en los servicios de seguridad necesarios de una plataforma en la nube de SASE.

¿Cómo funciona SASE?

Una arquitectura SASE combina una red de área extensa definida por software (SD-WAN) u otra WAN con múltiples funciones de seguridad (por ejemplo, corredores de seguridad de acceso a la nube, antimalware), asegurando el tráfico de su red como la suma de esas funciones.

Los enfoques heredados de inspección y verificación, como el reenvío del tráfico a través de un servicio de conmutación de etiquetas multiprotocolo (MPLS) a los firewalls de su centro de datos, son eficaces si es allí donde se encuentran sus usuarios. Sin embargo, hoy en día, con tantos usuarios que trabajan a distancia, este “hairpinning" (reenviar el tráfico de los usuarios remotos a su centro de datos, inspeccionarlo y volver a enviarlo) tiende a reducir la productividad y a perjudicar la experiencia del usuario final.

SASE se diferencia de las soluciones puntuales y otras estrategias de redes seguras porque es seguro y directo. En lugar de depender de la seguridad de su centro de datos, el tráfico de los dispositivos de sus usuarios se inspecciona en un punto de presencia cercano y se envía a su destino desde allí. Esto resulta en un acceso más eficiente a las aplicaciones y los datos, lo que la convierte en la mejor opción para proteger la fuerza de trabajo y los datos distribuidos en la nube.

¿Es SASE simplemente una palabra que está de moda?

Si bien SASE ha atraído la atención de los proveedores de servicios y de los medios de comunicación centrados en las redes y la seguridad, lo más convincente es el principio fundamental que subyace al marco de SASE: la noción de que las arquitecturas de red y seguridad centradas en los centros de datos se han vuelto ineficaces. Esta noción no es solo un eslogan de marketing; el sector la ha aceptado ampliamente.

Así que, ¿qué ofrece una solución SASE que la hace tan valiosa en comparación con la seguridad de red empresarial tradicional que conecta oficinas a través de redes privadas y redirige el tráfico mediante puertas de enlace web seguras y firewalls?

Como señala Gartner®, los modelos tradicionales en los que la conectividad y la seguridad se basan en el centro de datos deben centrarse en la identidad de los usuarios y los dispositivos. Según el informe, "en una empresa digital moderna centrada en la nube, los usuarios, los dispositivos y las aplicaciones a las que necesitan tener acceso de manera segura están en todas partes".

En otras palabras, los flujos de trabajo, los patrones de tráfico y los casos de uso actuales son muy diferentes a los de cuando se concibieron las redes radiales. Esto se debe a que:

• Más tráfico de usuarios se dirige a los servicios en la nube que a los centros de datos
• Más trabajo se realiza fuera de la red que en ella
• Más cargas de trabajo se ejecutan en los servicios en la nube que en los centros de datos
• Más aplicaciones SaaS están en uso que las alojadas localmente
• Más datos confidenciales se alojan en los servicios en la nube que dentro de la red de la empresa

Los componentes de un modelo SASE

SASE se puede dividir en seis elementos esenciales en lo referente a sus capacidades y tecnologías:

1. Red de área amplia definida por software (SD-WAN)

SD-WAN es una arquitectura superpuesta que reduce la complejidad y optimiza la experiencia del usuario seleccionando la mejor ruta para el tráfico a Internet, aplicaciones en la nube y el centro de datos. También le ayuda a implementar rápidamente nuevas aplicaciones y servicios, así como a gestionar políticas en una gran cantidad de ubicaciones.

Puerta de enlace web segura

Las SWG evitan que el tráfico de Internet no seguro ingrese en su red interna. Protege a sus empleados y usuarios del acceso y la infección por tráfico web malicioso, sitios web vulnerables, virus transmitidos por Internet, malware y otras ciberamenazas.

3. Agente de seguridad de acceso a la nube (CASB)

Los CASB previenen las fugas de datos, la infección por malware, el incumplimiento de la normativa y la falta de visibilidad garantizando que se usen con seguridad las aplicaciones y servicios en la nube. Protegen las aplicaciones en la nube alojadas en nubes públicas (IaaS), nubes privadas o entregadas como software como servicio (SaaS).

4. Firewall como servicio (FWaaS)

El FWaaS le ayuda a reemplazar los dispositivos de firewall físicos por firewalls en la nube que ofrecen capacidades avanzadas de firewall de capa 7/nueva generación (NGFW), incluidos los controles de acceso, como el filtrado de URL, la prevención contra amenazas avanzadas, los sistemas de prevención de intrusiones (IPS) y la seguridad DNS.

5. Acceso a la red Zero Trust (ZTNA)

Las soluciones ZTNA brindan a los usuarios remotos acceso seguro a aplicaciones internas. Con un modelo Zero Trust, nunca se asume la confianza y se otorga el acceso de privilegios mínimos en función de políticas granulares. Brinda a los usuarios remotos una conectividad segura sin colocarlos en su red ni exponer sus aplicaciones a Internet.

6. Administración centralizada

La administración de todo lo anterior desde una única consola le permite eliminar muchos de los problemas del control de cambios, la administración de revisiones, la coordinación de ventanas de interrupciones de servicio y la administración de políticas, al tiempo que se aplican políticas uniformes en toda su organización, dondequiera que se conecten los usuarios.

Tres ventajas de SASE

¿Cómo puede una empresa aplicar controles de acceso y seguridad mientras se enfrenta a estas realidades comunes? Ahí es donde entra en juego una plataforma SASE de capacidades WAN (SD-WAN) y servicios integrales de seguridad. La SASE basada en la nube ofrece importantes ventajas a las organizaciones que dejan a un lado la infraestructura de red y la seguridad empresariales tradicionales en las instalaciones para aprovechar los servicios en la nube, la movilidad y otros aspectos de la transformación digital.

1. Costos de TI y complejidad reducidos

A medida que trabajan para habilitar el acceso seguro a los servicios en la nube, proteger a los usuarios y dispositivos remotos y cerrar otras brechas en su seguridad, las organizaciones se han visto obligadas a adoptar una serie de soluciones de seguridad, lo que ha añadido importantes costos y gastos de administración. Aún así, el modelo de seguridad de la red local sencillamente no es eficaz en un mundo digital.

En vez de intentar usar un concepto heredado para resolver un problema moderno, SASE da la vuelta al modelo de seguridad. En lugar de centrarse en un perímetro seguro, SASE se centra en las entidades, como los usuarios. Basados en el concepto de computación perimetral (procesamiento de la información cerca de las personas y sistemas que la necesitan), los servicios SASE acercan la seguridad y el acceso a los usuarios. Utilizando las políticas de seguridad de una organización, SASE permite o niega dinámicamente las conexiones a aplicaciones y servicios.

2. Experiencia de usuario rápida y fluida

Cuando los usuarios estaban en la red y el departamento de TI controlaba y administraba las aplicaciones y la infraestructura, era fácil administrar y predecir la experiencia del usuario. Hoy en día, incluso con entornos distribuidos de nube múltiple, muchas empresas siguen utilizando VPN para conectar a los usuarios a sus redes por motivos de seguridad. Sin embargo, las VPN ofrecen una experiencia de usuario pobre y amplían la superficie de ataque de una organización al exponer las direcciones IP.

En lugar de degradación, SASE ofrece optimización: requiere que la seguridad se aplique cerca de aquello que necesita protegerse. En lugar de enviar al usuario a la seguridad, envía la seguridad al usuario. SASE brinda seguridad en la nube, administra de manera inteligente las conexiones en las centrales de Internet en tiempo real y optimiza las conexiones a las aplicaciones y servicios en la nube para garantizar una latencia baja.

3. Riesgo reducido

Como solución nativa de la nube, SASE se ha diseñado para abordar los desafíos únicos en cuanto al riesgo en la nueva realidad de los usuarios y las aplicaciones distribuidos. Al definir la seguridad, incluida la protección contra amenazas y la prevención de la pérdida de datos (DLP), como parte fundamental del modelo de conectividad, se garantiza que todas las conexiones sean inspeccionadas y protegidas, independientemente de la ubicación, la aplicación o el cifrado.

Un componente clave del marco SASE es el acceso a la red Zero Trust (ZTNA), que proporciona a los usuarios móviles, trabajadores remotos y sucursales acceso seguro a las aplicaciones al tiempo que elimina la superficie de ataque y el riesgo de movimiento lateral en la red.

¿Por qué es necesario SASE?

La transformación empresarial digital exige mayor agilidad y escalabilidad junto con una menor complejidad y una seguridad mejorada. Además, las empresas modernas necesitan asegurarse de que sus usuarios obtengan las mejores experiencias desde cualquier lugar.

Estas circunstancias han hecho que el SASE pase de la categoría de “linda herramienta" a la de "necesaria". He aquí cuatro razones:

• SASE escala con su empresa: A medida que su empresa crece, tanto su red como su seguridad necesitan ser capaces de gestionar el aumento resultante de la demanda. SASE permite que su empresa, su red y su seguridad escalen juntas a través de su modelo de distribución en la nube.
• SASE permite trabajar desde cualquier lugar: Las arquitecturas hub-and-spoke heredadas no pueden soportar el ancho de banda necesario para ofrecer a sus empleados remotos la flexibilidad que necesitan para mantener su productividad. SASE sí puede, y lo hace manteniendo la seguridad de nivel empresarial para todos los usuarios y dispositivos en cualquier ubicación.
• SASE resiste la evolución de las ciberamenazas: Los equipos de seguridad están en constante alerta, defendiéndose de las últimas amenazas. SASE les ayuda proporcionando una seguridad superior y facilidad de gestión, dando a estos equipos el poder para hacer frente a las amenazas avanzadas, vengan de donde vengan.
• SASE le proporciona una base para la adopción de IoT: Internet de las cosas está aportando utilidad a las empresas de todo el mundo, pero para adoptar eficazmente la tecnología y las capacidades IoT, necesita una plataforma sólida sobre la que construir un ecosistema IoT. SASE le permite alcanzar sus objetivos de IoT con una conectividad y seguridad sin precedentes.

Todo esto ha impulsado a los proveedores de redes y seguridad a crear sus propias versiones de una arquitectura SASE. Muchos de estos proveedores afirman diseñar un producto en la nube, pero la verdad es que un gran número de ellos no son más que una plataforma en la nube construida sobre hardware heredado.

Solo un proveedor puede proporcionar un modelo SASE que realmente está en la nube. ¿Por qué? Porque hemos construido nuestra plataforma en la nube, para la nube.

Zscaler SASE

Zscaler Zero Trust Exchange™ es nuestra solución SASE, que le ofrece un modelo rápido, flexible, sencillo y seguro para conectar usuarios y dispositivos. Nuestra plataforma es fácil de implementar y gestionar como un servicio automatizado y distribuido en la nube, y como está distribuida globalmente, sus usuarios están siempre a un paso de sus aplicaciones.

Esto es lo que hace que nuestro SASE sea único

• Una arquitectura de nube nativa y multiusuario que se amplía dinámicamente en función de la demanda
• Arquitectura basada en proxy para una inspección completa del tráfico cifrado a escala
• Seguridad y política cerca de los usuarios para eliminar el tráfico de retorno innecesario
• Acceso a la red Zero Trust (ZTNA) que restringe el acceso para proporcionar una segmentación nativa de las aplicaciones
• Superficie de ataque cero, que evita los ataques dirigidos porque sus redes e identidades de origen no están expuestas a Internet

Mediante el peering con cientos de socios en los principales intercambios de Internet de todo el mundo, el Zero Trust Exchange ofrece un rendimiento y una confiabilidad óptimos para sus usuarios.