SD-WAN, SSE i SASE – czym się różnią i kiedy je wdrażać

Powszechny obecnie model pracy hybrydowej oraz migracja do chmury podważyły rolę tradycyjnej architektury sieciowej oraz podejście do kwestii bezpieczeństwa IT. I choć wdrożenie nowych rozwiązań jest niezbędne, wiele firm nie zdecydowało jeszcze, która spośród dostępnych na rynku technologii będzie dla nich optymalnym wyborem.

CZEGO SIĘ DOWIESZ Z TEGO ARTYKUŁU: CZYM JEST SECURITY SERVICE EDGE (SSE) JAKIE SĄ NAJWAŻNIEJSZE CECHY SD-WAN, S.ASE I SSE. CZY ROZWIĄZANIA SASE I SSE SĄ DLA SIEBIE KONKURENCJĄ. DLA KOGO SĄ PRZEZNACZONE TE ROZWIĄZANIA I W JAKICH SCENARIUSZACH SPRAWDZĄ SIĘ NAJLEPIEJ.

Wiele organizacji deklaruje chęć wdrożenia rozwiązań w dziedzinie bezpieczeństwa sieciowego bazujących na usługach chmurowych, jednak ociągają się z implementacją konkretnych technologii. W 2022 roku CyberRisk Alliance (CRA) przeprowadziło wywiady z 300 specjalistami IT na temat bezpieczeństwa sieci i chmury. W tym badaniu 77 proc. respondentów uznało kwestię bezpieczeństwa za „bardzo istotną”. Jednocześnie tylko 10 proc. respondentów stwierdziło, że ich organizacje wdrożyły nowoczesne rozwiązania, takie jak SASE (Secure Access Service Edge). Połowa przyznała, że nie do końca rozumie różnice między SD-WAN, SASE i SSE[1].

O ile większe przedsiębiorstwa, dysponujące dużymi budżetami na IT oraz wykwalifikowanym zespołem, nie mają problemów z wdrażaniem nowych rozwiązań, o tyle średnie i mniejsze firmy mogą nie być w stanie samodzielnie zbudować systemu z zaawansowaną kontrolą dostępu i monitorowania zagrożeń.

Usługi sieciowe na nowe czasy

Odpowiedzią na te potrzeby są usługi sieci definiowanych programowo (SD-WAN) oraz zaawansowanych mechanizmów bezpieczeństwa i zarządzania tożsamością użytkowników Secure Access Service Edge (SASE). Pozwalają one budować bezpieczną sieć korporacyjną wykorzystującą komercyjnie dostępne łącza internetowe dowolnego typu (w tym również bezprzewodowe), pozwalając obsłużyć odległe geograficznie oddziały firmy, a także umożliwiają pracę spoza biura na urządzeniach mobilnych.

Termin SASE został ukuty w 2019 roku przez analityków firmy Gartner[2] na określenie rozwiązania pozwalającego na bezpieczny dostęp do dowolnej aplikacji, w chmurze lub lokalnie, dla każdego użytkownika, z dowolnego urządzenia i z dowolnej lokalizacji. Za SASE kryje się szereg rozwiązań technicznych, których wspólnym mianownikiem jest monitorowanie ruchu i weryfikacja tożsamości użytkowników w myśl zasady zerowego zaufania.

W pełni wdrożona technologia SASE jest obecnie uważana za optymalne rozwiązanie służące bezpieczeństwu i optymalizacji łączności. Składa się na nią kilka elementów. Podstawą jest SD-WAN (Software-Defined WAN), która łączy oddziały firmy, centra danych, chmurę i użytkowników zdalnych. Funkcjonalność CASB (Cloud Access Security Broker, broker bezpieczeństwa dostępu do chmury) umożliwia monitorowanie i kontrolowanie ruchu między użytkownikami organizacji, a chmurą i aplikacjami internetowymi. Oparty na chmurze firewall (FWaaS – Firewall as a Service) pozwala filtrować ruch zgodnie z regułami organizacji, wykrywać i zapobiegać włamaniom przy użyciu funkcji zapory nowej generacji (NGFW – Next Generation Firewall). Bezpieczna brama internetowa (SWG – Secure Web Gateway) służy do monitorowania i sprawdzania ruchu sieciowego użytkowników, co umożliwia również blokowanie złośliwego oprogramowania i prób włamań. Może również filtrować zawartość i blokować określone adresy internetowe zgodnie z zasadami organizacji.

Najistotniejszą zmianą z punktu widzenia zarządzania siecią i dostępem jest jednak model zerowego zaufania (ZTNA – Zero Trust Network Access). Wymusza on weryfikację i uwierzytelnienie każdego użytkownika – nawet jeśli użytkownik jest lokalny.

Więcej o zaletach rozwiązania SASE można przeczytać w Strefie wiedzy.

Bezpieczeństwo jest priorytetem

W 2021 roku analitycy Gartnera zauważyli jednak, że wiele organizacji nie chce przyjmować całego modelu SASE, lecz interesuje się wyłącznie rozwiązaniami w obszarze bezpieczeństwa. Dlatego Gartner wymyślił nową koncepcję: Security Service Edge, czyli SSE. Podczas gdy SASE łączy sieci i zabezpieczenia w jedną usługę w chmurze, SSE obejmuje tylko funkcje bezpieczeństwa, takie jak bezpieczna brama sieciowa (SWG), broker bezpieczeństwa dostępu do chmury (CASB) i dostęp do sieci o zerowym zaufaniu (ZTNA). Mówiąc najprościej: SSE to SASE, ale bez warstwy sieciowej SD-WAN z zachowaniem wszystkich funkcjonalności związanych z monitorowaniem, kontrolą i weryfikacją tożsamości w myśl filozofii zerowego zaufania.

Dla kogo zatem jest SSE? Rozwiązania SASE przeznaczone są dla organizacji, które mają zarówno oddziały, biura, centra danych i użytkowników zdalnych – wtedy potrzebne są również rozwiązania SD-WAN. Ale jeżeli organizacja działa wyłącznie w chmurze, warstwa SD-WAN nie jest potrzebna. Dla takich firm – zwykle młodszych, w pełni wykorzystujących zalety nowoczesnych technologii i bez starszych rozwiązań sprzętowych, SSE może okazać się optymalnym wyborem. Z tego rozwiązania mogą również skorzystać firmy, które chcą zachować istniejącą infrastrukturę sieciową, jednak starające się zbudować cyfrową odporność w oparciu o nowoczesne rozwiązania programowe.

Pewne znaczenie z punktu widzenia wewnętrznej organizacji firmy może mieć kwestia zespołów specjalistów ds. sieci i bezpieczeństwa. Przyjęcie modelu SSE zamiast pełnego rozwiązania SASE oznacza, że zespoły te nie muszą łączyć obowiązków.

Trudny kompromis

Rozwiązania SSE mają jednak pewne słabości wynikające z pominięcia warstwy sieciowej SD-WAN. Najpoważniejsza to fakt, że SSE nie zapewnia łączności między lokacjami. Oznacza to, że organizacje muszą rozważyć swoje potrzeby i wyzwania w zakresie łączności, zanim zdecydują się na SSE lub SASE. Istotne jest również to, że SD-WAN oferuje optymalizację sieci WAN i inne funkcje sieciowe, których samo SSE nie ma.

Dla wielu firm stojących na progu transformacji cyfrowej wdrożenie samego SSE może być jednak pierwszym krokiem na drodze do stworzenia elastycznego i bezpiecznego systemu IT. To również okazja to przeanalizowania potrzeb i potencjalnych wyzwań dla wdrożenia nowoczesnych, kompleksowych i konwergentnych rozwiązań, takich jak SASE. Z całą pewnością uruchomienie nawet części funkcjonalności SSE podniesie poziom bezpieczeństwa informatycznego organizacji.

Wyboru między SASE i SSE najlepiej dokonać po dokładnej ocenie możliwości, potrzeb i celów organizacji. Firma działająca w pełni zdalnie może skorzystać z SSE zamiast SASE, jednak dla większości organizacji to drugie rozwiązanie w dłuższej perspektywie czasu okaże się korzystniejsze i „przesiadka” na SASE będzie nieuchronna.

Podsumowanie

Zmiany technologiczne w dziedzinie usług sieciowych i bezpieczeństwa nadchodzą z coraz większą szybkością. Nawet menedżerowie IT przyznają, że gubią się w skrótach opisujących nowe rozwiązania i nie mają wiedzy o wszystkich ich niuansach i funkcjonalnościach. Wdrożenie całkowicie nowego modelu sieciowego i bezpieczeństwa, takiego jak SASE, oznacza dla nich również ogromny wysiłek organizacyjny. Nie wszystkie firmy są gotowe na taką zmianę, nie wszystkie takiej zmiany potrzebują. Dla nich korzystniejszym wyborem może być SSE – choć dla większości organizacji z oddziałami, pracownikami zdalnymi i własnymi centrami danych będzie to rozwiązanie tymczasowe, które w przyszłości rozwinie się do pełnego SASE.

[1] https://www.scmagazine.com/whitepaper/organizations-seek-sse-solutions-to-help-ease-pain-of-remote-work

[2] https://www.gartner.com/en/documents/3957375