La rapidità dell'azienda dipende dalla tecnologia della quale essa dispone: automazione e flessibilità sono le caratteristiche di un'infrastruttura IT al passo con i tempi. Purtroppo, la rete e la parte di sicurezza informatica non si adattano facilmente a un modello di business cloud-centric e mobile-first. Questo perchè la rete è poco flessibile e statica, mentre la sicurezza è spesso dispersa tra sedi fisiche, risorse cloud e utenti mobili. Insieme, rete e sicurezza rallentano notevolmente le operazioni, poiché i silos creati decenni fa vengono oggi riadattati in modo approssimativo per rispondere alle nuove esigenze aziendali. In realtà, la rete e la sicurezza informatica devono essere completamente integrate nella piattaforma IT per supportare il business.
I team IT hanno sempre risposto alle nuove esigenze aziendali con soluzioni specifiche. Ad esempio, hanno integrato box SD-WAN nei collegamenti Internet per alleggerire le connessioni MPLS, oppure hanno installato firewall nelle filiali per garantire un accesso diretto e sicuro a Internet (DIA). Questo approccio ha portato alla creazione di silos tecnologici basati su soluzioni specifiche, integrate in modo approssimativo e gestite separatamente.
L'IT oggi deve fornire prestazioni costanti e un elevato livello di sicurezza, in modo economicamente conveniente, a tutte le risorse aziendali e a livello globale. È una questione di architettura, non un problema funzionale, che richiede l'eliminazione dei silos IT e dell'uso di patch per soluzioni mirate.
L'architettura IT deve evolvere al di là dei silos e dell'uso di soluzioni singole: per questo molte realtà aziendali stanno guardando a SASE.
Il servizio SASE ha 4 caratteristiche principali: si basa sull’identità, è cloud-native, distribuito a livello globale e supporta tutti gli edge (WAN, cloud, mobile, edge computing).
Nel SASE, ogni risorsa aziendale è legata a un'identità, che può essere una persona, un'applicazione, un servizio o un dispositivo. È l'identità, piuttosto che la posizione fisica, a definire la vera natura della risorsa. L'identità, come parte di una comprensione più ampia del contesto, stabilisce il profilo di rischio e il servizio di rete per ogni flusso, determinando così la combinazione di metodi di autenticazione, ispezione delle minacce e autorizzazione all'accesso ai dati. Il vantaggio di unire sicurezza e rete risiede nell'integrazione dell'identità durante l'intero ciclo di accesso, dalla garanzia della qualità del servizio all'applicazione di controlli di sicurezza basati sul rischio.
Una caratteristica fondamentale del SASE è che si tratta di un servizio "cloud-native, as-a-service". Questo significa poter sfruttare le principali capacità del cloud come elasticità, adattabilità e auto-manutenzione.
SASE implica l'istituzione di una rete di punti di presenza (PoP) che operano il software del fornitore, offrendo una vasta gamma di funzionalità di rete e sicurezza come servizio (as a service).
I PoP possono essere aggiornati per introdurre nuove funzionalità o risolvere bug in modo fluido e senza necessità di intervento da parte dell'IT. L'architettura cloud deve comunque prevedere capacità di auto-riparazione per trasferire automaticamente l'elaborazione dai nodi di calcolo dai PoP malfunzionanti a quelli operativi. Queste funzionalità non possono essere raggiunte semplicemente attivando appliance virtuali nel cloud perchè, essendo queste progettate per servire un solo cliente (single tenant), mancano del livello di orchestrazione globale del cloud necessario per assicurare elasticità e auto-riparazione.
SASE è implementato come una piattaforma cloud distribuita a livello globale. La sua struttura garantisce che tutte le funzionalità di rete e sicurezza siano disponibili per supportare gli edge aziendali, ovunque essi si trovino. La creazione di una piattaforma cloud globale richiede ai fornitori di migliorare la loro capacità di distribuire rapidamente i PoP nel cloud e nei data center fisici, assicurando un'elevata capacità e una connettività ridondante per supportare sia l'accesso WAN sia l'accesso cloud, implementare la sicurezza e l'ottimizzazione end-to-end per tutti gli edge.
La soluzione SASE offre un supporto a tutti gli edge aziendali. Con un approccio cloud-first per rete e sicurezza, SASE sposta molte funzioni come l'ottimizzazione della rete e la prevenzione delle minacce, dagli edge fisici al cloud. Ad esempio, le tradizionali appliance di sicurezza di rete sono vincolate a una posizione fisica specifica, rendendole inadatte per gli edge mobili. SASE include un componente thin-edge per connettere vari edge al PoP SASE più vicino. Gli edge collaborano con il servizio cloud SASE per superare errori dei PoP o problemi di accesso, garantendo un servizio ininterrotto.
SASE è progettato per offrire lo stesso set di funzionalità da ogni PoP, senza dipendere da componenti specifici del cliente, facilitando il reindirizzamento del traffico attraverso il Cloud.
Prevenzione delle minacce: vari motori di sicurezza esaminano il traffico per individuare accessi potenzialmente pericolosi. Tra questi, i Secure Web Gateway (SWG) che identificano siti web malevoli, soluzioni anti-malware che bloccano il download di file nocivi, e sistemi IPS che interrompono connessioni anomale in entrata e in uscita, indicative di attività bot, e altro ancora.
SASE è una soluzione integrata che connette tutti gli edge alle funzionalità di rete e sicurezza necessarie. Questo comporta una diminuzione dei costi, della complessità e dei rischi aziendali in un contesto dinamico. Di seguito alcuni dei benefici della piattaforma SASE:
SASE offre un potenziale così elevato che potrebbe scatenare una competizione di marketing tra i fornitori che aspirano a proporre SASE. Alcuni fornitori tradizionali stanno già cercando di presentare una soluzione simile al SASE, assemblando i loro prodotti esistenti in un nuovo pacchetto. Tali tecnologie non sono però progettate per una distribuzione nativa nel cloud; è quindi fondamentale esaminare attentamente l'architettura sottostante alle proposte commerciali per assicurarsi che permetta alla propria azienda di raggiungere i risultati desiderati.
Creare macchine virtuali su infrastrutture as a service (IaaS) come AWS, Azure e simili è vantaggioso, ma non adatto per la soluzione SASE. Anche se queste macchine operano su appliance on-premise per essere "nel cloud", restano soluzioni isolate che non considerano l'integrazione nativa nel cloud, l'elaborazione in un unico passaggio, la copertura globale e l'elasticità della soluzione SASE.
Dal loro lato, i fornitori di Security-as-a-Service si sono impegnati a offrire maggiori funzionalità di sicurezza attraverso i loro servizi cloud, come SWG e CASB. Tuttavia, questi fornitori non dispongono degli elementi essenziali della soluzione SASE per il controllo dei flussi di rete e il supporto nativo degli edge WAN. In assenza di una tecnologia matura e integrata nativamente per connettere in modo affidabile e sicuro tutti gli edge (uffici, data center cloud, utenti e dispositivi) al SASE Cloud, SWG e CASB restano isolati e necessitano di integrazione con altri prodotti.
Come si finanzia la soluzione SASE?
La buona notizia è che il budget per SASE è già disponibile. L'aggiornamento delle attuali appliance di sicurezza, il rinnovo del contratto MPLS in scadenza, o un progetto di integrazione M&A, rappresentano ottime opportunità per avviare il progetto SASE. La migrazione può essere effettuata gradualmente, poiché la maggior parte delle piattaforme consente una transizione progressiva, durante la quale la soluzione SASE può operare insieme alle reti tradizionali e alle soluzioni di sicurezza fino alla loro completa dismissione.
Anche se la categoria SASE è relativamente nuova, la sua applicazione non lo è. Professional Link e Cato Networks infatti collaborano da tempo per offrire una soluzione SASE completa fino all'ultimo miglio. La soluzione è stata testata su aziende distribuite a livello globale, che hanno deciso di integrare le funzionalità di rete e sicurezza aziendali in un unico stack software a passaggio singolo fornito come servizio cloud.
L'identità, combinata con altri elementi contestuali, è impiegata per abilitare l'autenticazione a più fattori, orientare le politiche di accesso, stabilire la qualità del servizio di rete e monitorare costantemente il rischio associato ai dati.
Stiamo parlando di un servizio cloud-native, capace di offrire scalabilità e agilità, oltre a supportare tutti gli edge: sedi fisiche, utenti mobili, data center e applicazioni. Le sedi fisiche impiegano un dispositivo edge SD-WAN, un client web browser o un Software-Defined Perimeter (SDP) senza client, e i tunnel IPsec connettono le risorse cloud alla piattaforma Cato. Indipendentemente dall'edge, l'intero set di funzionalità di rete e sicurezza è accessibile presso il PoP più vicino.
Esiste infatti una rete di oltre 50 PoP distribuiti in tutto il mondo dai quali vengono erogate le funzioni del servizio. Tutti i PoP sono interconnessi da più vettori che formano una dorsale di rete globale privata che ottimizza il traffico WAN e cloud. Il software dei PoP esegue un'ispezione approfondita dei pacchetti per proteggere il traffico dalle molteplici minacce mentre scorre attraverso la piattaforma Cloud.
Vuoi approfondire la soluzione SASE? Contattaci qui
Tratto dall'e-book "The Network for the Digital Business Starts with the Secure Access Service Edge" by Cato Networks