SDWAN技术组成

　　‍

　　根据Gartner分析师Nat Smith的说法，SASE更多的是一种理念和方向，而不是一个功能列表。总体而言，SASE由五种主要技术组成：SD-WAN、防火墙即服务(FWaaS)、云访问安全代理(CASB)、安全web网关(SWG)、以及零信任网络访问(ZTNA)。

　　集成SD-WAN

　　传统上，WAN由独立的基础设施组成，通常需要大量的硬件投资。

　　而SASE版本全部基于云，由软件定义和管理，并具有分布式PoP，理想情况下，分布式PoP位于企业数据中心、分支机构、设备和员工附近。为了确保尽可能多的企业流量能直接访问SASE网络，大量的pop至关重要，这避免了公共互联网的延迟和安全问题。

　　通过该服务，客户可以监视网络的运行状况，并为其特定的流量需求设置策略。

　　由于来自Internet的流量首先要通过提供商的网络，因此SASE可以检测到危险流量，并在其到达企业网络之前进行干预。例如，可以在SASE网络中缓解DDoS攻击，从而使客户免受恶意流量泛滥的影响。

　　防火墙即服务(FWaas)

　　在当今的分布式环境中，用户和计算资源都越来越多地位于网络边缘。作为服务交付的基于云的灵活防火墙可以保护这些边缘，随着边缘计算的增长以及物联网设备变得越来越智能和强大，此功能将变得越来越重要。

　　将FWaaS作为SASE平台的一部分提供，可使企业更轻松地管理网络安全，设置统一策略，发现异常并快速进行更改。

　　云访问安全代理(CASB)

　　随着越来越多的公司系统迁移到SaaS应用程序，身份验证和访问变得越来越重要。

　　企业使用CASB来确保其安全策略被一致地应用，借助SASE，员工访问公司系统所使用的门户也是该员工访问的所有云应用程序(包括CASB)的门户。流量不必在系统外部路由到单独的CASB服务。

　　安全的Web网关(SWG)

　　在当今的企业中，网络流量很少局限于预先定义的范围，现代工作负载通常需要访问外部资源，但是可能出于合规性原因拒绝员工访问某些站点。此外，公司还希望阻止对网络钓鱼站点、僵尸网络命令、控制服务器的访问，例如，有的无害的网站也会被试图泄露公司敏感数据的员工恶意使用。

　　而SGW可以保护公司免受这些威胁。提供此功能的SASE供应商能在云上检查加密流量，将SWG与其他网络安全服务捆绑在一起可提高可管理性，并允许更统一的安全策略集。

　　零信任网络访问(ZTNA)

　　零信任是一种相对较新的网络安全方法，迁移到SASE平台可以使公司获得零信任功能。使用零信任网络访问，企业可以详细地查看和控制访问公司应用程序和服务的用户和系统。

　　零信任的核心要素是安全性基于身份的访问决策，这使其更适合移动工作人员，但需要更多级别的身份验证，例如多因素身份验证和行为分析。零信任网络访问模型可以确保用户只能访问授权的应用程序，而不能获得一般的网络访问权限。

　　其他技术

　　除了五种核心功能外，Gartner还推荐了SASE供应商提供的其他一些技术，包括Web应用程序、API保护、远程浏览器隔离，以及网络沙箱。

　　Gartner还建议使用网络隐私保护和流量分散，这可以使威胁参与者很难通过跟踪其IP地址或窃听流量流来找到企业资产。

　　其他可选功能包括Wi-Fi热点保护、对旧版VPN的支持，以及对脱机边缘计算设备或系统的保护。

　　对网络和安全数据的集中访问可以让公司运行整体行为分析，发现在孤立系统中不明显的威胁和异常。这些分析可以作为基于云的服务提供，并且能包含更新的威胁数据和其他外部情报。

　　将所有这些技术放在SASE的保护伞下，最终为企业提供灵活一致的安全性、更好的性能和更低的复杂性，并且，所有这些都以较低的成本实现。

　　企业可以根据自身需求获得定制化的服务，而不必雇用冗余的网络和安全管理员

　　如何采用SASE?

　　企业可能会首先采用混合部署的方式，利用传统的网络和安全系统来处理数据中心和分支机构之间的现有连接，而SASE将用于处理新的连接、设备、用户和位置。

　　SASE不能解决网络和安全问题，也不能防止未来的中断，但是它可以使公司对中断或危机做出更快的响应，从而最大程度地降低对企业的影响。此外，SASE将使企业能够更好地利用边缘计算、5G和移动AI等新技术。