Qu’est-ce que le modèle SASE ? | Secure Access Service Edge

Copier le lien de l'article

Les composants technologiques typiques du SAS

Une plateforme SASE contient généralement ces composants technologiques fondamentaux :

• La principale technologie qui est à la base d'une solution Zero Trust pour la sécurisation des accès est l'accès réseau Zero Trust (ZTNA). Le ZTNA garantit un accès simple et sécurisé entre n'importe quel utilisateur et n'importe quelle application, sur n'importe quel appareil et à n'importe quel endroit, avec un contrôle permanent du contexte détaillé, tel que l'identité et le niveau de sécurité des appareils, ressource par ressource.
• Les passerelles web sécurisées (SWG pour Secure web Gateway) préviennent les menaces et protègent les données en filtrant le contenu du trafic web indésirable et en bloquant les comportements à risque ou non autorisés en ligne. Les SWG peuvent filtrer le trafic web depuis n'importe quel endroit et sont donc la solution idéale pour les effectifs hybrides.
• L’utilisation du cloud et des applications SaaS rend la confidentialité et la sécurité des données plus difficiles à garantir. L’utilisation d’un Cloud Access Security Broker (CASB) est une solution à ce problème : un CASB fournit des contrôles de sécurité des données (et une visibilité) sur les services et applications hébergés dans le cloud d’une organisation. Et pour éviter que des données ne soient volées ou détruites sans autorisation, les technologies de prévention des pertes de données (DLP) détectent la présence de données sensibles dans les applications web, SaaS et privées. Associées à une SWG, les solutions DLP peuvent analyser les données en transit (p. ex. les fichiers transférés ou téléchargés, les messages de discussion, les renseignements de formulaires). Associées à un CASB, les solutions DLP peuvent analyser les données au repos.
• Dans une architecture SASE, les entreprises adoptent soit un réseau étendu défini par logiciel (SD-WAN), soit un réseau étendu en tant que service (WAN-as-a-Service ou WANaaS) afin de connecter et de faire évoluer leurs opérations (par exemple, bureaux, magasins, datacenters) sur de grandes distances. Le SD-WAN et le WANaaS suivent des approches différentes :
  • La technologie SD-WAN met en œuvre des logiciels sur les sites des entreprises et un contrôleur centralisé pour surmonter certaines des limites des architectures WAN traditionnelles, afin de simplifier les opérations et les décisions concernant l'acheminement du trafic.
  • Le WANaaS renforce les avantages du SD-WAN en adoptant une approche « léger sur le régional, fort sur le cloud ». Elle déploie ainsi le minimum d'équipements physiques requis sur les sites physiques et s'appuie sur une connectivité Internet à faible coût pour atteindre la « périphérie de service » (service edge) la plus proche. Cette approche permet de réduire les coûts totaux, de proposer une sécurité plus intégrée, d'améliorer les performances sur le segment intermédiaire et de mieux desservir l'infrastructure cloud.
• Un Pare-feu de nouvelle génération (NGFW pour Next-Generation FireWall) : inspecte les données à un niveau plus profond qu'un pare-feu traditionnel. Il peut, par exemple, proposer des fonctions d'information et de contrôle des applications, de prévention des intrusions et d'informations sur les menaces, dans le but d'identifier et de bloquer les menaces susceptibles de se dissimuler au sein d'un trafic d'apparence normale. Les NGFW déployables dans le cloud sont appelés des pare-feu cloud ou des pare-feu en tant que service (FireWall-as-a-Service, FWaaS).
• L'isolement de navigateur à distance (RBI) applique le principe Zero Trust à la navigation web en partant du principe qu'aucun code de site web ne doit être autorisé par défaut à s'exécuter. Le RBI charge les pages web et exécute le code associé dans le cloud, à bonne distance des appareils locaux des utilisateurs. Cette séparation permet d'éviter les téléchargements de logiciel malveillant, de réduire au minimum le risque de vulnérabilités zero-day au sein du navigateur et de se défendre contre d'autres menaces véhiculées par les navigateurs. Le RBI peut également appliquer des contrôles de protection des données aux ressources basées sur le navigateur, ce qui s'avère utile pour sécuriser l'accès des appareils non gérés.
• La gestion centralisée qui s'intègre à l'ensemble des services permet aux administrateurs de définir des politiques qui sont ensuite appliquées à tous les services connectés.

Selon les capacités du fournisseur, les plateformes SASE peuvent également inclure :

• Sécurité des e-mails cloud
• Sécurité de la couche applicative
• Sécurité DNS
• Scores de risques adaptatifs en continu
• Digital experience monitoring (DEM)
• Réseau de diffusion de contenu (CDN)
• Autres fonctionnalités réseau avancées

Le schéma ci-dessous illustre de quelle manière une plateforme SASE peut faire converger toutes ces fonctions au service d'une connectivité sécurisée à l'ensemble des applications, services et réseaux privés, tout en garantissant la sécurité de l'accès des collaborateurs à Internet.

Exemples de scénarios d'utilisation du SASE

La mise en œuvre de SASE est généralement progressive (sur plusieurs mois, voire plusieurs années). Les plans de mise en œuvre varient considérablement et dépendent de facteurs uniques, tels que :

• La stratégie de croissance à court et à long terme d'une entreprise
• Les rôles et les applications les plus exposés aux cyberattaques
• La flexibilité et l'ouverture au changement de chaque équipe
• La rapidité, la complexité et les coûts potentiels de la migration

Chaque entreprise étant différente, il n'existe pas d'approche unique du déploiement du SASE. Cependant, les scénarios d'utilisation du déploiement du SASE relèvent généralement de ces cinq priorités informatiques :

1. Adopter le Zero Trust

L'application des principes Zero Trust (en tant que principe du parcours plus large de SASE), en commençant par l'accès réseau Zero Trust, permet des cas d'utilisation tels que :

• Remplacement des VPN risqués et des autres solutions de sécurité traditionnelles basées sur des équipements physiques
• Simplification de l'accès des tiers et BYOD
• Atténuation des attaques par rançongiciel
• Limitation de l'exposition des données sur l'ensemble des applications SaaS et du stockage dans le cloud

2. Protéger la surface d'attaque

L'architecture SASE rend possible une solution de « travail hybride » offrant une visibilité et des protections cohérentes contre les menaces, à la fois sur le réseau et en dehors. Voici quelques exemples de cas d'utilisation :

• Arrêt du phishing sur l'ensemble des e-mails, réseaux sociaux, applications collaboratives et autres canaux
• Sécurisation de la connectivité pour les collaborateurs en télétravail
• Protection et optimisation du trafic vers n'importe quelle destination cloud ou Internet
• Sécuriser les réseaux étendus (WAN)

3. Modernisation du réseau

Au lieu de conserver des réseaux d'entreprise traditionnels, les entreprises peuvent tirer parti de services SASE distribués et cloud-native. Cette approche permet la mise en œuvre de divers scénarios d'utilisation :

• Simplifier la connectivité régionale par rapport au MPLS et au SD-WAN traditionnel
• Transférer la sécurité de la DMZ vers le cloud
• Abandon de la confiance élevée sur le réseau local (LAN)
• Réduction des risques informatiques et accélération de la connectivité lors des fusions-acquisitions

4. Protéger les données

Les données sensibles peuvent être exposées dans le cadre d'une utilisation non autorisée de l'IA générative et par l'informatique fantôme (Shadow IT), en entraînant ainsi une compromission ou des violations qui peuvent s'avérer coûteuses à corriger. Cependant, une architecture SASE permet des scénarios d'utilisation tels que :

• Simplifier la conformité avec les réglementations sur la confidentialité des données
• Gérer l'informatique fantôme
• Protection de l'utilisation de l'IA générative
• Détection et contrôle des données sensibles

5. Moderniser les applications

Les applications doivent être sécurisées, résilientes et performantes pour les utilisateurs finaux, avec l'évolutivité nécessaire pour faire face à la croissance des données, tout en répondant aux exigences en matière de gouvernance des données. Une architecture SASE peut contribuer à simplifier et à sécuriser plusieurs étapes du processus de modernisation des applications, par exemple :

• Protection des accès privilégiés (développeurs/IT) à l'infrastructure essentielle
• Prévenir les fuites et les vols de code développeur
• Sécuriser les flux de travail DevOps
• Sécurisation des applications en cours de migration cloud

Le SASE et les autres approches de connectivité réseau.

SASE et les réseaux traditionnels

Dans un modèle de réseau traditionnel, les données et les applications sont stockées au sein d'un datacenter centralisé. Les utilisateurs, les bureaux régionaux et les applications se connectent au datacenter à partir d'un réseau privé localisé ou d'un réseau secondaire (généralement relié au réseau principal via une liaison sécurisée ou un VPN). Ce processus peut être risqué et inefficace si l'entreprise héberge ses applications SaaS et ses données sur le cloud.

Contrairement au réseau traditionnel, le modèle SASE place les mesures de contrôle du réseau à la périphérie du cloud et non dans le datacenter de l'entreprise. Au lieu de superposer des services nécessitant une configuration et une gestion distinctes, le SASE fait converger les services réseau et les services de sécurité à l'aide d'un plan de contrôle unique. Il met en œuvre des politiques de sécurité Zero Trust, fondées sur l'identité, en périphérie du réseau afin de permettre aux entreprises d'étendre l'accès réseau à n'importe quelle ressource distante, qu'il s'agisse d'un utilisateur, d'un bureau régional, d'une application ou d'un appareil.

SASE et MPLS

La commutation multiprotocole par étiquette (MLPS) envoie des paquets de mise en réseau le long de chemins réseau prédéterminés. Idéalement, le résultat avec le mécanisme MPLS est tel que les paquets empruntent à chaque fois le même chemin. C'est l'une des raisons pour lesquelles MPLS est généralement considéré comme fiable, mais inflexible. Par exemple, avec MPLS, les contrôles de sécurité sont appliqués via des emplacements de « déchargement » centralisés ; l'ensemble du trafic entrant et sortant est acheminé par son siège social. Cette méthode nécessite de rediriger le trafic pour atteindre les fonctions de sécurité.

Le modèle SASE utilise à la place une connectivité Internet à faible coût, au lieu des chemins réseau dédiés de MPLS. Cette solution convient aux entreprises à la recherche d'une solution réseau efficace à moindre coût. Une plateforme SASE assure un routage intelligent, flexible et sensible aux applications, une sécurité intégrée et une visibilité détaillée sur le réseau.

SASE et SSE

Le SASE intègre l'accès sécurisé de l'utilisateur à l'architecture du réseau. Or, toutes les entreprises ne disposent pas déjà d'une approche cohérente au sein de leurs équipes chargées de l'informatique, de la sécurité réseau et du réseau lui-même. Ces entreprises peuvent donner la priorité au SSE (Security Service Edge, services de sécurité en périphérie), un sous-ensemble de fonctionnalités SASE axées sur la sécurisation de l'accès des utilisateurs internes au web, aux services cloud et aux applications privées.

Le SSE constitue un tremplin courant vers le déploiement complet du SASE. Bien qu'il s'agisse d'une simplification excessive, certaines organisations peuvent considérer le SASE comme « SSE plus SD- WAN».

Le SASE à fournisseur unique et le SASE à deux fournisseurs

Dans le SASE, l'approche à deux fournisseurs implique d'avoir deux fournisseurs ou plus pour le ZTNA, la SWG, le CASB, le SD- WAN/ WANaaS et le FWaaS - souvent un pour la sécurité, et un pour la mise en réseau. Cela permet aux organisations de personnaliser leur pile technologique et de tirer parti des forces de chaque fournisseur. Elle implique également que les entreprises doivent disposer du temps et des ressources internes nécessaires pour orchestrer et intégrer des services disparates.

Les organisations peuvent également choisir de suivre le SASE à fournisseur unique (SV-SASE) à la place. Cette approche réunit des technologies disparates de sécurité et de connectivité réseau sur une plateforme unique et proposée via le cloud. Le SV-SASE est idéal pour les organisations qui cherchent à consolider leurs produits dédiés, à réduire leur coût total de possession et à assurer une application cohérente des politiques, au prix d'efforts moindres.

Dans les deux cas, une plateforme SASE doit être en mesure d'enrichir les outils existants ou de s'intégrer aux outils existants pour ce qui est des accès réseau directs, de la gestion des identités, de la sécurité des point de terminaison, du stockage des journaux et d'autres composants de sécurité réseau.

Questions à poser aux fournisseurs SASE potentiels

Quelle que soit l'approche SASE choisie, tenez compte des critères suivants et des exemples de questions lors de l'évaluation de fournisseurs potentiels :

Réduction
du risque

• Toutes les communications et tous les flux de données transitant par l'intermédiaire de suites SaaS sont-ils protégés sur chaque canal ?
• Quels sont les scores et les analyses de risque pour les utilisateurs/appareils disponibles ?
• Certaines fonctions de sécurité sont-elles contournables par un accès direct (on-ramp) au réseau ?
• Le trafic des applications est-il déchiffré et inspecté en une seule passe ? Existe-t-il certaines mises à garde concernant le déploiement ?
• Les flux d'informations sur les menaces peuvent-ils être intégrés à leur architecture ?

Résilience du réseau

• Les fonctions réseau et de sécurité sont-elles intégrées de manière native par défaut ?
• Chaque méthode de connectivité et chaque service SASE sont-ils interopérables les uns avec les autres dans n'importe quel ordre ?
• Chaque fonction est-elle assurée depuis chaque emplacement de datacenter ?
• Offre-t-il des garanties de disponibilité ou de latence pour les utilisateurs finaux ?
• Quelle est l’architecture du réseau permettant d'assurer la continuité du service en cas de panne ?

Architecture pérenne

• Qu'arrivera-t-il aux services/coûts SASE si nous passons d'un cloud à l'autre ?
• La plateforme est-elle adaptée aux développeurs ? Les futures fonctions SASE fonctionneront-elles avec les applications actuelles ?
• Quelles sont les fonctionnalités de régionalisation des données et de conformité qui sont intégrées ?
• Comment la plateforme tient-elle compte des futures normes en matière de sécurité ou d'Internet comme le chiffrement post-quantique?

Comment Cloudflare permet les SASE

La plateforme SASE de Cloudflare, Cloudflare One, permet de sécuriser les applications, les utilisateurs, les appareils et les réseaux d'une entreprise. Elle repose sur le cloud de connectivité de Cloudflare, une plateforme unifiée et composable de services programmables cloud-native assurant une connectivité point à point (any-to-any) entre tous les réseaux (réseaux d'entreprise et Internet), les environnements cloud, les applications et les utilisateurs.

Tous les services Cloudflare étant conçus pour s'exécuter à n'importe quel emplacement réseau, l'ensemble du trafic est connecté, inspecté et filtré à proximité de la source, pour des performances optimales et une expérience utilisateur cohérente. Il n'est pas nécessaire de procéder à une redirection ni de mettre en place un chaînage de services susceptible d'ajouter de la latence.

Cloudflare One propose également des accès directs (on-ramp) et des services SASE composables, qui permettent aux entreprises d’adopter les scénarios d’utilisation de la sécurité et de la modernisation du réseau dans n’importe quel ordre. De nombreux clients Cloudflare commencent ainsi par déployer les services Zero Trust SSE pour réduire leur surface d’attaque, bloquer le phishing ou les rançongiciels, mais aussi empêcher les mouvements latéraux et sécuriser leurs données. En adoptant progressivement Cloudflare One, les entreprises peuvent abandonner petit à petit leur ensemble hétéroclite d’équipements et de solutions dédiées afin de consolider leur sécurité et leurs fonctionnalités réseau sur une interface unifiée. Cliquez sur le lien pour en apprendre davantage sur la manière dont Cloudflare déploie le SASE.

FAQ SASE

Qu'est-ce que l'architecture SASE ?

L'architecture SASE allie des fonctions de connectivité réseau et de sécurité au sein d'un service unifié proposé via le cloud. Elle intègre sous une plateforme unique des fonctionnalités SD-WAN et des services de sécurité tels que CASB, SWG et Zero Trust.

Comment les solutions SASE profitent-elles aux effectifs décentralisés ?

Les solutions SASE fournissent un accès sécurisé aux ressources, quel que soit l'endroit où se trouvent les utilisateurs, ce qui les rend idéales pour les environnements de travail à distance et hybrides. Elles appliquent des politiques de sécurité identiques pour toutes les connexions, afin de protéger les utilisateurs et les données qu'ils soient au bureau ou en télétravail.

Quels sont les principaux composants de la mise en œuvre de SASE ?

La mise en œuvre de SASE inclut généralement les composants SD-WAN, FWaaS, CASB, ZTNA et SWG. Ces facteurs fonctionnent de concert afin de proposer la connectivité et la sécurité du réseau en tant que service unifié.

En quoi le modèle SASE diffère-t-il de la sécurité réseau traditionnelle ?

Contrairement à la sécurité réseau traditionnelle, qui s'efforce de maintenir les menaces à l'écart d'un réseau défini, le modèle SASE déplace la sécurité vers le cloud et l'applique partout où les utilisateurs se connectent. Le modèle SASE élimine également la nécessité de déployer plusieurs solutions dédiées en consolidant les fonctions réseau et de sécurité sous un seul service basé sur le cloud.

À quelles difficultés les entreprises peuvent-elles être confrontées lors de l’adoption de SASE ?

Les entreprises peuvent avoir des difficultés à intégrer leur infrastructure de sécurité existante aux nouveaux modèles de déploiement SASE lors de la mise en œuvre. Les difficultés peuvent être liées à des lacunes en matière de compétences (à mesure que les équipes informatiques passent de la gestion des ressources sur site à la gestion du cloud), à la gestion du changement, au respect de la réglementation lors du transfert des données vers le cloud et à la nécessité de former à nouveau les collaborateurs à de nouveaux flux de travail. Par ailleurs, le choix du bon fournisseur de SASE implique une évaluation minutieuse des capacités en matière de connectivité réseau et de sécurité afin de garantir la conformité à toutes les exigences.