SASE: una guía para principiantes

En lo que ahora parece que fue hace toda una vida, a fines del verano de 2019, Gartner acuñó por primera vez la frase Secure Access Service Edge. Desde entonces, «SASE», como ahora se lo conoce más comúnmente, ha generado el tipo de publicidad que la industria no ha presenciado desde que SD-WAN surgió por primera vez alrededor de 2014. La promesa era bastante simple: permitir a las empresas realizar todo el tiempo – Beneficios sostenidos (pero nunca completamente realizados) de mover aplicaciones y cargas de trabajo a la nube y mantener la seguridad.

Ahora, aparentemente todos los proveedores de seguridad tienen un mensaje de marketing y juego SASE que lo acompaña. Sin embargo, estos mensajes no siempre se alinean. Ha surgido una amplia variedad de perspectivas diferentes de los proveedores y los medios sobre SASE. Algunos lo anuncian como un reemplazo puro de SD-WAN, otros dicen que la seguridad es la función principal, y que las características de SD-WAN tienen un valor agregado menor.

Esta diversidad de mensajes y posicionamiento puede generar confusión adicional para las empresas que intentan entender el tema de SASE. En su nivel más básico, Gartner define SASE como la combinación de SD-WAN y servicios de seguridad entregados en la nube. SD-WAN funciona como un componente central de la arquitectura SASE, y la combinación de SD-WAN y seguridad entregada en la nube finalmente entrega la visión de un servicio de acceso seguro.

Si desea obtener más información sobre SASE, o tal vez esté buscando implementar el marco dentro de su propio negocio, o por puro interés, en este artículo compartiré los principios básicos sobre SASE y ofreceré algunos consejos generales aplicables para empezando.

Los inicios de una arquitectura SASE

Normalmente, al construir una arquitectura SASE, una empresa puede comenzar con un solo proyecto de transformación. Sin embargo, al final del proyecto, se deben transformar las arquitecturas de seguridad y WAN. Esto se debe a que las arquitecturas de seguridad y WAN tradicionales no son adecuadas para SASE. Los enrutadores y los firewalls perimetrales de próxima generación mantienen la seguridad mediante la retroalimentación del tráfico de aplicaciones destinado a la nube a través de sus centros de datos o sitios concentradores (Figura 1). Desafortunadamente, esto agrega latencia que afecta el rendimiento de la aplicación en la nube.

Para eliminar esta latencia, SASE transforma la arquitectura de redes y seguridad, conectando a los usuarios de las sucursales de manera directa y segura a las aplicaciones y servicios en la nube a través de Internet junto con los servicios de seguridad prestados en la nube.

La transformación de la red

En cuanto a la arquitectura de red, el modelo SASE busca un borde WAN simplificado o delgado. Lo que esto implica es colocar solo las funciones de red requeridas en el borde y en una única plataforma unificada que concluye: SD-WAN, enrutamiento, firewall basado en zonas con estado, segmentación avanzada, optimización de WAN y visibilidad y control de aplicaciones.

La transformación de la seguridad

Dado que las aplicaciones se alojan cada vez más y se accede a ellas desde cualquier lugar (un punto muy importante dentro de la situación actual de trabajo remoto), los modelos de seguridad tradicionales basados ​​en el perímetro ya no son efectivos.

En la arquitectura SASE, en lugar de alojar servicios de seguridad en firewalls de próxima generación complejos de administrar (y costosos) dentro de las sucursales, es mucho mejor cambiar hacia servicios de seguridad entregados en la nube. Asegurar que las capacidades de detección y mitigación de amenazas estén actualizadas es mucho más fácil cuando estas soluciones están centralizadas dentro de la nube. De la misma manera que SD-WAN reemplaza a los enrutadores en las sucursales, también los servicios de seguridad brindados en la nube reemplazan a los firewalls de próxima generación.

La necesidad de la automatización

Con SD-WAN y seguridad proporcionada en la nube, los componentes básicos necesarios para SASE, cualquier empresa que busque implementar un servicio de acceso seguro deberá invertir en SD-WAN ante todo. SD-WAN es un mercado tecnológico saludable y existen muchas opciones. Las soluciones SD-WAN avanzadas, que se requieren para habilitar completamente SASE, deben depender de las capacidades de orquestación automatizadas para garantizar que la infraestructura compleja pueda ejecutarse de manera inteligente sin demasiada supervisión.

La automatización debe cubrir cuatro áreas clave. En primer lugar, su solución SD-WAN debe tener la capacidad de identificar y clasificar automáticamente las aplicaciones en el primer paquete y dirigirlas dinámicamente de acuerdo con las políticas de seguridad y QoS definidas centralmente. En segundo lugar, debería permitir la automatización de la orquestación entre SD-WAN y los servicios de seguridad proporcionados en la nube basados ​​en proximidad desde una única consola.

En tercer lugar, está la reconfiguración automatizada de los túneles virtuales primarios y secundarios a los puntos de presencia de seguridad en la nube si se implementa una ubicación más nueva y más cercana a la sucursal. Esto ayuda a minimizar aún más la latencia de la aplicación. Por último, y lo más importante, cualquier configuración debe poder realizar una conmutación por error automáticamente a un punto secundario de aplicación de seguridad en la nube en caso de que el primario se vuelva inalcanzable, para mantener la disponibilidad de la aplicación.

No pongas tus huevos en una canasta

Finalmente, dado que SASE es un marco en constante evolución, es importante que las empresas eviten el bloqueo de proveedores, lo que brinda la libertad de elección para adoptar nuevas innovaciones de seguridad a medida que surgen. La propia Gartner predice que para 2023, el 20 por ciento de las empresas desplegarán una variedad de capacidades (cita SWG, CASB, ZTNA y la sucursal FWaaS) de un solo proveedor. Eso es cuatro veces más de lo que vemos hoy. Es mucho más prudente implementar una plataforma de borde WAN delgada que incorpore una integración profunda entre proveedores. En última instancia, esto proporciona lo mejor de ambos mundos.

Contribuido por Derek Granath, Vicepresidente de marketing técnico y de productos, Silver Peak