SASE: Eine neue Dimension der sicheren Unternehmenskonnektivität

Sie haben sicherlich schon von Secure Access Service Edge (SASE) gehört, wenn Sie sich mit der Modernisierung der Netzwerklösung Ihres Unternehmens befassen oder sich einfach für die neuesten Trends und Entwicklungen in der Telekommunikation interessieren. Aber auf die Frage, was genau SASE ist ... haben Sie vielleicht eine Reihe von verwirrenden oder widersprüchlichen Antworten erhalten. Wenn Sie entscheiden müssen, ob die Technologie für Ihr Unternehmen geeignet ist, ist das nicht hilfreich.

Keine Angst - dafür gibt es ja die GTT Techtorials-Bibliothek. In diesem Beitrag möchten wir die Grundsätze von SASE erläutern, die Entstehung des Konzepts, den Zusammenhang mit softwaredefinierten Wide Area Network (SD-WAN), seine zuverlässigen Cybersicherheitsfunktionen, und sein Potenzial für eine breite Annahmein den kommenden Jahren.

SASE-Grundlagen

Am einfachsten lässt sich SASE mit einem Wide Area Network (WAN) vergleichen, jedoch fehlt bei SASE eine zentralisierte Architektur mit einem Datenzentrum an der Basis. Stattdessen basiert die SASE-Architektur auf der Cloud. Eine Niederlassung oder ein einzelnes Gerät würde sich über verschiedene verteilte Points of Presence (PoPs) mit dem SASE-Service-Edge verbinden.

SASE selbst hat nicht viel mit dem öffentlichen Internet zu tun, abgesehen von der gelegentlichen Nutzung öffentlicher Clouds wie Amazon Web Services (AWS) und Google Cloud Platform (GCP). Es unterscheidet sich von anderen WAN-Optionen auch durch seine nativen erweiterten Netzwerksicherheitsfunktionen, die modernsten Cloud-Sicherheitsfunktionen ähneln. (Wir werden darauf weiter unten noch ausführlicher eingehen; dazu gehören unter anderem hochentwickelte Verschlüsselungs- und Firewall-Techniken.)

SASE und SD-WAN werden manchmal zusammen erwähnt, zum Teil, weil es immer noch Unklarheiten über SASE gibt: Es wird manchmal als idealer Ersatz für SD-WAN angepriesen, was - aus Gründen, auf die wir später in diesem Techtorial eingehen werden - nicht unbedingt wahr ist, zumindest noch nicht. SD-WAN kann manchmal parallel neben SASE arbeiten, aber auch als Kernelement eines SASE-Dienstes fungieren. Der grundlegende Unterschied zwischen den beiden liegt darin, dass ein SD-WAN das öffentliche Internet nutzt (um das virtualisierte Overlay zur Vernetzung zu schaffen), was bei SASE weitgehend vermieden wird.

Entstehung des SASE-Netzwerkmodells

SASE geht auf zwei Berichte der Gartner Group zurück: den mid-2019 Hype Cycle Report und später das (wesentlich ausführlichere) inzwischen berühmte Whitepaper, "The Future of Network Security is in the Cloud."

Letzteres wurde von Neil MacDonald, Lawrence Orans und Joe Skorupa verfasst und betont, dass moderne Unternehmen aufgrund ihrer Sicherheitsbedürfnisse und „dynamischen Zugriffsanforderungen“ ihre Abhängigkeit vom Rechenzentrum aufgeben und sich auf die Cloud konzentrieren müssen. Die Analysten von Gartner haben viele der Kernpunkte von SASE vorgegeben: die Nutzung eines weltweiten PoP-Netzwerks zur Anbindung von verteilten Niederlassungen und Benutzern über die Cloud, die Verschmelzung von High-End-Sicherheitsfunktionen in einem Software-Stack am Edge und die Wichtigkeit einer niedrigen Latenz.

In gewisser Weise kann man SASE als einen Höhe- oder Wendepunkt der Entwicklung von WAN-Systemen (Wide Area Networks) für Unternehmen betrachten. Die Entwicklung der Technologie erscheint logisch, wenn man bedenkt, in welche Richtung sich das globale Geschäft und die Kommunikation entwickelt haben: Die Unternehmen haben sich durchgehend digitalisiert, die Mitarbeiter arbeiten im Büro, zu Hause und an anderen Standorten. Außerdem sind sie in hohem Maße von zahlreichen Software-as-a-Service (SaaS)-Cloud-Anwendungen abhängig, daher ist es nur plausibel, dass sich eine stark auf die Cloud ausgerichtete Netzwerkmethode schnell durchsetzt.

Dennoch ist SASE in gewisser Weise immer noch eher ein Konzept als eine spezifische Technologie. Abgesehen von den Bedingungen, die MacDonald, Orans und Skorupa in ihrem Gartner-Whitepaper definierten, ist sie nicht formell kodifiziert oder standardisiert. Daher gibt es keine Einigkeit über bestimmte Aspekte des Modells: Es gibt beispielsweise die Meinung, dass nach Gartners Fokus auf die Cloud-Edge die öffentliche Cloud nicht Teil eines SASE-Unternehmensnetzwerks sein darf, während andere der Meinung sind, dass hybride und öffentliche Clouds für SASE genauso nützlich sind wie im Privatbereich.

Aufgrund der unscharfen Definition kann jeder große Anbieter im Telekommunikationsbereich behaupten, er sei SASE-Anbieter, auch wenn nicht wenige von ihnen nur Lösungen anbieten, die man bestens als „fast-SASE“ beschreiben kann. Möglicherweise basieren sie auf dem SASE-Netzwerkmodell, haben aber keine optimale Latenzzeit oder sind weniger sicher als in dem Konzept der Gartner Group definiert. In anderen Fällen nutzten Anbieter wie Fortinet und Palo Alto Networks ihre Erfahrungen mit Sicherheitskonzepten zur Entwicklung von SASE-Plattformen, die den (in gewisser Weise unspezifischen) Schwellenwert von Gartner erfüllen oder übertreffen, wobei Fortinet seine native SD-WAN-Lösung als Teil des Pakets anbietet. Es wird wahrscheinlich noch einige Zeit dauern, bis sich jenseits von Gartner ein endgültiger Standard dafür etabliert hat, was SASE ist und was nicht.

SASE-Sicherheitsvorteile

Die wichtigsten Merkmale im Sicherheitsarsenal jeder echten SASE-Lösung sind:

• Sichere Web-Gateways (SWGs): Diese Portale scannen den eingehenden Datenverkehr anhand der Parameter, die in den Sicherheitsrichtlinien des Netzwerkadministrators festgelegt sind, auf bösartigen Code, verdächtige URLs, Malware und andere Bedrohungen der Cybersicherheit. Mit SWGs kann sichergestellt werden, dass die Benutzer nur genau die Zugriffsrechte erhalten, die sie für ihre individuellen Arbeitsaufgaben benötigen.
• Cloud access security broker (CASB): Dank CASBs können eventuelle Sicherheitslücken auf dem Weg zwischen einem Endnutzer an einem SASE-Zugangspunkt und einem Cloud-Service-Anbieter keine Gefahr für vertrauliche Daten darstellen, wenn SaaS-Anwendungen und andere Cloud-Tools genutzt werden.
• Firewalls der nächsten Generation (NGFWs): SASE ist auf die Cloud angewiesen und erfordert Firewalls, die ganzheitliche Sicherheit sowohl für Cloud-als auch für physische Umgebungen bieten. Genau hier kommen NGFWs ins Spiel. Je nach Anbieter können diese virtuell oder hardwarebasiert sein.
• Advanced threat protection (ATP): Cyberangreifer werden immer dreister, und auch die von ihnen entwickelte Malware wird immer komplexer und lässt sich schwieriger bekämpfen. ATP-Systeme kombinieren Endpunkt-Sicherheitstools, E-Mail-Gateways, Anti-Malware-Technologien und andere Methoden, um Cyber-Bedrohungen aus allen Quellen zu bekämpfen.
• Zero trust network access (ZTNA): Mit dieser Sicherheitslösung können SASE-Netzwerke den Zugang durch die Identifizierung von Benutzern, Geräten und Anwendungen statt durch die Kontrolle auf Standorte oder IP-Adressen beschränken. Im Zeitalter von Remote Work ist ZTNA äußerst wertvoll geworden.

Nur die sichersten SD-WAN-Lösungen sind vergleichbar einer vollständig realisierten SASE-Plattform. Herkömmliche WANs, einschließlich vieler MPLS-Netzwerke, können diese Anforderungen nicht einmal ansatzweise erfüllen.

Cloud-Zugang und Leistungspotenzial von SASE

Die Meinungen darüber, wie viele Betriebskapazitäten und Daten Unternehmen in die Cloud verlagert haben, gehen auseinander: Schätzungen Ende der 2010er und Anfang der 2020er Jahren gingen von einem Anteil von über 80 % aus; die verfügbaren Daten zur Nutzung öffentlicher Clouds deuten darauf hin, der Anteil Mitte 2020 eher bei 50 % liegen wird. Aber es lässt sich nicht leugnen, wohin der Trend geht: in Richtung einer stetig wachsenden Cloud-Nutzung.

Dies wiederum erfordert eine ständige Verfügbarkeit für Unternehmensanwender, unabhängig vom Standort - und genau das bietet SASE für Cloud-Zugang und Leistung. Die Umleitung des Datenverkehrs entsprechend den Anforderungen von Echtzeit-Anwendungen erhöht die Leistung, wenn Endbenutzer sie am dringendsten benötigen, und die Einrichtung von PoPs durch Kombination von Kollokations-Einrichtungen, öffentlicher Cloud und privaten Rechenzentren garantiert einen sicheren Zugang zum Netzwerk unabhängig von Standort oder Gerät.

SASE steckt noch in den Kinderschuhen, aber so wie sich die Dinge in der Telekommunikation entwickeln, ist es nur eine Frage der Zeit, bis sich das Konzept allgemein durchsetzt. Wenn Ihr Unternehmen im wahrsten Sinne des Wortes tief in die Technologie einsteigen möchte, nehmen Sie Kontakt mit GTT auf. Durch unsere leistungsfähigen Tier-1-Backbones und Partnerschaften mit zuverlässigen, sicherheitsorientierten Anbietern wie Fortinet, Aruba (SilverPeak) und VMWare (VeloCloud) können Sie mit unserer Unterstützung eine wirklich robuste Netzwerkleistung in einer Welt realisieren, die jeden Tag mehr in Richtung Cloud expandiert.