SASE: una nuova frontiera nel campo della connettività aziendale sicura

Avrà probabilmente sentito parlare del concetto SASE (Secure Access Service Edge) se sta pensando di aggiornare la soluzione di connettività di rete della sua azienda, o se è semplicemente interessato alle ultime tendenze e sviluppi nel campo delle telecomunicazioni. Ma se si è chiesto che cosa sia esattamente la SASE, potrebbe aver incontrato una serie di risposte confuse, persino contraddittorie. Se sta cercando di decidere se questa tecnologia è giusta per la sua organizzazione, questo non è utile.

Non temere mai. È per questo che è entrato nella biblioteca dei Tutorial tecnici di GTT. In questo articolo cercheremo di spiegare i concetti essenziali di SASE, come questa tecnologia è entrata in scena, come si relaziona con la tecnologia software-defined wide area network (SD-WAN), i forti meccanismi di cybersecurity che incorpora e il suo potenziale di adozione generalizzata nei prossimi anni.

Nozioni fondamentali sul SASE

Il modo più semplice per descrivere il concetto di SASE è che si tratta di qualcosa di simile a una rete geografica (WAN), ma senza un'architettura centralizzata con un centro dati alla radice. Invece, l'architettura SASE è basata sul cloud. Una filiale o un dispositivo individuale possono collegarsi al nodo di accesso al servizio SASE perimetrale (service edge) attraverso vari punti di presenza (PoP) distribuiti.

Pertanto, SASE ha poco a che fare con l'Internet pubblico, al di là del suo occasionale utilizzo di cloud pubblici come Amazon Web Services (AWS) e Google Cloud Platform (GCP). Si distingue da altre opzioni WAN anche per le funzioni di sicurezza di rete avanzate che incorpora nel proprio design, simili alle funzioni di sicurezza cloud all'avanguardia (ne parleremo in modo molto più dettagliato in seguito; includono tecniche di crittografia e firewalling molto avanzate, tra gli altri metodi).

A volte si parla di SASE e SD-WAN insieme, in parte perché c'è ancora un po' di confusione su SASE: a volte viene presentato come un sostituto ideale di una SD-WAN, il che (per motivi che vedremo più avanti in questo tutorial tecnico) non è necessariamente vero, almeno per il momento. Ci sono casi in cui SD-WAN può operare in parallelo a SASE, o come elemento centrale di un servizio SASE. La differenza fondamentale tra i due sta nel fatto che SD-WAN si avvale di Internet pubblico (per creare il livello virtualizzato che funge da tessuto connettivo), mentre SASE lo evita il più possibile.

Storia del modello di rete SASE

SASE è un concetto ideato da Gartner: è stato menzionato per la prima volta nel loro Hype Cycle Report della metà del 19 , e successivamente (in modo molto più dettagliato) nel contesto di un white paper diventato famoso: "The Future of Network Security is in the Cloud."

Quest'ultimo documento, redatto da Neil MacDonald, Lawrence Orans e Joe Skorupa, sosteneva che le esigenze di sicurezza delle aziende moderne e i "requisiti di accesso dinamico" le costringevano a rompere la loro dipendenza dal data center e a concentrarsi sul cloud. Gli analisti di Gartner hanno dettato molti dei principi di base di SASE: l'uso di una rete globale di Punti di Presenza (PoP) per collegare i lavoratori delle filiali e gli utenti più disparati attraverso il cloud, la convergenza delle funzioni di sicurezza di alto livello in uno stack software perimetrale e una forte enfasi sulla bassa latenza.

In un certo senso, SASE può essere visto come il culmine (o un punto di svolta) nello sviluppo dei sistemi di rete geografica (WAN) su scala aziendale. Certamente l'evoluzione della tecnologia è logica, vista la direzione in cui si sono evoluti gli affari e le comunicazioni globali: le organizzazioni sono state completamente trasformate digitalmente e la loro forza lavoro è ora distribuita in una combinazione di uffici, case e altre sedi. Inoltre, fanno grande affidamento su numerose applicazioni software-as-a-service (SaaS) che risiedono nel cloud, quindi non sorprende che un metodo di networking così cloud-centrico abbia preso piede così rapidamente.

Detto questo, per certi versi SASE è ancora più un concetto che una tecnologia concreta. A parte le condizioni che MacDonald, Orans e Skorupa hanno esposto nel loro Whitepaper di Gartner, il modello SASE non è stato formalmente codificato o standardizzato. Per questo motivo, c'è un dibattito su alcuni aspetti: ad esempio, alcuni insistono sul fatto che la filosofia di Gartner di collocarlo nel perimetro del cloud implica che il cloud pubblico non può far parte di una rete SASE aziendale, mentre altri ritengono che i cloud ibridi e pubblici siano altrettanto utili per il SASE quanto le loro controparti private.

Questa mancanza di chiarezza ha anche la conseguenza che qualsiasi grande fornitore di telecomunicazioni può affermare di essere un fornitore SASE, quando il massimo che alcuni di loro riescono a offrire sono soluzioni che potrebbero essere meglio descritte come "quasi-SASE". Possono adattarsi al modello di rete SASE, ma hanno una latenza superiore a quella ottimale, oppure non sono altrettanto sicuri come richiederebbe il concetto di Gartner. In altri casi, fornitori come Fortinet e Palo Alto Networks hanno sfruttato la loro esperienza in materia di sicurezza per ideare piattaforme SASE che soddisfano o superano la soglia (piuttosto confusa) di Gartner, e Fortinet offre la sua soluzione SD-WAN nativa come parte del pacchetto. Probabilmente ci vorrà del tempo prima che ci sia uno standard definitivo, oltre a quello di Gartner, su ciò che è e non è SASE.

Vantaggi di sicurezza di SASE

Le caratteristiche chiave che dovrebbero essere incluse nell'arsenale di sicurezza di ogni soluzione SASE degna di questo nome sono le seguenti:

• Secure web gateways (SWGs): questi gateway di accesso Web sicuri analizzano il traffico in entrata alla ricerca di codice maligno, URL sospetti, malware o altre minacce alla cybersicurezza, in base ai parametri impostati nelle politiche di sicurezza dell'amministratore di rete. Gli SWG possono aiutare a garantire che gli utenti abbiano solo l'esatto livello di accesso di cui hanno bisogno per svolgere le loro specifiche responsabilità lavorative.
• Cloud access security broker (CASB): la presenza dei CASB assicura che le eventuali lacune di sicurezza che possono esistere nel percorso tra l'utente finale in un punto di accesso SASE e un fornitore di servizi cloud non rappresentino una minaccia per i dati sensibili durante l'utilizzo di app SaaS o altri strumenti basati sul cloud.
• Next-generation firewalls (NGFWs): il fatto che SASE si affidi al cloud per il suo funzionamento rende essenziale l'utilizzo di firewall che offrano una sicurezza integrata sia negli ambienti cloud che in quelli fisici, ed è qui che entrano in gioco gli NGFW. A seconda del fornitore, questi elementi possono essere virtualizzati o implementati a livello hardware.
• Advanced threat protection (ATP): man mano che gli aggressori informatici diventano più audaci, il malware che sviluppano diventa più complesso e difficile da combattere. I sistemi ATP combinano strumenti di sicurezza degli endpoint, gateway e-mail, tecnologie anti-malware e altri metodi per affrontare le minacce informatiche da tutte le fonti.
• Zero trust network access (ZTNA): questa soluzione di sicurezza consente alle reti SASE di limitare l'accesso solo a utenti, dispositivi e applicazioni identificati, e non a luoghi o indirizzi IP specifici. Nell'era del telelavoro, la tecnologia ZTNA è diventata estremamente utile.

Solo le soluzioni SD-WAN più sicure possono eguagliare ciò che può offrire una piattaforma SASE completamente implementata. Le WAN tradizionali, comprese molte reti MPLS, non ci si avvicinano nemmeno.

Il potenziale di prestazioni e di accesso al cloud offerto da SASE

Le opinioni variano sulla percentuale dei loro dati aziendali e della capacità operativa che le aziende hanno spostato nel cloud: le stime fatte alla fine degli anni 2010 e all'inizio degli anni 20 prevedevano che la cifra avrebbe superato l'80%; i dati disponibili sull'utilizzo del cloud pubblico suggeriscono una cifra più vicina al 50% entro la metà degli anni 2020. Ma non c'è dubbio su quale sia il vento che soffia: verso un uso sempre maggiore del cloud.

Questo, a sua volta, rende indispensabile la disponibilità permanente per gli utenti aziendali, indipendentemente dalla loro ubicazione, che è esattamente ciò che SASE offre in termini di accesso al cloud e di prestazioni. Il reindirizzamento del traffico in tempo reale, basato sulle esigenze istantanee delle applicazioni, migliora le performance proprio nelle situazioni in cui gli utenti finali ne hanno più bisogno, e la creazione di punti di presenza (PoP), combinando strutture di hosting condiviso, cloud pubblico e data center privati, garantisce un accesso sicuro alla rete da qualsiasi luogo e dispositivo.

SASE è ancora agli inizi, ma visto il modo in cui si stanno muovendo gli affari nel mondo delle telecomunicazioni, è solo una questione di tempo prima della sua adozione generalizzata. Se la sua azienda vuole essere all'avanguardia della tecnologia, si rivolga a GTT: grazie alla solidità del nostro backbone Tier 1 e alle nostre partnership con fornitori di sicurezza specializzati come Fortinet, Aruba (SilverPeak) e VMWare (VeloCloud), possiamo aiutarla a ottenere una rete con performance eccezionali in un mondo sempre più cloud-centrico.