Arquitectura SASE

¿Qué es una arquitectura Secure Access Service Edge (SASE)?

Es probable que la empresa moderna tenga más usuarios, dispositivos, aplicaciones, servicios y datos fuera del perímetro de su red que dentro. Esto significa que la arquitectura de seguridad tradicional centrada en el perímetro ya no es efectiva.

Para satisfacer las necesidades de la empresa moderna, Gartner ha definido la arquitectura SASE. Esta arquitectura está diseñada para satisfacer las necesidades de redes y seguridad de una organización en una sola solución.

• Enrutamiento de red optimizado: los usuarios y servicios distribuidos significan que la topología de la red de área amplia (WAN) corporativa se ha vuelto más compleja. Una alta calidad de experiencia (QoE) requiere una selección de ruta dinámica y optimizada para el tráfico de red mediante políticas definidas por software.
• Seguridad como servicio: la seguridad centralizada en los sitios físicos de una organización aumenta la latencia de la red para el tráfico externo. La seguridad debe implementarse en el borde de la nube como un servicio, en lugar de en el perímetro de la red de la sede. Una arquitectura de red distribuida geográficamente proporciona a una fuerza laboral móvil distribuida un mejor acceso a las aplicaciones en la nube.
• Acceso seguro: a medida que los servicios de seguridad se consolidan y entregan como un servicio en la nube, se pueden aplicar principios de confianza cero con una sólida gestión de acceso multifactor a lo largo de una sesión. Las eficiencias se logran unificando la administración y la inspección. El descifrado, la inspección y el cifrado se realizan una vez que se reduce la latencia.

Equilibrar las necesidades de rendimiento y seguridad de la red requiere una arquitectura de red y seguridad con estas características. Como se muestra en la imagen a continuación, SASE incorpora una serie de características de seguridad y de red diferentes.

Esta funcionalidad se puede clasificar en tres categorías: seguridad alojada en la nube, principios de acceso a la red de confianza cero y servicios de red.

#1. Componentes de seguridad basados en la nube

A medida que la seguridad avanza hacia el borde de la red, las soluciones de seguridad tradicionalmente implementadas en el perímetro de la red deben trasladarse a la nube. La arquitectura SASE proporciona opciones nativas de la nube para funciones de seguridad básicas, que incluyen:

• Firewall como servicio de sucursal (FWaaS): Un firewall es la base de la arquitectura de seguridad de la red de una organización. Con SASE, se puede implementar un firewall como un servicio basado en la nube para brindar seguridad con un impacto mínimo en el rendimiento de la red.
• Puerta de enlace web segura (SWG): Tanto los usuarios en el sitio como los remotos deben estar protegidos de las amenazas basadas en la Web. Un SWG aplica las políticas corporativas de ciberseguridad e inspecciona y filtra el tráfico malicioso de Internet.
• Agente de seguridad de acceso a la nube (CASB): CASB es una solución de control de acceso y seguridad de software como servicio (SaaS). Ayuda a monitorear y proteger el acceso a aplicaciones basadas en la nube, como Office 365.

#2. Componentes ZTNA

Una política de seguridad de confianza cero está diseñada para limitar los permisos y el acceso de un usuario a una red al mínimo requerido para su función laboral. Esto limita la probabilidad y el impacto de un incidente de seguridad.

Las soluciones de acceso a la red de confianza cero (ZTNA) , también conocidas como perímetro definido por software (SDP), imponen un modelo de seguridad de confianza cero. Esto se logra mediante la implementación de:

• Autenticación sólida: con una arquitectura de confianza cero, el acceso y los permisos se basan en el rol del usuario dentro de una organización y la verificación del dispositivo. La seguridad basada en identidad requiere una autenticación sólida del usuario protegida mediante autenticación de múltiples factores (MFA) y soluciones de cumplimiento de dispositivos.
• Autorización y control de acceso: Una vez que se ha demostrado la identidad de un usuario, una solución de ZTNA debe determinar la validez de cualquier solicitud futura. Esto requiere comparar una solicitud con los controles de acceso basados en roles (RBAC) y permitir o denegar el acceso caso por caso.
• Monitoreo continuo de sesiones: La seguridad de confianza cero está diseñada para minimizar el riesgo, lo que requiere monitoreo continuo de la sesión. Este monitoreo continuo permite que los cálculos de riesgo y los niveles de confianza se actualicen según sea necesario en función del comportamiento observado.

#3. Componentes de servicios de red

Además de brindar seguridad para la WAN corporativa, SASE también está diseñado para optimizar el rendimiento de la red para la organización distribuida. Lo logra integrando la funcionalidad WAN definida por software (SD-WAN) y protegiendo a los usuarios móviles y temporales.

SD-WAN se implementa como una red de dispositivos SD-WAN, ya sea físicos o en la nube. Todo el tráfico que fluye a través de la WAN corporativa se enruta desde su punto de entrada al dispositivo SD-WAN más cercano a su destino según la aplicación y la intención comercial. El uso de SD-WAN como parte de SASE ofrece una serie de ventajas:

• Selección de ruta optimizada: las interrupciones de la red, los límites de ancho de banda y la congestión pueden aumentar la latencia del rojo. SD-WAN utiliza monitoreo del rendimiento y selección inteligente de rutas para maximizar el rendimiento de la red.
• Enrutamiento basado en aplicaciones: los usuarios corporativos remotos y móviles también requieren conectividad segura a los recursos corporativos cuando no están en una oficina. Además, es posible que los contratistas necesiten acceso desde dispositivos que no estén administrados. Con una solución de Acceso Remoto Seguro, tanto el dispositivo cliente como el dispositivo sin cliente pueden tener acceso seguro a la red SASE y, desde allí, al recurso deseado.

Valor de una arquitectura SASE

A medida que las redes corporativas evolucionan, las arquitecturas rojas y de seguridad deben evolucionar con ellas. SASE está diseñado para proporcionar seguridad y rendimiento de red optimizado en una única solución. Al trasladar la funcionalidad de seguridad y enrutamiento de red al borde de la red, SASE minimiza el impacto de la seguridad en la experiencia del usuario mientras mantiene un alto nivel de seguridad.

Check Point’s Harmony SASE enables organizations to deploy network and security functionality that meets their needs. To learn more about how Harmony SASE works and see it in action, request a demo.