什麼是 SASE（安全存取服務邊緣）？| 入門指南

安全存取服務邊緣 (SASE) 是一種雲端原生架構，可將 SD-WAN 與 SWG、CASB、FWaaS 和 ZTNA 等安全功能統一為一項服務。

SASE 將網路與安全性功能整合為單一的雲端交付的服務，可簡化網路管理並提升安全性。 

此架構透過為分散式環境提供可擴充、統一的存取和保護，支援現代組織的動態需求。

為何今日的企業需要 SASE？

今日的企業正處於與過去傳統集中式 IT 環境截然不同的環境中。 

這就是安全存取服務邊緣 (SASE) 架構出現的原因：解決現代安全性與連線需求。

以下是企業現在比以往更需要 SASE 的原因：

安全存取服務邊緣可回應因雲端採用、行動存取和遠端工作增加所帶來的分散化問題。 

這種轉變意味著資料和使用者都不再侷限於辦公室。這使得傳統的周邊型安全性模式不再有效。

SASE 將全面的安全性服務直接整合到網路網狀架構中。這表示安全性團隊可以安全、有效率地管理每一個存取要求，不論其來源為何。

另外：在 SASE 架構內整合安全性功能，可讓企業更統一地管理其安全性政策。

採用統一的方法可簡化行政負擔。

更不用說，它可以在所有環境中提供一致、即時的威脅防護和資料保護，從而增強安全性。

組織將持續進行數位轉型。而 SASE 的彈性和可擴充性使其成為保護分散式資源不可或缺的工具。

什麼是 SASE 架構？

正如我們所建立的，SASE（安全存取服務邊緣）架構將網路與安全即服務功能結合為網路邊緣的單一雲端交付的服務。

像這樣：

SASE 架構可讓組織自動支援分散的遠端與混合使用者，將他們連線至附近的雲端閘道，而非將流量回傳至企業資料中心。

它還能為所有應用程式提供一致的安全存取。與此同時，安全性團隊可維持對所有連接埠和通訊協定流量的完全可視性和檢查。

該模型從根本上簡化了管理並降低了複雜性，而這正是安全存取服務邊緣的兩個主要目標。

它將周邊轉換為一套一致的雲端功能，可隨時隨地部署。與使用不同的點產品安全性裝置在資料中心周圍建立周邊相比，這是更簡化的選擇。

此外，由於它是以雲端為基礎的安全存取服務邊緣，因此可提供更動態、高效能的網路。一個能夠適應不斷變化的業務需求、不斷演變的威脅環境和新創新的網路。

• 什麼是 SSE？| 安全服務邊緣 (SSE)？
• 安全存取服務邊緣 (SASE) 主要需求

SASE 有哪些組成部分？

五項基本技術是安全存取服務邊緣部署的基礎：

1. 安全網路閘道 (SWG)

2. 防火牆即服務 (FWaaS)

3. 雲端存取安全代理 (CASB)

4. 零信任網路存取 (ZTNA)

5. 軟體定義廣域網路 (SD-WAN)

安全網路閘道 (SWG)

安全網路閘道 (SWG) 提供 URL 篩選、SSL 解密、應用程式控制，以及使用者 Web 工作階段的威脅偵測與預防。

防火牆即服務 (FWaaS)

FWaaS 提供雲端原生的下一代防火牆，提供進階的第 7 層檢查、存取控制、威脅偵測與防護，以及其他安全性服務。

雲端存取安全代理 (CASB)

雲端存取安全性代理 (CASB)會監督獲批准及未獲批准的 SaaS 應用程式，並提供惡意軟體及威脅偵測。 

作為 DLP 解決方案的一部分，它可確保 SaaS 儲存庫中敏感資料的可視性和控制。

零信任網路存取 (ZTNA)

零信任網路存取 (ZTNA) 提供持續驗證及檢查功能。

它針對組織敏感資料和應用程式的存取，提供身分式和應用程式式政策強制執行。

SD-WAN

SD-WAN 提供與基礎硬體脫離的重疊網路，可在網站之間提供彈性、安全的流量，並導向到網際網路。

SASE 有哪些使用案例？

主要 SASE 使用案例包括：

• 為混合工作團隊提供動力

• 連接和保護分公司和零售據點

• 支援雲端與數位計畫

• 全球連線

• MPLS 移轉至 SD-WAN

為混合工作團隊提供動力

對於混合工作團隊而言，網路效能與安全性的整合方法至關重要。

安全存取服務邊緣架構強調可擴充性、彈性和低延遲，直接迎合此需求。

其雲端架構經過最佳化，可提供應用程式特定效能。此外，整合式數位體驗監控 (DEM) 可針對影響使用者效能的一切項目提供精確的可視性。

SASE 的主要優勢在於網路與安全性的融合。這種組合可增強威脅監控與偵測，同時填補安全性漏洞。

其結果是簡化網路監管和簡化管理。

這就是為什麼安全存取服務邊緣是支援混合工作環境的重要基礎工具。

連接和保護分公司和零售據點

SASE 模型對於使用 SaaS 和公用雲端服務的組織至關重要，因為它能解決效能和安全性的挑戰。 

使用下一代 SD-WAN，安全存取服務邊緣可最佳化頻寬並確保動態安全性，表現優於傳統的資料中心方法。 

再次強調，DEM 的整合保證使用者體驗的提升。

安全存取服務邊緣也可降低網路與安全性支出。並簡化供應商管理。 

另外：安全存取服務邊緣透過強制執行一致的政策、簡化管理並套用零信任，強化分公司和遠端位置的資料安全性。 

這表示應用程式和資料無論位於何處都是安全的。 

支援雲端與數位計畫

SASE 對於雲端和數位轉型而言舉足輕重。由於組織傾向於 SaaS，無縫和安全的連線變得越來越重要。 

由於安全性合併，安全存取服務邊緣消除了以硬體為基礎的方法的限制。這意味著整合的服務和最佳化的分公司部署。

此外：進階 SD-WAN 技術可擴充頻寬，並提供更深入的網路見解。增強作業和應用程式效能。

此外，以 AI 和 ML 為基礎的安全性功能可大幅改善威脅偵測。 

動態防火牆提供全面的內容分析方法。

而安全通訊協定可妥善管理來自物聯網裝置的資料串流。

全球連線

SASE 增強了全球連線。其架構設計可將使用者直接連結至全球網路，繞過透過集中式資料中心路由流量的需求。 

此方法可減少延遲並提高存取速度。因此，組織可享受全球使用者的無縫連線體驗。

基本上，安全存取服務邊緣依賴以雲端為基礎的存在點 (PoP) 分散式網路。這些 PoP 策略性地分佈在世界各地。使用者連線到最近的 PoP，將資料傳輸的距離減到最小。 

此設定可加快連線速度，並使所有位置的一致網路效能和可靠性成為可能。

MPLS 移轉至 SD-WAN

透過 SASE 從 MPLS 移轉到 SD-WAN 是許多組織的策略性行動。 

原因如下：

傳統 MPLS 網路以高成本和缺乏彈性著稱。它們需要龐大的資本投資和較長的部署時間，可能會妨礙組織的敏捷性和可擴充性。

幸運的是，安全存取服務邊緣提供了從 MPLS 到更具擴充性、更具成本效益的SD-WAN 架構的有效路徑。 

方法如下：

透過使用網際網路建立安全、高效能的網路連線。 

移轉可使用寬頻網際網路連線，其成本遠低於 MPLS 連結，且更具彈性。

因此，一旦組織連線至 SASE 架構，就能立即受益於網路敏捷性的提升和彈性的改善。

這是因為它可以最佳化效能，並將內部部署應用程式和雲端服務的輸送量最大化。

與傳統 MPLS 相比，部署程序也更快速、更簡化，通常只需要數天甚至數小時。

SASE 有哪些優勢？

• 跨混合環境的可視性：SASE 提供混合企業網路環境的可視性，包括資料中心、總部、分公司和遠端位置，以及公用雲端和私人雲端。這種可視性延伸至所有使用者、資料和應用程式，可從單一窗格存取。

• 加強對使用者、資料和應用程式的控制：透過在應用程式層（第 7 層）對流量進行分類，安全存取服務邊緣不再需要複雜的連接埠應用程式研究和對應，提供應用程式使用狀況的清晰可視性，並加強控制。

• 改善監控和報告：安全存取服務邊緣將監控和報告整合到一個平台。這種統一可讓網路和安全性團隊更有效地將事件和警示關聯起來，簡化疑難排解並加速事件回應。

• 降低複雜性：SASE 透過將作業移至雲端來簡化網路與安全性，降低了維護多個點解決方案的相關聯作業複雜性與成本。

• 一致資料保護：安全存取服務邊緣透過簡化資料保護政策及解決安全性盲點和政策不一致等問題，優先為所有邊緣位置提供一致資料保護。

• 降低成本：安全存取服務邊緣可讓組織以符合成本效益的方式，將網路與安全性堆疊延伸至所有位置，通常可降低長期的行政與營運成本。

• 降低行政時間和精力：SASE 的單一窗格管理可降低行政負擔，減少培訓和保留網路與安全性人員所需的時間和精力。

• 較少的整合需求：安全存取服務邊緣將多種網路與安全性功能整合為統一的雲端交付的解決方案，因此無需在不同廠商的不同產品之間進行複雜的整合。

• 更佳的網路效能與可靠性：SASE 透過整合 SD-WAN 功能，支援各種連結的負載平衡、彙總和容錯移轉設定，以改善網路效能和可靠性。

• 增強使用者體驗：安全存取服務邊緣促進的數位體驗監控 (DEM) 可最佳化作業，並提升不同位置的使用者體驗，而無需安裝額外的軟體或硬體。

實作 SASE 可能面臨哪些挑戰？

• 重新定義團隊角色與協作：實作安全存取服務邊緣必須重新評估 IT 環境內的角色，尤其是在混合雲端設定中。增強網路與安全性團隊之間的協作是必要的，這可能會挑戰傳統的角色界限。

• 導覽廠商複雜性：憑藉 SASE 結合各種工具和方法的能力，組織可以更有效地導覽點產品和安全性工具的複雜情況，與組織的轉型目標保持一致。

• 確保全面的涵蓋範圍：安全存取服務邊緣提供整合的方式，但在某些案例中，尤其是分公司較多的設定中，可能需要混合使用雲端驅動與內部部署解決方案，以確保無縫的網路與安全性。

• 在 SASE 中建立信任：儘管它有許多優勢，但有些專業人員對於轉換到安全存取服務邊緣，尤其是混合雲端案例，仍抱持戒心。與已建立信譽的 SASE 供應商合作至關重要。

• 產品選擇與整合：對於 IT 團隊各自為政的企業而言，部署 SASE 可能需要選擇和整合多種產品，分別滿足網路和安全性需求，確保功能互補以簡化作業。

• 解決工具擴增的問題：轉換到以雲端為中心的安全存取服務邊緣模型，可能會使某些現有工具變得多餘。識別並減少這些冗餘對於防止功能分散並確保技術基礎結構的連貫性是非常重要的。

• SASE 的協作方式：SASE 實作的成功有賴於安全性與網路專業人員的通力合作。他們結合的專業知識有助於確保安全存取服務邊緣元件符合更廣泛的組織目標，最佳化技術的效益。

如何選擇 SASE 供應商及注意事項

選擇 SASE 供應商是一項策略性決策，對組織的網路安全性和作業敏捷性有重大影響。

以下是如何做出明智選擇的方法：

評估整合功能

由於 SASE 將眾多網路與安全性功能整合為單一、統一的雲端服務，因此必須選擇能提供真正整合式解決方案的供應商，而不是將各種不同的服務拼湊在一起。

整合式解決方案提供更順暢的管理和更佳的安全性效能。

評估供應商網路的全球覆蓋範圍

SASE 服務透過雲端提供，因此供應商的全球據點對於減少延遲、確保各地使用者都能可靠快速地存取網路資源至關重要。

考慮解決方案的可擴充性和彈性

隨著您的企業成長，您的網路需求也會不斷進化。SASE 供應商應該提供可擴充的解決方案，能夠與您的企業一起成長，而不需要大量額外的硬體投資或變更現有的基礎結構。

驗證零信任與持續安全性功能

零信任是 SASE 的基本原則，著重於在授予任何資源存取權之前持續驗證信任。確保解決方案包含即時、以脈絡為基礎的政策強制執行。

檢查合規性和資料保護功能

對於受管制產業的企業而言，遵守相關標準和法規是不容妥協的。SASE 供應商不但應遵守這些標準，還應透過強大的資料保護和安全性措施協助您遵守這些標準。

評估供應商的效能與可靠性保證

瞭解 SASE 供應商提供的服務層級協定 (SLA)。SLA 是供應商對正常運作時間、可靠性和效能承諾的證明。

分析管理的難易度和作業的可視性

有效管理所有網路與安全性服務並提高其可視性至關重要。良好的 SASE 解決方案可提供集中式儀表板，用於監控和管理分散式網路。

考慮廠商的聲譽和客戶支援

供應商在市場上的聲譽可以很好地反映他們的服務品質和客戶滿意度。此外，反應迅速、知識豐富的客戶支援也非常重要，尤其是在部署 SASE 這類複雜的解決方案時。

如何以 6 個步驟成功執行 SASE 實作

若要有效地實作 SASE，就必須採用結構化方法，並密切關注協作與策略規劃。 

讓我們概述一個六步驟程序，引導貴組織完成成功的部署：

步驟 1：培養團隊一致性與協作

若要有效實作 SASE，網路與安全性團隊絕對必須緊密協作。 

在過去，這些團隊有不同的優先順序：網路團隊著重於速度，而安全性團隊則強調威脅防護。

使用 DevOps 演進作為範例，結合這些團隊的優勢，達到統一的目標。

依賴專家領導與 SASE 廠商提供教育訓練支援，以合併專業領域。

步驟 2：草擬靈活的 SASE 路線圖

採用 SASE 並不表示您需要立即進行徹底改造。 

根據 IT 計畫和業務目標，逐步整合安全存取服務邊緣。而且一定要與廠商或 MSP 合作制定路線圖，這樣才能確保路線圖能夠適應動態業務需求。 

無論您是要將 SD-WAN 現代化或增強安全性，都可以使用 SASE 作為融合與進步的工具。

步驟 3：確保高階主管的支持

取得高階主管對 SASE 的支持至關重要。

突顯類似雲端應用程式的優點，強調投資報酬率，並強調對多個廠商的需求減少。

重要：強調該模式所帶來的全面安全性，尤其是在面對不斷升級的威脅時。

隨著專案的進展，衡量並報告各種指標的成果。

步驟 4：建立計劃

首先，請針對貴組織所面臨的獨特挑戰，明確確定 SASE 目標。 

然後分析現有的網路設定，找出需要改善的地方，並進行技能與技術稽核，以確保您的團隊已為轉換做好準備。

步驟 5：選擇、測試和部署

找出與現有技術相容的適當 SASE 解決方案，並將其上線到系統中。

優先考慮能與目前工具無縫整合的解決方案。

千萬不要忘記：在全面部署之前，請在受控制環境中進行測試，以確保效率。

步驟 6：監控、最佳化與發展

部署完成後，維持強大的支援機制。持續評估 SASE 設定，根據回饋、新興技術趨勢和組織轉換需求進行調整。

最常見的 SASE 誤解是什麼？

儘管 SASE 有許多好處，但仍有許多關於 SASE 的誤解和迷思。

可能是因為它還相對較新，所以概念還在演進中。此外，傳統網路與安全性模型通常較為分割，使得 SASE 的全面性融合方式顯得陌生，有時甚至過於廣泛。

積極行銷方式可能會延伸或過度簡化安全存取服務邊緣實際包含的內容，這往往會加深混亂。

因此，讓我們澄清一些常見的 SASE 誤解，並更清楚地瞭解 SASE 的真正功能：

• SASE 是以雲端為基礎的 VPN。

• SASE 只是 SD-WAN 的輕微改進。

• 只有大型企業才能從 SASE 中獲益。

• SASE 解決方案是遠端環境的專屬解決方案。

• SASE 為了雲端優勢而犧牲內部部署安全性。

• 採用 SASE 代表放棄其他安全性技術。

SASE 是以雲端為基礎的 VPN。

SASE 提供超越傳統 VPN 範圍的全面性網路與安全性服務套件。 

由於 SASE 整合了各種功能，因此可提供統一的平台，滿足廣泛的安全性與網路需求。這遠遠超越標準 VPN 的功能。

SASE 只是 SD-WAN 的輕微改進。

SASE 絕對不只是 SD-WAN 的升級版，加上一些安全性功能而已。

事實上，安全存取服務邊緣標誌著整合雲端網路與安全性的根本性變更。藉由將可擴充的網路與以角色為基礎的安全性合併為單一服務，它免除了管理多個系統和廠商的需求。

這種方法確實代表了重大的轉變。它讓企業邁向更統一且易於管理的網路安全性模式。而這個改變是革命性的，因為它引進了一個可擴充的敏捷架構。

只有大型企業才能從 SASE 中獲益。

各種規模的企業都可以利用 SASE 的優勢。即使是中小型企業，SASE 也絕對可以簡化網路與安全性管理。

另外：它的可擴充性確保組織能夠根據其獨特需求和成長軌跡進行調整。

SASE 解決方案是遠端工作環境的專屬解決方案。

雖然 SASE 因其安全存取功能而常被用來促進遠端工作，但它對辦公室內的基礎結構也同樣有益。 

安全存取服務邊緣可確保遠端使用者和辦公室員工都能一致安全地存取雲端資源。無論您身在何處，它都能防禦威脅。

SASE 為了雲端優勢而犧牲內部部署安全性。

SASE 架構並不強制以雲端為中心的獨家方法。 

事實上，組織可以將 SASE 解決方案與內部部署系統（例如下一代防火牆設備）整合，並根據特定需求最佳化效能與安全性。

採用 SASE 代表放棄其他重要的安全性技術。

雖然安全存取服務邊緣提供了廣泛的安全性解決方案，但並不能消除對端點偵測與回應或雲端工作負載保護等輔助技術的需求。

實作 SASE 並不意味著要忽略其他重要的安全性元件。這是關於整合它們以達到整體的安全性立場。

SASE 如何與輔助技術配合

由於 SASE 擁有如此靈活的架構，因此可適用於各種應用程式和環境。

安全存取服務邊緣與支援雲端及分散式網路架構的系統整合得特別好。

它可以輕鬆地與雲端服務、行動網路和物聯網系統等技術一起運作，這些技術都受益於 SASE 在不同環境中提供集中式安全性管理的能力。

讓我們來看看 SASE 如何與 5G、物聯網和 DLP 解決方案搭配使用。

SASE 和 5G 如何協同運作

5G 以速度和降低的延遲徹底改變了行動網路。隨著 5G 網路超越傳統架構的演進，迫切需要解決新的安全性挑戰。 

SASE 是一個潛在的解決方案，因為它提供了一個針對現代網路動態本質量身打造的集中式安全性架構。

當與 5G 整合時，SASE 可在不影響安全性的情況下最佳化網路的潛力。透過 SASE 平台路由 5G 流量，企業可執行一致的安全性措施，並提高營運效率。

如此一來，使用者就能從不同位置存取企業資源。每個連線都經過嚴格的驗證。

SASE 的 SD-WAN 元件進一步增強了這種效果。

5G 與 SASE 相結合，可提供安全、高效能的架構，有助於在延伸網路中進行快速、安全的通訊。

物聯網如何與 SASE 整合

傳統的物聯網系統極度依賴集中式服務供應商網路，導致路由錯綜複雜，並可能產生較高的延遲。

物聯網裝置和資料在多區域雲端之間的廣泛傳播使這些問題更加嚴重。

幸運的是，安全存取服務邊緣擅長處理物聯網的分散式特性。

透過融合虛擬化網路與安全性服務，SASE 可提供集中式政策控制。它可簡化資料路由並保護資料，不論其來源或目的地為何。

SASE 使用分散式存在點 (PoP) 根據不同裝置屬性驗證存取，讓安全性更貼近資料來源。分散式的立場可增強物聯網安全性、減少延遲，並符合區域資料法規。

使用 SASE 和 DLP 保護資料

資料無處不在 - 從雲端儲存空間到行動裝置。

而傳統的資料遺失防護 (DLP) 方法無法為現代高度分散 IT 環境提供足夠的保護。

它們往往不夠靈活，無法管理分散的資料。這可能會使敏感資訊的識別和分類變得具有挑戰性。

這就是 SASE 的用武之地。

它在統一的雲端原生架構內結合了 DLP 和進階安全性。此設定可在資料跨網路移動時，將精確的安全性政策直接套用在資料上。 

更不用說，SASE 可增強敏感資料的可視性和控制。這可提供強大的防護功能，順利適應複雜的 IT 基礎結構和不斷演進的網路威脅。

• 什麼是 AI 支援的 SASE？
• 什麼是零信任邊緣 (ZTE)？
• 什麼是適用於雲端的 SASE？

比較 SASE 與其他安全性與技術解決方案

• SASE 與CASB：有何差異？
• SASE 與SSE：有何差異？
• SASE 與防火牆：有何差異？
• SASE 與VPN：有何差異？
• 零信任與 SASE 如何協同運作
• SASE 與ZTE：有何差異？
• SD-WAN 與SASE：有何差異？
• SASE 與安全網路閘道：它們有什麼關係？
• SD-WAN 與SASE 與SSE：有何差異？

SASE 的歷史是什麼？

過去，企業依賴軸輻式廣域網路 (WAN) 拓撲，以集中式伺服器和昂貴的線路連接遠端辦公室。

隨著軟體即服務 (SaaS) 應用程式和虛擬私人網路 (VPN) 的普及，企業將應用程式轉移到雲端。

分公司的防火牆開始強制執行安全性政策，同時最佳化流量。

隨著雲端服務的成長，對於內部部署資源的相依性也隨之降低。這意味著傳統網路存取的效率低下問題變得顯而易見。

為了因應這些挑戰，SASE 技術應運而生，將多種網路與安全性技術整合為單一解決方案。

隨著 Microsoft Office 365 等關鍵 SaaS 應用程式移轉到 Azure，向整合式網路與安全性解決方案的轉變變得至關重要，這驅動了對更有效流量管理與檢查的需求。

COVID-19 疫情加速了 SASE 的採用，因為遠端工作激增，安全的網路變得至關重要。

SASE 常見問答集