Was ist SASE?

Secure Access Service Edge (SASE) ist eine Architektur, die Wide-Area-Netzwerke (SD-WAN) und Netzwerksicherheitsdienste – Secure Web Gateway, Cloud Access Security Broker, Zero-Trust-Netzwerkzugang, Firewall-as-a-Service und Data Loss Prevention – zu einem einzigen, cloudbasierten Dienst zusammenführt, der nahe am Nutzer bereitgestellt wird, unabhängig davon, wo sich dieser befindet.

Die wichtigsten Erkenntnisse

• SASE vereint SD-WAN-Netzwerktechnologie und Cloud-Sicherheit in einem einzigen konvergenten Dienst.
• Die Richtlinien richten sich nach dem Nutzer und dem Gerät, nicht nach den Grenzen des Büros.
• Die Durchsetzung erfolgt an verteilten Cloud-Standorten in der Nähe der Nutzer.
• Eine „ SASE “-Plattform eines einzigen Anbieters macht das Zusammenfügen einzelner Produkte überflüssig.
• Gartner hat den Begriff im Jahr 2019 geprägt; mittlerweile bildet er die Grundlage für die meisten Roadmaps im Bereich Netzwerksicherheit.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SASE & Versa · Häufig gestellte Fragen

Warum ist „ SASE “ wichtig?

Anwendungen wurden in die Cloud verlagert und die Nutzer sind überall hinzugezogen, doch die herkömmliche Sicherheit blieb im Rechenzentrum – was dazu führte, dass der Datenverkehr einen Umweg über einen zentralen Firewall-Stack nehmen musste, was zu zusätzlicher Latenz und höheren Kosten führte. „ SASE “ ist wichtig, weil es die Durchsetzung der Sicherheitsrichtlinien dorthin verlagert, wo sich die Nutzer und Anwendungen tatsächlich befinden: an verteilte Cloud-Präsenzpunkte, die dieselben Richtlinien anwenden, unabhängig davon, ob jemand vom Hauptsitz, von einer Niederlassung oder vom Küchentisch aus arbeitet.

Für Netzwerk- und Sicherheitsteams liegt der Vorteil in der Konsolidierung. Anstatt SD-WAN-Appliances, Web-Proxys, VPN-Konzentratoren, CASB- und DLP-Tools separat zu erwerben, zu integrieren und zu betreiben, stellt eine „ SASE “-Plattform diese als einen einzigen Dienst mit einem einheitlichen Richtlinienmodell und einer einheitlichen Verwaltungsebene bereit. Dies reduziert die unkontrollierte Zunahme von Appliances und Richtlinienabweichungen, die sowohl Ausfälle als auch Sicherheitsverletzungen verursachen, und verkürzt den Weg zum Zero-Trust-Ansatz: identitäts- und kontextbezogene Zugriffsentscheidungen, die kontinuierlich bei jeder Verbindung angewendet werden.

Was ist SASE?

SASE vereint zwei Komponenten. Die Netzwerkkomponente ist SD-WAN: intelligente Pfadauswahl über Breitband, MPLS und LTE/5G, anwendungsorientiertes Routing sowie ein verschlüsseltes Overlay zwischen Standorten, Clouds und Benutzern. Der Sicherheitsbereich ist Security Service Edge (SSE): Secure Web Gateway (SWG) für den Webverkehr, Cloud Access Security Broker (CASB) für die SaaS-Kontrolle, Zero-Trust-Netzwerkzugang (ZTNA) für private Anwendungen, Data Loss Prevention (DLP) und Firewall-as-a-Service.

Was „ SASE “ von einem einfachen Bundle unterscheidet, ist die Konvergenz: Beide Hälften nutzen eine gemeinsame Policy-Engine, einen gemeinsamen Identitätskontext und eine gemeinsame Durchsetzungsarchitektur. Der Datenverkehr von jedem Nutzer oder Standort gelangt zum nächstgelegenen Point of Presence, wird dort einmalig geprüft und auf Einhaltung der Richtlinien überprüft und gelangt dann weiter zur Anwendung – ohne Rückleitung zu einem Engpass im Rechenzentrum.

Arten von SASE

Die Implementierungen lassen sich in drei große Kategorien einteilen. Bei der „Single-Vendor“- SASE -Lösung werden Netzwerk- und Sicherheitsfunktionen über eine einzige Plattform mit einer einheitlichen Konsole und einem einheitlichen Richtlinienmodell bereitgestellt – das Modell, das von Analysten zunehmend empfohlen wird und mit dem sich die meisten betrieblichen Einsparungen erzielen lassen. Die Multi-Vendor-Lösung (Dual-Vendor) SASE kombiniert das SD-WAN eines Anbieters mit dem SSE eines anderen; dabei werden bestehende Investitionen erhalten, allerdings auf Kosten zweier Richtlinienmodelle und einer Integrationsnahtstelle. Bei der reinen SSE-Lösung wird zunächst der Sicherheitsbereich eingeführt – SWG, CASB, ZTNA aus der Cloud – und später SD-WAN hinzugefügt; dies ist ein gängiger Einstieg für sicherheitsorientierte Unternehmen.

SASE & Versa

Versa bietet eine „ SASE “ aus einer Hand über VersaONE – eine Plattform, die Netzwerk- und Sicherheitsfunktionen in einem einzigen Software-Stack (VOS) unter einer einheitlichen Verwaltungsebene vereint. Die Versa SASE Fabric stellt die cloudbasierten Sicherheitsdienste bereit – SWG, CASB, ZTNA, DLP und Next-Generation-Firewall –, während Versa Secure SD-WAN die Konnektivitätsstruktur bereitstellt, wobei beide von einer einzigen Richtlinien-Engine gesteuert werden. Remote-Benutzer stellen über den „Versa “SASE Client eine Verbindung her, und die gesamte Infrastruktur wird über „ Versa Concerto“ oder „ Versa Director“ verwaltet. In der Plattformübersicht erfahren Sie, wie die einzelnen Komponenten zusammenwirken.

Häufig gestellte Fragen

Was ist der Unterschied zwischen „ SASE “ und SD-WAN?

SD-WAN ist der Netzwerkteil von „ SASE “: Es leitet den Datenverkehr intelligent über mehrere Verbindungen hinweg. „ SASE “ ergänzt den Sicherheitsaspekt – SWG, CASB, ZTNA, DLP, Firewall – der aus der Cloud bereitgestellt und mit dem Netzwerk konvergiert wird, sodass ein einziger Dienst sowohl die Konnektivität als auch den Schutz abdeckt.

Was ist der Unterschied zwischen „ SASE “ und „SSE“?

SSE (Security Service Edge) ist die rein auf Sicherheit ausgerichtete Teilmenge von „ SASE “: SWG, CASB, ZTNA und zugehörige Dienste ohne SD-WAN. Unternehmen führen häufig zunächst SSE ein und ergänzen die Architektur „ SASE “ später durch SD-WAN.

Ersetzt „ SASE “ VPNs?

Im Großen und Ganzen ja. ZTNA – ein zentraler Bestandteil von „ SASE “ – ersetzt den pauschalen VPN-Zugang auf Netzwerkebene durch einen anwendungsspezifischen Zugang mit minimalen Berechtigungen, bei dem Identität und Gerätestatus kontinuierlich überprüft werden. Dadurch wird das Risiko lateraler Bewegungen beseitigt, das ein pauschales VPN mit sich bringt.

Ist „ SASE “ ausschließlich in der Cloud verfügbar?

Die Durchsetzung erfolgt über die Cloud, doch „ SASE “-Architekturen umfassen nach wie vor lokale Komponenten: SD-WAN-Edge-Geräte an den Standorten und in manchen Konzepten eine lokale Durchsetzung für Datenverkehr, der den Campus nie verlässt. Das charakteristische Merkmal ist eine einheitliche Richtlinie für das gesamte System.

Inwiefern unterstützt „ SASE “ das Zero-Trust-Konzept?

SASE setzt „Zero Trust“ um: Jede Verbindung wird anhand von Identität, Gerätestatus und Kontext geprüft, bevor Zugriff gewährt wird, und diese Prüfung erfolgt kontinuierlich und nicht nur einmalig. ZTNA im Rahmen von „ SASE “ wendet das Prinzip des Zugriffs mit geringsten Berechtigungen auf Anwendungsebene statt auf Netzwerkebene an.

Mehr dazu unter SASE

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie gerade den Artikel „ SASE “ lesen, sollten Sie sich als Nächstes diese Artikel ansehen.