Was ist SSE?

Security Service Edge (SSE) ist die cloudbasierte Sicherheitskomponente einer „ SASE “-Architektur – Dienste wie Secure Web Gateway, Cloud Access Security Broker, Zero-Trust-Netzwerkzugang und Data Loss Prevention, die den Zugriff auf das Internet, SaaS-Anwendungen und private Anwendungen schützen und über verteilte SSE-Gateways in der Nähe des Benutzers durchgesetzt werden.

Die wichtigsten Erkenntnisse

• SSE ist der Sicherheitsbereich von „ SASE “: SWG, CASB, ZTNA und DLP in einem Dienst.
• Die Durchsetzung erfolgt an den SSE-Gateways in der Cloud und nicht über den Firewall-Stack einer Niederlassung.
• ZTNA innerhalb von SSE ersetzt den pauschalen VPN-Zugang durch einen anwendungsspezifischen Zugriff mit dem Prinzip der geringsten Berechtigungen.
• Unternehmen führen häufig zunächst SSE ein und ergänzen diese später durch SD-WAN, um eine vollständige „ SASE “ zu erreichen.
• Versa stellt SSE über VSPA und VSIA bereit, die über Concerto verwaltet werden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SSE & Versa · Häufig gestellte Fragen

Warum ist SSE wichtig?

Anwendungen wurden in die Cloud verlagert und die Nutzer sind überall hinzugezogen, doch viele Sicherheitsarchitekturen blieben im Rechenzentrum verankert – was dazu führte, dass der Datenverkehr erst eine Umleitung über eine zentrale Firewall nehmen musste, bevor er das Internet oder eine SaaS-Anwendung erreichen konnte. SSE ist wichtig, weil es die Durchsetzung auf verteilte Cloud-Präsenzpunkte in der Nähe des Nutzers verlagert, sodass die Richtlinien unabhängig davon, ob jemand sich vom Hauptsitz, vom Homeoffice oder von einem mobilen Gerät aus verbindet, einheitlich angewendet werden.

Für Sicherheitsteams liegt der Vorteil von SSE in der Konsolidierung: Anstatt einen Web-Proxy, ein CASB, einen VPN-Konzentrator und ein DLP-Tool separat zu betreiben, bietet ein einziger Dienst all dies unter einer einzigen Richtlinien-Engine und einem einzigen Identitätskontext. Dadurch werden die Richtlinienabweichungen und blinden Flecken beseitigt, die beim Zusammenfügen von Einzelprodukten entstehen, und Unternehmen erhalten einen schnelleren Einstieg in Zero Trust, als wenn sie eine gesamte Netzwerkarchitektur auf einmal neu aufbauen müssten – viele führen SSE ein, bevor sie sich mit SD-WAN befassen.

Was ist SSE?

SSE vereint vier Funktionen hinter einem einzigen Gateway. Das Secure Web Gateway (SWG) überprüft und filtert den allgemeinen Internetverkehr. Der Cloud Access Security Broker (CASB) regelt die SaaS-Nutzung – er deckt Schatten-IT auf, überwacht Aktivitäten und setzt Datenkontrollen durch. Der Zero-Trust-Netzwerkzugang (ZTNA) vermittelt den anwendungsspezifischen Zugriff auf private Ressourcen, ohne das Netzwerk selbst offenzulegen. Die Data Loss Prevention (DLP) überprüft Inhalte sowohl während der Übertragung als auch im Ruhezustand auf Verstöße gegen Richtlinien.

Was SSE von vier separaten Tools unterscheidet, ist die Tatsache, dass alle vier denselben Identitätskontext und dieselbe Policy-Engine nutzen, die an den Gateways durchgesetzt werden, durch die der Datenverkehr tatsächlich fließt. SSE ist ausdrücklich der reine Sicherheitsbereich einer vollständigen „ SASE “-Architektur – „ SASE “ ergänzt diese durch SD-WAN-Konnektivität auf Basis derselben Durchsetzungsstruktur.

Arten der SSE

Die Implementierungen lassen sich in zwei Kategorien unterteilen. SSE-Lösungen eines einzigen Anbieters bieten SWG, CASB, ZTNA und DLP über eine einzige Plattform mit einer einheitlichen Konsole und einer einzigen Richtlinien-Engine – das von den meisten Analysten empfohlene Modell, da es die Korrelationslücken und doppelte Identitätsintegration vermeidet, die bei Einzelprodukten entstehen. Multi-Vendor-SSE (Best-of-Breed) kombiniert separat beschaffte Tools – hier einen ZTNA-Anbieter, dort einen CASB-Anbieter –, die zwar in einzelnen Funktionen eine bessere Leistung erbringen können, jedoch separate Konsolen und Richtlinienmodelle erfordern.

Auch die Durchsetzungsmechanismen variieren. Bei der Inline-Proxy-Überprüfung wird der Datenverkehr in Echtzeit abgefangen; diese Methode wird von SWG und Forward-Proxy-CASB genutzt. Beim Out-of-Band-API-Scanning werden Daten überprüft, die bereits in einer SaaS-Anwendung gespeichert sind; diese Methode wird von CASB im API-Modus und DLP genutzt. Die meisten Plattformen setzen je nach Art des Datenverkehrs beide Methoden ein.

SSE & Versa

Versa stellt SSE als cloudbasierten Dienst über „ Versa “ Cloud Gateways (VCGs) bereit, die über „ Versa “ Concerto bereitgestellt und verwaltet werden. Auf dem Gateway basieren zwei Dienste: „ Versa “ Secure Private Access (VSPA), der den Zugriff mit minimalen Berechtigungen auf Benutzer ausweitet, die von jedem beliebigen Standort aus auf private Anwendungen zugreifen, sowie „ Versa “ Secure Internet Access (VSIA), der den Internet- und SaaS-gebundenen Datenverkehr schützt. Beide wenden am Gateway Authentifizierung, TLS-Entschlüsselung, Bedrohungsschutz und Zugriffsrichtlinien an.

Für Kunden, die ein lokal betriebenes, von Director verwaltetes SD-WAN nutzen, verbindet „ Versa “ diese Fabric über die SD-WAN–SSE-Hub-Verbindungsarchitektur mit dem Cloud-SSE: redundante IPsec-Site-to-Site-Tunnel und EBGP-Routing zwischen dem VCG und den vom Kunden verwalteten SSE-Hubs, die zur Gewährleistung der Ausfallsicherheit im Aktiv-Standby- oder Aktiv-Aktiv-Modus betrieben werden. Eine separate SSE-Tunnelarchitektur für Zweigstellen verbindet einzelne Zweigstellen stattdessen direkt mit dem Cloud-Gateway. In den kürzlich veröffentlichten SSE-Artikeln finden Sie Anleitungen zur Gateway-Bereitstellung, zum Abonnement und zur Konfiguration.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SSE und „ SASE “?

SSE ist die rein sicherheitsbezogene Teilmenge von „ SASE “: SWG, CASB, ZTNA und DLP, die aus der Cloud bereitgestellt werden. „ SASE “ ergänzt dies um den Netzwerkbereich – SD-WAN-Konnektivität –, der mit denselben Sicherheitsdiensten unter einer gemeinsamen Richtlinien-Engine und einem gemeinsamen Identitätskontext zusammengeführt wird. Viele Unternehmen führen zunächst SSE ein und ergänzen es später um SD-WAN, um eine vollständige „ SASE “ zu erreichen.

Was ist der Unterschied zwischen SSE und einem herkömmlichen Secure Web Gateway?

Ein Secure Web Gateway überprüft lediglich den allgemeinen Internetverkehr. SSE vereint SWG, CASB, ZTNA und DLP unter einem Identitätskontext und einer Richtlinien-Engine, sodass eine einzige Entscheidung sowohl den Zugriff auf SaaS-Anwendungen und private Anwendungen als auch den Datenschutz abdeckt – und nicht nur das Surfen im Internet.

Ersetzt SSE ein VPN?

Im Großen und Ganzen ja, und zwar über den ZTNA-Dienst. ZTNA gewährt anwendungsspezifischen Zugriff mit minimalen Berechtigungen, bei dem Identität und Gerätestatus kontinuierlich überprüft werden. Damit ersetzt es den pauschalen Zugriff auf Netzwerkebene, den ein einfaches VPN gewährt, sowie das damit verbundene Risiko der lateralen Bewegung, sobald ein Benutzer verbunden ist.

Ist SSE ausschließlich eine Cloud-Lösung?

Die Durchsetzung erfolgt an Cloud-Gateways, doch der Datenverkehr, der diese Gateways erreicht, stammt nach wie vor aus realen Zweigstellen, Rechenzentren und Geräten. Unternehmen verbinden SD-WAN-Zweigstellen, einzelne Benutzer und Standorte über Site-to-Site-Tunnel, IPsec und auf Benutzergeräten ausgeführte Client-Software mit der Cloud-SSE-Struktur.

Wie unterstützt SSE das Zero-Trust-Konzept?

SSE überprüft die Identität und zunehmend auch den Sicherheitsstatus von Endgeräten – Patch-Stand, laufende Prozesse, Compliance-Status –, bevor Zugriff gewährt wird, und führt diese Überprüfung kontinuierlich durch, anstatt nur einmalig bei der Anmeldung. Diese sicherheitsstatusorientierte, anwendungsspezifische Durchsetzung ist es, die Zero Trust für Benutzer, Geräte und Anwendungen gleichermaßen umsetzbar macht.

Mehr über SSE

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über SSE informieren, sollten Sie sich als Nächstes diese Artikel ansehen.