¿Qué es SD-Security?

SD-Security es una solución de seguridad multitenant basada exclusivamente en software de Versa Networks que integra servicios de seguridad —cortafuegos, prevención de amenazas y filtrado de contenidos— en una implementación de SD-WAN de Versa . Se ejecuta en cualquier punto de la red, ya sea en la sucursal, en la nube o en el centro de datos, bajo políticas gestionadas de forma centralizada desde Versa Director.

Puntos clave

• Solo software: no es necesario adquirir ni mantener ningún hardware de seguridad específico.
• Se puede implementar en cualquier punto de la red: sucursal, nodo central, nube o centro de datos.
• Incorpora de forma nativa un NGFW por capas, filtrado de archivos, filtrado de DNS y antivirus.
• Se gestiona de forma centralizada desde Director, con una política aplicada a nivel mundial.
• Certificado por ICSA Labs, NSS Labs, ONUG y VMware Ready para NFV.

En esta página: Por qué es importante · Cómo funciona · Modelos de implementación de SD-Security · SD-Security y la plataforma « VersaONE » · Preguntas frecuentes

¿Por qué es importante la seguridad SD?

Tradicionalmente, la seguridad ha consistido en una pila de dispositivos especializados —un cortafuegos aquí, un IPS allá, una pasarela web segura añadida posteriormente—, cada uno de los cuales se adquiría, se le concedía una licencia y se gestionaba por separado de la red que transporta el tráfico. SD-Security fusiona esa pila en un software que se ejecuta como parte de la misma instancia de VOS que ya reenvía el tráfico SD-WAN, de modo que las rutas del plano de control y del plano de datos se inspeccionan en línea, sin necesidad de añadir otro dispositivo a la cadena.

Dado que SD-Security es multitenant y de clase operadora, una única implementación puede dar servicio a numerosas organizaciones aisladas con políticas de control, seguridad y gestión de amenazas gestionadas de forma independiente —una característica que permite a los proveedores de servicios ofrecer seguridad gestionada junto con SD-WAN gestionada, en lugar de tener que configurar pilas separadas para cada cliente—. La política centralizada implica que una regla definida una sola vez en Director se aplica de forma idéntica en todos los lugares donde sea pertinente: sucursales, nodos y centros de datos, tanto en las instalaciones como en la nube.

¿Qué es SD-Security?

SD-Security es la capa de seguridad de la pila de software de Versa, no un dispositivo independiente: se ejecuta dentro de VOS en cualquier sucursal, centro de distribución, puerta de enlace o instancia en la nube que lo necesite. Sus servicios por capas incluyen funciones nativas de NGFW y UTM, filtrado de archivos (por tipo, tamaño, protocolo y dirección, con listas de permiso y denegación basadas en hash SHA-256/SHA-384, además de consultas de reputación en la nube), filtrado de DNS (listas de permiso/denegación, detección de túneles DNS y consultas de reputación de dominios recién observados) y análisis antivirus del tráfico web y de correo electrónico.

Las políticas y el contenido relacionado con las amenazas se gestionan de forma centralizada: las políticas de control, seguridad y amenazas se crean una sola vez y se distribuyen a nivel global, y la inteligencia dinámica sobre amenazas —direcciones IP, puertos y URL— puede mantenerse actualizada en todo el parque de dispositivos mediante herramientas como VSync, que distribuye fuentes actualizadas a los dispositivos SD-Security sin que ese tráfico pase por el propio Director. La solución cuenta con certificaciones como ICSA Labs Firewall, NSS Labs NGFW/NG-IPS/SSL-Proxy, ONUG SD-WAN y SD-Security Top 10, y VMware Ready para NFV.

Modelos de implementación de SD-Security

SD-Security se adapta al lugar donde sea necesario aplicar las medidas de seguridad. La configuración predeterminada, en consonancia con SD-WAN, es la siguiente: los nodos VOS de las sucursales y los centros aplican SD-Security a los mismos túneles IPsec sobre VXLAN que transportan el tráfico del plano de control y del plano de datos, de modo que las rutas superpuestas quedan protegidas sin saltos adicionales. El cortafuegos autónomo implementa una instancia de VOS exclusivamente como punto de aplicación de seguridad —en modo «virtual-wire», de capa 2 o de capa 3— para emplazamientos que necesitan protección mediante cortafuegos sin una SD-WAN completa. Las implementaciones en la nube y en centros de datos amplían el mismo modelo de políticas a las cargas de trabajo fuera de las instalaciones, protegiendo por igual el tráfico norte-sur y este-oeste. Las implementaciones de proveedores multitenant aíslan las políticas de control, seguridad y amenazas por organización en una infraestructura compartida.

SD-Security y la plataforma « VersaONE »

SD-Security es uno de los tres pilares de la solución —junto con SD-WAN y SD-Branch— que la plataforma Secure Cloud IP de Versa ofrece como servicios definidos por software desde la capa 3 hasta la capa 7. Cada instancia de SD-Security se ejecuta como parte de VOS, el mismo sistema operativo que sustenta SD-WAN y SD-Branch, por lo que un único dispositivo puede albergar las tres soluciones sin necesidad de licencias independientes para cada función. El director de Versa configura y supervisa las políticas de SD-Security en toda la flota, y herramientas como VSync mantienen sincronizadas las fuentes de amenazas externas con todos los dispositivos SD-Security, de modo que la aplicación de las políticas se mantiene actualizada sin necesidad de actualizaciones manuales.

Preguntas frecuentes

¿Cuál es la diferencia entre SD-Security y un dispositivo cortafuegos tradicional?

Un cortafuegos tradicional es un dispositivo específico que inspecciona el tráfico que pasa a través de él. SD-Security es un software que se ejecuta dentro de la misma instancia de VOS que ya transporta el tráfico SD-WAN, por lo que las funciones de cortafuegos, prevención de amenazas y filtrado de contenidos se llevan a cabo en línea sin necesidad de un dispositivo independiente, y las políticas se gestionan de forma centralizada en lugar de dispositivo por dispositivo.

¿SD-Security requiere hardware de seguridad específico?

No. SD-Security es exclusivamente software: se ejecuta en el mismo dispositivo VOS, instancia virtual o nodo en la nube basado en x86 que gestiona las funciones de SD-WAN o SD-Branch. No hay ningún dispositivo de seguridad propio que haya que instalar, licenciar o mantener por separado del resto de la red.

¿Cómo obtiene SD-Security información actualizada sobre amenazas?

Las empresas mantienen información sobre amenazas —direcciones IP, puertos, URL— en servidores web o de API REST. Herramientas como VSync detectan automáticamente las actualizaciones de esas fuentes y distribuyen los datos consolidados directamente a los dispositivos SD-Security VOS, sin pasar por Director, de modo que las actualizaciones se realizan con rapidez y las propias operaciones de Director no se ven afectadas.

¿Se puede implementar SD-Security para varios clientes en un mismo sistema?

Sí. SD-Security es una solución de clase operadora y multitenant por diseño: las políticas de control, seguridad y gestión de amenazas se definen por organización, por lo que una única implementación puede dar servicio a numerosos clientes aislados, cada uno de ellos gestionado de forma independiente, lo cual es fundamental para la forma en que los proveedores de servicios prestan servicios de seguridad gestionados.

¿Qué certificaciones tiene SD-Security?

SD-Security ha obtenido la certificación de ICSA Labs para cortafuegos con seguimiento de estado y protección contra ataques DoS; la de NSS Labs para NGFW, NG-IPS y SSL-Proxy, según los 10 requisitos principales verificados por los grupos de trabajo de ONUG sobre SD-WAN y SD-Security; y la certificación «VMware Ready» para NFV.

Más información en Versa SD-Security

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre SD-Security, te recomendamos que eches un vistazo a lo siguiente.