¿Qué es SSE?

Security Service Edge (SSE) es el componente de seguridad basado en la nube de una arquitectura de seguridad de perímetro como servicio ( SASE ): servicios como la pasarela web segura, el agente de seguridad de acceso a la nube, el acceso a la red de confianza cero y la prevención de pérdida de datos, que protegen el acceso a Internet, al SaaS y a las aplicaciones privadas, y que se aplican a través de pasarelas SSE distribuidas cercanas al usuario.

Puntos clave

• SSE es la parte dedicada a la seguridad de SASE: SWG, CASB, ZTNA y DLP en un único servicio.
• La aplicación de las políticas se lleva a cabo en las puertas de enlace SSE en la nube, no en la pila de cortafuegos de una sucursal.
• ZTNA, dentro de SSE, sustituye el acceso VPN genérico por un acceso por aplicación con el mínimo de privilegios.
• Las organizaciones suelen adoptar primero la SSE y añadir la SD-WAN más adelante para alcanzar una « SASE » completa.
• Versa ofrece SSE a través de VSPA y VSIA, gestionados desde Concerto.

En esta página: Por qué es importante · Cómo funciona · Tipos · SSE y Versa · Preguntas frecuentes

¿Por qué es importante el SSE?

Las aplicaciones se trasladaron a la nube y los usuarios se dispersaron por todas partes, pero muchas infraestructuras de seguridad permanecieron ancladas al centro de datos, lo que obligaba al tráfico a dar un rodeo a través de un cortafuegos central antes de llegar a Internet o a una aplicación SaaS. La SSE es importante porque traslada la aplicación de las políticas a puntos de presencia distribuidos en la nube cercanos al usuario, de modo que las políticas se aplican de la misma manera tanto si alguien se conecta desde la sede central, desde una oficina en casa o desde un dispositivo móvil.

Para los equipos de seguridad, la ventaja de SSE es la consolidación: en lugar de gestionar por separado un proxy web, un CASB, un concentrador VPN y una herramienta DLP, un único servicio lo ofrece todo bajo un único motor de políticas y un único contexto de identidad. Esto elimina la deriva en las políticas y los puntos ciegos que se producen al combinar productos puntuales, y ofrece a las organizaciones una vía de acceso más rápida al modelo Zero Trust que reconstruir toda la arquitectura de red de una sola vez; de hecho, muchas adoptan el SSE antes incluso de plantearse la SD-WAN.

¿Qué es SSE?

SSE aúna cuatro capacidades en una única pasarela. La pasarela web segura (SWG) inspecciona y filtra el tráfico general de Internet. El agente de seguridad de acceso a la nube (CASB) regula el uso de SaaS: detecta la «TI en la sombra», supervisa la actividad y aplica controles de datos. El acceso a la red de confianza cero (ZTNA) gestiona el acceso a los recursos privados por aplicación sin exponer la propia red. La prevención de pérdida de datos (DLP) inspecciona el contenido en tránsito y en reposo para detectar incumplimientos de las políticas.

Lo que distingue a SSE de cuatro herramientas independientes es que las cuatro comparten un único contexto de identidad y un único motor de políticas, que se aplican en las pasarelas por las que realmente pasa el tráfico. SSE es, explícitamente, la parte dedicada exclusivamente a la seguridad de una arquitectura completa de « SASE » (red de acceso de seguridad); « SASE » añade conectividad SD-WAN sobre la misma estructura de aplicación de políticas.

Tipos de ESE

Las implementaciones se dividen en dos ejes. La SSE de un único proveedor ofrece SWG, CASB, ZTNA y DLP desde una única plataforma con una consola unificada y un único motor de políticas: el modelo que recomiendan la mayoría de los analistas, ya que evita las lagunas de correlación y la integración duplicada de identidades que generan los productos puntuales. El SSE de múltiples proveedores (lo mejor de cada casa) combina herramientas de distintos proveedores —un proveedor de ZTNA por aquí, otro de CASB por allá—, lo que puede ofrecer un mejor rendimiento en cada función, pero obliga a utilizar consolas y modelos de políticas independientes.

Los mecanismos de aplicación también varían. La inspección mediante proxy en línea intercepta el tráfico en tiempo real y es utilizada por los SWG y los CASB de proxy de reenvío. El análisis de API fuera de banda inspecciona los datos que ya se encuentran almacenados en una aplicación SaaS, y es utilizado por los CASB en modo API y los DLP. La mayoría de las plataformas utilizan ambos métodos, en función del tipo de tráfico.

SSE y Versa

Versa Ofrece SSE como un servicio alojado en la nube a través de las puertas de enlace en la nube ( Versa , VCG), que se aprovisionan y gestionan desde Versa Concerto. Sobre la pasarela se asientan dos servicios: el Acceso Privado Seguro ( Versa , VSPA), que amplía el acceso con privilegios mínimos a los usuarios que trabajan desde cualquier lugar y acceden a aplicaciones privadas, y el Acceso Seguro a Internet ( Versa , VSIA), que protege el tráfico dirigido a Internet y a servicios SaaS. Ambos aplican autenticación, descifrado TLS, protección contra amenazas y políticas de acceso en la pasarela.

Para los clientes que utilizan una SD-WAN gestionada por Director en sus propias instalaciones, « Versa » conecta esa estructura a su SSE en la nube mediante la arquitectura de interconexión «SD-WAN–SSE hub»: túneles IPsec redundantes de sitio a sitio y enrutamiento EBGP entre el VCG y los hubs SSE gestionados por el cliente, que funcionan en modo activo-en espera o activo-activo para garantizar la resiliencia. Por su parte, una arquitectura de túneles SSE para sucursales independiente conecta las sucursales individuales directamente a la pasarela en la nube. Consulte los artículos sobre SSE publicados recientemente para obtener guías de implementación, suscripción y configuración de la pasarela.

Preguntas frecuentes

¿Cuál es la diferencia entre SSE y SASE?

SSE es el subconjunto dedicado exclusivamente a la seguridad de la arquitectura « SASE »: SWG, CASB, ZTNA y DLP prestados desde la nube. La « SASE » añade la parte de redes —conectividad SD-WAN— convergida con esos mismos servicios de seguridad bajo un único motor de políticas y un único contexto de identidad. Muchas organizaciones implementan primero SSE y añaden SD-WAN más adelante para alcanzar la arquitectura completa « SASE ».

¿Cuál es la diferencia entre SSE y una pasarela web segura tradicional?

Una pasarela web segura solo inspecciona el tráfico general de Internet. SSE integra la SWG con CASB, ZTNA y DLP en un único contexto de identidad y un único motor de políticas, de modo que una sola decisión abarca el acceso a SaaS, las aplicaciones privadas y también la protección de datos, y no solo la navegación web saliente.

¿SSE sustituye a una VPN?

En gran medida, sí, a través de su servicio ZTNA. El ZTNA concede un acceso por aplicación con privilegios mínimos que verifica continuamente la identidad y el estado del dispositivo, sustituyendo así el acceso general a nivel de red que ofrece una VPN convencional y el riesgo de movimiento lateral que conlleva una vez que el usuario se ha conectado.

¿SSE funciona solo en la nube?

La aplicación de políticas se lleva a cabo en las puertas de enlace en la nube, pero el tráfico que llega a dichas puertas de enlace sigue procediendo de sucursales, centros de datos y dispositivos reales. Las organizaciones conectan las sucursales SD-WAN, los usuarios individuales y las sedes a la estructura SSE en la nube mediante túneles de sede a sede, IPsec y software de cliente que se ejecuta en los dispositivos de los usuarios.

¿Cómo respalda SSE el modelo «Zero Trust»?

SSE evalúa la identidad y, cada vez más, el estado de seguridad de los dispositivos finales —nivel de parches, procesos en ejecución, estado de cumplimiento— antes de conceder el acceso, y vuelve a evaluar esta información de forma continua, en lugar de hacerlo una sola vez al iniciar sesión. Esa aplicación de las políticas, basada en el estado de seguridad y específica para cada aplicación, es lo que permite poner en práctica el modelo «Zero Trust» tanto para los usuarios como para los dispositivos y las aplicaciones.

Más información sobre SSE

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre SSE, te recomiendo que eches un vistazo a lo siguiente.