¿Cuáles son los principales componentes SASE ?

WAN definida por software (SD-WAN)

La tecnología Secure SD-WAN constituye la base de una solución SASE al permitir un rendimiento óptimo y un enrutamiento inteligente en una arquitectura de red de cliente a nube. Las capacidades clave incluyen:

• Rampa de entrada y salida de tráfico segura
• Conectividad multicloud
• Funciones de seguridad UTM integradas
• Aprovechar las redes troncales de Internet
• Enrutamiento del tráfico desde cualquier lugar
• DIA, acceso directo a la nube y dirección inteligente del tráfico
• Selección de rutas para optimizar la experiencia del usuario
• Cifrado en línea
• Enrutamiento avanzado y selección dinámica de rutas
• Conocimiento de las aplicaciones y clasificación del tráfico
• Pasarelas distribuidas por todo el mundo
• Optimización de la latencia
• Capacidades de autorreparación de la red

Cortafuegos: NGFW y cortafuegos como servicio (FWaaS)

Un cortafuegos de nueva generación (NGFW) basado en la nube es una solución de software escalable y sensible a las aplicaciones que permite a las empresas eliminar los retos de las soluciones heredadas basadas en dispositivos, ofreciendo un conjunto completo de funciones UTM. Una solución NGFW va más allá de un cortafuegos de estado al ofrecer funciones como protección avanzada frente a amenazas, visibilidad web y de red, inteligencia frente a amenazas y control de acceso. Como mínimo, las organizaciones deberían esperar lo siguiente de su despliegue de NGFW:

• Control de acceso de usuarios y aplicaciones
• Detección y prevención de intrusiones
• Detección avanzada de malware
• Inteligencia sobre amenazas y redes
• Automatización y orquestación

Pasarela web segura (SWG)

Un SWG protege a los usuarios y dispositivos WFA frente a las amenazas procedentes de Internet, evitando que los dispositivos de los usuarios que navegan por Internet se infecten con software no deseado o malware e imponiendo el cumplimiento de las políticas corporativas y normativas. Un SWG incluye:

• Aplicación de las políticas de seguridad y conformidad de Internet
• Filtrado del tráfico de Internet malicioso con funciones UTM como filtrado de URL, antivirus, antimalware, IDS/IPS, prevención de ataques de día cero, protección contra phishing, etc.
• Capacidad de identificación y control de aplicaciones
• Funciones de prevención de fuga de datos (DLP)
• Remote Browser Isolation (RBI) para analizar las sesiones de usuario en busca de riesgos, lo que permite a los usuarios navegar con seguridad por el amenazador panorama actual. Los sitios web de riesgo se muestran en navegadores remotos, mientras que las páginas desinfectadas (en su mayoría como archivos de imagen) se muestran en el navegador del usuario. RBI permite la navegación anónima y el acceso abierto sin riesgos a los sitios de Internet.

Los SWG se pueden implantar como hardware local, dispositivos virtuales, servicios basados en la nube o en modo híbrido como combinación de hardware local y en la nube.

Agente de seguridad de acceso a la nube (CASB)

Un CASB ofrece productos y servicios para subsanar las deficiencias de seguridad en el uso de los servicios en nube por parte de una organización. Cubre la necesidad de proteger los servicios en la nube que los usuarios están adoptando cada vez más, y en el creciente despliegue del acceso directo de nube a nube. Un CASB proporciona una ubicación central para la política concurrente y la gobernanza a través de múltiples servicios en la nube, tanto para usuarios como para dispositivos, junto con visibilidad granular y control sobre las actividades de los usuarios y los datos sensibles.

Un CASB ofrece cinco funciones de seguridad fundamentales:

• Descubrimiento de aplicaciones en la nube
• Seguridad de los datos
• Control de acceso adaptable
• Detección de malware
• Análisis del comportamiento de usuarios y entidades (UEBA), que ofrece la aplicación de políticas basadas en patrones de comportamiento inusuales del tráfico hacia/desde los servicios en la nube.

Los CASB pueden ser puntos de aplicación de políticas de seguridad locales o basados en la nube, situados entre los consumidores de servicios en la nube y los proveedores de servicios en la nube para inyectar las políticas de seguridad de la empresa a medida que se accede a los datos o aplicaciones basados en la nube.

Acceso a la red de confianza cero (ZTNA)

ZTNA es un marco de tecnologías que trabajan juntas, basado en la premisa de que no se confía en nada: ni en los usuarios, ni en los dispositivos, ni en los datos, ni en las cargas de trabajo, ni en las ubicaciones, ni en la red. La función principal de ZTNA dentro de una solución SASE es autenticar a los usuarios en las aplicaciones. El contexto avanzado y la identidad basada en roles, combinados con la autenticación multifactor (MFA), son esenciales para asegurar el acceso de usuarios y dispositivos, tanto para el acceso dentro como fuera de la red.

Existen dos modelos generales de aplicación de la ZTNA:

ZTNA iniciada por el cliente

Un agente de software instalado en el dispositivo envía su contexto de seguridad y sus credenciales a un controlador SDP para su autenticación. Este modelo es adecuado para dispositivos gestionados.

ZTNA iniciada por el servicio

Un conector SDP (o ZTNA) instalado junto con la aplicación establece y mantiene una conexión saliente con el proveedor de la nube. Los usuarios deben autenticarse ante el proveedor para acceder a las aplicaciones protegidas. Este modelo es adecuado para dispositivos no gestionados, ya que no se requiere ningún software especial en el dispositivo final.