Qu'est-ce que SASE?

Le Secure Access Service Edge (SASE) est une architecture qui regroupe les réseaux étendus (SD-WAN) et les services de sécurité réseau – passerelle Web sécurisée, courtier de sécurité d’accès au cloud, accès réseau « Zero Trust », pare-feu en tant que service et prévention des pertes de données – au sein d’un service unique fourni dans le cloud et appliqué à proximité de l’utilisateur, où qu’il se trouve.

Points clés à retenir

• SASE réunit les réseaux SD-WAN et la sécurité dans le cloud au sein d'un seul service convergent.
• La politique s'applique à l'utilisateur et à l'appareil, et non au périmètre du bureau.
• L'application des règles s'effectue au niveau des points de présence cloud décentralisés situés à proximité des utilisateurs.
• Une plateforme d'SASE s provenant d'un seul fournisseur évite d'avoir à assembler des produits ponctuels.
• C'est Gartner qui a inventé ce terme en 2019 ; il est désormais au cœur de la plupart des stratégies en matière de sécurité réseau.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SASE & Versa · FAQ

Pourquoi « SASE » est-il important ?

Les applications ont migré vers le cloud et les utilisateurs se sont dispersés un peu partout, mais la sécurité traditionnelle est restée cantonnée au centre de données, obligeant le trafic à faire un détour par une pile de pare-feu centrale qui augmente la latence et les coûts. La sécurité en périphérie ( SASE ) est essentielle car elle déplace l’application des règles là où se trouvent réellement les utilisateurs et les applications : des points de présence cloud distribués qui appliquent la même politique, que l’on travaille depuis le siège social, une succursale ou la table de sa cuisine.

Pour les équipes chargées du réseau et de la sécurité, l'avantage réside dans la consolidation. Au lieu d’acheter, d’intégrer et d’exploiter séparément des appliances SD-WAN, des proxys Web, des concentrateurs VPN, des outils CASB et DLP, une plateforme « SASE » les fournit sous la forme d’un service unique, avec un modèle de politique et un plan de gestion communs. Cela réduit la prolifération des appliances et la dérive des politiques, qui sont à l’origine à la fois des pannes et des failles de sécurité, et accélère la transition vers le modèle Zero Trust : des décisions d’accès tenant compte de l’identité et du contexte, appliquées en continu à chaque connexion.

Qu'est-ce que SASE?

SASE associe deux volets. Le volet réseau est le SD-WAN : sélection intelligente des chemins entre le haut débit, le MPLS et le LTE/5G, routage adapté aux applications et superposition chiffrée entre les sites, les clouds et les utilisateurs. La partie sécurité repose sur Security Service Edge (SSE) : une passerelle Web sécurisée (SWG) pour le trafic Web, un courtier de sécurité d’accès au cloud (CASB) pour le contrôle des applications SaaS, un accès réseau Zero Trust (ZTNA) pour les applications privées, la prévention des pertes de données (DLP) et un pare-feu en tant que service.

Ce qui en fait une solution « SASE » plutôt qu’un simple ensemble de composants, c’est la convergence : les deux parties partagent un même moteur de règles, un même contexte d’identité et une même infrastructure d’application des règles. Le trafic provenant de n’importe quel utilisateur ou site entre par le point de présence le plus proche, est inspecté et soumis à une seule vérification des règles, puis sort vers l’application – sans passer par un point d’étranglement dans un centre de données.

Types de SASE

Les déploiements se répartissent en trois grands modèles. L’ SASE, qui repose sur un seul fournisseur, regroupe les volets réseau et sécurité au sein d’une même plateforme, avec une console et un modèle de politiques unifiés – c’est le modèle que les analystes recommandent de plus en plus, et celui qui permet de réaliser la majeure partie des économies opérationnelles. L’ SASE multi-fournisseurs (à deux fournisseurs) associe le SD-WAN d’un fournisseur au SSE d’un autre ; elle préserve les investissements existants au prix de deux modèles de politiques et d’une interface d’intégration. L’approche « SSE uniquement » adopte d’abord la partie sécurité (SWG, CASB, ZTNA depuis le cloud) et ajoute le SD-WAN par la suite, ce qui constitue une voie d’accès courante pour les organisations axées sur la sécurité.

SASE & Versa

Versa fournit une solution « SASE » issue d’un seul fournisseur via VersaONE, une plateforme qui gère à la fois la mise en réseau et la sécurité au sein d’une seule pile logicielle (VOS) sous un plan de gestion unique. La structureVersa SASE fournit les services de sécurité dans le cloud – SWG, CASB, ZTNA, DLP et pare-feu de nouvelle génération – tandis que Versa Secure SD-WAN fournit la structure de connectivité, les deux étant régies par un moteur de politiques unique. Les utilisateurs distants se connectent via le clientVersa SASE , et l’ensemble du parc est géré via Versa Concerto ou Versa Director. Consultez la présentation de la plateforme pour comprendre comment les différents éléments s’articulent entre eux.

Questions fréquentes

Quelle est la différence entre l'SASE e et le SD-WAN ?

Le SD-WAN correspond au volet « réseau » de l’ SASE: il achemine le trafic de manière intelligente sur plusieurs liaisons. L’ SASE ajoute le volet « sécurité » – SWG, CASB, ZTNA, DLP, pare-feu – fourni depuis le cloud et convergent avec le réseau, de sorte qu’un seul service gère à la fois la connectivité et la protection.

Quelle est la différence entre « SASE » et « SSE » ?

Le SSE (Security Service Edge) est le sous-ensemble dédié exclusivement à la sécurité de l'SASE: SWG, CASB, ZTNA et services associés, à l'exclusion du SD-WAN. Les entreprises adoptent souvent le SSE dans un premier temps, puis ajoutent le SD-WAN par la suite pour compléter l'architecture « SASE ».

SASE , est-ce que ça remplace les VPN ?

Dans l'ensemble, oui. Le ZTNA – un service clé d’ SASE – remplace l’accès VPN général au niveau du réseau par un accès par application, basé sur le principe du « moindre privilège », qui vérifie en permanence l’identité et l’état de sécurité des appareils, ce qui élimine le risque de déplacement latéral généré par un VPN classique.

SASE , est-ce un service exclusivement disponible dans le cloud ?

L'application des règles s'effectue via le cloud, mais les architectures « SASE » comportent toujours des éléments sur site : des périphériques SD-WAN en périphérie sur les sites et, dans certaines configurations, une application des règles sur site pour le trafic qui ne quitte jamais le campus. La caractéristique principale est l'uniformité des règles sur l'ensemble du réseau.

Comment « SASE » prend-il en charge le modèle « Zero Trust » ?

SASE met en œuvre le modèle « Zero Trust » : chaque connexion est évaluée en fonction de l'identité, de l'état de l'appareil et du contexte avant que l'accès ne soit accordé, et cette évaluation est continue et non ponctuelle. La solution ZTNA intégrée à « SASE » applique le principe du « moindre privilège » au niveau de chaque application plutôt qu'au niveau du réseau.

Pour en savoir plus sur SASE

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous lisez cet article sur SASE, voici quelques liens qui pourraient vous intéresser.