Qu'est-ce que le SSE ?

Security Service Edge (SSE) est le composant de sécurité fourni dans le cloud d'une architecture « SASE » : il s'agit de services tels que la passerelle Web sécurisée, le courtier de sécurité d'accès au cloud, l'accès réseau « Zero Trust » et la prévention des pertes de données, qui protègent l'accès à Internet, aux applications SaaS et aux applications privées, grâce à des passerelles SSE distribuées situées à proximité de l'utilisateur.

Points clés à retenir

• SSE correspond au volet « sécurité » d'SASE: SWG, CASB, ZTNA et DLP réunis au sein d'un seul service.
• L'application des règles s'effectue au niveau des passerelles SSE dans le cloud, et non au niveau de la pile de pare-feu d'une succursale.
• Au sein de SSE, la technologie ZTNA remplace l'accès VPN standard par un accès par application, fondé sur le principe du « moindre privilège ».
• Les entreprises adoptent souvent d'abord la SSE, puis intègrent le SD-WAN par la suite afin d'atteindre une « SASE » complète.
• Versa fournit le SSE via VSPA et VSIA, gérés depuis Concerto.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SSE et Versa · FAQ

Pourquoi le SSE est-il important ?

Les applications ont migré vers le cloud et les utilisateurs se sont dispersés un peu partout, mais de nombreuses infrastructures de sécurité sont restées ancrées au centre de données, obligeant le trafic à faire un détour par un pare-feu central avant d’atteindre Internet ou une application SaaS. La SSE est essentielle car elle déplace l’application des règles vers des points de présence cloud distribués, proches de l’utilisateur ; ainsi, les règles s’appliquent de la même manière, que la connexion s’effectue depuis le siège social, un bureau à domicile ou un appareil mobile.

Pour les équipes de sécurité, l’intérêt du SSE réside dans la consolidation : au lieu de gérer séparément un proxy Web, un CASB, un concentrateur VPN et un outil DLP, un seul service offre toutes ces fonctionnalités sous un moteur de politiques et un contexte d’identité uniques. Cela élimine les divergences de politiques et les angles morts liés à l’assemblage de produits ponctuels, et offre aux entreprises une voie d’accès plus rapide au modèle Zero Trust que la refonte complète d’une architecture réseau en une seule fois – beaucoup adoptent le SSE avant même de se lancer dans le SD-WAN.

Qu'est-ce que le SSE ?

SSE regroupe quatre fonctionnalités au sein d’une seule passerelle. La passerelle Web sécurisée (SWG) inspecte et filtre le trafic Internet général. Le courtier de sécurité d’accès au cloud (CASB) régit l’utilisation des solutions SaaS : il détecte l’informatique fantôme, surveille l’activité et applique les contrôles relatifs aux données. L’accès réseau « Zero Trust » (ZTNA) gère l’accès aux ressources privées au cas par cas, par application, sans exposer le réseau lui-même. La prévention des pertes de données (DLP) inspecte le contenu en transit et au repos afin de détecter toute violation des politiques.

Ce qui distingue le SSE de quatre outils distincts, c’est que ces quatre éléments partagent un même contexte d’identité et un même moteur de politiques, dont l’application s’effectue au niveau des passerelles par lesquelles le trafic transite effectivement. Le SSE correspond explicitement à la composante exclusivement dédiée à la sécurité d’une architecture complète de type « SASE » : la solution « SASE » ajoute une connectivité SD-WAN à cette même infrastructure d’application des politiques.

Types d'ESS

Les déploiements s’articulent autour de deux axes. Le SSE mono-fournisseur propose les fonctionnalités SWG, CASB, ZTNA et DLP à partir d’une seule plateforme, dotée d’une console unifiée et d’un moteur de politiques unique – le modèle recommandé par la plupart des analystes, car il évite les lacunes de corrélation et les doublons d’intégration des identités générés par les produits ponctuels. Le SSE multi-fournisseurs (best-of-breed) combine des outils provenant de sources distinctes – un fournisseur ZTNA par-ci, un CASB par-là –, ce qui peut offrir de meilleures performances au niveau des fonctionnalités, mais impose l’utilisation de consoles et de modèles de politiques distincts.

Les mécanismes de mise en œuvre varient également. L'inspection par proxy en ligne intercepte le trafic en temps réel ; elle est utilisée par les solutions SWG et les CASB à proxy de transfert. L'analyse hors bande des API inspecte les données déjà stockées dans une application SaaS ; elle est utilisée par les CASB en mode API et les solutions DLP. La plupart des plateformes utilisent ces deux méthodes, en fonction du type de trafic.

SSE & Versa

Versa fournit SSE sous forme de service hébergé dans le cloud via les passerelles cloud ( Versa , VCG) de Versa , provisionnées et gérées depuis Concerto. Deux services s’appuient sur cette passerelle : l’accès privé sécurisé « Versa » (VSPA), qui étend le principe du « privilège minimal » aux utilisateurs travaillant depuis n’importe où et accédant à des applications privées, et l’accès Internet sécurisé « Versa » (VSIA), qui protège le trafic Internet et SaaS. Ces deux services appliquent l’authentification, le décryptage TLS, la protection contre les menaces et les politiques d’accès au niveau de la passerelle.

Pour les clients exploitant un SD-WAN sur site géré par Director, la solution « Versa » relie cette infrastructure à son SSE cloud via l’architecture d’interconnexion « SD-WAN–SSE hub » : des tunnels IPsec site à site redondants et un routage EBGP entre le VCG et les hubs SSE gérés par le client, fonctionnant en mode actif-veille ou actif-actif pour garantir la résilience. Une architecture distincte de tunnels SSE pour les succursales relie quant à elle directement chaque succursale à la passerelle cloud. Consultez les articles récemment publiés sur le SSE pour obtenir des guides de déploiement, d’abonnement et de configuration de la passerelle.

Questions fréquentes

Quelle est la différence entre SSE et « SASE » ?

Le SSE est le sous-ensemble dédié exclusivement à la sécurité de l’architecture « SASE » : SWG, CASB, ZTNA et DLP fournis depuis le cloud. L’architecture « SASE » ajoute la composante réseau – la connectivité SD-WAN – convergée avec ces mêmes services de sécurité sous un seul moteur de politiques et un seul contexte d’identité. De nombreuses entreprises déploient d’abord le SSE, puis ajoutent le SD-WAN par la suite pour atteindre l’architecture complète « SASE ».

Quelle est la différence entre SSE et une passerelle Web sécurisée classique ?

Une passerelle Web sécurisée (SWG) inspecte uniquement le trafic Internet général. La solution SSE regroupe la SWG, le CASB, le ZTNA et le DLP au sein d’un même contexte d’identité et d’un même moteur de règles, de sorte qu’une seule décision couvre à la fois l’accès aux services SaaS, aux applications privées et la protection des données – et pas seulement la navigation Web sortante.

SSE remplace-t-il un VPN ?

Dans l'ensemble, oui, grâce à son service ZTNA. Le ZTNA offre un accès par application, basé sur le principe du « moindre privilège », qui vérifie en permanence l'identité et l'état de sécurité de l'appareil, remplaçant ainsi l'accès général au niveau du réseau offert par un VPN classique et éliminant le risque de déplacement latéral qui en découle dès qu'un utilisateur est connecté.

SSE fonctionne-t-il uniquement dans le cloud ?

Les mesures de sécurité sont mises en œuvre au niveau des passerelles cloud, mais le trafic qui atteint ces passerelles provient toujours de succursales, de centres de données et d'appareils réels. Les entreprises connectent les succursales SD-WAN, les utilisateurs individuels et les sites à la structure SSE cloud via des tunnels site à site, le protocole IPsec et des logiciels clients fonctionnant sur les appareils des utilisateurs.

Comment SSE prend-il en charge le modèle « Zero Trust » ?

SSE évalue l'identité et, de plus en plus, l'état de sécurité des terminaux (niveau de mise à jour, processus en cours d'exécution, état de conformité) avant d'accorder l'accès, et procède à une réévaluation continue plutôt qu'unique lors de la connexion. C'est cette application des règles en fonction de l'état de sécurité et au cas par cas, par application, qui permet de mettre en œuvre le modèle « Zero Trust » de manière uniforme pour les utilisateurs, les terminaux et les applications.

En savoir plus sur SSE

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la SSE, voici quelques liens qui pourraient vous intéresser.