SASE何ですか？

Secure Access Service Edge（SASE ）は、広域ネットワーク（SD-WAN）とネットワークセキュリティサービス（セキュアWebゲートウェイ、クラウドアクセスセキュリティブローカー、ゼロトラストネットワークアクセス、サービス型ファイアウォール、データ漏洩防止）を統合したアーキテクチャ であり、ユーザーがどこにいても、ユーザーの近くに展開される単一のクラウド提供サービスとして提供されます。

主なポイント

• SASE SD-WANネットワークとクラウドセキュリティを1つの統合サービスにまとめます。
• ポリシーは、オフィスの境界ではなく、ユーザーとデバイスに連動します。
• 執行は、ユーザーの近くにある分散型のクラウド拠点で行われます。
• 単一ベンダーのSASE プラットフォームを採用することで、個別の製品を組み合わせる手間を省くことができます。
• ガートナーが2019年にこの用語を提唱して以来、現在ではほとんどのネットワークセキュリティのロードマップにおいて中核をなしている。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ SASE &Versa · よくある質問

SASE はなぜ重要なのでしょうか？

アプリケーションはクラウドに移行し、ユーザーもあらゆる場所に分散しましたが、従来のセキュリティはデータセンターにとどまったままでした。その結果、トラフィックは中央のファイアウォールスタックを経由する「ヘアピンルーティング」を余儀なくされ、遅延やコストの増加を招いていました。SASE が重要なのは、セキュリティ対策の適用をユーザーやアプリケーションが実際に存在する場所、つまり分散型クラウドの拠点へと移行させるからです。これにより、本社、支店、あるいは自宅の食卓から作業しているかに関わらず、同じポリシーが適用されます。

ネットワークおよびセキュリティチームにとってのメリットは、統合にあります。 SD-WANアプライアンス、Webプロキシ、VPNコンセントレータ、CASB、DLPツールを個別に購入・統合・運用する代わりに、SASE プラットフォームは、これらを単一のポリシーモデルと単一の管理プレーンを備えた単一のサービスとして提供します。これにより、サービス停止やセキュリティ侵害の原因となるアプライアンスの乱立やポリシーの不整合が軽減され、ゼロトラストへの道のりが短縮されます。ゼロトラストとは、すべての接続において、アイデンティティとコンテキストを認識したアクセス決定が継続的に適用される仕組みです。

SASE何ですか？

SASE 2つの要素を組み合わせたものです。ネットワーク関連の要素はSD-WANであり、ブロードバンド、MPLS、LTE/5Gを横断するインテリジェントな経路選択、アプリケーション認識型ルーティング、およびサイト、クラウド、ユーザー間の暗号化オーバーレイを提供します。 セキュリティ機能は「Security Service Edge（SSE）」であり、Webトラフィック向けのセキュアWebゲートウェイ（SWG）、SaaS制御のためのクラウドアクセスセキュリティブローカー（CASB）、プライベートアプリケーション向けのゼロトラストネットワークアクセス（ZTNA）、データ漏洩防止（DLP）、およびサービス型ファイアウォール（Firewall-as-a-Service）が含まれます。

これが単なるバンドルではなく「SASE 」である理由は、その統合性にあります。両方の構成要素が、1つのポリシーエンジン、1つのIDコンテキスト、1つのエンフォースメントファブリックを共有しています。どのユーザーやサイトからのトラフィックも、最も近いPoP（ポイント・オブ・プレゼンス）に入り、そこで1回だけ検査とポリシーチェックが行われた後、アプリケーションに向けて送信されます。データセンターのボトルネックへのバックホールは発生しません。

種類SASE

導入形態は、大きく分けて3つのパターンに分類されます。シングルベンダー型SASE は、単一のプラットフォームからネットワークとセキュリティの両機能を統合コンソールと統一されたポリシーモデルを通じて提供します。これはアナリストがますます推奨するモデルであり、運用コストの削減効果の大部分をもたらすものです。マルチベンダー（デュアルベンダー）SASE は、あるベンダーのSD-WANと別のベンダーのSSEを組み合わせたものです。これにより、既存の投資を活かすことができますが、その代償として2つのポリシーモデルと統合の継ぎ目が生じます。SSEのみの構成では、まずセキュリティ機能（クラウドベースのSWG、CASB、ZTNA）を導入し、その後でSD-WANを追加します。これは、セキュリティ主導の組織において一般的な導入経路です。

SASE &Versa

Versa VersaONE を通じて、単一ベンダーによる を提供します。これは、単一の管理プレーン下で、1つのソフトウェアスタック（VOS）上でネットワークとセキュリティを運用するプラットフォームです。SASE Versa ファブリックはSASE 、SWG、CASB、ZTNA、DLP、および次世代ファイアウォールといったクラウド経由のセキュリティサービスを提供し、 Versa Secure SD-WAN 接続ファブリックを提供し、これらはいずれも単一のポリシーエンジンによって管理されます。リモートユーザーはVersa SASE Clientを介して接続し、環境全体はVersa ConcertoまたはVersa Directorを通じて管理されます。各要素がどのように連携しているかについては、プラットフォームの概要をご覧ください。

よくある質問

SASE とSD-WANの違いは何ですか？

SD-WANは、「SASE 」のネットワーク機能に相当し、複数のリンク間でトラフィックをインテリジェントに誘導します。SASE は、セキュリティ機能（SWG、CASB、ZTNA、DLP、ファイアウォール）を追加するもので、これらはクラウドから提供され、ネットワークと統合されているため、1つのサービスで接続性と保護の両方を処理できます。

SASE とSSEの違いは何ですか？

SSE（Security Service Edge）は、SASE のセキュリティ機能のみを抽出したサブセットであり、SWG、CASB、ZTNA、および関連サービスを含み、SD-WANは含まれません。多くの組織では、まずSSEを導入し、その後SD-WANを追加してSASE を完成させるケースが多く見られますアーキテクチャ 。

SASE はVPNの代わりになるのでしょうか？

概ねその通りです。ZTNA（SASE の中核となるサービス）は、広範囲にわたるネットワークレベルのVPNアクセスに代わり、アプリケーションごとに最小権限のアクセスを実現し、ユーザーIDやデバイスの状態を継続的に検証します。これにより、フラットなVPNがもたらす横方向の移動リスクを排除します。

SASE はクラウド専用ですか？

ポリシーの適用はクラウド経由で行われますが、SASE のアーキテクチャには依然としてオンプレミスの要素が含まれています。具体的には、各拠点に設置されたSD-WANエッジデバイスや、一部の設計ではキャンパス外に出ることのないトラフィックに対するオンプレミスでのポリシー適用などです。その最大の特徴は、これらすべてにわたってポリシーが統一されている点にあります。

SASE は、ゼロトラストをどのようにサポートしているのでしょうか？

SASE ゼロトラストを実用化します。アクセスが許可される前に、すべての接続について、ID、デバイスの状態、およびコンテキストに基づいて評価が行われ、その評価は1回限りではなく継続的に行われます。SASE 内のZTNAは、ネットワーク単位ではなく、アプリケーション単位で最小権限のアクセス制御を適用します。

詳細はこちらSASE

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

「SASE 」についてお読みなら、次はこれらもぜひチェックしてみてください。