安全方面的最大挑戰(zhàn)之一是正確構(gòu)建深度防御。將云添加到組合中，如果不使用正確的工具，就會遭遇失敗。

這就是框架可以發(fā)揮作用的地方。任何有助于我們改進云服務(wù)安全策略的討論和資源都是十分重要的。

這就是 SASE(以及 SSE)幫助我們實現(xiàn)的目標。

1. 挑戰(zhàn)

這里的挑戰(zhàn)是保護對云的訪問，但什么是云?云計算有很多模型，本文將專注于企業(yè)無法控制的模型，即 SaaS。

有許多技術(shù)可以放置在用戶和這些服務(wù)之間。

2. 定義

首先對 SASE 和 SSE進行定義，然后我們可以深入了解它們相互交織的地方。

(1) 安全訪問服務(wù)邊緣

這是由Gartner 定義的框架和術(shù)語，它代表了保護用戶、系統(tǒng)和任何位置的終端的技術(shù)，當然，是在云上而非數(shù)據(jù)中心。

早在 2019 年，當供應(yīng)商開始意識到如何使用他們的 SD-WAN 解決方案時，SASE 就在業(yè)界聲名狼藉：他們都聲稱，這是通往 SASE 的道路。

根據(jù)SASE 供應(yīng)商的說法：

安全訪問服務(wù)邊緣 (SASE)，是 Gartner 確定的一種框架，可將用戶、系統(tǒng)和終端設(shè)備等實體安全地連接到可能位于任何地方的應(yīng)用程序和服務(wù)。至關(guān)重要的是，SASE 不是一種技術(shù)。

Gartner 在其 2019 年報告“云端網(wǎng)絡(luò)安全的未來”中將 SASE 框架定義為基于云的網(wǎng)絡(luò)安全解決方案，它提供“具有全面網(wǎng)絡(luò)安全功能(如 SWG、CASB、FWaaS 和 ZTNA)的全面廣域網(wǎng)功能以支持數(shù)字企業(yè)的動態(tài)安全訪問需求。”

回顧SaaS 圖表，SASE看起來是這樣的，可以有更多的層和服務(wù)來保護這種訪問。

(2) 安全服務(wù)邊緣

這是Gartner 創(chuàng)造的另一個術(shù)語。它首先是在一份 Gartner 文檔中提到的，它為 SASE 制定了路線圖，因此可知SSE 是副產(chǎn)品，或者在某種程度上與 SASE 框架有關(guān)。

用他們自己的話來說：

安全服務(wù)邊緣 (SSE) 保護對 Web、云服務(wù)和私有應(yīng)用程序的訪問。功能包括訪問控制、威脅保護、數(shù)據(jù)安全、安全監(jiān)控以及通過基于網(wǎng)絡(luò)和基于 API 的集成實施的可接受使用控制。SSE 主要作為基于云的服務(wù)提供，可能包括本地或基于代理的組件。

Palo Alto 也以略微不同的方式解釋了這一點：

安全服務(wù)邊緣 (SSE) 保護對 Web、云服務(wù)和私有應(yīng)用程序的訪問。功能包括訪問控制、威脅保護、數(shù)據(jù)安全、安全監(jiān)控以及通過基于網(wǎng)絡(luò)和基于 API 的集成實施的可接受使用控制。SSE 主要作為基于云的服務(wù)提供，可能包括本地或基于代理的組件。

SSE 是 SASE 的一個子集，沒有 Access 組件，它在圖表中看起來是這樣的：

(3) SASE 與 SSE

它們之間存在一些差異，本質(zhì)上 SSE 側(cè)重于云安全的服務(wù)部分。現(xiàn)在，供應(yīng)商可能對他們自己的定義有偏見，這是Zscaler 對 SSE 的定義：

SSE 可以被認為是安全訪問服務(wù)邊緣 (SASE) 框架的子集，其架構(gòu)完全專注于安全服務(wù)。

安全服務(wù)邊緣包括三個核心服務(wù)：

• 通過安全 Web 網(wǎng)關(guān) (SWG )安全訪問互聯(lián)網(wǎng)和 Web
• 通過云訪問安全代理 (CASB )安全訪問 SaaS 和云應(yīng)用程序
• 通過零信任網(wǎng)絡(luò)訪問 (ZTNA )保護對私有應(yīng)用程序的遠程訪問

(4) 云服務(wù)

這些框架可以保護哪些云服務(wù)?其實，它們適用于任何云模型：IaaS、Paas 或 SaaS服務(wù)。

而 CASB 和 SWG 等控制尤其關(guān)注 SaaS 或互聯(lián)網(wǎng)流量檢查。這與用戶對云的訪問十分相關(guān)。

SD-WAN 服務(wù)也有利于云服務(wù)的用戶體驗，而不是基礎(chǔ)設(shè)施本身，盡管基礎(chǔ)設(shè)施可以從 WAN 優(yōu)化和 SaaS 加速內(nèi)容中受益。

請注意 SASE 提到的一些控件，例如 ZTNA，當然與 SaaS 之上的任何云模型(包括 IaaS 和 PaaS)都極為相關(guān)。然而，SASE 遺漏了一些引人注目的 IaaS 和 PaaS——這些平臺需要其他控制集，正如本文之前討論過的。IaaS 和 PaaS 的附加控制是 CSPM、信息管理、存檔、CWPP 以及其他可能的控制。

例如，微軟具有對 SaaS 的信息安全、合規(guī)性、數(shù)據(jù)分類、標簽等具有多項控制措施——此外，對于 IaaS 和 PaaS 安全，他們的工作負載保護和 CSPM(云防御者)意味著他們提供針對這些挑戰(zhàn)的廣泛而深入的控制。

3. 結(jié)論

SASE 是一個全方位的框架，用于從訪問層開始保護對云服務(wù)的訪問。SSE 專注于這種安全機制的服務(wù)組件。

兩者都是可以指導企業(yè)堅持有效的縱深防御戰(zhàn)略和云計算，尤其是 SaaS 應(yīng)用程序的框架。

不過，它們并不是保護企業(yè)云工作負載所需的全部內(nèi)容，而是保護企業(yè)環(huán)境所有措施中的一部分。