什麼是SASE？它與零信任網絡訪問（ZTNA）有什麼關聯？

近年來，安全防護範式出現了重大轉變。在舊有範式中，防火牆是信任的核心節點。防火牆內部的所有內容都會被信任、視為安全（或被假定為安全），而防火牆外部的所有內容則被視為帶有敵意、不安全。時至今日，情況遠沒有這麼簡單。當人們幾乎無法界定網絡「邊界」到底在哪裡時，要保護網絡邊界就變得十分困難。

這種全新的雲端環境現實，加上2020年開始普及的遙距辦公模式，讓安全訪問服務邊緣（其縮寫SASE更為人熟知）重新獲得重視，這是有充分理由的。

什麼是SASE？

安全訪問服務邊緣（SASE）是一套綜合安全框架，它基於強數碼身份為應用程式和數據提供安全訪問能力，不受用戶或裝置所處位置限制。

SASE最初由Gartner於2019年提出定義 是「一套整合了軟件定義廣域網（SD-WAN）、安全Web閘道（SWG）、雲端訪問安全代理（CASB）、零信任網絡訪問（ZTNA）、防火牆即服務（FWaaS）作為核心能力的新技術組合，具備識別敏感數據或惡意軟件的能力、線速解密內容的能力，可持續監控會話的風險與信任等級」。

SASE的核心等同於「為所有資產提供強身份驗證」。連接到企業網絡的裝置數量呈指數級增長，從手提電腦、智能手機這類個人裝置，到IoT裝置、雲端服務這類聯網資產。因此，IT安全團隊的工作重心已經從邊界防護轉向對每台裝置的身份驗證。企業正在採用零信任思路，即所有對象在經過驗證之前，都不會被假定為安全。

這正是安全訪問服務邊緣的價值所在。我們來拆解一下它的含義：

• 「安全訪問」指手提電腦、手機和其他裝置都需要通過某種方式接入網絡，IoT裝置同樣需要網絡連接。為了保障這些連接的安全性，就需要強身份驗證機制。

• 「服務邊緣」指這些裝置都處於網絡邊緣——也就是過去所說的「防火牆外側」。如今，邊緣涵蓋了從手提電腦、API到流動裝置的每一項資產，要為其提供強有力的保護，唯一方式是為其賦予數碼身份——也就是為該裝置配置身份數碼證書。

SASE的發音同「sassy」，其解決方案提供靈活的、多維度的安全技術路徑，非常適配當前極其複雜的IT環境——包括混合雲與多雲環境、種類繁多的聯網裝置、分佈式辦公團隊等現狀。這類解決方案利用數碼身份抵禦複雜、大規模的攻擊向量，專門防範由這類複雜性衍生的漏洞。這種安全技術路徑同樣適用於未來的企業IT環境。

SASE的運作原理是什麼？

SASE通過整合SD-WAN、SWG、CASB、ZTNA和FWaaS組件，並在統一的安全與身份策略體系下管理這些解決方案來實現其能力。我們來逐一了解這些組件：

• SD-WAN即軟件定義廣域網，它可以通過制定策略，對企業廣域網上的流量進行優先級排序、路由調度和優化，提升私有線路、互聯網寬頻、LTE和/或5G等各類廣域網連接的性能與安全性。

• SWG即安全Web閘道，它可以通過執行企業可接受使用策略，保護用戶免受惡意軟件等基於Web的威脅侵害，同時阻止未加密的互聯網流量訪問內部系統。

• CASB即雲端訪問安全代理，它部署在雲端服務用戶與用戶所訪問的雲端應用之間，可識別並保護敏感數據。這一能力可以幫助機構落實安全策略，即便在雲端服務不受企業直接管控的場景下也能生效。

• ZTNA即零信任網絡訪問，可用於實現安全的細粒度訪問控制。ZTNA是一種永不默認授予信任、且必須持續評估信任狀態的模型。

• FWaaS即防火牆即服務，它通過具備下一代防火牆（NGFW）能力以及入侵防禦系統（IPS）、URL過濾、DNS安全等訪問控制能力的雲原生防火牆，保護應用程式和數據免受未授權訪問。

SASE有哪些優勢？

數碼轉型推動企業安全服務進入了全新階段。SASE出現的一個重要推動因素，是企業需要讓分散的安全解決方案更好地協同工作。現代企業環境不再由單一技術棧主導，企業也不能再只專注於保護數據中心、在配備防火牆的網絡架構內部提供防護。

現今複雜的IT環境涵蓋流動裝置、多雲、DevOps、BYOD、物聯網等多種場景，企業自然需要為上述各類系統提供強身份認證能力。在這種持續擴張的環境中，身份已成為新的安全邊界，SASE正是為這類環境設計的架構。

除SASE提供的強身份安全能力外，企業還可獲得以下效益：

• 更高的靈活性

• 快速採納新技術

• 提升IT效率

• 降低管理成本

這類解決方案可為企業提供所需的靈活性，無論應用程式和數據部署在本地還是雲端，員工都能安全存取。這種強數碼身份方案可針對網絡內的每個用戶、裝置和進程配置細粒度的存取權限。該能力讓企業能夠快速落實SaaS應用、IoT裝置、遠端存取工具等創新技術，同時加固基礎設施抵禦攻擊，持續管控哪些人員、哪些系統可存取特定的應用與數據。

此外，SASE架構整合了傳統上由各類單點產品和解決方案提供的網絡與安全功能，為IT管理員提供統一的網絡與安全管理方式。IT團隊只需定義一套安全策略，即可基於策略集中管理多種技術，最大限度提升IT團隊的工作效率與生產力。

企業還可降低管理成本。SASE以單一軟件棧形式部署，無需採購多台硬件設備，既減少了資本支出項目，也降低了持續營運成本。

SASE與ZTNA：差異、共性及協同方式

二者 SASE和ZTNA均為現代安全架構的重要組成部分，但屬於兩類不同的解決方案。SASE是全面的、多維度的安全框架，ZTNA則是聚焦於資源存取限制的細分模型，是SASE的組成部分。二者結合使用時，可提供更全面的安全解決方案，無論終端用戶身處何地，都能為應用和數據提供保護。

零信任網絡存取（常被稱為軟件定義邊界，即SDP）的核心邏輯是，除非用戶或裝置獲得明確授權，否則一律拒絕資源存取，以此實現更嚴格的安全防護，在發生入侵事件時這種機制尤為有效。此外，系統會持續評估每個身份的存取權限，對應做出允許或拒絕的決策。

「永不信任，始終驗證」是零信任網絡的核心原則，也是零信任與其他網絡模型的關鍵區別。零信任架構下不存在預設的信任關係，所有終端用戶和裝置在完成驗證前均被視為不可信對象。這種驗證流程是零信任模型的核心，透過認證、授權、檢測等多種方式實現，驗證依據包括用戶身份、存取位置、作業系統與韌體版本、終端硬件類型等維度。

零信任模型的優勢十分明確：透過封堵安全缺口、管控網絡內橫向移動提升網絡安全水平，同時支援流動辦公和遙距辦公員工。此外，零信任模型可同時保護雲端和本地數據中心的數據，為企業提供針對勒索軟件、惡意軟件、釣魚攻擊和高級威脅的可靠防禦.

方案組合的優勢

簡而言之，將SASE與零信任結合可幫助企業在整個網絡範圍內落實策略執行。這種方式可帶來多項核心效益，包括更強的網絡安全性、更簡化的網絡管理、更低的成本，以及全網狀態的統一視圖。

SASE與ZTNA還可幫助企業降低數據泄露風險、縮小攻擊面。透過結合兩種架構，企業可構建加固的網絡安全邊界，提高惡意攻擊者的入侵難度。這可確保僅獲授權的用戶和裝置能夠存取敏感數據與系統，且用戶和裝置僅能獲得完成工作所需的資源存取權限。

SASE是VPN嗎？

不是，SASE並非VPN（虛擬私人網絡），而是一套為應用和數據提供安全存取的框架；VPN的作用則是為用戶提供到互聯網的安全連接。VPN雖然可提供安全連接，但在保護應用和數據方面並非始終有效。SASE與ZTNA結合使用時，可提供更安全的解決方案，保護應用和數據免遭未授權存取。

由於SASE包含ZTNA能力，它既可以和VPN搭配使用，也可以替代VPN。SASE可提供基於實時、最小權限原則的存取控制，這種能力在雲安全場景下價值突出，尤其適配當前遠端workforce規模持續增長、雲原生工作負載普及的現狀。在存取控制粒度方面，零信任網絡存取相比VPN有顯著優勢：與虛擬私人網絡相比，企業可透過ZTNA實現更精細的存取限制。

如何在SASE架構中管理數碼身份

SASE 的應用依賴於整個互聯 IT 環境中所有用戶、裝置和流程的強數碼身份。在這種身份優先的安全架構下，企業必須對所有人或機器的數碼身份完成認證與加密。由 Sectigo 等證書頒發機構（CA）簽發的數碼證書，是用於認證人或機器身份、建立數碼信任的底層技術。

隨着混合雲與多雲環境、數碼簽署、DevOps 容器、代碼 機械人流程自動化（RPA）及其他企業應用等新場景帶來數碼身份在數量、類型和增長速度上的爆發式增長，在 SASE 解決方案中實現身份的安全管理並非易事。

這些身份挑戰互相疊加，導致無論投入多少資源，都幾乎難以避免身份管理失效，亦很難保護網絡和數據免遭泄露與竊取。2021 年 EMA 針對 IT 高管進行的一項研究顯示，81% 的企業認為數碼身份管理存在難度.

對於首席資訊安全官（CISO）及其團隊而言，落實 SASE 並保障當前及未來的數碼信任，最佳方式是對整個 IT 生態圈內每一個身份的全生命週期實現自動化管理。 證書生命週期管理（CLM）是一套覆蓋證書從簽發、部署到吊銷全流程的自動化證書生命週期管理綜合解決方案。

證書生命週期管理（CLM）可確保所有證書得到正確安裝、監控和續期，為機構提供所需的可擴展性、可見性與管控能力，協助其在使用 SASE 時保障數碼環境安全並滿足合規要求。此外，現代化 CLM 方案的代表是 Sectigo 的 支援多 CA 雲原生解決方案。Sectigo Certificate Manager提供統一管理門戶，可保護並管理數量持續增長的人與機器數碼身份，同時支援與主流技術廠商的產品集成，可在任意 IT 環境中高效運行。

在可預見的未來，遙距辦公模式很大機會將持續普及，同時物聯網等領域亦在不斷擴張，各機構正在尋找更可靠的網絡安全防護方案，SASE 的重要性將持續提升——而 Sectigo 在這一領域處於前沿位置。