SASE

Qu’est-ce que le SASE ?

Les deux grands composants d’une architecture SASE sont un réseau SD-WAN avancé et une sécurité complète fournie par le cloud (Security Service Edge, ou SSE).

Plusieurs fonctionnalités SD-WAN sont indispensables au déploiement complet d’une architecture SASE :

• Intégration transparente avec une solution SSE pour former une architecture SASE unifiée et cohérente.
• Identification de l’application au premier paquet afin d’assurer une orientation granulaire du trafic à SSE sur la base de politiques de sécurité.
• Sélection du meilleur chemin en exploitant la diversité des chemins SD-WAN et en sélectionnant automatiquement le PoP SSE (point de présence) le plus proche.
• Agrégation de liens permettant la combinaison de plusieurs liens et la prise en charge du basculement automatique.
• Optimisation du WAN et du FEC (correction des erreurs directes) pour surmonter les effets de latence du WAN et atténuer les effets des liaisons internet et sans fil, qui souffrent souvent de perte de paquets et de gigue.
• Réseau multicloud fournissant une connectivité de bout en bout avec les clouds publics et privés.
• Pare-feu intégré doté de fonctionnalités de sécurité avancées telles que l’IDS/IPS, la protection DDoS et la segmentation basée sur les rôles pour une protection avancée contre les menaces dans les succursales.

Des fonctionnalités SSE clés sont par ailleurs requises pour appliquer pleinement le SASE :

• ZTNA ou Zero Trust Network Access : Tient pour acquis qu’aucun utilisateur n’est d’emblée digne de confiance et applique le principe du moindre privilège. Il fournit un accès sécurisé aux utilisateurs distants.
• CASB ou Cloud Access Security Broker : Protège les données sensibles dans les applications cloud selon les règles de sécurité.
• SWG ou passerelle web sécurisée : Protège les organisations contre les menaces web à l’aide de diverses techniques, comme le filtrage des URL et la détection de code malveillant.
• FWaaS ou pare-feu as-a-service : Fournit une fonctionnalité de pare-feu dans le cloud afin d’analyser le trafic issu de plusieurs sources.
• Autres services de sécurité tels que la prévention des pertes de données (DLP), Remote Browser Isolation (RBI), sandboxing, etc.

Le SASE n’est pas un simple phénomène de mode : Une architecture SASE offre des avantages déterminants à l’entreprise qui la déploie.

• Sécurité renforcée : À mesure que les organisations adoptent une approche privilégiant le cloud, le SASE applique des politiques de sécurité cohérentes sur l’ensemble du trafic et des emplacements, l’inspection étant effectuée directement dans le cloud. Il sécurise l’accès à distance et protège les données de l’entreprise contre les cybermenaces, tout en minimisant la surface d’attaque et en améliorant la détection et la réponse aux menaces.
• Amélioration de la productivité de l’entreprise et de la satisfaction client : Avec le SASE, les organisations peuvent rationaliser leur infrastructure réseau grâce à des fonctionnalités SD-WAN avancées. En éliminant les limitations et la complexité des réseaux conventionnels à base de routeurs, le SASE introduit l’agilité nécessaire à la transformation numérique, ce qui se traduit par des améliorations notables en termes de performance et de fiabilité des applications.
• Modèle de sécurité zero trust : Le SASE reconnaît le modèle de sécurité zero trust en exigeant une vérification continue de l’identité d’un utilisateur avant de lui accorder l’accès aux ressources. Le zero trust s’impose naturellement dans le paysage des menaces actuel où les modèles de sécurité traditionnels n’offrent plus une protection adéquate contre les cybermenaces sophistiquées.
• Gestion simplifiée et complexité réduite : Le SASE simplifie le déploiement, ainsi que la gestion du réseau et de la sécurité. Il regroupe plusieurs fonctions de réseau et de sécurité disparates (comme SD-WAN, SWG, CASB et FWaaS) en une seule plateforme. Cette convergence réduit la nécessité de gérer une multitude d’équipements matériels et de solutions ponctuelles propres à chaque fournisseur.

• Permettre et sécuriser le travail hybride : Alors que les employés se connectent de n’importe où et à partir de n’importe quel device, le ZTNA fournit une application cohérente des politiques et un contrôle d’accès à la fois des utilisateurs et des appareils. Il prend en charge l’accès au moindre privilège et vérifie qu’aucun utilisateur n’est approuvé par défaut. Contrairement à un VPN qui octroie un large accès au réseau de l’entreprise, la technologie ZTNA limite cet accès à des applications ou des microsegments spécifiques, explicitement approuvés pour l’utilisateur, appliquant les principes d’accès au moindre privilège.
• Imposer le zero trust partout avec le ZTNA universel : L’accès réseau universel zero trust (uZTNA) étend les principes zero trust aux emplacements sur site et aux appareils IoT, en intégrant le SASE aux fonctionnalités NAC pilotées par l’IA. Cette intégration permet une visibilité et une surveillance complètes de tous les appareils connectés au réseau, y compris les objets connectés (IoT). Grâce à la segmentation basée sur l’identité, le ZTNA universel permet aux utilisateurs et aux appareils d’accéder uniquement aux ressources réseau correspondant à leurs rôles. Le système surveille en permanence l’activité du réseau, permettant des ajustements en temps réel des autorisations d’accès et une détection rapide des comportements suspects ou malveillants.
• Optimiser les performances des utilisateurs mondiaux et distribués : Le SASE exploite une architecture cloud distribuée à l’échelle mondiale ainsi que l’edge computing. Les utilisateurs peuvent ainsi se connecter au PoP (point de présence) le plus proche. Ceci réduit la latence et optimise les performances des applications, notamment pour les utilisateurs situés dans des zones reculées.
• Adopter les applications cloud et SaaS : Le SASE permet un accès direct et sécurisé aux applications cloud (par exemple, AWS, Microsoft 365, Salesforce) sans faire transiter le trafic par un datacenter centralisé. Il optimise les performances grâce à l’edge computing et au SD-WAN tout en fournissant des services de sécurité comme CASB pour contrôler l’utilisation des applications cloud et protéger les données.
• Préserver les utilisateurs des menaces en ligne : Pour protéger les entreprises contre les menaces reposant sur le Web telles que les ransomwares et l’hameçonnage, SWG surveille et inspecte le trafic en filtrant les URL, détectant les codes malveillants et contrôlant l’accès au Web, en établissant des politiques qui restreignent l’accès à des catégories spécifiques de sites web tels que du contenu pour adultes, des plateformes de jeu, ainsi que les sites connus pour présenter des risques importants.
• Accès sécurisé aux applications SaaS : Lorsque les utilisateurs ont accès à des applications SaaS aussi bien approuvées que non approuvées, un CASB (Cloud Access Security Broker) offre une visibilité sur ces activités, identifie le shadow IT et applique les politiques SaaS de l’organisation, protégeant ainsi les données sensibles contre toute exposition potentielle.
• Protéger les données et améliorer la conformité : En plus du CASB, le SASE inclut des fonctionnalités DLP, qui aident les organisations à surveiller l’activité des utilisateurs et à contrôler la circulation des données sensibles. Sa plateforme unifiée simplifie également l’audit et le reporting, garantissant la conformité aux réglementations telles que le RGPD, la loi HIPAA ou la norme PCI-DSS.
• Connecter et sécuriser des filiales : Les architectures traditionnelles utilisent souvent des liaisons MPLS pour connecter les succursales au siège social. Dans cette architecture, le trafic cloud doit être acheminé vers le datacenter pour effectuer une inspection de sécurité, ce qui augmente la latence et au final affecte les performances des applications. Avec la partie SD-WAN du SASE, les entreprises orientent intelligemment le trafic vers le cloud, directement à partir des succursales, et mettent en œuvre un moyen robuste et flexible de connecter les succursales au siège social. Les solutions SD-WAN sécurisées avancées avec pare-feu intégré de nouvelle génération peuvent même remplacer les pare-feux de succursale existants, en proposant des fonctionnalités telles que la protection IDS/IPS et DDoS.

HPE accélère la transition vers le SASE grâce à un framework zero trust de l’edge au cloud. Contrairement aux produits zero trust cloisonnés, notre plateforme unifiée réunit le SD-WAN, le SSE et le NAC pour appliquer des politiques cohérentes à chaque utilisateur et appareil, sur site ou à distance.

Le portefeuille SSE propose ZTNA, SWG, CASB et DLP, tous gérés à partir d’une interface unique, tandis que notre NAC cloud-native étend le zero trust à tous les appareils, même non gérés ou IoT, grâce à une observabilité, une authentification et une segmentation dynamique pilotées par l’IA, offrant un accès sécurisé et une application cohérente dans divers environnements.

Nos solutions SD-WAN sécurisées pilotées par l’IA combinent des fonctionnalités réseau avancées telles que l’agrégation de tunnels, la sélection du meilleur chemin, l’optimisation WAN et le réseau multicloud avec une sécurité intégrée, incluant un pare-feu de nouvelle génération, un système IDS/IPS, une défense DDoS adaptative, le filtrage d’URL et la segmentation basée sur les rôles. Elles s’intègrent nativement avec le SSE pour une architecture SASE unifiée complète, ou avec des partenaires SSE tiers pour une approche ouverte et flexible.