什么是 SSE(安全服务边缘优势)

　　SSE 意味着什么?

　　SSE 是指安全服务边缘优势，是一种云交付的安全解决方案，结合了关键安全服务，为远程用户提供对 SaaS、Web 和私有应用程序的安全访问。这些云交付的安全服务协同工作，保护用户、设备和应用程序边缘的安全，无论其位于何处，如下所示：

　　CASB – 作为一体化平台，管理员可以在其中集中配置云服务的使用和控制策略，包括带内和带外

　　FWaaS – 下一代防火墙(NGFW) 的云版本，包括 入侵防御服务、反恶意软件保护、网络安全、反垃圾邮件和沙箱

　　SWG - 检查最终用户 Web 活动并应用一组一致的安全策略，以贯彻执行端点的安全浏览惯例：数据丢失防护 (DLP)、深度 SSL 检查、URL 过滤、DNS 过滤

　　ZTNA - 基于明确定义的访问控制策略，提供对具体服务、应用程序和数据的安全远程访问。

　　SSE 与 SASE 的区别：历史背景

　　SASE 定义：

　　安全访问服务边缘 (SASE) 是一种将 SSE(云交付的安全服务)与 SD-WAN 本地(组网)功能相结合的架构，以支持当今高度移动性的员工的动态安全访问需求。因此，SASE 在确保可以在任何地方(包括 WAN 边缘、云边缘、数据中心 (DC) 边缘、核心边缘和端点设备)交付安全性方面发挥着关键作用。

　　早在 2019 年，Gartner 就推出了 SASE，并将其定义为网络安全功能(即云交付的安全服务)与 WAN 功能(即 SD-WAN)的组合，为组织提供安全访问。SASE 将主要基于用户或设备的身份、实时环境和安全/合规政策作为服务交付。

　　当今的 SASE(安全访问服务边缘)是指什么? 疫情后，SAE 为混合办公人员提供一致的企业级网络安全，无论其身处何处。

　　为确保安全访问 Web、云和私有应用程序，有效的 SASE(安全访问服务边缘)解决方案应包括下一代防火墙 (NGFW)、安全 Web 网关 (SWG)、零信任网络访问 (ZTNA)，以及下一代双模式云访问安全代理 (CASB) 和 SD-WAN。

　　SASE 是在随时随地办公的分布式企业中为用户提供安全访问的关键。确切地说，SASE 应该为远程工作人员提供与在组织传统的内部办公室工作时相同的保护和性能。虽然各供应商的综合组网和安全解决方案差异很大，但安全访问服务边缘(SASE)解决方案最重要的特征包括：

　　一体化的安全功能

　　网络与 SD-WAN 功能相结合

　　根据人物与位置，基于所在情形的访问身份

　　云交付的安全和组网服务

　　Gartner 对 SSE 的介绍

　　作为 安全访问服务边缘(SASE) 的后续行动，2022 年，Gartner 推出了 Secure Service Edge 或 SSE，作为 SASE 云 云交付安全服务组件。 安全访问服务边缘(SASE) SSE 作为安全子集，包括防火墙即服务 (FWaaS)、安全 Web 网关 (SWG)、云访问安全代理 (CASB) 和零信任网络访问 (ZTNA)。组网组件是软件定义的广域网 (SD-WAN)。 因此，SD-WAN + SSE = SASE。

　　在本文中，我们将阐明 SASE、SD-WAN 和 SSE 之间的关系，以及为什么 SASE 的每个组件对于全面的 SASE 方法都是必要的。此外，我们将探讨 SASE 的五个关键应用场景，以及选择 SD-WAN 与 SSE 与 SASE 解决方案的关键考虑因素，包括单一供应商 SASE 方法。

　　安全访问服务边缘(SASE) 架构和组件

　　SASE 是一种融合组网和安全的架构，结合了云交付的安全性或 SSE 和 SD-WAN(组网)，以确保混合型员工能够一致、安全地访问关键资源。全面灵活的 SASE 解决方案可以保障整个分布式企业的安全。

　　在本节中，我们将探讨用于安全 SaaS 访问、安全互联网访问、安全私有访问及其支持组件的 SASE 应用场景，以及云管理和简化的引导过程。

　　应用场景：SASE 安全 SaaS 访问和 CASB

　　无论应用程序、设备、用户和工作负载位于何处，SASE 解决方案都必须能够安全访问关键资源。随着企业对 SaaS 应用程序的依赖程度不断提高，有效的云交付安全解决方案必须保护任务关键型数据，并保护和保障基于云的信息。

　　有效的解决方案应支持下一代双模 CASB，同时支持在线和基于 API 的功能，以克服影子 IT 挑战并保护关键数据。考虑到这一点，SASE 解决方案应提供对关键 SaaS 应用程序的可见性，报告有风险的应用程序，对应用程序进行精细控制以保护敏感数据，并检测和修复受管理和未受管理的设备中的应用程序恶意软件。

　　配备 DLP 的 CASB 可保护基于云的资源

　　CASB 位于用户及其云 SaaS 应用程序之间，以便在用户访问基于云的资源时贯彻执行安全策略。CASB 的四大支柱是所有云应用程序的可见性、内置数据安全性、高级威胁防护 (ATP)，以及基于行业的合规性(例如医疗保健业的 HIPAA 和金融机构领域的 FINRA)。

　　具体而言，CASB 提供对设备和位置信息等云应用程序使用情况的全面可见性，以帮助组织保护数据、知识产权和用户。它还提供云发现分析，使组织能够评估云服务的风险，并决定是否授予用户访问应用程序的权限。CASB 解决方案必须包括 DLP 工具，以便组织可以监控在其本地环境和云环境之间移动的敏感信息，防止数据外泄。

　　CASB 还使组织能够防范来自授权用户的内部攻击。它可以创建全面的使用模式，作为识别异常行为时的基准，使组织能够在发生不当访问或窃取数据的企图时立即检测到。

　　CASB 基于云的服务使组织能够控制其 SaaS 应用程序，包括保护应用程序访问和消除影子 IT 挑战。这需要与本地 DLP 相结合，以确保全面预防数据丢失。

　　数据丢失预防(DLP)

　　防数据泄露 是一种网络安全解决方案，可检测和防止数据泄露。数据泄露的威胁——即未经授权的个人窃取、使用或查看保护的事件——随着数字技术的加速发展而迅速增加。防数据泄露 解决方案可阻止敏感数据提取，使其成为内部安全和监管合规的有用工具。

　　DLP 使企业能够检测数据丢失，并防止数据在组织外部的非法传输以及敏感或个人身份数据 (PII) 的意外销毁。它还用于帮助组织实现数据安全，并确保他们遵守《加州消费者隐私法》(CCPA)、《欧盟通用数据保护条例》(GDPR) 以及《健康保险携带和责任法》(HIPAA) 等法规。

　　术语“数据丢失”和“数据外泄防护”通常可互换使用，但 DLP 安全服务使组织能够同时防御这两种情况。DLP 可让企业：

　　跨多个本地和基于云的系统识别敏感信息

　　防止意外数据共享

　　监控和保护私人数据

　　引导用户保持合规性

　　应用场景：安全的互联网接入、FWaaS 和 SWG

　　由于远程和混合工作的现状，直接的互联网访问扩大了组织必须解决的潜在攻击面。由于网络罪犯将继续瞄准这种不断扩大的攻击面，因此组织需要一种能够跟踪、支持和保护用户的解决方案，而无论用户位于何处。

　　SASE 安全服务必须提供比加密隧道更多的功能来应对高级威胁。它还必须包括一系列企业级安全解决方案，旨在检查流量，检测和应对已知和未知的威胁。

　　其中包括一些基本要素，例如用于监控和保护数据和应用程序免受基于网络的攻击策略的 SWG 解决方案、URL 过滤、DNS 安全、反钓鱼、防病毒、反恶意软件和沙箱。

　　资料来源于网络，详情请点击：

fortigate下一代防火墙（https://www.fortinet.com/cn/products/next-generation-firewall）