资源描述
2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 1 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 3致 谢云 安 全 联 盟 大 中 华 区 （ 简 称 ： CSA GCR） SASE 工 作 组 在 2 0 2 1 年 1 0 月 成 立 。由 林 冠 烨 、 何 国 锋 担 任 工 作 组 联 席 组 长 ， 工 作 组 专 家 来 自 深 信 服 、 中 国 电 信 、 新华 三 、 飞 塔 、 绿 盟 科 技 、 白 山 云 、 启 明 星 辰 、 缔 盟 云 、 奇 安 信 、 安 恒 、 安 全 狗 、万 科 、 缔 安 、 腾 讯 、 信 通 院 等 十 多 个 单 位 。本 白 皮 书 由 CSA 大 中 华 区 SASE 工 作 组 专 家 撰 写 ， 感 谢 以 下 专 家 的 贡 献 ：联 席 组 长 ： 林 冠 烨 、 何 国 锋贡 献 者 名 单原 创 作 者 ： 张 琦 枫 、 岑 义 涛 、 郭 思 麟 、 钟 施 仪 、 朱 传 江 、 毕 亲 波 、 廖 奎 敬 、王 茜 、 郑 舟 、 何 春 根 、 吴 致 远 、 叶 晓 刚 、 黄 超审 核 专 家 ： 郭 鹏 程 、 姚 凯贡 献 单 位 ： 深 信 服 科 技 股 份 有 限 公 司 、 中 国 电 信 股 份 有 限 公 司 研 究 院 、 新 华三 技 术 有 限 公 司 、 防 特 网 信 息 科 技 （ 北 京 ） 有 限 公 司 （ Fortinet ） 、 绿 盟 科 技 集团 股 份 有 限 公 司 、 贵 州 白 山 云 科 技 股 份 有 限 公 司 、 北 京 启 明 星 辰 信 息 安 全 技 术 有限 公 司 、 杭 州 云 缔 盟 科 技 有 限 公 司 、 奇 安 信 科 技 集 团 股 份 有 限 公 司 、 杭 州 安 恒 信息 技 术 股 份 有 限 公 司 、 厦 门 服 云 信 息 科 技 有 限 公 司 、 上 海 缔 安 科 技 股 份 有 限 公 司 、腾 讯 云 计 算 （ 北 京 ） 有 限 责 任 公 司 、 北 森 云 计 算 有 限 公 司研 究 助 理 ： 郭 思 麟（ 以 上 排 名 不 分 先 后 ）关 于 研 究 工 作 组 的 更 多 介 绍 ， 请 在 CSA 大 中 华 区 官 网（ c- 上 查 看 。如 本 白 皮 书 有 不 妥 当 之 处 ， 敬 请 读 者 联 系 CSA GCR 秘 书 处 给 与 雅 正 ! 联 系邮 箱 ： infoc-； 云 安 全 联 盟 CSA 公 众 号 ： 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 4序 言云 计 算 、 物 联 网 、 边 缘 计 算 等 新 兴 技 术 的 迅 猛 发 展 ， 对 传 统 安 全 防 御 方 式 带来 了 极 大 挑 战 ， CSA 的 前 沿 研 究 一 贯 鼓 励 网 络 安 全 创 新 理 念 ， 例 如 网 络 业 务 与 安全 技 术 的 深 度 融 合 。自 2 0 1 9 年 Gartner 提 出 安 全 访 问 服 务 边 缘 （ SASE） 的 概 念 起 ， 海 外 的 安 全厂 商 、 新 创 公 司 ， 甚 至 是 运 营 商 和 网 络 设 备 厂 商 ， 都 纷 纷 开 始 投 入 这 个 领 域 ， 不约 而 同 的 推 出 了 自 己 的 解 决 方 案 并 在 市 场 上 得 到 快 速 的 增 长 。2 0 2 0 年 ， SASE 在 国 内 也 开 始 成 为 各 类 安 全 厂 商 们 追 逐 的 下 一 个 风 口 。 在 市场 上 各 类 不 同 的 网 络 和 安 全 方 案 都 基 于 自 己 的 技 术 和 模 式 ， 提 供 了 SASE 的 解 决方 案 。 蓬 勃 发 展 对 整 个 行 业 发 展 和 用 户 选 择 是 一 件 好 事 ， 但 缺 乏 标 准 化 可 能 也 会导 致 技 术 的 发 展 受 限 于 割 裂 的 技 术 框 架 ， 甚 至 会 停 滞 不 前 。 就 像 是 安 全 设 备 的 的日 志 不 统 一 导 致 安 全 运 营 效 果 的 问 题 。因 此 ， 本 白 皮 书 希 望 联 合 行 业 内 的 专 家 提 供 专 业 的 回 答 来 解 释 SASE 是 什 么 ，基 于 什 么 样 的 技 术 ， 如 何 采 用 这 个 技 术 和 解 决 方 案 ， 从 而 来 推 动 SASE 在 国 内 的发 展 。 让 更 多 人 了 解 到 这 个 技 术 带 来 的 变 化 和 好 处 。 同 时 ， 这 只 是 个 开 始 ， 本 工作 组 将 会 联 合 厂 商 推 出 更 多 的 标 准 ， 行 业 最 新 的 信 息 ， 让 整 个 技 术 规 范 化 和 标 准化 ， 让 SASE 的 技 术 能 在 中 国 加 速 的 发 展 。 李 雨 航 Yale LiCSA 大 中 华 区 主 席 兼 研 究 院 院 长 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 5目 录致 谢 .3序 言 .41.SASE概 述 .61.1 SASE背 景 .61.2什 么 是 SASE.71.3 SASE的 核 心 能 力 概 述 . 91.4 SASE和 ZTE的 关 系 .121.5 SASE发 展 现 状 及 趋 势 .131.5.1 SASE发 展 现 状 .131.5.2 SASE发 展 趋 势 .142.SASE核 心 技 术 . 162.1 边 缘 计 算 . 162.2 零 信 任 网 络 访 问 .162.2.1 为 什 么 需 要 ZTNA.162.2.2 ZTNA模 型 . 182.3 网 络 即 服 务 . 202.3.1 网 络 接 入 服 务 .202.3.2 灵 活 组 网 服 务 .212.3.3 组 网 安 全 服 务 .222.3.4 基 于 应 用 的 服 务 保 障 .222.3.5 统 一 监 控 和 策 略 管 理 服 务 .232.4 安 全 即 服 务 . 242.4.1 企 业 员 工 安 全 访 问 互 联 网 或 外 部 应 用 .242.4.2 企 业 外 部 人 员 安 全 访 问 企 业 内 部 资 源 .262.4.3 企 业 内 部 人 员 安 全 访 问 企 业 内 部 资 源 .273.SASE应 用 场 景 . 293.1 连 锁 及 加 盟 企 业 .293.2 跨 地 域 分 支 机 构 .313.3 远 程 和 移 动 办 公 .334.总 结 .36 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 61.SASE 概 述1.1 SASE 背 景随 着 云 计 算 、 物 联 网 、 5 G 等 关 键 技 术 的 不 断 突 破 发 展 ， 企 业 数 字 化 转 型 节奏 越 来 越 快 。 企 业 为 提 高 核 心 竞 争 力 ， 其 业 务 部 署 环 境 越 来 越 多 样 ， 包 括 传 统 的IDC 机 房 、 私 有 云 、 多 云 、 混 合 云 等 ， 同 时 业 务 访 问 端 也 由 单 一 的 内 部 用 户 扩 展到 企 业 分 支 用 户 、 企 业 合 作 伙 伴 、 远 程 移 动 办 公 终 端 等 。在 这 个 过 程 中 安 全 紧 随 企 业 的 网 络 和 业 务 架 构 演 进 而 发 展 。 十 几 年 前 ， 企 业业 务 流 量 总 量 不 大 、 流 量 以 内 部 流 转 为 主 、 移 动 办 公 需 求 少 且 默 认 企 业 内 流 量 安全 ， 这 种 情 况 下 集 中 式 安 全 栈 方 案 得 到 大 规 模 应 用 ， 这 种 以 企 业 自 建 数 据 中 心 为核 心 的 中 心 辐 射 型 网 络 拓 扑 备 受 企 业 青 睐 。近 几 年 ， 随 着 云 端 SaaS 应 用 普 及 和 企 业 员 工 分 散 导 致 企 业 互 联 网 流 量 增 多 ，中 心 辐 射 型 网 络 架 构 面 对 高 成 本 的 MPLS 链 路 、 总 部 集 中 上 网 应 用 访 问 体 验 差 、安 全 边 界 绕 行 及 总 部 VPN 容 量 挑 战 等 问 题 ， 不 得 不 顺 势 改 变 网 络 及 安 全 建 设 思路 。 在 此 阶 段 SDN 及 NFV 技 术 的 发 展 促 使 企 业 在 云 端 部 署 统 一 网 络 指 挥 中 心 成为 可 能 ， 分 支 和 总 部 互 联 可 通 过 更 便 宜 和 更 大 的 互 联 网 宽 带 进 行 以 分 散 专 线 压 力 。同 时 ， 对 于 远 程 用 户 来 说 ， 云 端 部 署 的 安 全 接 入 网 关 类 服 务 能 够 有 效 解 决 集 中 接入 的 体 验 和 安 全 问 题 ， 此 时 云 端 或 者 总 部 集 中 提 供 网 络 调 度 和 近 源 安 全 监 测 防 护理 念 越 来 越 深 入 人 心 。现 在 及 未 来 几 年 ， 越 来 越 多 的 公 有 云 厂 商 ， 甚 至 有 全 球 业 务 的 ICT 厂 商 、 互联 网 厂 商 都 在 建 设 自 己 的 数 据 中 心 ， 这 些 数 据 中 心 随 着 企 业 业 务 的 不 断 扩 张 ， 业 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 7务 范 围 越 来 越 广 ， 服 务 数 量 越 来 越 多 ， 连 通 性 越 来 越 好 。 也 许 ， 是 受 “ 云 ” 资 源共 享 商 业 模 式 的 启 发 ， 有 声 音 提 出 此 类 拥 有 全 球 互 联 数 据 中 心 的 企 业 是 否 可 以 将这 种 互 联 骨 干 网 作 为 资 源 共 享 出 去 ， 企 业 想 要 访 问 的 多 云 、 公 共 SaaS、 互 联 网等 连 通 问 题 由 此 骨 干 网 解 决 ， 有 互 联 需 求 的 其 他 中 小 型 企 业 均 可 以 把 流 量 引 入 这张 网 络 中 进 行 流 转 ， 同 时 为 了 降 低 时 延 提 供 统 一 的 网 络 就 近 接 入 点 ， 在 此 类 接 入点 上 同 时 部 署 身 份 校 验 、 威 胁 发 现 、 行 为 监 控 等 按 需 增 值 安 全 服 务 ， 这 实 际 上 就是 当 前 比 较 火 热 未 来 会 成 为 趋 势 的 安 全 访 问 服 务 边 缘 SASE 模 型 。2 0 1 9 年 ， Gartner 在 报 告 Hype Cycle for Enterprise Networking 2 0 1 9 中 首次 提 出 了 SASE（ Secure Access Service Edge） 的 概 念 ， 并 在 随 后 的 一 些 列 报 告 中进 行 了 详 细 阐 述 ， 通 过 对 SASE 的 定 义 理 解 ， 我 们 可 以 认 为 SASE 是 企 业 网 络 和 业务 架 构 演 进 至 “ 云 化 ” 、 “ 服 务 化 ” 后 的 自 然 而 然 的 安 全 理 念 。1.2 什 么 是 SASE为 了 适 应 数 字 化 业 务 发 展 的 需 要 ， 以 及 保 护 企 业 无 处 不 在 的 业 务 接 入 边 界 ，Gartner 在 2 0 1 9 年 发 布 的 报 告 网 络 安 全 的 未 来 在 云 端 中 首 次 提 出 安 全 访 问 服务 边 缘 （ SASE） 这 一 概 念 ， 称 其 为 一 种 新 兴 的 服 务 ， 它 将 广 域 网 接 入 与 网 络 安 全（ 如 ： SWG、 CASB、 FWaaS、 ZTNA） 结 合 起 来 ， 在 整 个 会 话 过 程 中 ， 综 合 基 于 实体 的 身 份 、 实 时 上 下 文 、 企 业 安 全 /合 规 策 略 ， 以 一 种 持 续 评 估 风 险 /信 任 的 服 务形 式 来 交 付 ， 其 中 实 体 的 身 份 可 与 人 员 、 人 员 组 （ 分 支 办 公 室 ） 、 设 备 、 应 用 、服 务 、 物 联 网 系 统 或 边 缘 计 算 场 地 相 关 联 。SASE 可 以 为 企 业 提 供 全 网 流 量 的 可 见 性 ， 包 括 本 地 、 云 和 移 动 端 访 问 应 用和 互 联 网 的 流 量 ， 甚 至 也 包 括 分 支 之 间 的 流 量 。 SASE 可 提 供 一 系 列 丰 富 的 网 络 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 8和 安 全 功 能 ， 对 流 量 进 行 安 全 检 测 与 路 由 转 发 ， 实 现 企 业 全 流 量 的 威 胁 检 测 与 控制 ， 并 根 据 应 用 优 先 级 进 行 路 由 ， 以 确 保 用 户 访 问 应 用 的 体 验 与 安 全 合 规 均 可 得到 保 障 。从 架 构 层 面 来 看 ， SASE 需 要 包 含 如 下 服 务 组 件 ： SASE 云 基 础 设 施 ： 对 于 客 户 透 明 的 SASE 底 座 ， 包 含 网 络 与 计 算 能 力 ，提 供 覆 盖 全 球 范 围 的 分 布 式 云 服 务 ， 能 够 为 客 户 交 付 网 络 和 安 全 能 力 。 SASE 管 理 平 台 ： 面 向 客 户 的 管 理 界 面 ， 实 现 针 对 网 络 和 安 全 能 力 的统 一 策 略 编 排 ， 安 全 与 应 用 性 能 分 析 ， 实 时 状 态 监 控 。 SASE PoP(Point of presence)： 为 客 户 提 供 就 近 接 入 的 网 络 接 入 节 点 与安 全 处 理 节 点 。 SASE 接 入 边 缘 ： 为 分 支 场 所 ， 移 动 用 户 提 供 硬 件 或 软 件 的 接 入 客 户端 ， 通 常 为 SD-WAN CPE 和 移 动 客 户 端 。从 能 力 层 面 来 看 ， SASE 需 要 包 含 主 要 的 网 络 和 安 全 能 力 ： 网 络 即 服 务 （ Network as a Service） SD-WAN 服 务 质 量 保 障 QoS 高 级 路 由 SaaS加 速 内 容 交 付 或 缓 存 广 域 网 优 化 分 布 式 连 接 安 全 即 服 务 （ Security as a Service） 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 9 FWaaS ZTNA/VPN 安 全 Web网 关 SSL深 度 检 测 云 沙 箱 IPS入 侵 防 御 系 统 CASB云 访 问 安 全 代 理 RBI远 程 浏 览 器 隔 离SASE的 四 个 主 要 特 点 ： 身 份 驱 动 ： 不 像 传 统 单 点 方 案 是 基 于 设 备 特 征 或 IP来 识 别 资 源 或 访问 源 ， SASE采 用 基 于 零 信 任 的 方 法 ， 以 身 份 为 依 据 ， 对 是 否 能 够 接 入 平 台 和是 否 有 访 问 目 标 应 用 的 访 问 权 限 来 进 行 控 制 。 云 原 生 ： SASE 能 够 以 云 原 生 、 “ 即 服 务 ” 的 方 式 提 供 给 客 户 使 用 ，是 一 种 OpEx 的 采 购 模 式 ， 且 能 够 提 供 多 租 户 、 可 扩 展 、 快 速 变 更 服 务 内 容等 能 力 。 全 边 缘 覆 盖 ： SASE作 为 企 业 广 域 网 的 新 “ 核 心 ” ， 能 够 支 持 所 有 企业 边 缘 接 入 ， 并 为 其 提 供 网 络 和 安 全 能 力 ， 无 论 接 入 用 户 或 网 络 位 于 何 地 ，并 能 提 供 端 到 端 的 路 径 或 应 用 优 化 以 确 保 访 问 体 验 。 分 布 式 连 接 ： 为 了 实 现 就 近 接 入 的 应 用 访 问 体 验 和 端 到 端 可 控 ， SASE提 供 商 必 须 提 供 近 源 的 PoP接 入 点 ， 交 付 高 性 能 、 低 延 迟 的 服 务 给 企 业 访 问者 ， 包 含 企 业 本 地 网 络 、 企 业 云 资 源 和 远 程 办 公 用 户 。1.3 SASE 的 核 心 能 力 概 述在 SASE中 ， 企 业 数 据 中 心 只 是 用 户 和 设 备 需 要 访 问 的 众 多 互 联 网 服 务 中 的 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 10一 个 而 不 再 是 网 络 架 构 的 中 心 ， 实 体 的 身 份 成 为 访 问 决 策 的 新 中 心 。 SASE 可 以交 付 聚 合 的 网 络 服 务 及 网 络 安 全 服 务 ， 完 成 传 统 网 络 架 构 和 安 全 硬 件 堆 叠 在 数 字化 转 型 浪 潮 下 的 结 构 化 转 变 ， 简 单 来 说 ， SASE 介 于 用 户 和 企 业 资 源 之 间 ， 为 企业 提 供 全 面 、 敏 捷 和 可 适 应 的 服 务 。 为 了 应 对 办 公 习 惯 的 转 变 如 移 动 办 公 、 居 家办 公 ， 应 对 基 础 设 施 云 化 、 应 用 SaaS化 转 型 带 来 的 挑 战 ， 快 速 适 应 IT基 础 设 施弹 性 、 灵 活 的 需 求 ， 将 割 裂 的 、 碎 片 化 的 云 化 /本 地 安 全 整 合 ， 紧 跟 IT数 字 化 转型 进 程 ， SASE必 须 要 具 备 以 下 核 心 能 力 ：一 、 云 原 生 安 全 架 构SASE 以 云 服 务 的 形 式 交 付 网 络 和 安 全 ， 是 面 向 云 计 算 开 发 部 署 运 维 的 解 决方 案 ， 其 云 原 生 架 构 使 服 务 更 具 灵 活 性 、 弹 性 可 扩 展 ， 具 备 自 适 应 性 、 自 恢 复 能力 和 自 维 护 功 能 ， 不 与 特 定 硬 件 平 台 绑 定 ， 能 够 适 配 与 集 成 多 种 云 平 台 应 用 ， 形成 网 络 与 安 全 的 综 合 云 化 ， 为 用 户 提 供 了 一 个 成 本 更 低 、 匹 配 度 更 高 、 效 率 更 高的 平 台 ， 可 以 快 速 适 应 新 兴 业 务 需 求 。二 、 广 泛 覆 盖 的 边 缘 节 点SASE将 能 力 分 布 在 边 缘 ， 提 供 接 入 、 处 理 、 执 行 能 力 ， 提 供 全 网 内 低 延 时 、安 全 的 访 问 ， SASE基 于 云 基 础 架 构 提 供 多 种 安 全 服 务 ， 例 如 威 胁 检 测 、 DNS安 全 、数 据 防 泄 密 、 Web过 滤 、 沙 箱 、 下 一 代 防 火 墙 、 上 网 审 计 、 终 端 安 全 、 ZTNA等 策略 ， 且 能 力 栈 以 分 布 式 形 式 在 全 球 部 署 ， 每 个 边 缘 接 入 节 点 都 具 有 一 致 的 网 络 和安 全 服 务 能 力 。 依 托 覆 盖 全 球 的 边 缘 云 节 点 ， 保 证 在 任 何 地 方 都 可 以 提 供 统 一 的高 质 量 网 络 和 安 全 服 务 ， 使 用 户 无 论 多 分 支 办 公 、 远 程 移 动 办 公 都 享 受 与 总 部 同级 别 的 上 网 安 全 防 护 、 隐 私 数 据 保 护 ， 满 足 企 业 数 字 化 业 务 与 资 源 动 态 扩 展 场 景 ，全 方 位 覆 盖 安 全 边 界 。三 、 统 一 控 制 中 心 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 11为 统 一 调 度 不 同 地 理 位 置 上 实 时 都 在 发 生 的 服 务 请 求 ， SASE 需 要 具 备 一 个统 一 的 控 制 中 心 作 为 SASE的 中 枢 神 经 系 统 ， 监 控 所 有 云 节 点 并 实 施 集 中 管 控 ，除 了 主 要 的 网 络 配 置 和 安 全 策 略 的 下 发 和 同 步 ， 还 包 括 软 件 和 数 据 库 的 更 新 以 及服 务 组 件 的 配 置 管 理 。 服 务 组 件 间 通 过 控 制 中 心 保 持 通 信 ， 每 个 组 件 都 能 够 实 时获 得 全 云 运 行 状 况 ， 策 略 也 能 下 发 到 所 有 服 务 组 件 。四 、 持 续 自 适 应 风 险 与 信 任 评 估 中 心全 球 海 量 的 日 志 数 据 同 步 到 SASE 数 据 中 心 ， 数 据 中 心 基 于 海 量 日 志 数 据 ，结 合 大 数 据 分 析 、 机 器 学 习 能 力 、 UEBA 技 术 等 ， 提 供 全 球 威 胁 情 报 ， 持 续 感 知监 测 风 险 。 让 SASE用 户 获 得 关 于 安 全 、 行 为 、 状 态 等 多 维 度 的 分 析 与 告 警 服 务 。五 、 零 信 任 访 问 架 构SASE 的 落 地 践 行 在 零 信 任 架 构 之 上 ， 任 何 身 份 都 是 在 “ 默 认 拒 绝 ” 的 基 础上 进 行 连 接 、 认 证 、 访 问 等 动 作 ， 比 如 路 由 、 权 限 、 安 全 控 制 等 均 依 赖 于 身 份 ，并 且 严 格 防 止 任 何 访 问 /威 胁 在 网 络 中 横 向 移 动 /扩 散 。 采 用 零 信 任 架 构 ， 使 用 访问 实 体 的 身 份 来 作 为 访 问 决 策 的 新 中 心 ， 根 据 实 体 上 下 文 信 息 来 判 断 身 份 ， 简 化访 问 的 策 略 设 置 ， 让 企 业 从 复 杂 的 设 备 逻 辑 和 分 散 的 地 理 位 置 中 抽 身 出 来 ， 聚 焦于 身 份 管 理 与 对 应 的 控 制 策 略 ， 构 建 带 着 零 信 任 基 因 的 SASE， 从 访 问 逻 辑 和 IT架 构 上 保 障 安 全 、 可 信 、 便 捷 与 弹 性 。六 、 网 络 即 服 务对 于 任 何 类 型 的 用 户 ， 都 通 过 轻 量 级 边 缘 组 件 来 抓 取 流 量 并 建 立 和 PoP的 连接 。 组 件 可 以 是 SD-WAN 设 备 、 智 能 引 流 器 、 VPN 应 用 或 是 浏 览 器 插 件 等 ， 安 全和 网 络 处 理 统 一 在 分 布 式 节 点 中 完 成 ， 以 服 务 化 的 模 式 提 供 用 户 所 需 的 能 力 。 其中 ， 网 络 即 服 务 包 括 网 络 接 入 能 力 、 智 能 选 路 能 力 、 流 量 QoS能 力 、 多 云 连 接 能力 、 网 络 加 速 能 力 、 网 络 冗 余 能 力 等 ， 以 满 足 用 户 终 端 、 分 支 、 数 据 中 心 间 数 据互 通 、 网 络 管 理 与 加 速 等 需 求 。 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 12七 、 安 全 即 服 务将 安 全 能 力 集 中 部 署 在 边 缘 PoP节 点 中 以 服 务 化 的 模 式 交 付 ， 构 建 完 整 的 安全 能 力 栈 如 威 胁 检 测 、 DNS安 全 、 数 据 防 泄 密 、 Web过 滤 、 沙 箱 、 下 一 代 防 火 墙 、上 网 审 计 、 终 端 安 全 、 ZTNA 等 ， 用 户 可 以 按 需 获 取 所 需 的 安 全 能 力 并 且 根 据 实际 情 况 随 时 弹 性 扩 展 能 力 ， 以 满 足 日 益 复 杂 的 安 全 需 求 以 及 亟 待 减 负 的 运 维 需 要 。八 、 云 网 安 融 合 管 理 能 力SASE 将 安 全 与 网 络 深 度 融 合 ， 只 需 要 一 个 统 一 管 控 平 台 ， 实 现 全 局 资 源 编排 ， 提 供 统 一 的 身 份 管 理 能 力 ， 网 络 与 安 全 的 配 置 能 力 、 运 维 能 力 、 监 控 能 力 ，以 及 全 局 态 势 感 知 与 分 析 能 力 等 。 交 付 一 个 平 台 即 可 实 现 企 业 移 动 办 公 人 员 、 分支 机 构 、 总 部 统 一 的 IT管 理 能 力 ， 企 业 无 需 购 买 和 管 理 多 点 传 统 硬 件 产 品 ， 大大 降 低 IT建 设 成 本 和 运 维 压 力 。1.4 SASE 和 ZTE 的 关 系Forrester 在 2021 年 2 月 发 表 了 David Holmes 和 Andre Kindness 的 关 键报 告 ， 提 出 了 安 全 和 网 络 服 务 的 零 信 任 边 缘 模 型 （ ZeroTrustEdge， 简 称 ZTE） ，明 确 指 出 SASE 就 是 零 信 任 边 缘 。 可 以 说 这 个 定 义 对 于 网 络 和 安 全 行 业 而 言 都 是一 个 重 要 里 程 碑 。Forrester 将 ZTE定 义 如 下 ：“ A Zero Trust edge solution securely connects and transports traffic,using Zero Trust access principles, in and out of remote sites leveragingmostly cloud-based security and networking services.” 即 ZTE 解 决 方 案以 零 信 任 为 原 则 ， 来 实 现 企 业 办 公 地 点 出 和 入 流 量 的 安 全 连 接 和 数 据 传 输 。举 例 说 明 ， 对 于 企 业 上 网 访 问 搜 索 引 擎 、 新 闻 网 站 等 这 类 流 向 互 联 网 的 流 量 ， 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 13是 应 以 身 份 为 核 心 去 保 障 每 个 员 工 的 上 网 安 全 ， 针 对 不 同 的 员 工 、 设 备 、 行 为 ，SASE 在 云 端 执 行 不 同 的 访 问 控 制 和 安 全 防 护 策 略 ； 而 对 于 企 业 访 问 企 业 应 用 的流 量 ， 例 如 ERP、 CRM等 ， SASE也 是 以 零 信 任 理 念 做 访 问 控 制 的 ， 例 如 访 问 过 程中 检 测 到 访 问 者 行 为 异 常 ， 可 以 随 时 中 断 连 接 。归 根 结 底 ， ZTE 和 SASE 的 目 标 都 是 要 让 用 户 可 以 在 任 意 地 点 更 好 、 更 安 全地 办 公 ， 同 时 让 企 业 数 据 得 到 更 好 的 安 全 保 障 ， 两 者 没 有 本 质 不 同 。1.5 SASE 发 展 现 状 及 趋 势1.5.1 SASE 发 展 现 状SASE 概 念 一 经 提 出 便 吸 引 了 业 界 高 度 关 注 。 历 经 两 年 的 发 展 ， 从 全 球 来 看SASE 产 品 逐 渐 成 型 、 应 用 场 景 逐 步 落 地 、 用 户 数 量 初 具 规 模 ， 但 各 供 应 商 针 对SASE的 解 决 方 案 不 完 全 一 致 。 总 的 来 说 ， 目 前 SASE领 域 主 要 存 在 五 个 现 状 ：一 、 概 念 理 解 存 在 偏 差 ， 标 准 有 待 统 一目 前 市 场 对 SASE 仍 存 在 理 解 偏 差 ， 如 认 为 SASE 可 以 解 决 一 切 安 全 问 题 、SD-WAN就 是 SASE等 ， 也 存 在 供 应 商 将 堆 叠 式 的 安 全 产 品 ， 打 包 的 解 决 方 案 作 为SASE对 企 业 提 供 服 务 的 现 象 。供 应 商 不 同 的 概 念 理 解 和 不 同 的 技 术 架 构 路 径 导 致 提 供 的 SASE能 力 和 标 准 不 一 ，国 内 外 对 SASE 的 评 估 标 准 也 不 统 一 。 就 国 内 而 言 行 业 目 前 仍 然 缺 少 行 业 或 官 方统 一 标 准 。二 、 供 应 商 持 续 投 入 ， 企 业 逐 步 应 用Garnter 发 布 的 Hype Cycle for Emerging Technologies,2021 （ 2021新 兴 技 术 成 熟 度 曲 线 ） 中 显 示 SASE目 前 正 处 于 期 望 膨 胀 期 ， 各 供 应 商 通 过 研 发 、合 作 、 并 购 等 方 式 不 断 完 善 自 身 SASE解 决 方 案 能 力 ， 例 如 Zscaler收 购 Edgewise 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 14Neworks 补 充 CASB 能 力 ， Palo Alto Networks 收 购 SD-WAN 供 应 商 CloudGenix等 。 但 仍 需 再 有 一 段 时 间 才 能 具 备 提 供 完 整 的 SASE服 务 能 力 。SASE所 具 备 的 分 布 式 边 缘 接 入 能 力 、 可 扩 展 性 等 特 点 使 其 在 企 业 远 程 办 公 、跨 区 域 互 联 等 场 景 得 到 了 一 定 的 应 用 。三 、 企 业 网 络 和 安 全 能 力 建 设 步 伐 不 一 ， 本 土 化 发 展 仍 需 探 索网 络 架 构 和 网 络 安 全 的 转 型 难 易 程 度 ， 以 及 部 分 企 业 网 络 和 安 全 独 立 建 设 ，造 成 在 建 设 SASE过 程 中 出 现 网 络 建 设 和 安 全 建 设 不 同 步 的 现 象 。 企 业 网 络 和 业务 逐 步 上 云 ， 云 化 的 安 全 服 务 相 对 滞 后 。对 于 SASE 的 定 义 而 言 ， 应 该 是 云 原 生 化 的 、 分 布 式 的 、 重 云 端 轻 分 支 的 、策 略 统 一 管 理 的 。 但 是 在 国 内 具 体 落 地 时 还 需 要 考 虑 不 同 供 应 商 情 况 、 不 同 行业 特 征 以 及 政 策 发 展 要 求 。 例 如 国 内 企 业 级 SaaS 产 品 尚 未 标 准 化 ， 因 此 CASB在 国 内 SASE供 应 商 的 解 决 方 案 中 作 为 非 核 心 模 块 ， 落 地 优 先 级 不 高 。四 、 SASE 供 应 商 技 术 积 累 不 足供 应 商 在 建 设 SASE的 过 程 中 ， 一 个 专 业 的 SASE团 队 可 以 起 到 事 半 功 倍 的 效果 ， 但 是 SASE 作 为 网 络 服 务 和 网 络 安 全 服 务 的 融 合 体 ， 亦 需 要 网 络 专 家 和 网 络安 全 专 家 通 力 合 作 ， 两 种 专 家 的 磨 合 、 两 种 技 术 的 融 合 对 建 设 SASE的 供 应 商 都是 一 个 重 大 挑 战 。 目 前 SASE还 处 于 起 步 阶 段 ， 技 术 积 累 还 需 时 日 。五 、 企 业 尚 未 进 入 大 规 模 采 用 阶 段企 业 在 实 施 SASE落 地 过 程 中 ， 如 何 解 决 漫 长 的 硬 件 寿 命 更 换 周 期 和 现 有 的软 件 合 约 带 来 的 替 换 成 本 过 高 的 问 题 也 迫 在 眉 睫 。1.5.2 SASE 发 展 趋 势在 远 程 办 公 、 云 端 数 据 保 护 、 企 业 数 字 化 转 型 及 安 全 建 设 和 政 策 的 驱 动 下 边缘 安 全 的 建 设 势 在 必 行 ， 目 前 SASE 是 解 决 分 布 式 访 问 的 最 适 方 案 ， 由 于 环 境 等 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 15诸 多 因 素 ， SASE未 来 的 发 展 趋 势 主 要 有 以 下 五 个 ：一 、 SASE 服 务 落 地 建 设 循 序 渐 进企 业 的 替 换 成 本 、 SASE能 力 建 设 成 熟 度 等 多 方 影 响 下 ， SASE 服 务 的 采 用 更可 能 是 渐 进 式 的 ， 先 解 决 单 独 的 业 务 场 景 需 求 ， 逐 渐 整 合 一 体 以 解 决 更 多 问 题 。二 、 未 来 一 段 时 间 交 付 形 式 持 续 多 样 化SASE 的 理 想 状 态 是 完 全 云 交 付 ， 但 是 考 虑 到 企 业 的 替 换 成 本 ， 国 内 的 使 用习 惯 、 行 业 特 性 等 ， 短 期 内 SASE的 交 付 形 式 仍 会 有 多 种 形 态 ， 包 含 云 原 生 部 署 、私 有 化 部 署 、 混 合 部 署 等 形 式 。三 、 多 种 方 式 完 善 SASE 服 务 能 力SASE能 力 的 建 设 非 一 朝 一 夕 可 以 完 成 ， 短 期 来 看 ， 在 SASE发 展 初 期 ， 各 供应 商 可 通 过 相 互 合 作 、 收 购 、 并 购 等 方 式 为 企 业 提 供 完 整 的 SASE服 务 ， 并 有 望通 过 技 术 架 构 调 整 、 整 合 ， 实 现 在 单 个 节 点 ， 通 过 接 入 点 便 可 执 行 全 部 网 络 策 略和 安 全 策 略 ； 长 期 来 看 ， 各 SASE供 应 商 必 将 呈 现 百 家 争 鸣 的 盛 况 。四 、 各 项 服 务 能 力 大 幅 提 升一 方 面 随 着 行 业 标 准 的 统 一 、 产 品 能 力 的 成 熟 ， SASE 对 远 程 员 工 、 云 端 数据 的 保 护 能 力 ， 边 缘 多 样 化 的 接 入 能 力 等 都 将 有 大 幅 提 升 。 例 如 SASE 通 过 统 一管 理 平 台 对 数 据 进 行 集 中 管 理 ， 可 使 敏 感 数 据 的 防 护 及 威 胁 检 测 能 力 更 上 一 层 楼 。另 一 方 面 SASE 本 身 是 要 求 拥 有 统 一 的 控 制 平 台 及 技 术 架 构 ， 统 一 的 控 制 管 理 能力 将 打 破 碎 片 化 的 用 户 体 验 ， 进 一 步 提 升 运 维 效 率 。再 者 供 应 商 未 来 可 通 过 SASE 提 供 统 一 的 安 全 托 管 服 务 ， 这 将 进 一 步 促 进 安全 托 管 服 务 行 业 的 发 展 。五 、 应 用 场 景 不 断 丰 富目 前 供 应 商 在 建 设 SASE 时 已 开 始 考 虑 未 来 接 入 IOT、 车 联 网 等 场 景 ， 随 着5G的 商 用 化 发 展 ， 其 与 SASE相 得 益 彰 ， 将 在 更 多 的 应 用 场 景 中 发 挥 其 价 值 。 2022 云 安 全 联 盟 大 中 华 区 版 权 所 有 162.SASE 核 心 技 术2.1 边 缘 计 算2016 年 5 月 , 韦 恩 州 立 大 学 施 巍 松 教 授 给 出 了 边 缘 计 算 的 正 式 定 义 : 边 缘计 算 是 指 在 网 络 边 缘 执 行 计 算 的 一 种 新 型 计 算 模 型 ， 边 缘 计 算 操 作 的 对 象 包 括
展开阅读全文