Qu’est-ce que l’architecture SASE ou Secure Access Service Edge ?

Le SASE ou « service d’accès sécurisé edge » en français est considéré comme une révolution dans l’architecture de sécurité du réseau. Rappelons que l’architecture de sécurité des réseaux de l’entreprise est centrée sur le data center. Les appareils des bureaux sont reliés entre eux grâce à des réseaux privés, c’est-à-dire des pare-feux et des passerelles web.

D’après le rapport de Gartner en 2019, ces modèles traditionnels sont obsolètes. Il recommande plutôt de fournir davantage d’efforts sur l’identité des utilisateurs et des appareils. Le rapport évoque différentes raisons à ce changement :

• l’émergence du cloud fait que les utilisateurs peuvent accéder à des applications et logiciels de l’entreprise partout ;
• le trafic utilisateur est par conséquent davantage redirigé vers les services cloud plutôt que les data centers ;
• cela implique aussi une augmentation de la charge de travail dans les services cloud et par conséquent une hausse de l’utilisation des applications SaaS ;
• la majorité des données sensibles se trouve désormais dans les services cloud aux dépens du réseau d’entreprise.

Dans ce contexte, le SASE s’impose ainsi comme une nouvelle architecture du réseau qui combine la gestion du réseau cloud et sa sécurité. SASE intègre la sécurité du réseau aux capacités du WAN. Cela permet à l’entreprise d’obtenir une utilisation optimale et sécurisée des applications basées sur le cloud. Tous les utilisateurs, peu importe leur emplacement géographique, peuvent accéder au réseau de l’entreprise grâce à une plateforme de gestion unique.

SASE offre également à l’équipe de sécurité un tableau de bord centralisé de l’ensemble du réseau. Chaque connexion d’un utilisateur, d’un appareil ou d’un autre terminal est directement identifiée. Celle-ci est soumise automatiquement aux politiques de sécurité de l’entreprise.

Dans un modèle de sécurité du réseau traditionnel, le trafic est acheminé via un protocole MPLS (multiprotocol label switching) vers les pare-feux du data center. Cette connexion au réseau est efficace si l’utilisateur se trouve sur place. L’essor du télétravail fait que les utilisateurs se connectent depuis des emplacements distants. Pourtant, transférer le trafic distant de l’utilisateur vers le data center pour identification et vérification avant de le renvoyer prend beaucoup de temps. Ceci nuit à la productivité au travail et à l’expérience utilisateur.

Le SASE propose une mise en réseau directe et sécurisée. Au lieu de passer le contrôle de sécurité dans le datacenter, le trafic est inspecté par un point qui se trouve à proximité. Pour l’utilisateur, il s’agit d’une option plus efficace en matière de protection des données.

Une migration de données vers le cloud implique souvent l’utilisation de clouds publics pour une entreprise. Cette dernière assure la gestion des bureaux distants des télétravailleurs grâce au SD-WAN (réseau étendu software-defined). Cependant, le SD-WAN ne propose pas forcément un contrôle d’accès pour protéger les réseaux. C’est là que SASE intervient. La solution garantit la sécurité dans l’environnement cloud grâce à plusieurs composants clés.

Cette architecture de superposition repose sur un logiciel de commutation ou de routage afin de créer des connexions virtuelles entre les appareils. Pour les utilisateurs, l’expérience est meilleure grâce à des chemins illimités du trafic. Le chiffrement des données est également plus flexible.

Comme son nom l’indique, le pare-feu sort de son périmètre d’intervention classique pour aller dans le cloud. Cela permet aux employés en voyage d’affaires ou en télétravail de se connecter au réseau sans faire l’impasse du pare-feu.

Cette passerelle filtre le trafic pour bloquer les connexions non autorisées. La passerelle SWG identifie les menaces avant leur pénétration dans le réseau. Pour cela, elle combine plusieurs fonctionnalités comme le filtrage URL, la détection du code malveillant et l’élimination de logiciels malveillants.

Il s’agit d’une technologie basée sur le cloud qui suppose que tous les utilisateurs ne sont pas dignes de confiance. L’accès est accordé uniquement dans le périmètre d’intervention de l’employé, soit un droit d’accès minimal.

Cette technologie implique que chaque utilisateur doit passer l’authentification et la validation pour utiliser une application ou accéder aux données de l’entreprise. La solution ZTNA permet à l’entreprise d’économiser sur l’utilisation d’un VPN traditionnel.

Cette solution basée sur le cloud assure la sécurité des services sur le cloud et des utilisateurs sur site de l’entreprise. Le CASB propose différentes fonctionnalités comme la visibilité des risques, la détection et la gestion du shadow IT, la prévention des menaces et le contrôle granulaire de l’utilisation du cloud. Le CASB est également capable de bloquer le partage non autorisé des données sur le cloud.

Voici quelques-uns des avantages du SASE par rapport à la sécurité traditionnelle du réseau : 

Malgré l’adoption d’un environnement multicloud, la majorité des entreprises recourent encore aux VPN pour sécuriser leur réseau. Pourtant, lorsque la passerelle VPN enregistre un trafic simultané important des employés, les performances se détériorent. L’utilisation d’un VPN nuit ainsi à la productivité, notamment des télétravailleurs. SASE propose une optimisation grâce à une meilleure gestion des connexions aux points d’échanges internet.

Dans leur effort en faveur de la cybersécurité, les entreprises ont intégré différentes solutions de sécurité. Ces dernières impliquent pourtant des coûts en matière d’exploitation et de gestion. Le SASE propose une approche moderne pour répondre aux enjeux actuels. Au lieu de renforcer la sécurité d’un périmètre défini, il se concentre sur chaque utilisateur. SASE ramène la sécurité à l’utilisateur au lieu d’envoyer l’utilisateur vers un contrôle de sécurité. Prenons un utilisateur qui souhaite accéder à une application, SASE autorise ou refuse la connexion en se basant sur la politique de sécurité de l’entreprise.

SASE a été conçue pour répondre aux défis imposés par la migration vers le cloud. Il offre à l’entreprise une protection efficace contre les menaces et la perte de données grâce à un contrôle systématique de chaque connexion, peu importe son emplacement.