什么是SASE（安全访问服务边缘），一图看懂概念和应用场景

来源｜翼安研习社 发布时间｜2021-11-18 在中国电信云网发展部的指导下，由中国电信研究院联合绿盟科技、深信服、安恒信息、武汉绿网、任子行、芯盾时代、缔安科技等7家公司，共同编写了《安全访问服务边缘（SASE）技术应用白皮书》。本白皮书立足国内网络安全产业的发展现状，从客观技术视角阐述对SASE的理解，并对相关概念进行澄清。 企业数字化转型和业务上云的趋势下，传统的网络和网络安全体系架构无法满足数字业务的动态安全访问需求，企业的数据中心不再是用户与设备访问需求的中心。由于数字化转型的企业需要随.

SASE 是一种基于**实体的身份**、实时上下 文、企业安全/合规策略，以及在整个会话中持续 评估风险/信任的服务

近几年Gartner所提的新兴技术大多都涵盖到SASE架构中。Gartner预计，到2024年，将有40％的企业采用SASE基础架构。SASE的出现，颠覆了以往的网络和网络安全体系架构，未来的安全是厂商合作为主，相互补足，最后形成一个集成大多数厂商安全能力的整体安全防护平台，从而为数据安全提供更加坚实、全面的保障。

随着近年来网络安全事件高危频发，国家陆续出台和颁布《网络安全法》、《公安部82号令》、《等保2.0》等法规，《公安机关互联网安全监督检查规定》加大整治、惩罚忽视或恶意破坏网络安全的行为，企业加大IT和网络安全投入迫在眉睫。而安全访问服务边缘（SASE）作为一种新型的网络安全模型，为企业和组织提供了一种全面、高效且灵活的网络安全和连接解决方案。通过身份驱动的私有网络、云原生架构以及支持所有边缘的特性，SASE不仅能够提高安全性和响应能力，还能降低IT成本并提高网络性能和可靠性。

SASE（Secure Access Service Edge），安全访问服务边缘 SASE是做什么的？ SASE用于从分布式云服务交付聚合的企业网络和安全服务。SASE克服了分散集成和地理位置约束解决方案的成本、复杂性和刚性。当SASE与全球私有骨干网相结合时，还可以解决WAN和云连接方面的挑战。 SD-WAN和SASE的区别？ SD-WAN是SASE平台的关键组件，它将分支位置和数据中心连接到SASE云服务。SASE扩展了SD-WAN，以解决包括全球范围内的安全性、云计算和移动性在内的整个WAN的转换过

安全访问服务边缘（SASE）是Gartner推出的一种架构框架和实现方式，旨在提出满足‘客户端到云’时代要求的安全解决方案。本文带你了解全面SASE。

本白皮书希望联合行业内的专家提供专业的回答来解释SASE是什么，基于什么样的技术，如何采用这个技术和解决方案，从而来推动SASE在国内的发展。

在企业纷纷拥抱数字业务的过程中，由于边缘计算、云服务、混合网络的逐渐兴起，使得本就漏洞百出的传统网络安全架构更加岌岌可危，而且远远无法满足企业数字业务的需要。为了应对这种情况，一个全新的模型——安全访问服务边缘（SASE）应运而生。 什么是安全访问服务边缘（SASE）？ 首先，我们需要明确SASE的定义。定义很重要，迄今为止，SASE对于不同的人而言意味着不同的事物，但是鉴于该术语的新颖性/热度，存在这种情况也不足为奇。 SASE全称Secure Access Service Edge，即安全访问服务边缘，

Gartner报告阐明了在新的网络和安全模型的基础上进行云网络和安全转型的潜力，该模型称为安全访问服务边缘（SASE）。 随着企业纷纷拥抱数字业务过程，以及边缘计算、云服务和混合网络的兴起，传统网络和安全架构的整体复杂性带来了问题，例如延迟、网络盲点、过多的管理开销以及随着服务变化而不断进行重新配置的需求。通过降低网络复杂度和将安全过程迁移至可发挥最大效用的网络边缘，SASE 模型摒除了这些问题。 提高性能 网络拥塞导致的丢包和无序数据包对应用程序的影响非常大。数据包丢失会严重影响延迟敏感的应用程序（如视

Gartner的定义是这样的：SASE是一种网络架构和服务模型，用于集成广域网（WAN）和网络安全功能，以提供安全、一致的访问企业应用程序和数据的能力。SASE通过将网络和安全功能转移到云端，实现了边缘计算、安全性和网络连接的一体化。SASE做的就是将SD-WAN的功能与安全性相结合，并作为服务进行交付。SD-WAN技术使组织能够在各个位置之间建立安全且优化的网络连接，包括分支机构、数据中心和云环境。它提供智能路由功能、动态流量管理和网络可见性。企业数字化转型和业务上云是SASE的重要驱动力。

SASE的最大好处是对基于云的企业安全性与本地安全性的支持，以及融合网络和安全功能的能力。从云端分发关键的网络和安全功能，使其靠近用户和应用程序，从而减轻了数据中心的负担并缩短了网络响应时间。是一种新兴的网络架构模型，它将网络安全和网络边缘服务相结合，提供了一种集成的、云原生的安全和网络服务解决方案。SASE的核心理念是将网络和安全功能从传统的分散部署转移到云端，通过云服务提供商提供的全球性网络来实现。通过整合安全和网络服务，并使用云原生的管理工具，降低了部署和管理的复杂性，并提供更高效的网络和安全管理。

SASE不仅仅是一个技术架构，它代表了一种企业网络安全的全新思维模式，适应了数字化转型和云化办公的趋势。它为企业提供了更为高效、可靠和安全的网络解决方案。

SASE安全架构包括以下几个组件：PoP实例、边缘、安全即服务、威胁检测与响应管理（MDR）。 一.PoP实例-流量处理引擎 1.PoP结构 核心云网络, 由地理上分布的PoPs(Points of Presence)组成，每个PoP运行多个处理服务器。每个PoP运行一个专门构建的软件栈，在所有流量上应用路由、加密、优化和高级安全服务。PoP由运行相同软件栈的多个功能强大的现有服务器(commodity off the shelf servers,COTS)组成。 2.PoP的可扩展性和灵活性 PoPs的设

它属于将网络安全功能与软件定义广域网（SD-WAN）相结合的产品和服务类别。SASE 是一种新框架，可解决管理外部流量的网络和安全需求的挑战，而无需通过数据中心进行路由。随着企业越来越依赖基于云的应用程序，它给数据中心带来了压力，导致拥塞和延迟。SASE 通过从云中分配更靠近用户和应用程序的必要网络和安全功能来解决此问题。这减轻了数据中心的负担并缩短了网络响应时间。您可以使用 SASE 解决方案通过全球平台保护和连接设备。SASE 解决方案以服务和交钥匙边缘设备的形式提供。

SASE改变了传统应用访问和安全防护模式，可极大提升用户访问混合环境下各类服务的便利性和安全性，它为企业的数字化转型而生，其重云端轻地端，边缘化去中心的服务架构能更好适应数字化转型企业的IT建设需求，多合一的网络安全能力可以解决云时代下大量企业面临的实际问题，中国特色化SASE发展前景让人期待。零信任代表了新一代的网络安全防护理念，并非指某种单一的安全技术或产品，其目标是为了降低资源访问过程中的安全风险，防止在未经授权情况下的资源访问，其关键是打破信任和网络位置的默认绑定关系。

一种结合了广域网功能和全面的网络安全功能的新兴服务产品，能满足数字化企业的动态安全访问需求。简单来说，SASE是在云中整合网络功能和安全功能，确保用户能够随时随地顺畅、安全地访问工作所需的应用。它的核心功能包括。

此外，SASE支持零信任网络，确保只有经过验证的用户、设备和应用程序（而不是位置和IP地址）才能访问网络资源，提高了整体安全性。通过云交付模式，SASE能够提供灵活性和可扩展性，适应不断变化的业务需求和安全挑战。SASE通过将SD-WAN和SSE（安全服务边缘）结合起来，为企业提供了一个统一、灵活且高效的安全架构，它不仅简化了网络安全的管理，还降低了成本，提高了性能和安全性。• 工作原理：ZTNA通过微分段和访问控制列表（ACLs）限制访问，只有经过验证和授权的用户和设备才能访问特定的应用程序和资源。

SASE是一种基于实体的身份、实时上下文、企业安全/合规策略，以及在整个会话中持续评估风险/信任的服务。