SASE 对 DevOps 团队意味着什么？

Myth丶恋晨 2023-10-02 21:51 47阅读 0赞

#### 目录 ####

*   *  一、什么是 SASE？
     *  二、为什么组织需要SASE？
     *   *  降低成本
         *  边缘到边缘的安全性
         *  数据保护
     *  三、影响一：SASE 将如何改变云安全堆栈
     *  四、影响二：SASE 将如何促进 DevSecOps 的采用
     *   *  促进合作
         *  增强网络
         *  默认安全
     *  结论

--------------------

你可能听说过这样一个词SASE，这是secure access service edge–安全访问服务边缘–的首字母缩略词，如今我们已经很难忽视它对技术行业的影响。

SASE 是在混合环境中实现网络的一种新方法，最重要的是它将安全性融入到网络结构中。

SASE 对 DevOps 团队所关心的两个领域产生着特殊影响：

1.  **[云安全][Link 1]**——SASE 有可能改变我们在多云中实践安全的方式，并将其与中央数据中心的安全统一起来。
2.  **[DevSecOps 采用][DevSecOps]**——SASE 可以使 DevSecOps 更容易采用，并可能成为全球分布的 DevSecOps 团队的重要基础设施。

下面就让我们来了解一下 SASE的结构，并了解它将如何影响未来几年的 DevOps。

--------------------

### 一、什么是 SASE？ ###

[SASE 是一种云服务][SASE]，可以扩展网络和安全功能，从而支持混合组织的动态、安全访问需求。

SASE 将 WAN 功能与网络和安全功能相结合，例如防火墙即服务 (FWaaS)、[零信任网络访问][Link 2](ZTNA)、安全 Web 网关 (SWG) 等。

SASE 平台捆绑了多种安全功能，包括 SD-WAN 和 SWG、CASB、ZTNA、FaaS 和 SaaS 等服务。这种多区域、多租户架构支持分布式和远程工作人员。SASE 使用位于端点附近而不是数据中心的存在点 (PoP) 的检查引擎。SASE 客户端将流量发送到最近的 PoP。

[SASE 架构][SASE 1]的核心特征是：

*  **全球 SD-WAN** — 私有 SD-WAN 主干通过避开公共互联网有助于减少延迟。
 *  **分布式架构**——SASE 使用多个检查引擎检查流量并在边缘执行策略。
 *  **云基础设施**——SASE 通过云提供服务，因此租户不必维护硬件和其他基础设施资源。这种方法具有可扩展性和成本效益。
 *  **基于身份的访问——访问**控制使用身份标记，例如用户的位置和设备。

--------------------

### 二、为什么组织需要SASE？ ###

#### 降低成本 ####

使用来自多个供应商的物理和虚拟设备非常麻烦且成本高昂。SASE 使组织能够用单一的云原生解决方案替换这种不同的模型。组织通过使用 SASE 可以通过一个提供商而不是多个提供商来提供更多的技术和服务。因此，它通过减少运行云环境所需的资源和带宽，消除了各种网络设备的成本并[优化了云成本。][Link 3]

#### 边缘到边缘的安全性 ####

SD-WAN 是 SASE 不可或缺的组成部分，提供 active-active 故障转移和 WAN 优化等功能，可提高性能并增强网络弹性。SASE 解决方案基于[安全自动化][Link 4]的概念，具有完全托管的网络安全堆栈，通常包括 SWG、下一代防火墙 (NGFW)、下一代网络架构和入侵防御系统 (IPS)。该模型有助于保护所有边缘，实现更好的网络可见性。

#### 数据保护 ####

SASE 提供全面的数据保护体验，可自动执行多个 DLP 流程，包括数据发现和存储位置的数据分类、数据使用和传输中的数据。它采用各种安全措施，例如用户和设备身份验证，以始终控制对数据和资源的访问。此外，SASE DLP 在整个网络中无缝推出保护策略。

--------------------

### 三、影响一：SASE 将如何改变云安全堆栈 ###

PaaS、SaaS 和 IaaS 等服务的出现鼓励组织实现远程工作。云支持分布式劳动力并简化业务流程，但它也使公司面临基于网络的威胁。许多组织将敏感数据存储给在线访问的第三方。云安全堆栈很容易变得孤立，团队成员不确定自己的职责并忽略关键流程。由于安全团队使用多个安全系统，孤立的堆栈更加劳动密集且更难跟踪。它还可能造成警报疲劳，从而难以识别威胁。

虽然员工大多在云中工作，但安全工作通常集中在数据中心。SASE 将重点转移到云上，同时确保安全服务之间的无缝集成。

借助 SASE，单个提供商可提供整个安全堆栈，确保其作为一个单元运行。例如，SWG 使用威胁情报数据来阻止可疑流量，将身份不明的文件发送到沙箱进行测试。安全团队可以通过一个直观的界面管理整个堆栈。

大多数活动都发生在边缘——SASE 使用身份驱动的方法来保护边缘。它也是云原生的，确保无缝体验。

--------------------

### 四、影响二：SASE 将如何促进 DevSecOps 的采用 ###

SASE 为采用 DevSecOps 提供了以下优势。

#### 促进合作 ####

SASE 有助于减少跨团队协作所涉及的挑战。从本质上讲，SASE 将网络安全与 WAN 优化相结合。现代 DevOps 团队在物理上是独立的，但必须一起工作，这需要团队成员之间建立可靠和安全的连接。

DevOps 方法强调上市时间，因此 DevOps 团队寻找加速[CI/CD][CI_CD]周期和更快发布版本的方法。该过程的一个重要部分是减少 DevOps 团队对网络和安全团队的依赖。SASE 解决方案有助于优化性能并增强安全性，因此 DevOps 团队无需等待基础架构团队配置资源。SASE 为 DevOps 团队提供必要的控制和操作节奏，而不会影响安全性或性能。

#### 增强网络 ####

SASE 可以通过提供集成的故障转移和负载平衡功能来提高整体网络性能。DevOps 团队必须具有可靠的连接性，并且在部署新软件或修复错误时不能容忍中断。快速、可靠的应用程序性能是 DevOps 工作流程的关键。

SASE 架构改进了网络，确保组织的边缘设备、云资源、数据中心和远程用户保持连接。DevOps 团队不必处理基础架构，因为它可以自我修复、完全优化且安全。如果线路出现故障或路径变得拥塞，该解决方案会自动切换到另一条路径。

#### 默认安全 ####

SASE 使用内置的安全功能保护 DevOps 项目。如果实施得当，它将许多安全技术集成到网络堆栈中。DevOps 团队不必担心攻击者截获敏感信息。每个安全服务共享相同的统一上下文，以提高可见性并填补传统安全架构中经常存在的空白。SASE 缓解了攻击者在单一架构中使用 NGFW、SWG、IPS、MDR 和防病毒服务所利用的漏洞。

SASE 可以保护内部应用程序及其交互，减轻 DevSecOps 团队的负担。在基于 SASE 的 SD-WAN 上运行的应用程序受益于零信任网络访问 (ZTNA) 和软件定义边界 (SDP) 的附加保护。这些技术有助于确保应用程序和端点之间的所有交互都是安全的。

专有应用程序通常过于敏感而无法暴露于公共互联网。SASE 通过混淆流量、使用 NGFW 保护所有入口点以及使用零信任网络架构限制访问来保护这些应用程序。它不断检查所有内部应用程序流量是否存在网络安全威胁。

--------------------

### 结论 ###

SASE 在其核心基础架构方面为组织提供了新的灵活性和敏捷性，并引入了安全设计的概念。我们不再努力争取“保护所有事物”，而是更接近一个我们组织运行的“网格”默认情况下是安全的世界。这不会降低 DevSecOps 的重要性。但这将使我们能够在安全、受控的混合环境中构建我们的应用程序和服务。

[Link 1]: https://link.zhihu.com/?target=https%3A//devops.com/cloud-security-requires-shared-responsibility/
[DevSecOps]: https://link.zhihu.com/?target=https%3A//devops.com/what-is-devsecops/
[SASE]: https://link.zhihu.com/?target=https%3A//www.catonetworks.com/sase/
[Link 2]: https://link.zhihu.com/?target=https%3A//securityboulevard.com/%3Fs%3Dzero%2Btrust%2Bnetwork%2Baccess%26__hstc%3D48761529.6176426db35ef159de939b3b274ae2e7.1628153998931.1657527210250.1658299708504.33%26__hssc%3D48761529.1.1658299708504%26__hsfp%3D604157576
[SASE 1]: https://link.zhihu.com/?target=https%3A//www.catonetworks.com/sase/sase-architecture/
[Link 3]: https://link.zhihu.com/?target=https%3A//spot.io/resources/cloud-cost/cloud-cost-optimization-15-ways-to-optimize-your-cloud/
[Link 4]: https://link.zhihu.com/?target=https%3A//www.mend.io/resources/blog/security-automation/
[CI_CD]: https://link.zhihu.com/?target=https%3A//devops.com/%3Fs%3DCI/CD