搜索

[15274] 2020-04-20_SASE是一个什么样的黑科技

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-04-20_SASE是一个什么样的黑科技 S A S E 是 一 个 什 么 样 的 黑 科 技 原 创   宇 宸 d e 研 究 室   F r e e B u f   2 0 2 0 - 0 4 - 2 0 提 起 提 起 S A S E 这 个 词 ， 可 能 对 于 大 多 数 人 都 比 较 陌 生 ， 这 是 这 个 词 ， 可 能 对 于 大 多 数 人 都 比 较 陌 生 ， 这 是 G a r t n e r 最 新 提 出 的 一 个 技 术 理 念 ， 该 理 念 很 先 进 也 很 最 新 提 出 的 一 个 技 术 理 念 ， 该 理 念 很 先 进 也 很 庞 大 ， 待 您 慢 慢 了 解 和 熟 悉 整 个 庞 大 ， 待 您 慢 慢 了 解 和 熟 悉 整 个 S A S E 理 论 和 预 解 决 方 案 后 ， 可 能 会 觉 得 这 是 个 了 不 起 的 创 新 。 理 论 和 预 解 决 方 案 后 ， 可 能 会 觉 得 这 是 个 了 不 起 的 创 新 。 在 了 解 S A S E 前 ， 首 先 要 谈 谈 S D - W A N 。 那 么 ， S D - W A N 又 是 什 么 呢 ？ 什 么 是 什 么 是 S D - W A N 大 家 访 问 互 联 网 几 乎 是 每 天 都 在 进 行 ， 而 技 术 人 员 对 于 W A N 应 该 都 很 了 解 了 。 就 是 广 域 网 （ W i d e   A r e a   N e t w o r k ） ， 或 者 叫 公 网 、 外 网 也 行 。 世 界 各 地 的 W A N 组 成 了 我 们 现 在 的 互 联 网 。 但 是 传 统 W A N 的 架 构 设 计 是 以 数 据 中 心 为 核 心 的 集 中 式 网 络 ， 所 有 末 端 数 据 最 终 都 要 回 到 核 心 处 理 ， 而 后 再 返 回 到 终 端 ， 这 样 的 结 构 在 如 今 的 云 计 算 / I o T 环 境 下 已 经 不 再 适 用 ， 而 且 也 逐 渐 难 以 满 足 大 家 的 需 求 。 因 此 ， S D - W A N 出 现 了 。 S D - W A N （ s o f t w a r e   d e f i n e   W i d e   A r e a   N e t w o r k ） 即 软 件 定 义 广 域 网 。 思 科 对 S D - W A N 的 描 述 ： 软 件 定 义 广 域 网 是 一 种 用 于 管 理 广 域 网 的 软 件 定 义 方 法 。 主 要 优 势 包 括 ： 1 . 不 受 传 输 方 式 限 制 ， 支 持   M P L S 、 4 G / 5 G   L T E   和 其 他 各 种 连 接 类 型 ， 可 以 降 低 运 营 成 本 。 2 . 提 高 应 用 性 能 和 敏 捷 性 。 3 . 优 化 软 件 即 服 务   ( S a a S )   和 公 共 云 应 用 的 用 户 体 验 与 效 率 。 4 . 通 过 自 动 化 和 基 于 云 的 管 理 功 能 简 化 操 作 。 C a t o   N e t w o r k s （ G a r t n e r 官 方 推 荐 S A S E 厂 商 ） 对 S D - W A N 的 描 述 ： 组 织 工 作 的 方 式 正 在 改 变 。 工 作 在 更 多 的 地 方 完 成 ， 互 联 网 已 经 成 为 商 业 运 作 的 中 心 。 这 意 味 着 企 业 网 络 也 必 须 改 变 。 答 案 便 是 — — 软 件 定 义 广 域 网 ( S D - W A N ) 。 S D - W A N 为 网 络 带 来 了 无 与 伦 比 的 灵 活 性 和 成 本 节 约 。 使 用 S D - W A N ， 组 织 可 以 比 企 业 传 统 的 M P L S 服 务 在 更 短 的 时 间 内 以 更 低 的 成 本 交 付 响 应 更 快 、 更 可 预 测 的 应 用 程 序 。 它 更 加 敏 捷 ， 只 需 几 分 钟 就 可 以 部 署 站 点 ； 利 用 一 切 可 用 的 数 据 服 务 ， 例 如 M P L S 、 专 用 互 联 网 接 入 ( D e d i c a t e d   I n t e r n e t   A c c e s s , D I A ) 、 宽 频 或 无 线 网 络 ； 能 够 立 刻 重 新 配 置 网 站 。 S D - W A N 通 过 使 用 基 于 策 略 的 虚 拟 覆 盖 将 应 用 程 序 与 底 层 网 络 服 务 分 离 来 实 现 这 一 点 。 该 覆 盖 层 监 视 底 层 网 络 的 实 时 性 能 特 征 ， 并 根 据 配 置 策 略 为 每 个 应 用 程 序 选 择 最 佳 网 络 。 用 简 单 通 俗 点 的 话 来 说 就 是 ， W A N 就 是 我 们 平 常 出 门 所 走 的 马 路 、 公 路 、 铁 路 ， 我 们 乘 坐 地 面 交 通 工 具 去 想 去 的 地 方 。 但 是 ， 如 果 我 要 去 比 较 远 地 方 就 要 经 过 几 段 行 程 （ 公 路 、 铁 路 、 公 路 ） ， 往 返 费 时 费 力 。 这 时 ， 突 然 有 人 提 出 来 建 立 空 中 交 通 ， 在 原 有 地 面 路 线 上 边 设 置 空 中 航 线 ， 大 家 可 以 乘 坐 空 中 交 通 工 具 出 门 ， 这 样 一 来 就 能 满 足 一 些 人 的 特 殊 需 求 。
图 图 1 ： 思 科 ： 思 科 S D - W A N 广 域 网 交 换 矩 阵 广 域 网 交 换 矩 阵   （ 来 源 ： 思 科 （ 来 源 ： 思 科 S D - W A N 解 决 方 案 ） 解 决 方 案 ） S D - W A N 在 W A N 的 基 础 上 重 新 架 设 虚 拟 网 络 ， 通 过 V P N 之 类 方 式 连 接 站 点 边 缘 ， 分 为 数 据 层 面 和 控 制 层 面 。 在 这 个 虚 拟 化 的 网 络 架 构 中 集 成 了 路 由 策 略 和 安 全 策 略 ， 以 确 保 网 络 稳 定 安 全 运 行 。 站 点 连 接 可 以 看 成 是 航 线 ， 数 据 层 就 是 乘 客 和 飞 机 ， 控 制 层 就 是 空 管 局 中 心 ， 负 责 管 理 航 空 管 制 。 以 上 是 用 俗 话 解 释 的 S D - W A N 网 络 ， 便 于 大 家 理 解 ， 实 际 上 并 没 有 这 么 简 单 。 官 方 一 点 的 说 明 是 这 样 的 ： 在 S D - W A N 中 ， 位 于 站 点 边 缘 的 专 用 设 备 连 接 到 网 络 服 务 ， 通 常 是 M P L S 和 至 少 两 个 I n t e r n e t 服 务 。 通 过 这 些 服 务 ， S D - W A N 设 备 加 入 了 一 个 与 其 他 S D - W A N 设 备 覆 盖 的 加 密 隧 道 网 络 。 在 中 央 控 制 台 配 置 的 策 略 由 设 备 使 用 基 于 策 略 路 由 算 法 推 出 并 执 行 。 当 流 量 到 达 设 备 , S D - W A N 软 件 评 估 潜 在 的 网 络 服 务 的 性 能 和 可 用 性 , 引 导 数 据 包 在 最 优 服 务 任 意 时 刻 和 预 配 置 的 应 用 程 序 策 略 ， 为 一 个 特 定 的 会 话 基 于 优 先 级 和 网 络 条 件 动 态 选 择 最 优 隧 道 。 S D - W A N 的 世 界 正 在 发 展 。 基 本 概 念 的 变 化 集 中 在 完 成 大 部 分 网 络 和 安 全 处 理 的 地 方 ， 为 准 备 从 遗 留 W A N 服 务 转 移 的 组 织 创 建 了 一 组 丰 富 的 供 应 商 和 服 务 提 供 者 选 择 。 而 其 能 够 带 来 的 好 处 和 优 势 也 很 给 力 。 借 助 软 件 定 义 广 域 网 ， I T 部 门 可 以 提 供 路 由 和 威 胁 防 护 ， 充 分 提 高 昂 贵 电 路 的 使 用 效 率 ， 合 理 分 流 流 量 负 载 ， 并 且 简 化 广 域 网 网 络 管 理 。 业 务 优 势 包 括 ： 改 善 应 用 体 验 改 善 应 用 体 验 1 . 利 用 可 预 测 的 服 务 使 多 数 关 键 企 业 应 用 实 现 高 可 用 性 2 . 提 供 适 用 于 多 数 网 络 场 景 的 多 个 双 活 混 合 链 路 3 . 利 用 应 用 感 知 路 由 动 态 地 路 由 应 用 流 量 ， 实 现 高 效 传 输 并 改 善 用 户 体 验 。 4 . 减 少 运 营 支 出 。 将 昂 贵 的 多 协 议 标 签 交 换   ( M P L S )   服 务 替 换 为 更 经 济 灵 活 的 宽 带 （ 包 括 安 全   V P N   连 接 ） （ 个 人 觉 得 替 代 M P L S 可 能 短 时 间 内 不 太 可 能 ） 更 安 全 更 安 全 1 . 实 施 具 有 端 到 端 分 段 和 实 时 访 问 控 制 的 应 用 感 知 策 略 2 . 在 适 当 的 地 方 实 施 综 合 威 胁 防 护 3 . 保 护 宽 带 互 联 网 和 进 入 云 端 的 流 量 的 安 全 4 . 利 用 下 一 代 防 火 墙 、 D N S 安 全 和 下 一 代 防 病 毒 解 决 方 案 将 安 全 保 护 分 布 到 分 支 机 构 和 远 程 终 端 优 化 云 连 接 优 化 云 连 接
1 . 将 广 域 网 无 缝 扩 展 到 多 个 公 有 云 2 . 为   M i c r o s o f t   O f f i c e   3 6 5 、 S a l e s f o r c e   和 其 他 主 要   S a a S   应 用 实 时 优 化 性 能 3 . 为   A m a z o n   W e b   S e r v i c e s   ( A W S )   和   M i c r o s o f t   A z u r e   等 云 平 台 优 化 工 作 流 程 简 化 管 理 简 化 管 理 1 . 采 用 单 个 集 中 式 云 交 付 管 理 控 制 面 板 ， 可 用 于 配 置 和 管 理 广 域 网 、 云 和 安 全 保 护 功 能 2 . 可 以 实 现 适 用 于 所 有 位 置 （ 分 支 机 构 、 园 区 和 云 ） 的 基 于 模 板 的 零 接 触 调 配 3 . 提 供 详 细 的 应 用 和 广 域 网 性 能 报 告 ， 用 于 进 行 业 务 分 析 和 带 宽 预 测 从 思 科 I D C 白 皮 书 调 查 中 ， S D - W A N 能 够 给 组 织 带 来 的 收 益 主 要 在 于 ： 1 . 带 宽 增 加   2 . 2 5   倍 2 . 同 等 带 宽 连 接 成 本 降 低   6 5 % 3 . 五 年 运 营 成 本 降 低   3 8 % 4 . W A N   管 理 效 率 提 升   3 3 % 5 . 新 服 务 自 行 激 活 速 度 提 高 5 9 % 6 . 策 略 和 配 置 更 改 实 施 速 度 提 高   5 8 % 7 . 意 外 停 机 时 间 减 少   9 4 % 8 . 应 用 延 迟 降 低   4 5 % 9 . 每 个 组 织 每 年 收 入 增 加   1 4 9 8 万 美 元 图 图 2 ： 受 访 组 织 数 据 （ 来 源 ： ： 受 访 组 织 数 据 （ 来 源 ： I D C 白 皮 书 白 皮 书 | 思 科 思 科   S D - W A N   解 决 方 案 的 商 业 价 值 ） 解 决 方 案 的 商 业 价 值 ） S A S E 又 是 什 么 又 是 什 么 好 的 ， 现 在 对 S D - W A N 有 了 一 个 基 本 的 了 解 （ 如 果 想 深 入 研 究 的 可 以 去 思 科 、 V M w a r e 、 C a t o 官 方 网 站 查 看 ） 。 接 下 来 ， 我 们 来 说 说 S A S E （ S e c u r e   A c c e s s   S e r v i c e   E d g e ） ， 安 全 访 问 服 务 边 缘 。 最 初 接 触 S A S E （ 发 音 同 s a s s y ） 是 G a r t n e r 的 《 T h e   F u t u r e   o f   N e t w o r k   S e c u r i t y   I s   i n   t h e   C l o u d 》 这 篇 报 告 （ 有 关 报 告 内 容 ， 可 自 行 阅 读 ） ， 全 篇 都 是 在 讲 S A S E ， 而 且 推 荐 了 号 称 搭 建 了 全 球 第 一 家 S A S E 平 台 的 厂 商 C a t o   N e t w o r k s . 下 文 有 关 S A S E 的 理 念 和 架 构 ， 也 都 是 参 考 C a t o 。 在 G a r t n e r 的 《 T o p   1 0   s t r a t e g i c   t e c h n o l o g y   t r e n d s   f o r   2 0 2 0 》 报 告 中 也 提 到 了 边 缘 赋 能 （ T r e n d   N o . 6 ） 这 项 技 术 趋 势 （ 可 参 考 本 人 翻 译 的 中 文 报 告 《 G a r t n e r ： 2 0 2 0 年 十 大 战 略 技 术 趋 势 （ 下 篇 ） 》 ） 。 从 报 告 中 可 以 看 出 ， S A S E 是 其 主
推 的 一 项 创 新 技 术 ， 因 为 S A S E 集 成 了 敏 捷 、 自 动 化 、 C A R T A （ 持 续 自 适 应 风 险 与 信 任 评 估 ） 、 Z T N A （ 零 信 任 网 络 访 问 ） 、 A d v a n c e   A P T 防 护 等 技 术 。 可 以 说 ， 近 几 年 G a r t n e r 所 提 的 新 兴 技 术 大 多 都 涵 盖 到 S A S E 架 构 中 。 下 面 我 们 初 步 认 识 一 下 它 。 S A S E 是 做 什 么 的 ？ 是 做 什 么 的 ？ S A S E 用 于 从 分 布 式 云 服 务 交 付 聚 合 的 企 业 网 络 和 安 全 服 务 。 S A S E 克 服 了 分 散 集 成 和 地 理 位 置 约 束 解 决 方 案 的 成 本 、 复 杂 性 和 刚 性 。 当 S A S E 与 全 球 私 有 骨 干 网 相 结 合 时 ， 还 可 以 解 决 W A N 和 云 连 接 方 面 的 挑 战 。 S D - W A N 和 和 S A S E 的 区 别 ？ 的 区 别 ？ S D - W A N 是 S A S E 平 台 的 关 键 组 件 ， 它 将 分 支 位 置 和 数 据 中 心 连 接 到 S A S E 云 服 务 。 S A S E 扩 展 了 S D - W A N ， 以 解 决 包 括 全 球 范 围 内 的 安 全 性 、 云 计 算 和 移 动 性 在 内 的 整 个 W A N 的 转 换 过 程 。 S A S E 比 比 S D - W A N 更 好 么 ？ 更 好 么 ？ S D - W A N 只 是 广 域 网 转 型 的 第 一 步 。 它 缺 乏 关 键 的 安 全 功 能 、 全 球 连 接 能 力 以 及 对 云 资 源 和 移 动 用 户 的 支 持 。 一 个 完 整 的 S A S E 平 台 可 以 支 持 整 个 W A N 转 换 过 程 ， 因 为 它 使 I T 能 够 以 敏 捷 和 经 济 有 效 的 方 式 提 供 业 务 需 求 的 网 络 和 安 全 功 能 。 S A S E 是 否 安 全 ？ 是 否 安 全 ？ S A S E 是 端 到 端 安 全 。 S A S E 平 台 上 的 所 有 通 信 都 是 加 密 的 。 包 括 解 密 、 防 火 墙 、 U R L 过 滤 、 反 恶 意 软 件 和 I P 在 内 的 威 胁 预 防 功 能 都 被 集 成 到 S A S E 中 ， 并 且 对 所 有 连 接 的 边 缘 都 可 用 。 虽 然 是 很 耀 眼 的 技 术 ， 但 毕 竟 刚 刚 被 提 出 来 ， 发 展 和 成 熟 需 要 时 间 ， 而 且 这 种 规 模 的 架 构 也 不 是 一 般 组 织 能 够 承 建 的 ， 报 告 中 在 概 要 中 就 说 明 了 ： 为 了 实 现 低 延 迟 地 随 时 随 地 访 问 用 户 、 设 备 和 云 服 务 ， 企 业 需 要 具 有 全 球 为 了 实 现 低 延 迟 地 随 时 随 地 访 问 用 户 、 设 备 和 云 服 务 ， 企 业 需 要 具 有 全 球   P O P 点 和 对 等 连 接 的 点 和 对 等 连 接 的   S A S E   产 品 。 产 品 。 因 此 ， 追 新 是 好 事 ， 但 不 能 盲 目 。 G a r t n e r 对 S A S E 的 定 义 ： S A S E   是 一 种 基 于 实 体 的 身 份 、 实 时 上 下 文 、 企 业 安 全 是 一 种 基 于 实 体 的 身 份 、 实 时 上 下 文 、 企 业 安 全 / 合 规 策 略 ， 以 及 在 整 个 会 话 中 合 规 策 略 ， 以 及 在 整 个 会 话 中 持 续 评 估 风 险 持 续 评 估 风 险 / 信 任 的 服 务 。 实 体 的 身 份 可 与 人 员 、 人 员 组 （ 分 支 办 公 室 ） 、 设 备 、 应 用 、 服 务 、 物 联 网 系 统 或 信 任 的 服 务 。 实 体 的 身 份 可 与 人 员 、 人 员 组 （ 分 支 办 公 室 ） 、 设 备 、 应 用 、 服 务 、 物 联 网 系 统 或 边 缘 计 算 场 地 相 关 联 。 边 缘 计 算 场 地 相 关 联 。 S A S E 的 核 心 是 身 份 ， 即 身 份 是 访 问 决 策 的 中 心 ， 而 不 再 是 企 业 数 据 中 心 。 这 也 与 零 信 任 架 构 和 C A R T A 理 念 相 一 致 ， 基 于 身 份 的 访 问 决 策 。
图 图   3 ： ： S A S E   身 份 为 中 心 的 架 构 身 份 为 中 心 的 架 构 用 户 、 设 备 、 服 务 的 身 份 是 策 略 中 最 重 要 的 上 下 文 因 素 之 一 。 但 是 ， 还 会 有 其 他 相 关 的 上 下 文 来 源 可 以 输 入 到 策 略 中 ， 这 些 上 下 文 来 源 包 括 ： 用 户 使 用 的 设 备 身 份 、 日 期 、 风 险 / 信 任 评 估 、 场 地 、 正 在 访 问 的 应 用 或 数 据 的 灵 敏 度 。 企 业 数 据 中 心 仍 存 在 ， 但 不 再 是 网 络 架 构 的 中 心 ， 只 是 用 户 和 设 备 需 要 访 问 的 众 多 互 联 网 服 务 中 的 一 个 。 这 些 实 体 需 要 访 问 越 来 越 多 的 基 于 云 的 服 务 ， 但 是 它 们 的 连 接 方 式 和 应 用 的 网 络 安 全 策 略 类 型 将 根 据 监 管 需 求 、 企 业 策 略 和 特 定 业 务 领 导 者 的 风 险 偏 好 而 有 所 不 同 。 就 像 智 能 交 换 机 一 样 ， 身 份 通 过   S A S E   供 应 商 在 全 球 范 围 内 的 安 全 访 问 能 力 连 接 到 所 需 的 网 络 功 能 。 S A S E   按 需 提 供 所 需 的 服 务 和 策 略 执 行 ， 独 立 于 请 求 服 务 的 实 体 的 场 所 （ 图 4 ） 和 所 访 问 能 力 。
图 图 4 ： ： S A S E 技 术 栈 技 术 栈   - -   基 于 身 份 和 上 下 文 的 动 态 应 用 基 于 身 份 和 上 下 文 的 动 态 应 用 S A S E 云 服 务 的 主 要 特 点 云 服 务 的 主 要 特 点 S A S E 详 细 介 绍 了 企 业 网 络 和 安 全 的 体 系 结 构 转 换 ， 这 将 使 它 能 够 为 数 字 业 务 提 供 全 面 、 敏 捷 和 可 适 应 的 服 务 。 S A S E 云 服 务 有 4 个 主 要 特 点 ： 身 份 驱 动 身 份 驱 动 、 云 原 生 云 原 生 、 支 持 所 有 边 缘 支 持 所 有 边 缘 ( W A N 、 云 、 移 动 、 边 缘 计 算 ) 、 全 球 分 布 全 球 分 布 。 身 份 驱 动 身 份 驱 动 不 仅 仅 是   I P   地 址 ， 用 户 和 资 源 身 份 决 定 网 络 互 连 体 验 和 访 问 权 限 级 别 。 服 务 质 量 、 路 由 选 择 、 应 用 的 风 险 安 全 控 制 — — 所 有 这 些 都 由 与 每 个 网 络 连 接 相 关 联 的 身 份 所 驱 动 。 采 用 该 方 法 ， 公 司 企 业 为 用 户 开 发 一 套 网 络 和 安 全 策 略 ， 无 需 考 虑 设 备 或 地 理 位 置 ， 从 而 降 低 运 营 开 销 。 云 原 生 云 原 生 S A S E   架 构 利 用 云 的 几 个 主 要 功 能 ， 包 括 弹 性 、 自 适 应 性 、 自 恢 复 能 力 和 自 维 护 功 能 ， 提 供 一 个 可 以 分 摊 客 户 开 销 以 提 供 最 大 效 率 的 平 台 ， 可 很 方 便 地 适 应 新 兴 业 务 需 求 ， 而 且 随 处 可 用 。 支 持 所 有 边 缘 支 持 所 有 边 缘 S A S E   为 所 有 公 司 资 源 创 建 了 一 个 网 络 — — 数 据 中 心 、 分 公 司 、 云 资 源 和 移 动 用 户 。 举 个 例 子 ， 软 件 定 义 广 域 网   ( S D - W A N )   设 备 支 持 物 理 边 缘 ， 而 移 动 客 户 端 和 无 客 户 端 浏 览 器 访 问 连 接 四 处 游 走 的 用 户 。 全 球 分 布 全 球 分 布 为 确 保 所 有 网 络 和 安 全 功 能 随 处 可 用 ， 并 向 全 部 边 缘 交 付 尽 可 能 好 的 体 验 ， S A S E   云 必 须 全 球 分 布 。 因 此 ， 必 须 扩 展 自 身 覆 盖 面 ， 向 企 业 边 缘 交 付 低 延 迟 服 务 。
图 图 5 ： ： S A S E 全 球 全 球 P o P （ （ P o i n t s   o f   P r e s e n c e ） 来 源 ： ） 来 源 ： C a t o   N e t w o r k s 官 网 官 网 最 终 ， S A S E   架 构 的 目 标 是 要 能 够 更 容 易 地 实 现 安 全 的 云 环 境 。 S A S E   提 供 了 一 种 摒 弃 传 统 方 法 的 设 计 理 念 ， 抛 弃 了 将   S D - W A N   设 备 、 防 火 墙 、 I P S   设 备 和 各 种 其 他 网 络 及 安 全 解 决 方 案 拼 凑 到 一 起 的 做 法 。 S A S E 以 一 个 安 全 的 全 球 S D - W A N 服 务 代 替 了 难 以 管 理 的 技 术 大 杂 烩 。 S A S E 的 理 念 就 是 借 助 S D - W A N 搭 建 起 来 的 虚 拟 化 架 构 去 集 中 化 ， 将 核 心 能 力 附 加 到 边 缘 ， 使 数 据 处 理 和 安 全 能 力 都 在 边 缘 进 行 ， 以 满 足 当 前 和 未 来 云 上 和 移 动 业 务 的 动 态 需 求 。 S A S E 框 架 和 能 力 框 架 和 能 力 为 云 原 生 构 建 统 一 管 理 的 为 云 原 生 构 建 统 一 管 理 的 S D - W A N 服 务 服 务 提 供 一 个 全 局 的 、 安 全 管 理 的 S D - W A N 服 务 。 能 够 从 遗 留 的 M P L S ( 一 组 单 点 解 决 方 案 和 昂 贵 的 托 管 服 务 ) 转 移 到 简 单 、 敏 捷 和 可 负 担 得 起 的 网 络 。 自 助 服 务 还 是 托 管 服 务 取 决 于 自 己 。 图 图 6 ： ： C a t o 云 平 台 云 平 台   来 源 ： 来 源 ： C a t o   N e t w o k s 官 网 官 网 用 云 原 生 网 络 架 构 取 代 传 统 的 电 信 网 络 。 将 全 球 私 有 主 干 网 、 E d g e   S D - W A N 、 安 全 即 服 务 （ S a a S ） 、 安 全 优 化 的 云 和 移 动 访 问 聚 合 到 一 个 云 服 务 中 。 因 此 ， 云 解 决 了 组 织 的 全 球 网 络 、 安 全 、 云 和 移 动 需 求 ， 以 支 持 完 整 的 W A N 转 换 过 程 。 S A S E 能 力 能 力
核 心 能 力 ： 即 插 即 用 可 视 化 ， 优 化 与 管 控 核 心 能 力 ： 即 插 即 用 可 视 化 ， 优 化 与 管 控 S A S E 体 系 结 构 由 两 个 核 心 组 件 组 成 。 S A S E 云 云 充 当 网 络 和 安 全 功 能 的 聚 合 器 。 S A S E 边 缘 连 接 器 边 缘 连 接 器 将 流 量 从 物 理 、 云 和 设 备 边 缘 驱 动 到 S A S E 云 处 理 。 S A S E 使 用 一 个 单 通 道 的 流 量 处 理 引 擎 来 有 效 地 应 用 优 化 和 安 全 检 查 ， 并 为 所 有 流 量 提 供 丰 富 的 前 后 关 联 。 将 S A S E 模 型 与 堆 叠 单 点 产 品 进 行 对 比 ， 在 堆 叠 单 点 产 品 中 ， 每 个 产 品 分 析 特 定 需 求 的 流 量 ， 增 加 解 密 等 操 作 的 开 销 ， 并 且 缺 少 在 其 他 网 络 和 安 全 点 产 品 中 生 成 的 前 后 联 系 。 S A S E 可 选 能 力 包 括 ： 1 . 认 证 ： 在 连 接 边 缘 时 ， 动 态 风 险 评 估 驱 动 多 因 素 认 证 的 激 活 。 2 . 访 问 ： 对 关 键 应 用 程 序 和 服 务 的 访 问 由 支 持 应 用 程 序 和 用 户 的 下 一 代 防 火 墙 策 略 控 制 。 此 外 ， 零 信 任 网 络 访 问 模 型 可 以 确 保 用 户 只 能 访 问 授 权 的 应 用 程 序 ， 而 不 能 获 得 一 般 的 网 络 访 问 权 限 。 3 . 优 先 级 ： 应 用 程 序 标 识 为 流 量 分 配 优 先 级 ， 以 对 损 失 敏 感 （ l o s s - s e n s i t i v e ） 的 应 用 程 序 进 行 优 化 （ 如 V O I P 和 虚 拟 桌 面 访 问 （ V I D ） ） ， 而 不 是 其 他 流 量 （ 如 常 规 的 I n t e r n e t 浏 览 ） 。 4 . 解 密 ： 为 启 用 深 度 包 检 查 ， 可 以 对 加 密 的 通 信 流 进 行 一 次 解 密 ， 从 而 允 许 多 个 威 胁 预 防 引 擎 处 理 这 些 通 信 流 。 5 . 威 胁 预 测 ： 多 个 安 全 引 擎 解 析 流 量 以 检 测 有 风 险 的 访 问 。 这 包 括 寻 找 恶 意 网 站 的 安 全 W e b 网 关 、 防 止 下 载 恶 意 文 件 的 反 恶 意 软 件 、 停 止 指 示 机 器 人 活 动 的 入 站 和 出 站 异 常 连 接 的 I P S 等 等 。 6 . 数 据 防 泄 漏 ： S A S E 应 用 特 定 的 数 据 防 泄 漏 规 则 来 检 测 网 络 流 量 中 的 敏 感 数 据 并 阻 止 其 泄 漏 。 类 似 地 ， 云 访 问 服 务 代 理 ( C A S B ) 可 以 对 云 应 用 程 序 实 施 粒 度 访 问 控 制 。 这 是 S A S E 功 能 的 一 个 子 集 ， S A S E 体 系 结 构 的 设 计 目 的 是 用 新 引 擎 快 速 扩 展 “ 单 通 道 流 量 处 理 引 擎 ” 。 S A S E 这 个 独 特 优 势 是 未 来 的 网 络 向 S A S E 云 扩 展 ， 新 的 功 能 无 缝 扩 展 到 任 何 人 和 任 何 地 方 。 类 似 地 ， 使 S A S E 云 服 务 适 应 新 的 威 胁 或 攻 击 载 体 可 以 集 中 完 成 ， 并 立 即 影 响 所 有 企 业 和 所 有 边 缘 ， 而 不 需 要 部 署 或 激 活 这 些 新 增 功 能 （ 类 似 思 科 A P I C 自 动 化 即 插 即 用 ） 。 S A S E 安 全 架 构 安 全 架 构 S A S E 安 全 架 构 包 括 以 下 几 个 组 件 ： P o P 实 例 、 边 缘 、 安 全 即 服 务 、 威 胁 检 测 与 响 应 管 理 （ M D R ） 。 P o P 实 例 实 例 — 流 量 处 理 引 擎 流 量 处 理 引 擎 P o P 结 构 结 构 核 心 云 网 络 ,   由 地 理 上 分 布 的 P o P s ( P o i n t s   o f   P r e s e n c e ) 组 成 ， 每 个 P o P 运 行 多 个 处 理 服 务 器 。 每 个 P o P 运 行 一 个 专 门 构 建 的 软 件 栈 ， 在 所 有 流 量 上 应 用 路 由 、 加 密 、 优 化 和 高 级 安 全 服 务 。 P o P 由 运 行 相 同 软 件 栈 的 多 个 功 能 强 大 的 现 有 服 务 器 ( c o m m o d i t y   o f f   t h e   s h e l f   s e r v e r s , C O T S ) 组 成 。 P o P 的 可 扩 展 性 和 灵 活 性 的 可 扩 展 性 和 灵 活 性 P o P s 的 设 计 是 为 了 处 理 大 量 的 流 量 。 通 过 将 服 务 器 实 例 添 加 到 相 同 的 P o P ( 垂 直 扩 展 ) 或 在 新 位 置 添 加 P o P ( 水 平 扩 展 ) ， 可 以 扩 展 处 理 能 力 。 因 为 云 平 台 来 维 护 基 础 设 施 ， 所 以 客 户 不 必 调 整 他 们 的 网 络 安 全 环 境 。 所 有 许 可 的 内 容 ， 即 使 被 加 密 ， 也 保 证 被 所 有 受 许 可 的 安 全 服 务 的 P o P 处 理 。 如 果 P o P 服 务 器 实 例 失 效 , 受 影 响 边 缘 自 动 重 新 连 接 到 同 一 个 P o P 的 可 用 服 务 器 。 如 果 一 个 P o P 完 全 失 效 ， 受 影 响 的 边 缘 将 连 接 到 最 近 的 可 用 P o P 。 无 论 企 业 资 源 连 接 到 哪 个 P o P ,   云 始 终 维 护 一 个 一 致 的 逻 辑 企 业 网 络 ， 创 建 相 应 程 度 的 可 用 性 和 弹 性 。 P o P 内 置 抗 内 置 抗 D D o S P o P s 的 设 计 用 以 处 理 大 流 量 的 同 时 。 弹 性 能 力 使 云 能 够 适 应 客 户 增 长 和 抵 御 各 种 类 型 的 泛 洪 攻 击 。 为 了 减 少 攻 击 面 ， 只 有 授 权 站 点 和 移 动 用 户 可 以 连 接 并 发 送 流 量 到 主 干 。 P o P 外 部 I P 地 址 受 特 定 的 抗 D D o S 措 施 保 护 ， 如 S Y N   c o o k i e 机
制 和 速 率 控 制 机 制 。 云 平 台 拥 有 一 组 I P ， 部 分 用 于 自 动 将 目 标 站 点 和 移 动 用 户 重 新 分 配 到 未 受 影 响 的 地 址 。 P o P 全 连 接 加 密 全 连 接 加 密 所 有 P o P 都 是 通 过 完 全 加 密 的 隧 道 互 相 连 接 。 加 密 算 法 是 A E S - 2 5 6 ， 并 使 用 受 限 制 的 对 称 密 钥 ( 每 个 P o P 实 例 ) 。 密 钥 每 6 0 分 钟 变 化 一 次 ， 以 减 少 暴 露 。 深 度 包 检 测 深 度 包 检 测 P o P 软 件 包 括 一 个 深 度 包 检 测 ( D e e p   P a c k e t   I n s p e c t i o n ,   D P I ) 引 擎 ， 该 引 擎 以 网 速 处 理 大 量 流 量 ， 包 括 报 头 或 有 效 载 荷 。 D P I 引 擎 用 于 多 种 安 全 服 务 ， 包 括 N G F W 反 恶 意 软 件 、 I D S / I P S 和 网 络 控 制 ( S D - W A N ) 。 D P I 引 擎 自 动 识 别 第 一 数 据 包 中 成 千 上 万 的 应 用 程 序 和 数 以 百 万 计 的 域 名 。 这 个 健 壮 的 库 由 第 三 方 网 址 分 类 引 擎 和 机 器 学 习 算 法 不 断 丰 富 , 挖 掘 大 量 数 据 仓 库 建 立 元 数 据 的 所 有 流 量 贯 穿 整 个 云 。 客 户 还 可 以 通 过 云 平 台 工 程 师 为 他 们 配 置 自 定 义 应 用 程 序 或 策 略 。 T L S 检 测 检 测 P o P 可 以 在 针 对 高 级 威 胁 保 护 服 务 ( 如 反 恶 意 软 件 和 I D P S ) 的 T L S 加 密 通 信 流 上 执 行 D P I 。 T L S 检 查 必 不 可 少 ， 因 为 现 在 所 有 互 联 网 流 量 大 部 分 是 加 密 的 ， 恶 意 软 件 使 用 加 密 来 逃 避 检 测 。 启 用 T L S 检 查 后 ， 将 对 加 密 通 信 进 行 解 密 和 检 查 。 所 有 操 作 都 是 在 P o P 中 完 成 的 ， 因 此 没 有 性 能 限 制 。 要 解 密 ， 客 户 必 须 在 其 网 络 上 安 装 云 平 台 证 书 。 客 户 可 以 创 建 规 则 来 选 择 性 地 应 用 T L S 检 验 流 量 的 一 个 子 集 , 如 过 滤 数 据 包 的 应 用 程 序 中 、 服 务 领 域 、 类 别 、 不 包 括 数 据 包 从 受 信 任 的 应 用 程 序 、 出 于 合 规 性 即 使 解 密 不 是 应 用 或 配 置 、 所 有 N G F W 流 量 、 U R L 过 滤 、 和 I P S 规 则 涉 及 的 元 数 据 （ 如 I P 地 址 和 U R L ） 。 云 上 边 缘 云 上 边 缘 S o c k e t 和 设 备 连 接 和 设 备 连 接 客 户 通 过 加 密 的 通 道 连 接 到 云 。 隧 道 可 以 通 过 多 种 方 式 建 立 。 s o c k e t 是 部 署 在 物 理 位 置 的 零 接 触 设 备 。 为 了 获 得 最 佳 的 安 全 性 和 效 率 ， s o c k e t 通 过 D T L S 隧 道 动 态 连 接 到 最 近 的 P o P 。 如 果 隧 道 由 于 P o P 故 障 而 断 开 连 接 ， s o c k e t 会 重 新 将 隧 道 连 接 到 最 近 的 可 用 P o P 。 或 者 ， 客 户 可 以 使 用 支 持 I P s e c 或 G R E 的 设 备 ( 如 U T M s 或 防 火 墙 ) 连 接 到 最 近 的 P o P 。 s o c k e t 具 备 的 保 护 措 施 ： 1 . 阻 断 外 部 通 信 流 量 ， 只 允 许 经 过 身 份 验 证 的 流 量 2 . 通 过 H T T P S 或 S S H 连 接 内 部 接 口 的 管 理 访 问 3 . 管 理 员 首 次 登 陆 强 制 重 置 密 码 4 . 不 存 储 数 据 包 中 的 数 据 5 . 对 所 有 通 信 加 密 6 . 通 过 加 密 通 信 、 加 密 身 份 验 证 ( 数 字 签 名 软 件 包 ) 安 全 分 发 更 新 笔 记 本 和 移 动 设 备 客 户 端 笔 记 本 和 移 动 设 备 客 户 端 云 平 台 客 户 端 运 行 在 移 动 设 备 上 ， 包 括 个 人 电 脑 、 平 板 电 脑 和 智 能 手 机 ， 包 括 W i n d o w s 、 M a c 、 i O S 和 A n d r o i d 。 客 户 端 使 用 设 备 V P N 功 能 通 过 隧 道 连 接 到 云 。 其 他 的 V P N 客 户 端 也 可 以 获 得 支 持 。 可 以 通 过 与 A c t i v e   D i r e c t o r y 集 成 ， 或 通 过 管 理 应 用 程 序 中 的 用 户 配 置 来 启 动 移 动 用 户 的 登 陆 面 板 。 用 户 受 邀 请 通 过 电 子 邮 件 注 册 到 云 。 用 户 利 用 专 用 门 户 通 过 几 个 步 骤 为 自 己 提 供 服 务 。 用 户 身 份 验 证 可 以 通 过 几 种 方 式 进 行 ： 1 . 用 户 名 和 密 码
2 . 多 因 素 认 证 （ M F A ） 3 . 单 点 登 录 （ S S O ） 安 全 即 服 务 安 全 即 服 务 安 全 即 服 务 是 一 组 企 业 级 、 敏 捷 的 网 络 安 全 功 能 ， 作 为 紧 密 集 成 的 软 件 堆 栈 的 一 部 分 直 接 构 建 到 云 网 络 中 。 目 前 的 服 务 包 括 下 一 代 防 火 墙 ( N G F W ) 、 安 全 W e b 网 关 ( S W G ) 、 高 级 威 胁 预 防 、 安 全 分 析 和 管 理 威 胁 检 测 和 响 应 ( M D R ) 服 务 。 因 为 云 平 台 控 制 代 码 ， 所 以 可 以 快 速 引 入 新 的 服 务 ， 而 不 会 对 客 户 环 境 造 成 影 响 。 客 户 可 以 有 选 择 地 启 用 服 务 ， 配 置 它 们 来 执 行 公 司 策 略 。 下 一 代 防 火 墙 下 一 代 防 火 墙 1 ） 应 用 感 知 应 用 感 知 N G F W 提 供 完 整 的 应 用 程 序 感 知 ， 无 论 端 口 、 协 议 、 规 避 技 术 或 S S L 加 密 。 D P I 引 擎 分 类 相 关 的 上 下 文 ， 如 应 用 程 序 或 服 务 ， 早 在 第 一 个 包 且 没 有 S S L 检 查 时 。 相 关 的 信 息 是 提 取 自 网 络 元 数 据 。 C a t o 研 究 实 验 室 不 断 丰 富 应 用 程 序 库 ， 以 扩 大 覆 盖 面 。 对 于 网 络 和 安 全 监 控 ， 整 个 C a t o 都 可 以 使 用 D P I 分 类 的 上 下 文 ； 对 “ 影 子 I T ” 识 别 和 其 他 趋 势 的 网 络 可 视 化 ； 或 者 用 于 像 强 制 执 行 阻 塞 / 允 许 / 监 视 / 提 示 规 则 这 类 的 强 制 执 行 。 平 台 提 供 了 一 个 签 名 和 解 析 器 的 完 整 列 表 ， 用 于 识 别 常 见 的 应 用 程 序 。 此 外 ， 自 定 义 应 用 程 序 定 义 根 据 端 口 、 I P 地 址 或 域 标 识 特 定 于 帐 户 的 应 用 程 序 ， 这 两 类 应 用 程 序 定 义 可 供 运 行 在 云 中 的 安 全 规 则 使 用 。 2 ） 用 户 感 知 用 户 感 知 平 台 使 管 理 员 能 够 创 建 上 下 文 安 全 策 略 ， 方 法 是 基 于 单 个 用 户 、 组 或 角 色 定 义 和 启 用 对 资 源 的 访 问 控 制 。 此 外 ， 平 台 的 内 置 分 析 可 以 被 网 站 、 用 户 、 组 或 应 用 程 序 查 看 ， 以 分 析 用 户 活 动 、 安 全 事 件 和 网 络 使 用 情 况 。 L a n 划 分 划 分 V L A N s R o u t e d   R a n g e （ 通 过 路 由 器 连 接 到 套 接 口 ） D i r e c t   R a n g e （ 直 接 到 套 接 口 的 L A N 段 ， 不 通 过 路 由 器 ） 根 据 定 义 ， 不 同 的 段 之 间 不 允 许 流 量 通 信 ， 允 许 这 样 的 连 接 需 要 创 建 局 部 划 分 规 则 ， 由 平 台 s o c k e t 执 行 ， 或 者 创 建 W A N 防 火 墙 规 则 ， 由 云 在 完 全 检 查 流 量 的 情 况 下 执 行 。 3 ） W A N 流 量 保 护 流 量 保 护 利 用 W A N 防 火 墙 ， 安 全 管 理 员 可 以 允 许 或 阻 止 组 织 实 体 ( 如 站 点 、 用 户 、 主 机 、 子 网 等 ) 之 间 的 通 信 。 默 认 情 况 下 ， 平 台 的 广 域 网 络 防 火 墙 遵 循 一 种 白 名 单 方 法 ， 有 一 个 隐 式 的 任 意 块 规 则 。 管 理 员 可 以 采 用 这 种 方 法 ， 也 可 以 切 换 到 黑 名 单 方 式 。 4 ） I n t e r n e t 流 量 保 护 流 量 保 护 通 过 使 用 I n t e r n e t 防 火 墙 ， 安 全 管 理 员 可 以 为 各 种 应 用 程 序 、 服 务 和 网 站 设 置 允 许 或 阻 止 网 络 实 体 ( 如 站 点 、 个 人 用 户 、 子 网 等 ) 之 间 的 规 则 。 默 认 情 况 下 ， 平 台 的 I n t e r n e t 防 火 墙 遵 循 黑 名 单 方 法 ， 有 一 个 隐 式 的 a n y - a n y   p e r m i t 规 则 。 因 此 ， 要 阻 止 访 问 ， 必 须 定 义 显 式 阻 止 一 个 或 多 个 网 络 实 体 到 应 用 程 序 的 连 接 规 则 。 管 理 员 可 以 在 必 要 时 切 换 到 白 名 单 方 式 。 安 全 安 全 W e b 网 关 网 关 S W G 允 许 客 户 根 据 预 定 义 和 / 或 自 定 义 的 类 别 监 视 、 控 制 和 阻 止 对 网 站 的 访 问 。 云 在 对 特 定 可 配 置 类 别 的 每 个 访 问 上
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理