Security Service Edge (SSE) modeli, yönetilen veya yönetilmeyen cihazlar kullanıyor olsalar da, kullanıcıların İnternet’e, Web’e, Bulut hizmetlerine ve özel şirket uygulamalarına her yerden, her zaman güvenle erişebilmelerini sağlamak için kullanışlı ve ölçeklenebilir bir yol sağlar. SSE, bugün çalışma şeklimize çok uygun bir model olsa da, şirket içi güvenlikten bulut tabanlı güvenliğe geçiş, güvenlik ekipleri için önemli bir görünürlük kaybına neden olabilir. Yeni nesil derin paket inceleme (NG DPI) teknolojisinin SSE çözümlerine stratejik entegrasyonu, bu hayati görünürlüğü ve küresel güvenlik politikalarının tek tip uygulanmasını koruyabilir.
Ağ Görünürlüğü ve Kontrolü İçin Tecrübeden Vazgeçmek Gerekir mi?
1950’lerin ve 60’ların ‘Uçmanın Altın Çağı’nda, kaygısız gezginler beş yıldızlı yemeklerin, serbest akan içeceklerin, sınırsız bacak mesafesinin ve hiçbir güvenlik taramasının tadını çıkarmadı! Modern havaalanlarındaki güvenlik hatlarından hepimiz hoşlanmasak da, 50’li ve 60’lı yılların laissez-faire hava yolculuğunun daha az hoş karşılanan ‘Altın Uçak Kaçırma Çağı’na yol açtığını belirtmekte fayda var. hangi gördü Yalnızca ABD ve Küba arasında 240 kaçırma veya kaçırma girişimi.
1970’lerin ortalarından bu yana yolcuların ve çantaların evrensel fiziksel taraması gibi, kurumsal BT güvenlik yöneticileri de kapsamlı bir inceleme için on yıllardır ağ trafiğinin her baytını merkezi, şirket içi bir veri merkezi aracılığıyla çalıştırıyor. Doğru, bu kurulum için bir performans ve kullanıcı rahatlığı cezası vardı, ancak güvenlik ekipleri, ağ etkinliklerinde 360° görünürlükten ve küresel güvenlik politikalarının tek tip uygulanmasından yararlandı.
Kaçınılmaz olarak, kurumsal ağ oluşturmanın hub ve bağlı modeli, BYOD’umuzda, her yerden çalışma, SaaS-on-dokunun dünyasında patlayacaktı. Ve onun ölümüyle, ‘Tek Noktada Güvenliğin Altın Çağı’ sona eriyor. Güvenlik uzmanları, uzun süredir güvendikleri küresel görünürlük ve kontrol ortadan kalktıkça, anlaşılır bir şekilde kötü şeylerin olacağından endişeleniyorlar.
Korkuları yersiz değil. 2021 Verizon Veri İhlali Araştırmaları Raporu’nun belirttiği gibi, bulut varlıklarına yönelik saldırılar artık şirket içi varlıklara yapılan saldırıları geride bırakıyor ve kötü niyetli aktörler “güvenlik paydaşlarının gerekli görünürlükten yoksun olduğu ve bulut varlıklarını çevreleyen doğal şaşırtmacadan yararlanmak için yeni yollar arıyor. erişim ve ağ maruziyetini anlamak için bağlam.”
İşin iyi yanı, bulut, kullanıcı deneyiminden ödün vermeden görünürlüğü ve kontrolü yeniden kazanmanın anahtarını da elinde tutuyor. Bunu başarmanın umut verici bir yolunu sunan bir model, Gartner tarafından tasarlanan Security Service Edge (SSE) çerçevesidir.
Güvenlik Hizmeti Kenarı (SSE) nedir?
SSE, entegre WAN ve bir bulut hizmeti olarak sunulan güvenlik için üst düzey bir tasarım olan Gartner’ın SASE (Secure Access Service Edge (SASE) modelinde yer alan tüm güvenlik işlevlerini kapsar. bağımsız bir SD-WAN çözümüyle birlikte dağıtılabilen tabanlı güvenlik çözümü, aynı zamanda tamamen birleşik SASE çözümlerinde güvenlik işlevlerinin geliştirilmesine rehberlik etmek için kullanılır.
SSE’nin amacı, yönetilen veya yönetilmeyen cihazlar kullanıyor olsalar da, kullanıcıların İnternet’e, Web’e, XaaS hizmetlerine ve özel şirket uygulamalarına her yerden, her zaman güvenle erişebilmelerini sağlamak için uygun ve ölçeklenebilir bir yol sağlamaktır.
SSE çözümleri bunu üç ana bileşen aracılığıyla gerçekleştirir:
- Güvenli Bir Web Ağ Geçidi (SWG) güvenli erişim için İnternet ve Web
- Bir Bulut Erişimi Güvenlik Aracısı (CASB) güvenli erişim için SaaS ve bulut uygulamaları
- Sıfır Güven Ağ Erişimi (ZTNA) güvenli erişim için çerçeve özel uygulamalar
Diğer önemli bileşenler arasında Veri Kaybını Önleme (DLP), Yeni Nesil Bulut Güvenlik Duvarı (CFW’NİN), bir Web Uygulaması Güvenlik Duvarı (WAF) ve bir Saldırı Tespit/Önleme Sistemi (IDS/IPS). Bunlar, ayrı bileşenler olarak konuşlandırılabilir veya kapsayıcı bir CASB veya SWG’ye dahil edilebilir.
Ölçeklenebilirlik ve performans, bu güvenlik işlevlerini uç bulutlara yerleştirerek ve trafiği belirli bir akış için gereken kesin güvenlik işlevine/işlevlerine yönlendirerek elde edilir. Bu yönlendirmeyi düzgün bir şekilde yürütmek ve küresel görünürlüğü korumak için, işleve bağlı trafik öngörülerinin çıkarılması gibi doğru uygulama tanımlaması da bir zorunluluktur.
Uygulamaları tanımlamaya ve bu içgörüleri ayıklamaya yönelik doğal teknoloji, rutin olarak NGFW’ler, DLP ve XDR gibi önemli güvenlik bileşenlerinin içine yerleştirilmiş olan Derin Paket Denetimidir (DPI).
SSE’de küresel görünürlüğün anahtarı, bir DPI motoru tarafından ne tür trafik öngörülerinin çıkarılabileceğini, hangi SSE bileşenlerinin hangi öngörülere ihtiyaç duyduğunu ve trafik zekasını verimli bir şekilde sağlamak için DPI teknolojisinin nasıl entegre edilebileceğini anlamaktır.
Yeni Nesil DPI’dan Hangi SSE İşlevleri Yararlanabilir?
Kısa cevap, her SSE bileşenidir. Asgari olarak, her biri bir akışta uygulamanın doğru bir şekilde tanımlanmasını gerektirir. Buradan, her işlev, bir kullanıcı, cihaz, dosya, bağlantı, eylem veya akış hakkında bağlamsal meta verilerden gelişmiş anormallik algılamaya kadar değişen ek bilgiler gerektirebilir.
Gereken trafik zekası aralığını elde etmek için, ister şirket içinde ister kaynaklı olsun, ticari sınıf yeni nesil DPI (NG DPI) vazgeçilmezdir.
NG DPI nedir?
Standart DPI, kullanılan protokolleri, uygulamaları ve hizmetleri belirlemek ve belirli ağ ve güvenlik işlevlerini desteklemek için meta veri biçiminde ek bilgiler çıkarmak için Katman 2’den (veri bağlantısı) Katman 7’ye (uygulamalar ve veriler) ağ trafiği akışlarını pasif olarak analiz eder. . NG DPI, üç ek zorluğu karşılamak için standart DPI’dan evrimleşmiştir:
- Ağları düzgün bir şekilde yönetmek ve güvenli hale getirmek için gereken temel görünürlüğü etkileyen şifreli trafiğin yükselişi,
- Gelişmiş suç aktörleri ve ulus devletler tarafından gerçekleştirilen gelişmiş, karmaşık siber saldırıların ortaya çıkması ve
- Önemli ölçüde daha yüksek performans ve ölçeklenebilirlik gereksinimleriyle bulut tabanlı çözümlere geçiş.
NG DPI, bu zorlukları şu ayırt edici özelliklerle karşılar:
- Anormal ve Kaçınan Trafiğin Tespiti
- Gelişmiş İlk Paket İşleme
- Genişletilmiş Protokol ve Uygulama Kapsamı
- Bulut Ölçekli Performans
SSE’de NG DPI Dağıtımı
Bir inşa veya satın alma kararı verildikten sonra, ikinci büyük adım, çıktısı birçok bileşen tarafından kullanılacak olan DPI yazılımının en iyi şekilde nasıl entegre edileceğini belirlemektir. Tipik olarak, yanıt, geleneksel bir hizmet zinciri mimarisi ile tek geçişli DPI kullanan bir yönlendirme modeli arasında bir mimari seçime bağlıdır. Bulut hizmetlerinin benzersiz performans talepleri göz önüne alındığında, SSE’deki endüstri eğilimi yönlendirme modeline yöneliktir.
Hizmet Zinciri Mimarisi
Geleneksel bir hizmet zinciri mimarisinde, trafik, aynı trafiğin şifresi çözülerek, DPI ile işlenerek ve her bir işlev tarafından yeniden şifrelenerek tüm ağ ve güvenlik işlevleri aracılığıyla seri bir şekilde çalıştırılır. Ancak, SSE daha yüksek performans modeli gerektirir.
Geleneksel Hizmet Zincirleme
Direksiyon Modeli
Direksiyon modeli daha yüksek performanslı bir alternatiftir. Bu modelde, belirli bir akışın derinlemesine inceleme için şifresinin çözülmesi gerekip gerekmediğini ve öyleyse hangi işlevler (SWG, CASB, IDS/IPS, NGFW, DLP, vb.) .
NG DPI kullanarak, örneğin şifreli bir akışı, daha fazla analiz yapılmadan (örneğin, MS Teams sesli araması) yolda gönderilebilen güvenilir trafik olarak ve tam DPI işleme, şifre çözme ve içerik gerektiren bir akış olarak tanımlamak mümkündür. (yük) analizi (örneğin, SharePoint dosya aktarımı).
Tek Geçişli DPI’lı Direksiyon Modeli
Şifre çözme ve tam DPI kullanılması gerektiğinde, DPI’yi bir kez çalıştırmak ve sonuçları paylaşmak (yani tek geçişli DPI), güvenliği etkilemeden SASE performansını en üst düzeye çıkarır.
NG DPI: SSE Başarısının Anahtarı
İster hizmet zinciri ister yönlendirme modeli seçin, yüksek performanslı, ticari sınıf yeni nesil DPI motorunun entegrasyonu, SSE’nin yakınsanmış, bulut tabanlı güvenlik ortamının çok özel ihtiyaçlarını karşılamak için bir zorunluluktur. Yalnızca NG DPI, şifreli trafik sınıflandırması, anormal ve kaçak trafiği algılama, doğru ilk paket sınıflandırması, genişletilmiş protokol ve uygulama kapsamı (derin Bulut, SaaS, ICS/SCADA & IoT ve İş uygulaması kapsamı ile) ve bulut gibi hayati yetenekleri sağlayabilir. -sınıf ölçeklenebilirlik ve performans.
Daha yüksek bir düzeyde, NG DPI, dijital dönüşümün vazgeçilmez bir etkinleştiricisidir. BT/OT’nin Bulut ve İnternet’e geçişi, gelişen çalışma yollarımızı desteklemek için gereklidir, ancak küresel ağ görünürlüğü ve sağladığı kontrol, bizi koruyan güvenlik araçlarını geliştiren veya yöneten profesyoneller için korunmadıkça sürdürülebilir değildir. hepsi güvenli.
