SASE
En seguridad de redes, SASE (secure access service edge) es un modelo entregado desde el cloud que junta red y seguridad en un solo servicio: combina la red de área extensa definida por software con controles como una pasarela web segura, un cloud access security broker, ZTNA y cortafuegos como servicio. Es como las organizaciones compran cada vez más la conectividad segura, como una única plataforma.
Cómo funciona
SASE saca la pila de seguridad de una caja del centro de datos y la lleva a un conjunto de puntos de presencia en el cloud a los que se conectan los usuarios y las sedes. El tráfico se encamina por ese borde, donde los controles se aplican juntos: una pasarela web segura filtra el acceso web de salida, un cloud access security broker gobierna el uso de las aplicaciones cloud, ZTNA da acceso por aplicación a los recursos privados, y el cortafuegos como servicio se ocupa del resto. La mitad de red (la WAN definida por software) dirige el tráfico de forma eficiente al borde más cercano. Al subconjunto de solo seguridad de este paquete, sin la parte de WAN, se le suele llamar SSE. El atractivo es una sola política aplicada de forma consistente a todos los usuarios, trabajen donde trabajen, en vez de un conjunto de controles distinto por sede.
Qué sale mal
Consolidar concentra la confianza. Una plataforma SASE ve y puede descifrar una buena parte del tráfico de una organización, así que su propia configuración y su propio control de acceso pasan a ser de alto valor: una cuenta de administración débil o una política demasiado amplia afectan a todo lo que se encamine por ahí. En los despliegues que revisamos, los huecos comunes son la cobertura desigual (parte del tráfico se salta el borde y llega directo a Internet, deshaciendo el filtrado), la inspección de TLS activada de forma irregular, de modo que la prevención de pérdida de datos y el filtrado web solo ven una parte del flujo, y unas reglas de salida permisivas porque apretarlas rompió algo una vez. La plataforma vale lo que vale el tráfico que de verdad intercepta.
Dónde aparece esto en una auditoría
Evaluamos un despliegue de SASE por cobertura y por la solidez de sus propios controles: si todo el tráfico previsto atraviesa de verdad el borde, si la inspección es consistente, si las políticas de salida y de aplicación aplican lo que el cliente cree, y cómo está protegido el acceso administrativo a la plataforma. Los hallazgos se escriben contra el camino que se salta el borde o contra la política débil, con la ruta sin controlar demostrada. Como la plataforma agrega tanto, su seguridad administrativa se evalúa con el mismo rigor que un controlador de dominio.