Cisco SASE: et rammeverk for sikkerhet i en hybrid verden

Sikkerhet i hybride miljøer og på tvers av mobile enheter blir stadig mer aktuelt. De aller fleste virksomheter bruker i dag en kombinasjon av «on-premise» infrastruktur og ulike skytjenester. For å sørge for sikkerhet i slike komplekse miljøer utarbeidet Gartner begrepet Secure Access Service Edge (SASE).

– Om du ser på Gartners definisjon av SASE er dette et rammeverk som beskriver en konvergens mellom nettverk og sikkerhet. Siden Cisco har jobbet med nettverk, sikkerhet, skyen og fjernarbeid i mange år er det naturlig for oss å sette alle byggeklossene sammen i en SASE-tjeneste, sier Leif Sundsbø, Partner Business Development Specialist i Cisco.

Cisco leverer nå WAN, sikkerhet og «edge computing» som en sky-native SASE-tjeneste. Cisco Security as a Service er en kombinasjon av Cisco SD-WAN, Cisco Umbrella for CASB, samt Cisco Duo for null tillitsikkerhet (ZTNA).

Endringer i sikkerhetsbehovet

Sundsbø forteller om en overgang fra behov for sikkerhet i lokale nettverk til behov for sikkerhet på tvers av nettverk og skytjenester.

– Fordelen er at vi kommer fra en fysisk nettverksverden og i tillegg har sikkerhetstjenester gjennom egenutvikling og oppkjøp. Når vi sitter med en komplett sikkerhetsportefølje på toppen av nettverket er det naturlig at sikkerhet blir en integrert del av nettverket. Vi bruker derfor nettverket som en sensor og ser at nettverkssikkerhet og skytjenester i større grad griper inn i hverandre enn tidligere.

Han peker på at pandemien har lært oss å jobbe på andre måter, og skapt et behov for forenklet administrasjon av sikkerhet i en hybrid arkitektur.

– Antallet nettverksleverandører i verden kan telles på en hånd, men om du ser på antallet sikkerhetsleverandører er det snakk om flere tusen. Markedet for sikkerhet er komplekst, og det blir vanskelig for kundene å orientere seg. For å møte denne utfordringen forenkler SASE sikkerhetsarbeidet i hybride miljøer og blir en viktig del av skyreisen, sier han og utdyper:

– Om du ser noen år tilbake gikk 80 prosent av trafikken for en vanlig virksomhet gjennom hovedkontoret, i dag går 80 prosent direkte på internett. Denne utviklingen gjør at sikkerhet er noe som går langt utover brannmur i eget hus.

En ny måte å tenke sikkerhet

Han forteller at de fleste virksomheter har en eller flere applikasjoner i skyen og er utenfor det tradisjonelle lokasjonsbaserte nettverket.

– Siden virksomheten fortsatt har ansvar for sikkerhet og hvem som har tilgang på tjenestene må sikkerhet håndteres på en annen måte. SASE er derfor relevant for alle virksomheter som har en kombinasjon av lokale nettverk, skytjenester og brukere på ulike lokasjoner, sier Sundsbø og konkluderer:

– En vanlig bruker bryr seg ikke om applikasjonen ligger lokalt eller i skyen, men er opptatt av å utføre jobben på en sikker måte.

Nye sikkerhetsutfordringer i hybride miljøer

Sundsbø får støtte av kollega Morten Myhrstuen, Technical Solutions Architect i Cisco, som peker på flere sikkerhetsutfordringer i hybrid miljøer.

– Når en virksomhet tar i bruk skytjenester og har utekontorer med direkte tilgang til internett blir de tradisjonelle sikkerhetsbarrierene endret. Sikkerhetsgrensene oppstår mange steder når brukerne konsumerer applikasjoner i hybrid miljøer og på ulike skyplattformer. Da sier det seg selv at en sentralisert brannmur ikke er nok, sier han.

Myhrstuen forteller om en utvikling fra tradisjonell og sentralisert «hub and spoke»-arkitektur med eget datasenter og brannmur til en mer desentralisert sikkerhetsarkitektur.

– Samtidig som mange virksomheter fortsatt benytter tradisjonell arkitektur ser vi en overgang til desentraliserte løsninger. Microsoft tilbyr Azure ExpressRoute for å nå Office 365 raskere, men utfordringen er de samme som før. Selv om tjenesten gir deg en raskere forbindelse basert på SLA, er du fortsatt ofte blind for hva som skjer utenfor brannmuren. Grunnen til dette er at nye applikasjonene ikke er monolittiske, men består av mange datastrømmer fra ulike kilder, sier han.

Et nettverk er ikke sterkere enn den svakeste noden

Han peker på utfordringer med applikasjoner som henter data som befinner seg i andre skyer og i private datasentre.

– Siden en applikasjon ofte er avhengig av andre datakilder kan det føre til at tjenesten ikke fungerer som den skal. Dette gjør at nettverket i større grad må imøtekomme kravene fra applikasjonene, og at sikkerheten må ivaretas på tvers av mange grensesnitt. Applikasjonen som sluttbruker forholder seg til er avhengig av sikkerheten og stabiliteten til mange API’er.

– Om du bruker en tradisjonell tilnærming til dagens applikasjoner vil du få mer trafikk og forsinkelser i brannmuren siden det hentes data fra hele verden, noe som igjen medfører økte kostander på den sentrale koblingen mot skytjenestene. SASE er derimot desentralisert og gjør det enkelt å konsumere skysikkerhet der du har behov for åpne forbindelser til internett, sier han.

Tilpasser SASE til kundenes behov

Myhrstuen jobber til daglig med å tilpasse SASE til ulike virksomheter og arkitekturer.

– For oss er det viktig å forstå kundenes eksisterende nettverksarkitektur, men også hvordan dette er koblet til virksomhetens forretningsområder. Majoriteten av norske virksomheter har fortsatt monolittiske applikasjoner i eget datasenter og kjører andre skytjenester via egen «breakout». Selv om de har en sentralisert løsning har de behov for sikkerhet i form av anti-malware og tjenester for å gjenkjenne trusselbilder. Dette kan implementeres «on-premise» med sentral «breakout», men er forbundet med mye administrasjon og store kostnader.

Han forteller at fordelen med sikkerhetstjenester via Cisco SASE er at sikkerheten blir programmert likt på alle lokasjoner.

– Med SASE slipper man å administrere sikkerhet per lokasjon, sikkerheten blir forløpende oppdatert, og identifisering av trusler er automatisert. Løsningen forenkler sikkerheten på alle lokasjoner og sørger for at programvare alltid er oppdatert. En annen grunn til at flere ønsker å gå bort fra sentraliserte sikkerhetsløsninger er fordi skyapplikasjonene oppleves som mindre stabile og responsive. Med SASE går trafikken direkte til internett med den samme sikkerheten som andre i nettverket.

– Vi avdekker kundens applikasjoner, sikkerhetsmekanismer og ser ofte at de ikke kjenner til mulighetene som finnes med SASE. Min erfaring er at om jeg går til partnere eller sluttkunder så kjenner de fleste til Gartner og SASE, men det er få som vet hva det innebærer av muligheter og fordeler for virksomheten, sier han.

Samme modenhetskurve som skytjenester

Myhrstuen mener SASE er kommet for å bli på samme måte som internett og skytjenester.

– Da Microsoft begynte med skytjenester kastet mange seg på trenden, men ble skeptiske da de opplevde redusert responstid og ble usikre på sikkerheten. I dag bruker omtrent 90 prosent av norske virksomheter ulike skytjenester, og ser at tjenestene er sikre og stabile. Dette har gjort at vi blant annet kan automatisere og orkestrere applikasjoner og skytjenester som en del av Cisco SD-WAN.

– Jeg tror SASE vil følge samme modenhetskurve som da skytjenester først ble lansert. Kundene er alltid litt skeptiske i begynnelsen og det tar litt tid før man forstår at sikkerhet fungerer bedre i skyen, avslutter Myhrstuen.

Les mer om Cisco SASE her.