لبه سرویس دسترسی امن

**لبه سرویس دسترسی امن** (**SASE**) (همچنین **لبه امن دسترسی امن**) فناوری‌ای است که برای ارائه شبکه گسترده (WAN) و کنترل‌های امنیتی به عنوان یک سرویس محاسبات ابری مستقیماً به منبع اتصال (کاربر، دستگاه، دستگاه اینترنت اشیا (IoT) یا محل محاسبات لبه) به جای یک مرکز داده استفاده می‌شود. این فناوری از فناوری‌های محاسبات ابری و لبه برای کاهش تأخیر ناشی از انتقال مجدد تمام ترافیک WAN در فواصل طولانی به یک یا چند مرکز داده شرکتی، به دلیل افزایش جابجایی کاربران پراکنده و برنامه‌های کاربردی آنها در خارج از محل، استفاده می‌کند. این امر همچنین به سازمان‌ها کمک می‌کند تا از کاربران پراکنده پشتیبانی کنند.

امنیت مبتنی بر هویت دیجیتال، زمینه بلادرنگ و سیاست‌های انطباق شرکت و مقررات است، نه یک دستگاه امنیتی مانند فایروال. یک هویت دیجیتال ممکن است به هر چیزی از یک شخص گرفته تا یک دستگاه، سرویس ابری، نرم‌افزار کاربردی، سیستم اینترنت اشیا یا هر سیستم محاسباتی متصل باشد.

این اصطلاح در سال ۲۰۱۹ توسط نیل مک‌دونالد، تحلیلگر بازار از گارتنر، ابداع شد.

## نمای کلی
SASE , SD-WAN را با عملکردهای امنیتی شبکه، از جمله کارگزاران امنیتی دسترسی ابری (CASB)، دروازه‌های وب امن (SWG)، بازرسی آنتی‌ویروس/بدافزار، شبکه خصوصی مجازی (VPN)، فایروال به عنوان سرویس (FWaaS) و پیشگیری از دست رفتن داده‌ها (DLP) ترکیب می‌کند که همگی توسط یک سرویس ابری واحد در لبه شبکه ارائه می‌شوند.

عملکردهای SASE SD-WAN ممکن است شامل اولویت‌بندی ترافیک، بهینه‌سازی WAN، ستون فقرات همگرا و خودترمیمی با استفاده از پلتفرم‌های هوش مصنوعی AIOps برای بهبود قابلیت اطمینان و عملکرد باشد.

عملکردهای WAN و امنیت معمولاً به عنوان یک سرویس واحد در نقاط حضور (PoP) پراکنده SASE که تا حد امکان به کاربران پراکنده، دفاتر شعب و سرویس‌های ابری نزدیک هستند، ارائه می‌شوند. برای دسترسی به خدمات SASE، مکان‌های لبه یا کاربران به نزدیکترین PoP موجود متصل می‌شوند. فروشندگان SASE ممکن است با چندین ارائه دهنده ستون فقرات و شرکای همتا قرارداد ببندند تا عملکرد WAN سریع و با تأخیر کم را برای اتصالات PoP به PoP در مسافت‌های طولانی به مشتریان ارائه دهند.

## تاریخچه
اصطلاح SASE توسط تحلیلگران گارتنر، نیل مک‌دونالد و جو اسکوروپا، ابداع شد و در گزارش چرخه تبلیغات شبکه و روند بازار در ۲۹ ژوئیه ۲۰۱۹ و گزارش گارتنر در ۳۰ اوت ۲۰۱۹ شرح داده شد.

در سال ۲۰۲۱، گارتنر زیرمجموعه‌ای از قابلیت‌های SASE را با نام لبه خدمات امن (SSE) تعریف کرد. SSE مجموعه‌ای از خدمات امنیتی SASE است که می‌تواند همراه با خدمات شبکه، مانند SD-WAN، پیاده‌سازی شود تا یک راه‌حل کامل ارائه دهد.

## رانندگان
SASE با ظهور محاسبات موبایل، لبه و ابری در سازمان‌ها به قیمت از دست رفتن شبکه محلی (LAN) و مرکز داده سازمانی هدایت می‌شود. با انتقال کاربران، برنامه‌ها و داده‌ها از مرکز داده سازمانی به ابر و لبه شبکه، انتقال امنیت و WAN به لبه نیز برای به حداقل رساندن مشکلات تأخیر و عملکرد ضروری است.

مدل رایانش ابری به منظور واگذاری و ساده‌سازی ارائه SD-WAN و عملکردهای امنیتی به دستگاه‌ها و مکان‌های مختلف محاسبات لبه‌ای طراحی شده است. طبق گفته گارتنر، بر اساس سیاست‌ها، عملکردهای امنیتی مختلفی نیز ممکن است برای اتصالات و جلسات مختلف از یک نهاد، چه برنامه‌های SaaS، رسانه‌های اجتماعی، برنامه‌های مرکز داده یا بانکداری شخصی، اعمال شوند.

معماری ابری، بهبودهای معمول ابری مانند قابلیت ارتجاعی، انعطاف‌پذیری، چابکی، دسترسی جهانی و مدیریت تفویض‌شده را ارائه می‌دهد.

## ویژگی‌ها
عناصر اصلی SASE عبارتند از:
* همگرایی عملکردهای امنیت WAN و شبکه.
* یک معماری بومی ابری که WAN همگرا و امنیت را به عنوان سرویسی ارائه می‌دهد که مقیاس‌پذیری، انعطاف‌پذیری، سازگاری و خودترمیمی معمول در تمام سرویس‌های ابری را ارائه می‌دهد.
* شبکه‌ای از PoPها که به صورت جهانی توزیع شده‌اند و طیف کاملی از قابلیت‌های WAN و امنیتی را با تأخیر کم، در هر مکانی که دفاتر تجاری، برنامه‌های ابری و کاربران تلفن همراه قرار دارند، ارائه می‌دهند. برای ارائه تأخیر کم در هر مکانی، PoPهای SASE باید از تعداد و گستردگی بیشتری نسبت به آنچه توسط ارائه دهندگان ابر عمومی معمولی ارائه می‌شود، برخوردار باشند و ارائه دهندگان SASE باید روابط همتاسازی گسترده‌ای داشته باشند.
* سرویس‌های هویت‌محور. یک هویت می‌تواند به هر چیزی از یک شخص یا شعبه گرفته تا یک دستگاه، برنامه، سرویس، دستگاه اینترنت اشیا یا مکان محاسبات لبه در منبع اتصال متصل شود. هویت مهم‌ترین زمینه‌ای است که بر سیاست امنیتی SASE تأثیر می‌گذارد. با این حال، مکان، زمان روز، وضعیت ریسک/اعتماد دستگاه متصل و حساسیت برنامه و داده‌ها، زمینه‌های بلادرنگ دیگری را فراهم می‌کنند که خدمات و سیاست‌های امنیتی اعمال شده بر هر جلسه WAN و در طول آن را تعیین می‌کنند.
* پشتیبانی از همه لبه‌ها به‌طور مساوی، از جمله مکان‌های فیزیکی، مراکز داده ابری، دستگاه‌های تلفن همراه کاربران و محاسبات لبه، با قرار دادن تمام قابلیت‌ها در PoP محلی به جای مکان لبه. اتصالات لبه به PoP محلی ممکن است از یک SD-WAN برای یک شعبه تا یک کلاینت VPN یا دسترسی وب بدون کلاینت برای یک کاربر تلفن همراه، تا چندین تونل از ابر یا اتصالات ابری مستقیم در داخل یک مرکز داده جهانی متفاوت باشد.

گارتنر و دیگران معماری SASE را برای سازمان‌های مبتنی بر موبایل و ابر ترویج می‌دهند. مزایای آن عبارتند از:

### پیچیدگی کاهش یافته
SASE با مدل رایانش ابری خود و یک فروشنده واحد برای تمام عملکردهای WAN و امنیتی، در مقایسه با چندین دستگاه امنیتی از فروشندگان متعدد در هر مکان، پیچیدگی را کاهش می‌دهد. کاهش پیچیدگی همچنین از معماری تک‌گذره‌ای ناشی می‌شود که جریان ترافیک را رمزگشایی کرده و یک بار آن را با چندین موتور سیاست‌گذاری بررسی می‌کند، نه اینکه چندین سرویس بازرسی را به هم متصل کند.

### دسترسی جهانی
معماری SASE به گونه‌ای طراحی شده است که دسترسی سریع و ایمن و مداوم به هر منبعی را از هر نهادی در هر مکانی فراهم کند، برخلاف دسترسی که عمدتاً مبتنی بر مرکز داده شرکت است.

### بهره‌وری هزینه
بهره‌وری هزینه مدل ابری، که هزینه‌های سرمایه اولیه را به هزینه‌های اشتراک ماهانه منتقل می‌کند، ارائه‌دهندگان و فروشندگان را ادغام می‌کند و تعداد تجهیزات و نرم‌افزارهای شعبه فیزیکی و مجازی که فناوری اطلاعات باید خریداری کند، مدیریت و نگهداری را در داخل شرکت کاهش می‌دهد. کاهش هزینه همچنین از واگذاری نگهداری، ارتقاء و به‌روزرسانی سخت‌افزار به ارائه‌دهنده SASE حاصل می‌شود.

### عملکرد
عملکرد برنامه‌ها و سرویس‌ها با مسیریابی بهینه‌شده برای تأخیر بهبود می‌یابد، که به ویژه برای ویدئو، VoIP و برنامه‌های همکاری حساس به تأخیر مفید است. ارائه‌دهندگان SASE می‌توانند ترافیک را از طریق ستون فقرات با کارایی بالا که با شرکای اپراتور و همکار قرارداد دارند، بهینه‌سازی و مسیریابی کنند. همچنین با پیاده‌سازی تمام عملکردهای امنیتی با معماری تک‌گذر در یک PoP واحد، عملکرد افزایش می‌یابد تا از مسیریابی غیرضروری جلوگیری شود. بسته به پیاده‌سازی، SASE ممکن است تعداد برنامه‌ها و عوامل مورد نیاز برای یک دستگاه را به یک برنامه واحد کاهش دهد، در حالی که یک تجربه ثابت را برای کاربر صرف نظر از مکان یا آنچه به آن دسترسی دارد، فراهم می‌کند.

### امنیت پایدار
امنیت **پایدار** از طریق یک سرویس ابری واحد برای همه عملکردهای امنیتی WAN و اتصالات WAN. امنیت مبتنی بر مجموعه‌ای از سیاست‌ها است، با عملکردهای امنیتی یکسان که توسط همان سرویس ابری به هر جلسه دسترسی، صرف نظر از برنامه، کاربر یا موقعیت مکانی دستگاه و مقصد (ابر، برنامه مرکز داده) ارائه می‌شود. هنگامی که ارائه دهنده SASE با یک تهدید جدید سازگار می‌شود، این سازگاری می‌تواند برای همه لبه‌ها در دسترس باشد.

## انتقاد
انتقاد از SASE از منابع مختلفی، از جمله IDC و IHS Markit، مطرح شده است، همان‌طور که در پست sdxcentral در ۹ نوامبر ۲۰۱۹ نوشته شده توسط توبیاس مان ذکر شده است. هر دو شرکت تحلیلگر، SASE را به عنوان یک اصطلاح گارتنر که نه یک بازار، فناوری یا محصول جدید است، بلکه ادغام فناوری موجود با یک منبع مدیریت واحد است، مورد انتقاد قرار می‌دهند.

کلیفورد گراسنر از IHS Markit از فقدان تجزیه و تحلیل، هوش مصنوعی و یادگیری ماشینی به عنوان بخشی از مفهوم SASE و احتمال اینکه شرکت‌ها نخواهند تمام عملکردهای SD-WAN و امنیتی را از یک فروشنده واحد دریافت کنند، انتقاد می‌کند. گارتنر در پاسخ می‌گوید که زنجیره‌سازی خدمات امنیتی و عملکردهای SD-WAN از فروشندگان متعدد منجر به «خدمات متناقض، قابلیت مدیریت ضعیف و تأخیر بالا» می‌شود.

برندون باتلر، تحلیلگر IDC، به موضع IDC اشاره می‌کند که SD-WAN به SD-Branch تکامل خواهد یافت، که به عنوان استقرار و مدیریت متمرکز SD-WAN مجازی و عملکردهای امنیتی در چندین شعبه تعریف می‌شود.

## فناوری‌های SASE
### SD-WAN
SD-WAN فناوری‌ای است که از طریق کنترل متمرکز سخت‌افزار یا نرم‌افزار شبکه‌ای که ترافیک را در سراسر WAN هدایت می‌کند، شبکه‌سازی گسترده را ساده می‌کند. همچنین به سازمان‌ها اجازه می‌دهد تا اتصالات WAN خصوصی را با اتصالات اینترنت پهن‌باند، LTE و/یا 5g ترکیب یا جایگزین کنند. کنترل‌کننده مرکزی سیاست‌ها را تعیین می‌کند و ترافیک WAN را اولویت‌بندی، بهینه‌سازی و مسیریابی می‌کند و بهترین لینک و مسیر را به صورت پویا برای عملکرد بهینه انتخاب می‌کند. فروشندگان SD-WAN ممکن است برخی از عملکردهای امنیتی را با دستگاه‌های مجازی یا فیزیکی SD-WAN خود ارائه دهند که معمولاً در مرکز داده یا شعبه مستقر می‌شوند.

معمولاً SASE, SD-WAN را به عنوان بخشی از یک سرویس ابری در خود جای می‌دهد که دسترسی موبایل و یک پشته امنیتی کامل را از یک PoP محلی ارائه می‌دهد.

### فایروال نسل بعدی (NGFW)
NGFW یک فایروال سنتی را با سایر عملکردهای امنیتی و شبکه‌ای که برای مرکز داده مجازی‌سازی شده طراحی شده‌اند، ترکیب می‌کند. عملکردهای امنیتی شامل کنترل برنامه، بازرسی عمیق و رمزگذاری شده بسته‌ها، جلوگیری از نفوذ، فیلتر کردن وب‌سایت، ضد بدافزار، مدیریت هویت، هوش تهدید و حتی کیفیت خدمات WAN و مدیریت پهنای باند است.

NGFW زیرمجموعه‌ای از پشته امنیتی ارائه شده توسط SASE را ارائه می‌دهد و معمولاً شامل خدمات SD-WAN نمی‌شود. NGFW ممکن است در محل یا به عنوان یک سرویس ابری مستقر شود، در حالی که SASE طبق تعریف یک معماری ابری است. در حالی که SASE امنیت را بر روی اتصالات WAN متمرکز می‌کند، NGFW را می‌توان در هر جایی از جمله به صورت داخلی در مرکز داده مستقر کرد.

### فایروال به عنوان سرویس (FWaaS)
FWaaS فایروالی است که به عنوان یک سرویس ابری ارائه می‌شود، نه به صورت نرم‌افزار یا سخت‌افزار در محل. اکثر ارائه‌دهندگان FWaaS قابلیت‌های NGFW را ارائه می‌دهند. معمولاً کل یک سازمان به یک ابر FWaaS واحد متصل می‌شود و نیازی به نگهداری زیرساخت فایروال خود ندارد. SASE, FWaaS لبه‌ای را با سایر عملکردهای امنیتی و SD-WAN ترکیب می‌کند.

## فناوری مشابه
### شبکه به عنوان سرویس (NaaS)
SASE و NaaS از نظر مفهومی همپوشانی دارند. NaaS زیرساخت‌ها و خدمات شبکه مجازی را با استفاده از یک مدل کسب‌وکار اشتراک ابری ارائه می‌دهد. مانند SASE، پیچیدگی و هزینه‌های مدیریت کمتری را ارائه می‌دهد. معمولاً ارائه‌دهندگان مختلف NaaS بسته‌های خدماتی متفاوتی مانند بسته‌ای از WAN و VPNهای امن به عنوان یک سرویس، پهنای باند بر اساس تقاضا یا شبکه‌های میزبانی شده به عنوان یک سرویس ارائه می‌دهند. در مقابل، SASE قرار است یک راه‌حل جامع و امن SD-WAN برای دفاتر شعب، کاربران تلفن همراه، مراکز داده و هرگونه نیاز WAN امن سازمانی دیگر باشد.

### لبه اعتماد صفر
شرکت تحقیقاتی Forrester به نوعی از شبکه همگرا و پشته امنیتی شبیه به SASE به عنوان Zero Trust Edge (ZTE) اشاره می‌کند. Forrester مدل خود را مشابه مدل Gartner توصیف می‌کند، اما با تأکید بیشتر بر گنجاندن اصول Zero Trust برای احراز هویت و مجوزدهی کاربران.

## بازار
گارتنر انتظار دارد که بازار راهکارهای SASE در سال ۲۰۲۵ به ۱۵ میلیارد دلار افزایش یابد و خریداران بین اتخاذ یک راهکار تک فروشنده یا چند فروشنده تقسیم شوند. برخی از فروشندگان بر جنبه‌های شبکه تمرکز می‌کنند در حالی که برخی دیگر بر جنبه امنیتی که اکنون به عنوان Secure Service Edge (SSE) شناخته می‌شود، تمرکز دارند.

## استانداردها
MEF که در ابتدا با نام انجمن مترو اترنت شناخته می‌شد، به یک سازمان استاندارد نسل بعدی با تمرکز گسترده بر روی خدمات شبکه نرم‌افزار محور و زیرساخت امنیتی برای ارائه دهندگان خدمات، تولیدکنندگان فناوری و طراحی شبکه‌های سازمانی تبدیل شده است. به منظور ایجاد آینده‌ای که در آن تعامل بین راه‌حل‌های «بهترین نوع» امکان‌پذیر باشد، MEF اقدام به ایجاد تعدادی از استانداردهای صنعتی کرد که می‌توانند برای آموزش و همچنین ادغام مورد استفاده قرار گیرند. کمیته تعریف خدمات MEF SASE (MEF W117) تأسیس شد و پیش‌نویس مشخصات فنی را برای استفاده عمومی ارائه خواهد داد. این مشخصات حاصل کار تعدادی از تولیدکنندگان فناوری و همچنین چندین ارائه دهنده خدمات بوده و بر اساس مشخصات فنی فعلی MEF مانند MEF 70.1 Draft Release 1 SD-WAN Service Attributes and Service Framework است.

MEF یک پیش‌نویس کاری با عنوان «پیش‌نویس MEF W117 1.01 SASE (Secure Access Service Edge) SASE Service Attributes and Service Framework» در اوت ۲۰۲۱ منتشر کرد. این سند برای شرکت‌ها و اعضای شرکت‌کننده در MEF در دسترس است.

## جستارهای وابسته
* مجازی‌سازی عملکرد شبکه
* مدل امنیتی بدون اعتماد

## منابع

رده:شبکه گسترده
رده:صفحه‌های با ترجمه بازبینی‌نشده