DAY29 SASE/CASB/SWG/FWaaS

• 一. 傳統 VPN 問題
• 二. SASE 安全存取服務邊緣
• 三. CASB 雲端存取安全代理
  • 3-1 DLP 資料外洩防護
• 四. SWG 安全網頁閘道
• 五. FWaaS 防火牆即服務
• 六. SD-WAN 軟體定義廣域網路
• 七. 總結

SASE 安全存取服務邊緣
CASB 雲端存取安全代理
SWG 安全網頁閘道
FWaaS 防火牆即服務

一. 傳統 VPN 問題

假設員工人在外面，但需要存取Microsoft 365、Google Workspace等這類服務

這些服務在網際網路上(本來可以直接連過去)
但因為裡面資料是公司的需要公司做安全檢查

所以傳統VPN就會:
員工->VPN->公司內部網路 (把流量拉回來)
->防火牆->其他安全設備 (檢查流量)
->網際網路服務 (檢查完了才放去員工真正要去的地方)

這種先把流量拉回公司再出去:
Backhaul（流量回傳）

缺點:

Latency（延遲）
Bandwidth Bottleneck（頻寬瓶頸）

優點:

集中控管

IPAS 115-1 Q10
隨著SaaS（Software as a Service）應用普及
傳統VPN的「流量回傳（Backhaul）」架構導致頻寬瓶頸與延遲。
企業決定導入安全存取服務邊緣（Secure Access Service Edge, SASE）架構。
下列何項SASE組件能讓員工不需VPN即可安全、直接地存取雲端應用，並同時執行資料外洩防護（Data Loss Prevention, DLP）檢查？

今天主要回答的問題

二. SASE 安全存取服務邊緣

Secure Access Service Edge，SASE
安全存取服務邊緣

把網路連線能力與安全功能
整合成雲端化架構

簡單來說就是:
使用者不一定要先回公司，安全檢查可以在靠近使用者的雲端服務節點完成

SASE的流程
USER使用者->
SASE雲端安全服務->
安全檢查->
網際網路服務

把安全控制的地方，從公司機房邊界，往雲端邊緣移動

SASE常見的元件
CASB 雲端存取安全代理
SWG 安全網頁閘道
FWaaS 防火牆即服務
SD-WAN 軟體定義廣域網路
也是IPAS 115-1 Q10 的四個選項

三. CASB 雲端存取安全代理

Cloud Access Security Broker，CASB
雲端存取安全代理

主要管理:
Cloud application 雲端應用程式的使用與安全

例如的應用程式有:

• Microsoft 365
  • OneDrive雲端硬碟、文書工具、Teams 等等
• Google Drive
  • Google雲端硬碟
• Dropbox
  • 雲端硬碟
• Salesforce
  • 雲端商業軟體

使用者->CASB->雲端應用程式

CASB雲端存取安全代理 可以做
讓公司知道->員工用了哪些雲端服務? (可視性)
公司決定->誰可以用哪個雲端服務? (存取控制)
公司防止->敏感資料被上傳到不該去的雲端 (資料保護)
公司偵測->惡意檔案或異常行為 (威脅防護)

3-1 DLP 資料外洩防護

Data Loss Prevention，DLP
資料外洩防護

防止敏感資料被不當傳出

IPAS 115-1 Q10
下列何項SASE組件能讓員工不需VPN即可安全、直接地存取雲端應用，並同時執行資料外洩防護（Data Loss Prevention, DLP）檢查？
B: CASB 雲端存取安全代理
可以防止敏感資料被上傳到不該去的雲端

DAY02有提到過 ShadowIT影子資訊科技
員工偷偷把公司文件放到私人的Dropbox
這時!!
CASB 雲端存取安全代理 可以幫公司:
發現這種未授權雲端服務使用(可視性)

四. SWG 安全網頁閘道

Secure Web Gateway，SWG
安全網頁閘道

主要用來保護網頁流量

使用者的流程會是:
使用者->SWG->網站

常見功能:

• 網址過濾 (阻擋惡意網站)
• 網頁內容過濾 (網頁內容是否符合政策)
• 惡意程式偵測 (下載的東西是不是惡意)

它在這中間會檢查
這個網站能不能進?
這個網址是不是惡意?
下載內容有沒有惡意程式?
有沒有違反公司的上網政策?

五. FWaaS 防火牆即服務

Firewall as a Service，FWaaS
防火牆即服務

簡單來說:
把Firewall防火牆的功能做成雲端服務
將防火牆部署到雲端上

提供的功能與防火牆大致一樣，只是用雲端的方式服務

• 封包過濾
• 應用層檢查
• URL過濾
• IPS入侵防禦
• TLS解密檢查惡意內容
• 日誌報表

六. SD-WAN 軟體定義廣域網路

Software-Defined Wide Area Network，SD-WAN
軟體定義廣域網路

用軟體的方式管理
不同站點之間的廣域網路WAN連線

假設:
一間公司有:

新北總部
桃園分公司
台中分公司

當:

新北->桃園
新北->台中
台中->桃園

這些據點之間的網路就是WAN(廣域網路)

跨越城市、地區的網路

而SD-WAN就是:

用軟體統一管理公司所有據點之間的線路
依照流量種類和線路的狀況
自動選擇適合的路走

七. 總結

SASE 安全存取服務邊緣: