ANECT a.s.SASE: Bezpečný přístup k firemním aplikacím a datům v éře hybridní práce
Zaměstnanci dnes běžně pracují z kanceláře, z domova i na cestách a přistupují k firemním aplikacím v datovém centru, v cloudu i na internetu. Tradiční model, kdy se uživatel připojí VPN do podnikové sítě, na tenhle způsob práce už nestačí.
VPN typicky dává přístup do části sítě, ne jen ke konkrétní aplikaci. Pokud útočník získá přihlašovací údaje nebo napadne zařízení, může se po síti volně pohybovat. Ochrana navíc funguje jen v okamžiku, kdy je uživatel na VPN připojený. Jakmile se odpojí a začne brouzdat po internetu z domova nebo z kavárny, zařízení zůstává bez centrální kontroly a firma nad ním v tu chvíli nemá žádný dohled.
SASE, tedy Secure Access Service Edge, na tyhle mezery reaguje tím, že spojuje síťové a bezpečnostní služby do jedné architektury. Zahrnuje síťovou část, typicky SD-WAN, a bezpečnostní část označovanou jako SSE, tedy Security Service Edge, který sjednocuje vzdálený přístup, ochranu uživatelů, kontrolu cloudových služeb a správu bezpečnostních politik do jedné cloudové platformy.
Přístup jen tam, kam uživatel opravdu patří
V oblasti přístupu k privátním zdrojům umožňuje SSE postupně nahradit nebo výrazně omezit tradiční VPN model. Uživatel nezískává široký přístup do interní sítě, ale pouze ke konkrétním aplikacím a službám, ke kterým má oprávnění. Přístup lze řídit podle identity uživatele, skupiny, stavu zařízení, lokality, typu aplikace nebo aktuální úrovně rizika.
Tento model snižuje dopad kompromitovaného účtu nebo zařízení, protože útočník nezíská automaticky možnost pohybovat se po interní síti. Cílem je, aby práce s interními aplikacemi probíhala z pohledu uživatele podobně bez ohledu na to, zda uživatel pracuje z kanceláře, domova, hotelu nebo jiné lokality.
Bezpečnost nezávislá na síti
Dokud je zaměstnanec ve firmě, je vše zabezpečené centrálně. Jakmile odejde domů se stejným firemním notebookem, může si bez dalšího zabezpečení procházet prakticky cokoliv a firma na to často nemá žádnou kontrolu.
SSE zároveň chrání uživatele při přístupu k internetu a cloudovým službám kdykoli. Tedy i v situacích, kdy se k VPN zapomíná připojit. Bezpečnostní politika tak není závislá pouze na tom, zda je zařízení připojené v kancelářské síti, ale “cestuje” s uživatelem. To je zásadní zejména v prostředí, kde zaměstnanci běžně pracují mimo firemní perimetr.
Organizace může filtrovat webové stránky, blokovat škodlivé domény, kontrolovat stahované soubory, omezovat přístup k rizikovým službám a chránit uživatele před phishingem, malwarem nebo komunikací se škodlivou infrastrukturou. Stejný model lze aplikovat také na používání SaaS služeb, kde organizace potřebuje získat kontrolu nad tím, jaké služby uživatelé využívají, jak s nimi pracují a jaká data do nich ukládají nebo z nich stahují.
7 vrstev ochrany v jedné cloudové platformě
Hlavní technologickou hodnotou SSE je konsolidace více bezpečnostních funkcí do jedné cloudové platformy. Organizace získává jednotnou bezpečnostní vrstvu pro uživatelský provoz, která pokrývá privátní aplikace, internet, SaaS služby i datové toky nezávisle na tom, jestli si zaměstnanec pamatuje bezpečnostní směrnici nebo se jí řídí. Ochrana běží na pozadí bez ohledu na to, jak se uživatel chová, a je tak odolná i vůči běžné lidské nepozornosti nebo lenosti, se kterou musí každá bezpečnostní strategie počítat.
Bezpečný přístup
k privátním aplikacím
ZTNA zajišťuje bezpečný přístup k privátním aplikacím bez nutnosti poskytovat obecný síťový přístup. Uživatel se nepřipojuje do celé sítě, ale dostane na základě své identity přístup jen ke konkrétní aplikaci – nemůže se po síti volně pohybovat a zkoušet, kam se dostane.
Ochrana uživatele
při přístupu na web
SWG (Secure Web Gateway) chrání uživatele při přístupu na web a umožňuje web filtering, kontrolu obsahu a inspekci provozu. Funguje jako pomyslná pračka provozu – čistá komunikace projde, škodlivá se odfiltruje dřív, než se ke stránce vůbec dostane.
Ochrana
citlivých dat
DLP pomáhá chránit citlivá data před neautorizovaným sdílením nebo únikem. V praxi to funguje tak, že když se zaměstnanec pokusí zadat do formuláře na internetu například číslo platební karty, systém to buď nepustí, nebo vyhodí chybové hlášení – a stejný princip funguje i u promptů zadávaných do AI nástrojů.
Blokace
škodlivých domén
DNS Security blokuje škodlivé domény v rané fázi komunikace – v okamžiku, kdy si uživatel teprve “vyžádá” adresu škodlivé stránky, je komunikace zastavena dřív, než se na ni vůbec dostane.
Viditelnost a řízení
používání SaaS služeb
CASB poskytuje viditelnost a řízení používání SaaS služeb, například Teams nebo Outlooku – dokáže na pozadí vyhodnotit rizikové soubory a v případě potřeby zasáhnout.
Bezpečné používání
AI modelů
AI Security umožňuje řídit a chránit používání generativních AI služeb, včetně kontroly přístupu, ochrany citlivých dat a omezení neautorizovaného používání AI nástrojů.
Firewallová kontrola
FWaaS rozšiřuje firewallovou kontrolu i mimo tradiční datové centrum.
Méně nástrojů, větší přehled
Z provozního hlediska SSE pomáhá snížit roztříštěnost bezpečnostního prostředí. Místo samostatných nástrojů pro VPN, proxy, DNS security, cloudové aplikace a firewallová pravidla může organizace spravovat významnou část bezpečnostních politik z jednoho místa. To zjednodušuje správu pravidel, audit, reporting i troubleshooting.
Bezpečnostní i síťové týmy získávají lepší viditelnost do toho, kdo přistupoval, k jaké aplikaci, odkud, z jakého zařízení, přes jakou politiku a proč byl daný přístup povolen nebo zablokován. Tyto informace jsou důležité nejen pro každodenní provoz, ale také pro vyšetřování bezpečnostních incidentů, optimalizaci politik a prokazování souladu s interními nebo regulatorními požadavky.
Pro koho se SSE vyplatí – a pro koho ne
Častým omylem je vnímání SSE pouze jako modernější náhrady VPN koncentrátoru. Omezení tradiční VPN sice bývá jedním z prvních praktických důvodů, proč firmy toto téma začínají řešit, skutečný rozsah SSE je však výrazně širší.
A právě tady firmy nejčastěji dělají chybu. Když si SSE spočítají jen jako náhradu VPN koncentrátorů, cenovka vyjde v porovnání se starým hardwarovým řešením několikanásobně vyšší a projekt na tom ztroskotá. Jenže to je jako kupovat švýcarský nůž a používat ho jen jako otvírák na konzervy. VPN náhrada je totiž jen jeden z mnoha use casů, které SSE pokrývá, a ekonomika dává smysl teprve v okamžiku, kdy se počítá celý balík funkcí, ne izolovaný kousek.
Skutečný přínos se projeví u velkých enterprise organizací s vyššími nároky na bezpečnost, typicky bank, pojišťoven nebo státní správy, kde je potřeba mít zabezpečení “neprůstřelné” a zároveň řešit přístup stovek až tisíců zaměstnanců.
Zajímavou výhodou je škálovatelnost pro dynamicky se měnící organizace. U fyzických firewallů musí firma dopředu odhadnout, na kolik uživatelů zařízení dimenzovat – v podstatě jde o odhad budoucího růstu na několik let dopředu. Pokud firma například akvíruje jinou společnost a počet zaměstnanců se skokově zvýší, cloudové řešení dokáže kapacitu rozšířit prakticky za pochodu, zatímco u fyzického hardwaru je taková změna mnohem složitější.
Skutečný přínos se projeví u velkých enterprise organizací s vyššími nároky na bezpečnost, typicky bank, pojišťoven nebo státní správy, kde je potřeba mít zabezpečení “neprůstřelné” a zároveň řešit přístup stovek až tisíců zaměstnanců.
Zajímavou výhodou je škálovatelnost pro dynamicky se měnící organizace. U fyzických firewallů musí firma dopředu odhadnout, na kolik uživatelů zařízení dimenzovat – v podstatě jde o odhad budoucího růstu na několik let dopředu. Pokud firma například akvíruje jinou společnost a počet zaměstnanců se skokově zvýší, cloudové řešení dokáže kapacitu rozšířit prakticky za pochodu, zatímco u fyzického hardwaru je taková změna mnohem složitější.
Jak na to: čtyři kroky k nasazení
1. Analýza stávajícího prostředí
Organizace by měla zmapovat, jak se uživatelé v různých scénářích připojují k firemním aplikacím a datům, jaké bezpečnostní politiky jsou při těchto přístupech aplikovány a jaké nástroje se dnes používají pro vzdálený přístup, ochranu webového provozu, kontrolu SaaS služeb a prevenci úniku dat.
2. Definice rozsahu
Důležitým krokem je definice rozsahu. Není nutné řešit všechny scénáře najednou. Naopak je vhodné jednotlivé scénáře popsat, prioritizovat a vyhodnotit z pohledu bezpečnostního přínosu, provozní složitosti a dopadu na uživatele. Důležité je mít jasně stanovená očekávání a rozsah implementace, aby organizace věděla, čeho chce pomocí SSE dosáhnout, jak bude měřit přínosy a jak bude řešení postupně rozšiřovat.
3. Volba vhodné technologie
V některých organizacích může dávat smysl začít náhradou VPN připojení pro vybrané skupiny uživatelů. Jinde bude vhodnější začít ochranou internetového a SaaS provozu nebo řízením přístupu k privátním aplikacím. Důležité je při volbě rozsahu vždy myslet na to, že hodnotu SSE ukáže až pohled na celý balík funkcí – ne jen na jeden vybraný use case.
4. Pilotní ověření technologie
Pilot by měl ověřit nejen technickou funkčnost, ale také uživatelskou zkušenost, provozní model, troubleshooting, logování, integraci s identitou, napojení na stávající bezpečnostní nástroje a dopad na bezpečnostní politiku.
Přístup ANECTu
ANECT může zákazníkům pomoci s úvodní analýzou prostředí, návrhem architektury, výběrem vhodného rozsahu, pilotním ověřením, implementací i následnou podporou. Důležitou součástí je také sladění očekávání napříč bezpečnostním, síťovým a provozním týmem.
Dobře navržené a implementované SSE představuje bezpečnostní model, který sjednocuje přístup k privátním aplikacím, internetu, SaaS službám a datům. Místo toho, aby organizace provozovala odděleně VPN, proxy, firewall, DNS security, CASB, DLP a další bezpečnostní komponenty, získává možnost konsolidovat tyto funkcionality do jedné bezpečnostní platformy. Výsledkem bývá jednodušší provoz, vyšší konzistence politik, lepší viditelnost a optimalizace provozních nákladů.
Autorem článku je David Dorazin, Lead Cyber Security Consultant
Zpět na blog