Tweet
SASE Là Gì? Tại Sao Đây Là Xu Hướng Bảo Mật Mạng Hiện Đại?
Hình minh họa cho thấy SASE (Secure Access Service Edge) không chỉ là một giải pháp VPN hay một thiết bị Firewall, mà là nền tảng bảo mật đám mây giúp bảo vệ quá trình người dùng truy cập vào ứng dụng (Secure the App Access Transition). Sau khi người dùng kết nối an toàn thông qua SASE, doanh nghiệp tiếp tục bảo vệ chính ứng dụng và workload trên cloud bằng các lớp bảo mật khác.
SASE là gì?
SASE (Secure Access Service Edge) là kiến trúc do Gartner giới thiệu, kết hợp dịch vụ mạng (Networking) và dịch vụ bảo mật (Security) trên nền tảng cloud để cung cấp khả năng truy cập an toàn đến ứng dụng ở bất kỳ đâu.
Thay vì bắt mọi người dùng phải kết nối VPN về trụ sở chính, SASE đưa các dịch vụ bảo mật lên các điểm hiện diện (Point of Presence - PoP) phân bố trên toàn cầu. Người dùng sẽ kết nối đến PoP gần nhất, được xác thực, kiểm tra bảo mật rồi mới được phép truy cập ứng dụng.
SASE giải quyết bài toán gì?
Trước đây, mô hình mạng doanh nghiệp hoạt động theo kiểu:
User
│
Internet
│
VPN
│
Headquarters Firewall
│
Data Center
Toàn bộ lưu lượng phải quay về trụ sở chính (Backhaul) trước khi ra Internet hoặc truy cập ứng dụng.
Mô hình này gây ra:
SASE thay đổi hoàn toàn kiến trúc đó:
User
│
Internet
│
SASE Cloud PoP
│
Identity Verification
│
Security Inspection
│
Application
Lưu lượng được kiểm tra ngay trên nền tảng cloud mà không cần quay về trung tâm dữ liệu.
Giải thích hình minh họa
Hình chia quá trình bảo vệ thành hai giai đoạn lớn.
1. Secure the App Access Transition
Đây là phần bên trái của hình.
Ba thành phần đầu tiên là:
① Identity & Access
Người dùng phải được xác thực danh tính.
Ví dụ:
Identity trở thành "chu vi bảo mật" mới thay cho địa chỉ IP.
② Cloud Access (SASE)
Sau khi xác thực thành công, lưu lượng sẽ đi qua nền tảng SASE.
Tại đây SASE thực hiện:
Đây chính là lớp bảo vệ người dùng khi truy cập Internet hoặc các ứng dụng cloud.
2. Secure the App Transition
Sau khi người dùng đã kết nối an toàn, doanh nghiệp vẫn phải bảo vệ chính ứng dụng.
Hình minh họa ba lớp tiếp theo. ③ Cloud Infrastructure Security
Bảo vệ hạ tầng Cloud.
Ví dụ:
④ Workload Security
Bảo vệ các workload.
Ví dụ:
Các công nghệ thường dùng:
⑤ Application Security
Bảo vệ chính ứng dụng.
Ví dụ:
Đây cũng chính là phần mà mũi tên "Focus for today" đang hướng đến trong slide.
Hai thành phần hỗ trợ xuyên suốt
Ngoài các lớp chính, hình còn nhấn mạnh hai thành phần chạy xuyên suốt toàn bộ kiến trúc.
⑥ Observability & Telemetry
Thu thập log và telemetry từ:
Dữ liệu này được gửi về SIEM hoặc nền tảng XDR để giám sát và phát hiện mối đe dọa.
⑦ Management & Threat Response
Lớp quản trị tập trung.
Bao gồm:
Zero Trust và SASE
Phần dưới của slide mô tả rất rõ cách SASE hỗ trợ Zero Trust.
Đối với Secure the Cloud Access Transition, Zero Trust tập trung vào:
Mục tiêu là xác minh danh tính trước khi cấp quyền truy cập, thay vì tin tưởng mặc định dựa trên vị trí mạng.
Đối với Secure the App Transition, Zero Trust tiếp tục bảo vệ:
Điều này thể hiện nguyên tắc cốt lõi của Zero Trust: không chỉ xác thực người dùng, mà còn liên tục kiểm tra và bảo vệ mọi thành phần của hệ thống.
Kết luận
SASE không phải là một sản phẩm đơn lẻ mà là một kiến trúc hợp nhất giữa mạng và bảo mật trên nền tảng cloud. Nó kết hợp các công nghệ như SD-WAN, ZTNA, FWaaS, SWG, CASB và Identity để giúp người dùng truy cập ứng dụng một cách an toàn ở bất kỳ đâu.
Hình minh họa cũng cho thấy một điểm rất quan trọng: SASE chỉ là bước đầu trong hành trình bảo mật. Sau khi bảo vệ kết nối từ người dùng đến ứng dụng, doanh nghiệp vẫn cần tiếp tục bảo vệ hạ tầng cloud, workload và chính ứng dụng bằng các lớp bảo mật chuyên biệt. Đây chính là kiến trúc Zero Trust nhiều lớp (Layered Zero Trust) đang được Cisco, Microsoft, Palo Alto Networks, Zscaler và nhiều hãng bảo mật lớn áp dụng trong các hệ thống doanh nghiệp hiện đại.
Hình minh họa cho thấy SASE (Secure Access Service Edge) không chỉ là một giải pháp VPN hay một thiết bị Firewall, mà là nền tảng bảo mật đám mây giúp bảo vệ quá trình người dùng truy cập vào ứng dụng (Secure the App Access Transition). Sau khi người dùng kết nối an toàn thông qua SASE, doanh nghiệp tiếp tục bảo vệ chính ứng dụng và workload trên cloud bằng các lớp bảo mật khác.
SASE là gì?
SASE (Secure Access Service Edge) là kiến trúc do Gartner giới thiệu, kết hợp dịch vụ mạng (Networking) và dịch vụ bảo mật (Security) trên nền tảng cloud để cung cấp khả năng truy cập an toàn đến ứng dụng ở bất kỳ đâu.
Thay vì bắt mọi người dùng phải kết nối VPN về trụ sở chính, SASE đưa các dịch vụ bảo mật lên các điểm hiện diện (Point of Presence - PoP) phân bố trên toàn cầu. Người dùng sẽ kết nối đến PoP gần nhất, được xác thực, kiểm tra bảo mật rồi mới được phép truy cập ứng dụng.
SASE = Networking + Zero Trust Security + Cloud Platform
SASE giải quyết bài toán gì?
Trước đây, mô hình mạng doanh nghiệp hoạt động theo kiểu:
User
│
Internet
│
VPN
│
Headquarters Firewall
│
Data Center
Toàn bộ lưu lượng phải quay về trụ sở chính (Backhaul) trước khi ra Internet hoặc truy cập ứng dụng.
Mô hình này gây ra:
- Độ trễ cao
- VPN Gateway dễ quá tải
- Khó mở rộng
- Trải nghiệm người dùng kém
SASE thay đổi hoàn toàn kiến trúc đó:
User
│
Internet
│
SASE Cloud PoP
│
Identity Verification
│
Security Inspection
│
Application
Lưu lượng được kiểm tra ngay trên nền tảng cloud mà không cần quay về trung tâm dữ liệu.
Giải thích hình minh họa
Hình chia quá trình bảo vệ thành hai giai đoạn lớn.
1. Secure the App Access Transition
Đây là phần bên trái của hình.
Ba thành phần đầu tiên là:
① Identity & Access
Người dùng phải được xác thực danh tính.
Ví dụ:
- Active Directory
- Azure AD
- Cisco Duo MFA
- SAML
- Single Sign-On (SSO)
Identity trở thành "chu vi bảo mật" mới thay cho địa chỉ IP.
② Cloud Access (SASE)
Sau khi xác thực thành công, lưu lượng sẽ đi qua nền tảng SASE.
Tại đây SASE thực hiện:
- VPN as a Service
- Secure Web Gateway (SWG)
- Firewall as a Service (FWaaS)
- CASB
- Zero Trust Network Access (ZTNA)
- DNS Security
- URL Filtering
- IPS/IDS
- Malware Inspection
Đây chính là lớp bảo vệ người dùng khi truy cập Internet hoặc các ứng dụng cloud.
2. Secure the App Transition
Sau khi người dùng đã kết nối an toàn, doanh nghiệp vẫn phải bảo vệ chính ứng dụng.
Hình minh họa ba lớp tiếp theo. ③ Cloud Infrastructure Security
Bảo vệ hạ tầng Cloud.
Ví dụ:
- Virtual Network
- Security Group
- Firewall
- Network Segmentation
- Kubernetes Network Policy
④ Workload Security
Bảo vệ các workload.
Ví dụ:
- Virtual Machine
- Container
- Kubernetes Pod
- Serverless Function
Các công nghệ thường dùng:
- Vulnerability Management
- Runtime Protection
- Container Security
- Host IPS
⑤ Application Security
Bảo vệ chính ứng dụng.
Ví dụ:
- API Protection
- Web Application Firewall (WAF)
- Runtime Application Self-Protection (RASP)
- Microservices Security
Đây cũng chính là phần mà mũi tên "Focus for today" đang hướng đến trong slide.
Hai thành phần hỗ trợ xuyên suốt
Ngoài các lớp chính, hình còn nhấn mạnh hai thành phần chạy xuyên suốt toàn bộ kiến trúc.
⑥ Observability & Telemetry
Thu thập log và telemetry từ:
- Người dùng
- Thiết bị
- Mạng
- Cloud
- Container
- Ứng dụng
Dữ liệu này được gửi về SIEM hoặc nền tảng XDR để giám sát và phát hiện mối đe dọa.
⑦ Management & Threat Response
Lớp quản trị tập trung.
Bao gồm:
- Quản lý chính sách
- Điều phối cấu hình
- Phân tích cảnh báo
- Tự động phản ứng sự cố (SOAR)
Zero Trust và SASE
Phần dưới của slide mô tả rất rõ cách SASE hỗ trợ Zero Trust.
Đối với Secure the Cloud Access Transition, Zero Trust tập trung vào:
- Adaptive MFA
- Remote Access VPN
- Reverse Proxy
- SAML/SSO
- SD-WAN
- Secure Internet Gateway (SIG)
Mục tiêu là xác minh danh tính trước khi cấp quyền truy cập, thay vì tin tưởng mặc định dựa trên vị trí mạng.
Đối với Secure the App Transition, Zero Trust tiếp tục bảo vệ:
- Cloud Infrastructure bằng khả năng hiển thị và phân đoạn mạng (Visibility & Segmentation) kết hợp NGFW.
- Workloads thông qua giám sát theo từng máy ảo, container hoặc ứng dụng.
- Applications bằng các cơ chế bảo vệ khi ứng dụng đang chạy (Runtime Security), đặc biệt trong môi trường microservices, container và Function as a Service (FaaS).
Điều này thể hiện nguyên tắc cốt lõi của Zero Trust: không chỉ xác thực người dùng, mà còn liên tục kiểm tra và bảo vệ mọi thành phần của hệ thống.
Kết luận
SASE không phải là một sản phẩm đơn lẻ mà là một kiến trúc hợp nhất giữa mạng và bảo mật trên nền tảng cloud. Nó kết hợp các công nghệ như SD-WAN, ZTNA, FWaaS, SWG, CASB và Identity để giúp người dùng truy cập ứng dụng một cách an toàn ở bất kỳ đâu.
Hình minh họa cũng cho thấy một điểm rất quan trọng: SASE chỉ là bước đầu trong hành trình bảo mật. Sau khi bảo vệ kết nối từ người dùng đến ứng dụng, doanh nghiệp vẫn cần tiếp tục bảo vệ hạ tầng cloud, workload và chính ứng dụng bằng các lớp bảo mật chuyên biệt. Đây chính là kiến trúc Zero Trust nhiều lớp (Layered Zero Trust) đang được Cisco, Microsoft, Palo Alto Networks, Zscaler và nhiều hãng bảo mật lớn áp dụng trong các hệ thống doanh nghiệp hiện đại.
Attached Files