ZKP za privatnost P2P sesija u dVPN mrežama

Što je zapravo SASE i zašto je važan?

Jeste li ikada pokušali koristiti tromi VPN dok sjedite u kafiću, samo da biste gledali kako se osnovna tablica učitava brzinom puža? To je iskreno jedna od najfrustrirajućih stvari u modernom "radi od bilo kuda" načinu života, ali upravo je to razlog zašto svi u zadnje vrijeme pričaju o SASE-u.

Nekada je sigurnost bila poput dvorca s jarkom – imali ste veliki vatrozid (firewall) u uredu i dokle god ste bili unutra, bili ste "sigurni". No danas su naši podaci posvuda. Koristimo Salesforce iz kuhinje, pristupamo zdravstvenim kartonima putem tableta ili provjeravamo zalihe izravno iz skladišta.

Prema vodiču koji je objavio IBM, SASE (izgovara se "sassy") kratica je za Secure Access Service Edge. To je zapravo način objedinjavanja mrežnih usluga i sigurnosti u jedan veliki paket isporučen putem oblaka. Na taj način ne morate slati sav svoj promet natrag u prašnjavu serversku sobu u sjedištu tvrtke samo da biste provjerili e-poštu.

• SD-WAN (Umrežavanje): Ovo je "mozak" koji pronalazi najbrži put za vaše podatke, bez obzira koristite li 5G, kućni Wi-Fi ili uredsku optiku.
• SSE (Sigurnost): Ovo je uloga "izbacivača". Kratica stoji za Security Service Edge, koji je uveden kasnije kao specijalizirani sigurnosni podskup šireg SASE okvira kako bi se bavio isključivo zaštitom.
• Rub (The Edge): Umjesto jednog središnjeg čvorišta, sigurnosne provjere se događaju na "točkama prisutnosti" (PoPs) koje su blizu vaše stvarne lokacije.

Izvješće Gartnera iz 2021. godine definiralo je sigurnosnu polovicu ovog sustava kao SSE. To je važno jer zaustavlja "hairpinning" – onaj iritantni zastoj (lag) gdje vaši podaci putuju 800 kilometara do podatkovnog centra samo da bi se vratili na web stranicu koja se nalazi 15 kilometara od vas.

Ako vodite maloprodajni lanac ili malu zdravstvenu kliniku, ne želite upravljati s deset različitih sigurnosnih uređaja. SASE pojednostavljuje stvari postavljanjem pravila u oblak. Kako ističe Microsoft, to pomaže u primjeni istih pravila za osobu na laptopu u parku kao i za direktora u dvorani za sastanke.

Nije riječ samo o brzini, već o tome da digitalna stražnja vrata ne ostanu otključana. U nastavku ćemo detaljnije istražiti ključne komponente poput SD-WAN-a i način na koji sigurnosna strana zapravo funkcionira.

Analiza SASE komponenti

Jeste li se ikada zapitali zašto vaša korporativna mreža izgleda kao golema, zamršena klupka vune koju nitko ne želi dirati? Iskreno, to je zato što još uvijek pokušavamo koristiti alate iz 2010. kako bismo riješili probleme iz 2025., a SASE su zapravo škare koje nam konačno omogućuju da prerežemo taj nered.

Zamislite SD-WAN kao pametni GPS za vaše podatke. U stara vremena koristili smo MPLS linije — koje su u osnovi bile skupe, privatne ceste s naplatom koje su vodile isključivo do vašeg ureda. Ako ste bili kod kuće, morali ste se voziti skroz do ureda samo da biste se uključili na "sigurnu" cestu prema internetu. Bilo je sporo i, iskreno, pomalo pljačka.

Prema objavi na blogu CodiLime, SD-WAN razdvaja mrežni hardver od kontrolnih funkcija. To znači da niste zapeli s bilo kojim glomaznim usmjerivačem koji se nalazi u ormaru; softver odlučuje treba li vaš Zoom poziv ići preko uredske optike, 5G veze ili vašeg kućnog širokopojasnog interneta, ovisno o tome što u tom trenutku radi bolje.

• Napuštanje hardvera: Ne trebate milijun skupih uređaja u svakoj podružnici. "Mozak" je u softveru.
• Usmjeravanje temeljeno na stanju mreže: Ako vaša primarna internetska linija počne stvarati probleme (jitter, kašnjenje i ostali uobičajeni sumnjivci), SD-WAN automatski prebacuje vaš promet na rezervnu vezu, a da vi to ni ne primijetite.
• Smanjenje troškova: Možete prestati plaćati te preskupe MPLS linije i jednostavno koristiti obični internet, što će tim za financije učiniti itekako sretnim.

Sada, ako je SD-WAN GPS, onda je SSE oklopno vozilo. To je sigurnosna polovica SASE kovanice. Kao što smo ranije spomenuli, Gartner je smislio ovaj izraz jer neke tvrtke već imaju riješeno umrežavanje i žele samo sigurnosni dio.

SSE je velika stvar jer objedinjuje alate kao što su SWG (Secure Web Gateway — alat koji filtrira web promet za blokiranje zlonamjernih stranica), CASB (Cloud Access Security Broker — sigurnosna kontrolna točka između korisnika i aplikacija u oblaku) i FWaaS (Firewall as a Service — vatrozid u oblaku koji se skalira s vašim prometom) u jednu platformu. Izvješće tvrtke Zscaler iz 2024. navodi da je SSE podskup SASE-a koji se fokusira isključivo na ove sigurnosne usluge. (Zscaler 2024 AI Security Report) Savršen je za tvrtku koja je već orijentirana na oblak ("cloud-first") i ne mari za upravljanje velikim fizičkim mrežama u podružnicama.

SSE pomaže organizacijama da se oslobode "hairpinninga" — one iritantne pojave gdje vaš promet ide u podatkovni centar udaljen 500 kilometara samo da bi bio provjeren prije nego što ode na web stranicu.

Možda mislite: "Zar ne mogu jednostavno kupiti samo sigurnosni dio?" Pa, možete. Ali SASE je "bolji zajedno" verzija. Kada kombinirate umrežavanje (SD-WAN) sa sigurnošću (SSE), dobivate jedinstveno sučelje za upravljanje ("single pane of glass").

Trgovački lanac bi mogao koristiti SASE za povezivanje 500 trgovina. Umjesto vatrozida i usmjerivača u svakoj trgovini, imaju samo jednu SASE politiku. Ako blagajnik u Seattleu pokuša pristupiti sumnjivoj stranici, SWG je trenutno blokira, dok SD-WAN osigurava da transakcije kreditnim karticama ostanu na najbržoj putanji.

U zdravstvu je to još kritičnije. Liječnik koji obavlja telemedicinski poziv od kuće treba nisku latenciju (zahvaljujući SD-WAN-u), ali također mora biti usklađen s HIPAA propisima (zahvaljujući SSE-u). Ako imate samo polovicu slagalice, imat ćete ili sporu video vezu ili sigurnosnu rupu.

Vidio sam kako se to odvija u nekoliko primjera:

1. Financije: Nacionalna kreditna unija koristila je SASE za konsolidaciju svojih sigurnosnih alata, smanjujući broj različitih nadzornih ploča koje je njihov IT tim morao pratiti.
2. Proizvodnja: Tvrtka s pogonima diljem svijeta koristila ga je za osiguranje svojih IoT senzora bez potrebe za slanjem inženjera na svaku lokaciju radi konfiguracije hardvera.
3. Obrazovanje: Sveučilišta ga koriste kako bi studentima omogućila pristup knjižničnim resursima s bilo kojeg mjesta, istovremeno čuvajući glavnu mrežu kampusa sigurnom od zlonamjernog softvera koji ljudi neizbježno preuzimaju na svoja osobna prijenosna računala.

Nije stvar samo u modernim kraticama — radi se o tome da osoba za kuhinjskim stolom ima istu zaštitu kao i ljudi u sjedištu tvrtke. Sljedeće na redu: pogledat ćemo zašto je "povjerenje" prljava riječ u SASE svijetu.

Kako SASE pomaže u otkrivanju prijetnji

Jeste li se ikada zapitali zašto "sigurna" mreža vaše tvrtke izgleda kao da je povezana selotejpom i dobrim željama? Razlog je obično taj što se i dalje oslanjamo na povjerenje temeljeno na lokaciji korisnika, što je u 2025. godini, iskreno govoreći, katastrofalan pristup sigurnosti.

Srž načina na koji SASE zapravo hvata napadače je koncept pod nazivom Nulto povjerenje (Zero Trust). U stara vremena, ako ste bili fizički u uredu, mreža je pretpostavljala da ste "dobar dečko". Nulto povjerenje to u potpunosti mijenja – ono pretpostavlja da je svatko potencijalna prijetnja dok ne dokaže suprotno.

Kao što je Microsoft ranije istaknuo u vodiču, ovdje nije riječ o jednokratnoj prijavi. Radi se o pristupu vođenom identitetom. Sustav neprestano provjerava: Je li to doista direktor? Zašto se prijavljuje s tableta iz druge države u 3 ujutro?

• Kontekst je ključan: SASE platforma analizira stanje vašeg uređaja, vašu lokaciju i čemu točno pokušavate pristupiti prije nego što vam dopusti ulaz.
• Mikrosegmentacija: Umjesto da dobijete ključeve cijelog dvorca, dobivate pristup isključivo onoj aplikaciji koja vam je potrebna. Ako haker ukrade vašu lozinku, ostat će zarobljen u jednoj prostoriji umjesto da luta cijelom zgradom.
• Provjera stanja uređaja: Alati poput zaštite krajnjih točaka provjeravaju ima li vaše prijenosno računalo uključen vatrozid i ažuriran softver prije nego što vam sučelje za programiranje aplikacija (API) uopće dopusti povezivanje.

Jedna od najfascinantnijih stvari kod SASE-a u otkrivanju prijetnji je to što vaše aplikacije čini "nevidljivima". U klasičnom postavljanju, vaš VPN pristupnik je izložen na internetu, praktički mašući zastavom hakerima.

Prema izvješću tvrtke Trend Micro iz 2024. godine, ZTNA (Mrežni pristup s nultim povjerenjem) zamjenjuje te trome VPN-ove i skriva vaše aplikacije od javnog interneta. Ako haker skenira mrežu tražeći aplikaciju za obračun plaća vaše tvrtke, neće je naći. Za njega ona ne postoji jer SASE-ov "izbacivač" na vratima pokazuje ulaz samo onima koji su već verificirani.

Budući da sav vaš promet prolazi kroz SASE oblak, on može koristiti umjetnu inteligenciju za uočavanje neobičnih obrazaca koje bi ljudsko oko potpuno previdjelo. To je kao da imate zaštitara koji je napamet naučio točan hod i način govora svakog zaposlenika.

Uvid tvrtke Zscaler iz 2024. godine objašnjava da je SSE (Security Service Edge) namjenski izgrađen za oblak, što mu omogućuje dubinsku inspekciju kriptiranog prometa bez da vam internet uspori na brzinu modemske veze.

Većina današnjeg zlonamjernog softvera skrivena je unutar kriptiranog prometa. Staromodni vatrozidi teško "vide" unutar tih paketa jer to zahtijeva preveliku procesorsku snagu. No, budući da SASE živi na Rubu (Edge), on može otvoriti te pakete, provjeriti ima li virusa koristeći strojno učenje i ponovno ih zapakirati u milisekundama.

Vidio sam kako ovo spašava različite vrste poslovanja:

1. Zdravstvo: Liječnik koristi osobni iPad za provjeru kartona pacijenata. SASE sustav prepoznaje da uređaj nije kriptiran i blokira pristup podacima, ali liječniku i dalje dopušta provjeru poslovne e-pošte.
2. Maloprodaja: Voditelj trgovine u trgovačkom centru pokuša preuzeti sumnjivi privitak. SWG (Sigurni web pristupnik) detektira potpis zlonamjernog softvera u oblaku prije nego što on uopće dotakne lokalnu mrežu trgovine.
3. Financije: Nacionalna kreditna unija koristi SASE kako bi osigurala da, čak i ako je fizički internet poslovnice kompromitiran, podaci ostaju kriptirani, a veze "iznutra prema van" sprječavaju napadače da se kreću bočno kroz mrežu.

Sve se svodi na smanjenje površine napada. Ako napadači ne vide vaše aplikacije, a umjetna inteligencija prati svaki neobičan pokret, u puno ste boljoj poziciji.

U nastavku ćemo objasniti kako cijela ova SASE arhitektura zapravo olakšava upravljanje mrežom i čini ga isplativijim.

Stvarne prednosti za vaše poslovanje

Iskreno govoreći, nitko se ne budi uzbuđen zbog upravljanja mrežnim vatrozidom. To je obično nezahvalan posao u kojem se za vas čuje samo kada je internet spor ili kada se VPN ne može povezati. No, SASE (Secure Access Service Edge) to zapravo mijenja, čineći cijeli taj kaos znatno jednostavnijim za upravljanje, uz ozbiljne uštede.

Jedna od najvećih glavobolja u IT sektoru je "zasićenje konzolama". Imate jedan zaslon za usmjerivače, drugi za vatrozid, a možda i treći za sigurnost u oblaku. To je iscrpljujuće. Prema podacima tvrtke Zscaler, SSE (sigurnosna komponenta SASE-a) omogućuje konsolidaciju svih tih pojedinačnih proizvoda u jednu platformu. To prirodno smanjuje vaše operativne troškove, pa vam financijski tim više neće stalno "visjeti nad vratom".

• Napuštanje "hardverskog" mentaliteta: Više ne morate kupovati skupu opremu svaki put kada otvorite novu poslovnicu. Budući da se sigurnost nalazi u oblaku, jednostavno se povežete na običnu internetsku vezu i spremni ste za rad.
• Smanjenje troškova MPLS-a: Kao što smo ranije spomenuli, možete prestati plaćati te preskupe privatne linije. SASE koristi standardni internet, ali ga pretvara u funkcionalni ekvivalent privatne mreže, što u potpunosti mijenja pravila igre za vaš proračun.
• Skaliranje bez drame: Ako sutra zaposlite 50 novih ljudi, ne trebate naručivati 50 novih hardverskih tokena ili veći VPN koncentrator. Jednostavno ažurirate licencu u oblaku i nastavljate s radom.

Svi smo to doživjeli — pokušavate se pridružiti Zoom pozivu dok VPN preusmjerava vaš promet (tzv. "hairpinning") kroz podatkovni centar na drugom kraju države. Veza kasni i dođe vam da bacite laptop kroz prozor. Budući da SASE koristi "točke prisutnosti" (PoPs) o kojima smo pričali, sigurnosna provjera se odvija u blizini samog korisnika.

Analiza tvrtke Zscaler iz 2024. godine objašnjava da ovakva distribuirana arhitektura omogućuje vašim zaposlenicima u kafiću istu brzinu rada kao i onima koji sjede u glavnom uredu.

Vidio sam kako se to manifestira u praksi na nekoliko načina:

1. Maloprodaja: Voditelj trgovine mora provjeriti inventar na tabletu. Umjesto čekanja na sporu vezu s pozadinskim uredom, SASE ih sigurno i izravno usmjerava na aplikaciju u oblaku.
2. Financije: Kreditni referent koji radi od kuće može pristupiti osjetljivim bazama podataka bez onog "beskonačnog VPN učitavanja" svaki put kada klikne "spremi".
3. Proizvodnja: Udaljeni pogoni mogu povezati svoje IoT senzore s oblakom bez potrebe za IT stručnjakom na lokaciji koji bi popravljao fizički vatrozid svaki put kad se pojavi greška.

Bit je u tome da sigurnost postane nevidljiva. Kada sustav radi ispravno, vaši zaposlenici ni ne znaju da je tamo — samo primjećuju da im aplikacije rade brzo. U nastavku ćemo zaključiti priču pregledom načina na koji možete krenuti prema ovoj modernoj budućnosti, a da pritom ne ugrozite stabilnost sustava koji ste već izgradili.

Implementacija SASE arhitekture bez glavobolje

Dakle, odlučili ste prijeći na SASE, ali strahujete da ćete usput "polomiti" sve što ste godinama gradili? Iskreno, većina se osjeća isto – nitko ne želi biti osoba koja je slučajno srušila korporativnu mrežu u utorak ujutro.

Implementacija SASE rješenja ne mora biti noćna mora tipa "isčupaj i zamijeni". Zapravo, sve možete odraditi u fazama, što je daleko bolje za vaše živce, ali i za proračun.

Najpametniji način za početak je rješavanje najvećeg problema – a to je obično onaj tromi, zastarjeli VPN. Kao što smo ranije spomenuli, zamjena VPN-a s ZTNA (pristup mreži uz nulto povjerenje) savršen je prvi korak. Time svojim zaposlenicima koji rade na daljinu omogućujete veću brzinu i znatno bolju sigurnost, a da pritom uopće ne dirate hardver u uredu.

• Identificirajte "obiteljsko srebro": Prvo stavite svoje najosjetljivije aplikacije pod zaštitu SASE "izbacivača".
• Odaberite "pilot" grupu: Neka nekoliko tehnološki potkovanih kolega iz marketinga ili prodaje testira novi sustav pristupa prije nego što ga proširite na cijelu tvrtku.
• Počistite pravila pristupa: Iskoristite ovaj prijelaz kao izgovor za brisanje onih starih korisničkih računa koji stoje netaknuti već tri godine.

Izvješće tvrtke Zscaler za 2024. godinu navodi da se praćenje digitalnog iskustva (DEM) sve više integrira u SASE platforme, što je ogromna stvar. To je moguće jer se SASE nalazi izravno između korisnika i aplikacije, što mu osigurava "mjesto u prvom redu" za uvid u podatke o performansama. To znači da možete točno vidjeti zašto je nečija veza spora – je li problem u njihovom lošem kućnom Wi-Fi-ju ili je u pitanju stvarni mrežni problem – i to prije nego što uopće nazovu tehničku podršku.

Također, niste obvezni kupiti sve od jednog dobavljača. Neke tvrtke preferiraju model jednog dobavljača ("single-vendor") zbog jednostavnosti, dok druge biraju model s dva dobavljača ("dual-vendor"), gdje zadržavaju postojeću mrežnu infrastrukturu, ali dodaju novi sloj sigurnosti u oblaku.

Prethodno spomenuti Microsoftov vodič sugerira da bi se vaš SASE sustav trebao povezati s vašim trenutnim pružateljima identiteta. Ako već koristite jedinstvenu prijavu (SSO), osigurajte da vaš SASE alat besprijekorno komunicira s njim kako zaposlenici ne bi morali pamtiti još jednu lozinku.

Vidio sam kako ovaj fazni pristup funkcionira u različitim sektorima:

1. Obrazovanje: Jedan sveučilišni sustav započeo je osiguravanjem svojih istraživačkih baza podataka putem ZTNA, a zatim je postupno preselio sigurnost kampusa na Wi-Fi u oblaku.
2. Proizvodnja: Globalna tvrtka zadržala je svoj tvornički hardver, ali je sav pristup vanjskim suradnicima prebacila na SASE platformu kako bi glavna mreža ostala "nevidljiva" za vanjske korisnike.
3. Maloprodaja: Trgovački lanac prvo je dodao vatrozide u oblaku (FWaaS) u svoje nove trgovine, dok je stare ostavio na tradicionalnoj tehnologiji sve dok im nisu istekli ugovori za hardversku podršku.

Na kraju dana, SASE je putovanje, a ne projekt koji se završi preko vikenda. Krenite polako, dokažite da sustav radi, a zatim ga skalirajte. Vaša mreža – i vaš san – sigurno će vam biti zahvalni.