ZKP za privatnost P2P sesija u dVPN mrežama

Šta je zapravo SASE i zašto je važan

Da li ste ikada pokušali da koristite tromi VPN dok sedite u kafiću, samo da biste gledali kako se obična tabela učitava brzinom puža? To je, iskreno, jedna od najiritantnijih stvari u savremenom "radi od bilo kuda" načinu života, ali upravo je to razlog zašto svi u poslednje vreme pričaju o SASE tehnologiji.

Nekada je bezbednost podsećala na zamak sa rovom oko njega – imali ste moćni zaštitni zid (firewall) u kancelariji i, dokle god ste bili unutra, bili ste "bezbedni". Međutim, danas su naši podaci svuda. Koristimo Salesforce iz kuhinje, pristupamo zdravstvenim kartonima preko tableta ili proveravamo zalihe u maloprodaji direktno sa poda magacina.

Prema vodiču koji je objavio IBM, SASE (izgovara se "sasi") je skraćenica za Secure Access Service Edge. To je zapravo način da se mrežne funkcije i bezbednost upakuju u jedan jedinstveni paket isporučen putem oblaka (cloud). Tako više ne morate da šaljete sav svoj saobraćaj nazad u prašnjavu serversku sobu u centrali samo da biste proverili e-poštu.

• SD-WAN (Umrežavanje): Ovo je "mozak" koji pronalazi najbržu putanju za vaše podatke, bez obzira na to da li koristite 5G, kućni Wi-Fi ili optički internet u kancelariji.
• SSE (Bezbednost): Ovo je "izbacivač" u sistemu. Skraćenica stoji za Security Service Edge, termin koji je uveden kasnije kao specijalizovani bezbednosni podskup šireg SASE okvira, zadužen isključivo za stranu zaštite.
• Ivica (The Edge): Umesto jednog centralnog čvorišta, bezbednosne provere se dešavaju na "tačkama prisustva" (PoPs) koje su fizički blizu mesta gde se vi zapravo nalazite.

Izveštaj kompanije Gartner iz 2021. godine je tu bezbednosnu polovinu definisao kao SSE. Ovo je važno jer sprečava takozvani "hairpinning" – ono naporno kašnjenje (lag) gde vaši podaci putuju 800 kilometara do data centra samo da bi se vratili na veb-sajt koji se hostuje na 15 kilometara od vas.

Ako vodite lanac prodavnica ili malu zdravstvenu kliniku, ne želite da upravljate sa deset različitih bezbednosnih uređaja. SASE pojednostavljuje stvari tako što postavlja pravila u oblak. Kako ističe Microsoft, ovo pomaže u primeni istih pravila za čoveka sa laptopom u parku, kao i za generalnog direktora u sali za sastanke.

Nije reč samo o brzini, već o tome da digitalna zadnja vrata ne ostanu otključana. U nastavku ćemo detaljnije analizirati ključne komponente poput SD-WAN-a i objasniti kako bezbednosna strana zapravo funkcioniše u praksi.

Raščlanjivanje SASE komponenti

Da li ste se ikada zapitali zašto vaša korporativna mreža deluje kao džinovski, zamršeni klupko vune koje niko ne sme da pipne? Iskreno, to je zato što i dalje pokušavamo da koristimo alate iz 2010. godine za rešavanje problema iz 2025. SASE (Secure Access Service Edge) su zapravo one makaze koje nam konačno omogućavaju da presečemo taj haos.

Zamislite SD-WAN kao pametni GPS za vaše podatke. Nekada smo koristili MPLS linije – to su praktično bili skupi, privatni putevi sa naplatom putarine koji su vodili isključivo do vaše kancelarije. Ako ste bili kod kuće, morali ste da se "vozite" skroz do kancelarije samo da biste se uključili na taj "bezbedni" put ka internetu. Bilo je sporo i, iskreno, prilično neisplativo.

Prema blogu kompanije CodiLime, SD-WAN razdvaja mrežni hardver od kontrolnih funkcija. To znači da niste vezani za onaj glomazni ruter u ormaru; softver odlučuje da li će vaš Zoom poziv ići preko kancelarijskog optičkog kabla, 5G veze ili kućnog interneta, u zavisnosti od toga šta u tom trenutku radi bolje.

• Napuštanje hardvera: Više vam nisu potrebni milioni skupih uređaja u svakoj filijali. "Mozak" operacije je u softveru.
• Rutiranje na osnovu stanja mreže: Ako vaša primarna internet veza počne da koči (džiter, lag i ostali uobičajeni sumnjivci), SD-WAN automatski prebacuje saobraćaj na rezervnu vezu, a da vi to i ne primetite.
• Drastično smanjenje troškova: Možete prestati da plaćate preskupe MPLS linije i jednostavno koristiti običan internet, što će finansijski tim učiniti veoma srećnim.

Ako je SD-WAN onaj GPS, onda je SSE (Security Service Edge) blindirano vozilo. To je bezbednosna polovina SASE medalje. Kao što smo ranije pomenuli, Gartner je skovao ovaj termin jer neke kompanije već imaju rešeno umrežavanje i žele samo bezbednosni deo.

SSE je revolucionaran jer objedinjuje alate kao što su SWG (Secure Web Gateway – alat koji filtrira veb saobraćaj i blokira zlonamerne sajtove), CASB (Cloud Access Security Broker – bezbednosna kontrolna tačka između korisnika i klaud aplikacija) i FWaaS (Firewall as a Service – zaštitni zid u klaudu koji se skalira u skladu sa vašim saobraćajem) u jednu platformu. Izveštaj kompanije Zscaler iz 2024. godine navodi da je SSE podskup SASE-a koji se fokusira isključivo na ove bezbednosne usluge. (Zscaler 2024 AI Security Report) Savršen je za kompanije koje su već "cloud-first" i ne žele da se bave upravljanjem velikim fizičkim mrežama u filijalama.

SSE pomaže organizacijama da se oslobode "hairpinning-a" – one iritantne pojave gde vaš saobraćaj mora da putuje do data centra udaljenog 500 kilometara samo da bi bio proveren pre nego što ode na željeni veb sajt.

Možda mislite: "Zar ne mogu samo da kupim bezbednosni deo?" Naravno da možete. Ali SASE je verzija gde je "zajedno bolje". Kada kombinujete umrežavanje (SD-WAN) sa bezbednošću (SSE), dobijate jedinstven sistem upravljanja (single pane of glass).

Uzmimo za primer maloprodajni lanac koji koristi SASE za povezivanje 500 prodavnica. Umesto da imaju poseban firewall i ruter u svakoj radnji, oni imaju jednu SASE polisu. Ako kasir u Sijetlu pokuša da pristupi sumnjivom sajtu, SWG ga trenutno blokira, dok SD-WAN osigurava da transakcije kreditnim karticama ostanu na najbržoj mogućoj putanji.

U zdravstvu je to još kritičnije. Lekaru koji obavlja telemedicinski poziv od kuće potrebna je niska latencija (zahvaljujući SD-WAN-u), ali i usklađenost sa propisima o zaštiti podataka pacijenata (zahvaljujući SSE-u). Ako imate samo polovinu slagalice, imaćete ili spor video ili rupu u bezbednosti.

Video sam kako se ovo primenjuje u praksi na više načina:

1. Finansije: Nacionalna kreditna unija iskoristila je SASE da konsoliduje svoje bezbednosne alate, smanjujući broj različitih kontrolnih tabli koje njihov IT tim mora da prati.
2. Proizvodnja: Kompanija sa fabrikama širom sveta koristi SASE da osigura svoje IoT senzore bez potrebe da šalje inženjere na svaku lokaciju radi konfigurisanja hardvera.
3. Obrazovanje: Univerziteti ga koriste kako bi studentima omogućili pristup resursima biblioteke sa bilo kog mesta, dok istovremeno čuvaju glavnu mrežu kampusa od malvera koji ljudi neizbežno preuzimaju na svoje privatne laptopove.

Poenta nije samo u modernoj terminologiji – radi se o tome da čovek za kuhinjskim stolom ima istu zaštitu kao i ljudi u sedištu kompanije. U nastavku ćemo pogledati zašto je "poverenje" postalo nepoželjna reč u SASE svetu.

Kako SASE pomaže u detekciji pretnji

Da li ste se ikada zapitali zašto "bezbedna" mreža vaše kompanije deluje kao da je povezana selotejpom i pukom srećom? To je obično zato što se i dalje oslanjamo na poverenje zasnovano na fizičkoj lokaciji korisnika, što je, iskreno, katastrofalan pristup bezbednosti u 2025. godini.

Srž načina na koji SASE zapravo hvata napadače je koncept pod nazivom Zero Trust (nulto poverenje). U prošlosti, ako ste bili u kancelariji, mreža je jednostavno podrazumevala da ste "dobar momak". Zero Trust to potpuno preokreće – polazi od pretpostavke da je svako potencijalna pretnja dok ne dokaže suprotno.

Kao što je Microsoft ranije istakao u ovom vodiču, ovo nije samo jednokratna prijava. Reč je o pristupu vođenom identitetom. Sistem konstantno proverava: Da li je ovo zaista direktor? Zašto se prijavljuje sa tableta iz druge države u 3 sata ujutru?

• Kontekst je ključan: SASE platforma analizira zdravlje vašeg uređaja, vašu lokaciju i čemu tačno pokušavate da pristupite pre nego što vam dozvoli ulaz.
• Mikrosegmentacija: Umesto da dobijete ključeve celog zamka, dobijate pristup samo specifičnoj aplikaciji koja vam je potrebna. Ako haker ukrade vašu lozinku, ostaće zarobljen u jednoj prostoriji umesto da luta celom zgradom.
• Provera ispravnosti uređaja: Alati poput zaštite krajnjih tačaka (endpoint protection) proveravaju da li je na vašem laptopu uključen zaštitni zid (firewall) i da li je softver ažuriran pre nego što vam API uopšte dozvoli povezivanje.

Jedna od najfascinantnijih stvari kod SASE detekcije pretnji je to što on vaše aplikacije čini "nevidljivim". U standardnom okruženju, vaš VPN gejtvej (gateway) je stalno izložen na internetu, praktično mašući zastavicom hakerima.

Prema izveštaju kompanije Trend Micro iz 2024. godine, ZTNA (Zero Trust Network Access) menja te glomazne VPN-ove i sakriva vaše aplikacije sa javnog veba. Ako haker skenira internet tražeći aplikaciju za plate vaše kompanije, neće je naći. Ona za njih praktično ne postoji jer SASE "izbacivač" pokazuje vrata samo onima koji su već verifikovani.

S obzirom na to da sav vaš saobraćaj prolazi kroz SASE oblak (cloud), on može koristiti veštačku inteligenciju (AI) da uoči čudne obrasce koje bi čovek potpuno prevideo. To je kao da imate obezbeđenje koje je zapamtilo tačno kako svaki zaposleni hoda i govori.

Uvid kompanije Zscaler iz 2024. godine (koji smo ranije pomenuli) objašnjava da, pošto je SSE namenski napravljen za cloud, on može vršiti duboku inspekciju kriptovanog saobraćaja bez da vaš internet uspori na nivo dial-up veze.

Većina današnjeg malvera krije se unutar kriptovanog saobraćaja. Staromodni zaštitni zidovi se muče da "vire" unutar tih paketa jer to zahteva ogromnu procesorsku snagu. Ali pošto SASE živi na Edge-u (ivici mreže), on može otvoriti te pakete, proveriti ima li virusa koristeći mašinsko učenje i ponovo ih zatvoriti u milisekundama.

Video sam kako ovo spasava različite tipove poslovanja:

1. Zdravstvo: Lekar koristi privatni iPad da proveri kartone pacijenata. SASE sistem vidi da uređaj nije kriptovan i blokira pristup podacima, ali i dalje dozvoljava lekaru da proveri poslovni mejl.
2. Maloprodaja: Menadžer prodavnice u tržnom centru pokušava da preuzme sumnjiv prilog u poruci. SWG (Secure Web Gateway) hvata potpis malvera u cloudu pre nego što on uopšte dotakne lokalnu mrežu prodavnice.
3. Finansije: Nacionalna kreditna unija koristi SASE kako bi osigurala da, čak i ako je fizički internet ekspoziture kompromitovan, podaci ostaju kriptovani, a "inside-out" veze sprečavaju napadače da se kreću lateralno kroz mrežu.

Suština je u smanjenju površine napada (attack surface). Ako loši momci ne mogu da vide vaše aplikacije, a AI prati svaki sumnjiv pokret, nalazite se u mnogo boljoj poziciji.

U nastavku ćemo pričati o tome kako ova celokupna SASE arhitektura zapravo olakšava – i pojeftinjuje – upravljanje vašom mrežom.

Stvarne prednosti za vaše poslovanje

Iskreno govoreći, niko se ne budi uzbuđen zbog upravljanja mrežnim vatrozidom (firewall). To je uglavnom nezahvalan posao gde se za vas čuje samo kada je internet spor ili kada VPN neće da se poveže. Međutim, SASE (Secure Access Service Edge) to zapravo menja, čineći ceo taj haos mnogo lakšim za upravljanje, uz ozbiljnu uštedu novca.

Jedna od najvećih glavobolja u IT sektoru je „zasićenje konzolama“. Imate jedan ekran za rutere, drugi za vatrozid, a možda i treći za bezbednost u oblaku. To iscrpljuje. Prema podacima kompanije Zscaler, SSE (što je bezbednosna strana SASE arhitekture) omogućava vam da konsolidujete sve te pojedinačne proizvode u jednu platformu, što prirodno smanjuje operativne troškove i oslobađa vas pritiska finansijskog tima.

• Napuštanje „hardverskog“ mentaliteta: Ne morate da kupujete skupu opremu svaki put kada otvorite novu poslovnicu. Pošto se bezbednost nalazi u oblaku (cloud), dovoljno je da obezbedite osnovnu internet vezu i spremni ste za rad.
• Smanjenje MPLS troškova: Kao što smo ranije pomenuli, možete prestati da plaćate te preskupe privatne linije. SASE koristi običan internet, ali ga primorava da se ponaša kao privatna mreža, što potpuno menja pravila igre kada je u pitanju budžet.
• Skaliranje bez drame: Ako sutra zaposlite 50 novih ljudi, ne morate da naručujete 50 novih hardverskih tokena ili veći VPN koncentrator. Jednostavno ažurirate licencu u oblaku i nastavljate dalje.

Svi smo bili u toj situaciji — pokušavate da se pridružite Zoom pozivu dok vaš VPN „vrti“ saobraćaj kroz data centar na drugom kraju države (takozvani hairpinning). To stvara kašnjenje (lag) zbog kojeg poželite da bacite laptop. Pošto SASE koristi „tačke prisustva“ (PoPs) o kojima smo pričali, bezbednosna provera se dešava blizu samog korisnika.

Analiza kompanije Zscaler iz 2024. godine objašnjava da ova distribuirana arhitektura omogućava vašem osoblju u kafiću istu brzinu rada koju imaju i ljudi u glavnoj kancelariji.

Video sam kako se ovo primenjuje u praksi na nekoliko različitih načina:

1. Maloprodaja: Menadžer prodavnice treba da proveri inventar na tabletu. Umesto da čeka sporu vezu sa centralom, SASE ih bezbedno rutira direktno do aplikacije u oblaku.
2. Finansije: Kreditni službenik koji radi od kuće može pristupiti osetljivim bazama podataka bez onog „VPN kružića smrti“ svaki put kada klikne na „sačuvaj“.
3. Proizvodnja: Udaljene fabrike mogu da povežu svoje IoT senzore sa oblakom bez potrebe da IT stručnjak bude fizički prisutan na lokaciji svaki put kada hardverski vatrozid zabaguje.

Suština je u tome da bezbednost postane nevidljiva. Kada sve funkcioniše kako treba, vaši zaposleni ni ne znaju da je sistem tu — oni samo vide da im aplikacije rade brzo. U nastavku ćemo rezimirati kako zapravo da krenete ka ovoj modernoj budućnosti, a da pritom ne poremetite sve ono što ste već izgradili.

Implementacija SASE arhitekture bez glavobolje

Dakle, odlučili ste da pređete na SASE (Secure Access Service Edge), ali brinete da ćete srušiti sve što ste godinama gradili? Iskreno, većina ljudi se tako oseća jer niko ne želi da bude taj koji je slučajno ugasio korporativnu mrežu u utorak ujutru.

Implementacija SASE-a ne mora da bude košmar tipa „sruši pa gradi ponovo“. Zapravo, to možete raditi u fazama, što je mnogo bolje i za vaše živce i za budžet.

Najpametniji način da počnete jeste da rešite svoj najveći problem – a to je obično onaj tromi, zastareli VPN. Kao što smo ranije pomenuli, zamena VPN-a sa ZTNA (Zero Trust Network Access) rešenjem je savršen prvi korak. To vašim radnicima na daljinu omogućava veću brzinu i mnogo bolju bezbednost, a da pritom ne morate da dirate hardver u kancelariji.

• Identifikujte svoje „porodično blago“: Počnite tako što ćete svoje najosetljivije aplikacije prve staviti pod zaštitu SASE „izbacivača“.
• Odaberite „pilot“ grupu: Neka nekoliko tehnički potkovanih kolega iz marketinga ili prodaje testira novi pristup pre nego što ga proširite na celu kompaniju.
• Sredite polise pristupa: Iskoristite ovaj prelaz kao izgovor da obrišete one stare korisničke naloge koji stoje neaktivni već tri godine.

Izveštaj kompanije Zscaler za 2024. godinu navodi da se monitoring digitalnog iskustva sve više seli direktno u SASE platforme, što je ogromna stvar. To se dešava jer se SASE nalazi direktno između korisnika i aplikacije, što mu daje uvid u performanse iz prvog reda. To znači da možete tačno videti zašto je nečija veza spora – bilo da je u pitanju njihov loš kućni Wi-Fi ili stvarni problem sa mrežom – i to pre nego što uopšte pozovu tehničku podršku.

Ne morate kupovati sve od jednog dobavljača ako to ne želite. Neke kompanije preferiraju pristup „jednog vendora“ zbog jednostavnosti, dok druge biraju „dual-vendor“ model, gde zadržavaju postojeće mrežne uređaje, ali dodaju novi nivo bezbednosti u oblaku.

Prethodno pomenuti vodič kompanije Microsoft sugeriše da bi vaša SASE implementacija trebalo da se poveže sa vašim trenutnim provajderima identiteta. Ako već koristite jedinstvenu prijavu (SSO), postarajte se da se vaš SASE alat savršeno integriše sa njim, kako zaposleni ne bi morali da pamte još jednu lozinku.

Video sam kako ovaj fazni pristup funkcioniše u različitim sektorima:

1. Obrazovanje: Jedan univerzitetski sistem je počeo tako što je osigurao svoje istraživačke baze podataka u biblioteci putem ZTNA protokola, a zatim je polako prebacio bezbednost kampusa na cloud.
2. Proizvodnja: Globalna firma je zadržala svoj fabrički hardver, ali je sav pristup za spoljne saradnike prebacila na SASE platformu kako bi glavna mreža ostala „nevidljiva“ za spoljni svet.
3. Maloprodaja: Jedan lanac prodavnica je prvo dodao cloud firewalle (FWaaS) u svoje nove objekte, dok je stare zadržao na tradicionalnoj tehnologiji sve dok im nisu istekli ugovori za održavanje hardvera.

Na kraju krajeva, prelazak na SASE je putovanje, a ne vikend projekat. Počnite polako, dokažite da radi, a zatim skalirajte. Vaša mreža – a i vaš san – biće vam zahvalni kasnije.