Nollkunskapsbevis för P2P-integritet i dVPN-nätverk

Vad är egentligen SASE och varför spelar det roll?

Har du någonsin försökt använda en trög VPN-anslutning på ett café, bara för att se den snigla sig fram när du desperat försöker öppna ett enkelt kalkylark? Det är ärligt talat en av de mest frustrerande aspekterna av dagens "jobba var som helst"-livsstil, men det är också precis därför alla pratar om SASE just nu.

Förr i tiden fungerade säkerhet som ett slott med en vallgrav – man hade en kraftfull brandvägg på kontoret, och så länge man befann sig innanför murarna var man "säker". Men idag finns vår data överallt. Vi använder Salesforce i köket, kommer åt patientjournaler på surfplattor eller kollar lagersaldon direkt från ett lagergolv.

Enligt en guide från IBM står SASE (uttalas "sassy") för Secure Access Service Edge. Det är i princip ett sätt att paketera nätverkstjänster och säkerhet i ett och samma molnbaserat paket. På så sätt slipper du skicka all din trafik hela vägen tillbaka till ett dammigt serverrum på huvudkontoret bara för att kolla din e-post.

• SD-WAN (Nätverk): Detta är "hjärnan" som räknar ut den snabbaste vägen för din data, oavsett om du använder 5G, hem-Wi-Fi eller fiber på kontoret.
• SSE (Säkerhet): Detta är "dörrvakten". Det står för Security Service Edge och introducerades som en specialiserad säkerhetsdel inom det bredare SASE-ramverket för att hantera själva skyddsaspekten.
• The Edge (Kanten): Istället för en central hubb sker säkerhetskontrollen vid lokala anslutningspunkter, så kallade "points of presence" (PoPs), nära där du faktiskt befinner dig.

I en rapport från 2021 definierade Gartner säkerhetsdelen som just SSE. Detta är viktigt eftersom det sätter stopp för "hairpinning" – den irriterande fördröjning som uppstår när din data färdas 80 mil till ett datacenter bara för att skickas tillbaka till en webbplats som hostas en mil från där du sitter.

Om du driver en butikskedja eller en mindre vårdklinik vill du inte behöva hantera tio olika säkerhetslösningar. SASE förenklar tillvaron genom att flytta reglerna till molnet. Som Microsoft poängterar hjälper detta till att upprätthålla samma säkerhetsregler för en person med en laptop i en park som för VD:n i styrelserummet.

Det handlar inte bara om hastighet, utan om att inte lämna den digitala bakdörren olåst. Härnäst ska vi fördjupa oss i kärnkomponenterna som SD-WAN och hur säkerhetsarkitekturen faktiskt fungerar i praktiken.

En djupdykning i SASE-komponenterna

Har du någonsin undrat varför ditt företagsnätverk känns som ett gigantiskt, trassligt nystan som ingen vill röra? Ärligt talat beror det på att vi fortfarande försöker använda verktyg från 2010 för att lösa problem från 2025. SASE är i praktiken saxen som äntligen låter oss klippa oss igenom det där kaoset.

Se SD-WAN som en smart GPS för din data. Förr i tiden använde vi MPLS-linjer – vilket i princip var dyra, privata tullvägar som bara gick till ditt kontor. Om du jobbade hemifrån var du tvungen att "köra" hela vägen till kontoret bara för att komma ut på den "säkra" vägen till internet. Det var långsamt och, om vi ska vara ärliga, lite av en blåsning.

Enligt ett blogginlägg från CodiLime separerar SD-WAN nätverkshårdvaran från kontrollfunktionerna. Det betyder att du inte är låst till vilken klumpig router som än står i förrådet; mjukvaran avgör om ditt Zoom-samtal ska gå via kontorets fiber, en 5G-uppkoppling eller ditt hemma-bredband baserat på vilken länk som presterar bäst just nu.

• Slopa hårdvaran: Du behöver inte en miljon dyra boxar på varje lokalkontor. "Hjärnan" finns i mjukvaran.
• Hälsobaserad routing: Om din primära internetlina börjar krångla (jitter, lagg, de vanliga misstänkta), flyttar SD-WAN automatiskt din trafik till en reservlina utan att du ens märker det.
• Sänkta kostnader: Du kan sluta betala för de där guldpläterade MPLS-linjerna och helt enkelt använda vanligt internet, vilket gör ekonomiavdelningen betydligt gladare.

Om SD-WAN är din GPS, så är SSE (Security Service Edge) den bepansrade bilen. Det är säkerhetshalvan av SASE-myntet. Som vi nämnde tidigare skapade Gartner detta begrepp eftersom vissa företag redan har koll på sitt nätverk och bara vill ha säkerhetsdelen.

SSE är en stor grej eftersom det paketerar funktioner som SWG (Secure Web Gateway – ett verktyg som filtrerar webbtrafik för att blockera skadliga sidor), CASB (Cloud Access Security Broker – en säkerhetskontroll mellan användare och molnappar) och FWaaS (Firewall as a Service – en molnbaserad brandvägg som skalar med din trafik) i en enda plattform. En rapport från 2024 av Zscaler konstaterar att SSE är en delmängd av SASE som fokuserar helt på dessa säkerhetstjänster (Zscaler 2024 AI Security Report). Det är perfekt för företag som redan är "cloud-first" och inte bryr sig om att hantera stora fysiska nätverk på kontoren.

SSE hjälper organisationer att slippa "hairpinning" – det irriterande fenomenet där din trafik skickas till ett datacenter 50 mil bort bara för att kontrolleras innan den går vidare till en webbplats.

Du kanske tänker: "Kan jag inte bara köpa säkerhetsdelen?" Jo, visst kan du det. Men SASE är "bättre tillsammans"-versionen. När du kombinerar nätverket (SD-WAN) med säkerheten (SSE) får du en enda kontrollpanel – ett så kallat "single pane of glass".

En detaljhandelskedja kan använda SASE för att koppla ihop 500 butiker. Istället för en brandvägg och en router i varje butik har de bara en SASE-policy. Om en kassör i Malmö försöker besöka en skum webbplats blockerar SWG det direkt, medan SD-WAN ser till att korttransaktionerna alltid går den snabbaste vägen.

Inom sjukvården är det ännu mer kritiskt. En läkare som har ett videobesök hemifrån behöver låg latens (tack vare SD-WAN) men måste också följa strikta patientsekretessregler (tack vare SSE). Om du bara har ena halvan av pusslet får du antingen hackig video eller ett säkerhetshål.

Jag har sett detta spela ut på flera sätt:

1. Finans: En nationell kreditförening använde SASE för att konsolidera sina säkerhetsverktyg, vilket minskade antalet instrumentpaneler som deras IT-team behövde hålla koll på.
2. Tillverkning: Ett företag med fabriker över hela världen använde det för att hålla sina IoT-sensorer säkra utan att behöva flyga ut tekniker till varje plats för att konfigurera hårdvara.
3. Utbildning: Universitet använder det för att ge studenter tillgång till biblioteksresurser var de än befinner sig, samtidigt som campusnätverket skyddas från den skadliga kod som folk oundvikligen laddar ner på sina privata laptops.

Det handlar inte bara om att vara modern – det handlar om att se till att personen vid köksbordet har samma skydd som folket på huvudkontoret. Härnäst ska vi titta på varför "tillit" är ett fult ord inom SASE.

Hur SASE stärker hotidentifieringen

Har du någonsin undrat varför företagets "säkra" nätverk känns som om det hålls ihop av silvertejp och böner? Det beror oftast på att vi fortfarande försöker lita på människor baserat på var de befinner sig fysiskt – vilket ärligt talat är ett uruselt sätt att hantera säkerhet år 2025.

Kärnan i hur SASE faktiskt fångar de "onda killarna" är något som kallas Zero Trust (noll tillit). Förr i tiden antog nätverket att du var en av de "goda" så länge du satt på kontoret. Zero Trust vänder på steken – det utgår från att alla är ett potentiellt hot tills motsatsen bevisats.

Som Microsoft tidigare nämnt i denna guide handlar det inte bara om en engångsinloggning. Det handlar om identitetsdriven åtkomst. Systemet kontrollerar ständigt: Är detta verkligen VD:n? Varför loggar han in från en surfplatta i ett annat land klockan tre på natten?

• Kontexten är avgörande: SASE-plattformen analyserar din enhets hälsa, din plats och vad du försöker komma åt innan du släpps in.
• Mikrosegmentering: Istället för att få nycklarna till hela slottet får du bara tillgång till den specifika applikation du behöver. Om en hackare stjäl ditt lösenord blir de fastlåsta i ett enskilt rum istället för att kunna röra sig fritt i hela byggnaden.
• Hälsokontroll av enheter: Verktyg för slutpunktsskydd (endpoint protection) kontrollerar om din bärbara dator har brandväggen aktiverad och programvaran uppdaterad innan ditt API ens tillåter en anslutning.

En av de smartaste funktionerna med SASE och hotidentifiering är att det gör dina appar "mörka". I en traditionell miljö ligger din VPN-gateway öppen mot internet och viftar praktiskt taget med en flagga åt hackare.

Enligt en rapport från 2024 av Trend Micro ersätter ZTNA (Zero Trust Network Access) dessa klumpiga VPN-lösningar och döljer dina applikationer från det publika nätet. Om en hackare skannar internet efter företagets lönesystem kommer de inte att hitta det. Det existerar helt enkelt inte för dem, eftersom SASE-plattformens "dörrvakt" bara visar dörren för användare som redan har verifierats.

Eftersom all din trafik flödar genom SASE-molnet kan systemet använda AI för att upptäcka märkliga mönster som en människa helt skulle missa. Det är som att ha en säkerhetsvakt som har lärt sig exakt hur varje enskild anställd går och pratar.

En insikt från 2024 från Zscaler (som nämndes tidigare) förklarar att eftersom SSE är specialbyggt för molnet, kan det utföra djupinspektion av krypterad trafik utan att ditt internet börjar kännas som ett gammalt modem.

Den mesta skadliga koden idag ligger gömd inuti krypterad trafik. Gammaldags brandväggar har svårt att "se" in i dessa paket eftersom det kräver för mycket processorkraft. Men eftersom SASE lever vid nätverkets ytterkant, The Edge, kan det öppna paketen, kontrollera dem efter virus med hjälp av maskininlärning och paketera ihop dem igen på några millisekunder.

Jag har sett detta rädda flera olika typer av verksamheter:

1. Sjukvård: En läkare använder en privat iPad för att kontrollera patientjournaler. SASE-systemet ser att enheten inte är krypterad och blockerar åtkomsten, men låter ändå läkaren läsa sin jobbmejl.
2. Detaljhandel: En butikschef i ett köpcentrum försöker ladda ner en misstänkt bilaga. SWG (Secure Web Gateway) fångar upp virusets signatur i molnet innan det ens når butikens lokala nätverk.
3. Finans: En lokal sparbank använder SASE för att säkerställa att även om ett kontors fysiska internetanslutning manipuleras, förblir datan krypterad. "Inifrån-och-ut"-anslutningarna hindrar angripare från att röra sig i sidled i nätverket.

Det handlar i grunden om att krympa attackytan. Om de obehöriga inte kan se dina appar och AI:n bevakar varje misstänkt rörelse, sitter du i en betydligt säkrare sits.

Härnäst ska vi gå igenom hur hela detta "sassy" upplägg faktiskt gör ditt liv både enklare – och billigare – att hantera.

Verkliga affärsfördelar för din verksamhet

Ärligt talat är det ingen som vaknar och känner sig entusiastisk över att hantera en nätverksbrandvägg. Det är oftast ett otacksamt jobb där du bara hör från folk när internet är långsamt eller när en VPN-anslutning strular. Men SASE förändrar faktiskt spelplanen genom att göra hela röran betydligt enklare att hantera, samtidigt som det sparar rejält med pengar.

En av de största huvudvärkarna inom IT är "konsol-utmattning". Du har en skärm för dina routrar, en annan för brandväggen och kanske en tredje för molnsäkerhet. Det är utmattande. Enligt Zscaler gör SSE (säkerhetsdelen av SASE) det möjligt att konsolidera alla dessa punktprodukter till en enda plattform. Detta sänker naturligtvis dina omkostnader och gör att ekonomiavdelningen slutar flåsa dig i nacken.

• Slopa "hårdvaru-tänket": Du behöver inte köpa dyr hårdvara varje gång du öppnar ett nytt lokalkontor. Eftersom säkerheten lever i molnet räcker det med en vanlig internetuppkoppling för att komma igång.
• Sänkta MPLS-kostnader: Som vi nämnde tidigare kan du sluta betala för de där överprissatta privata linjerna. SASE använder det vanliga internet men får det att fungera som ett privat nätverk, vilket är en total "game changer" för budgeten.
• Skalbarhet utan drama: Om du anställer 50 nya personer imorgon behöver du inte beställa 50 nya hårdvarutokens eller en större VPN-koncentrator. Du uppdaterar bara din molnlicens och kör vidare.

Vi har alla varit där – du försöker ansluta till ett Zoom-möte medan din VPN skickar trafiken på en omväg ("hairpinning") genom ett datacenter på andra sidan landet. Det laggar och man får lust att kasta ut laptopen genom fönstret. Eftersom SASE använder de "Points of Presence" (PoPs) vi pratade om tidigare, sker säkerhetskontrollen nära användaren.

En insikt från Zscaler (nämnd tidigare) förklarar att denna distribuerade arkitektur innebär att din personal på ett kafé får samma snabba hastigheter som de som sitter på huvudkontoret.

Jag har sett detta spela ut i praktiken på flera olika sätt:

1. Detaljhandel: En butikschef behöver kontrollera lagret på en surfplatta. Istället för att vänta på en långsam anslutning via huvudkontoret, guidar SASE dem direkt och säkert till molnappen.
2. Finans: en lånehandläggare som jobbar hemifrån kan komma åt känsliga databaser utan att drabbas av "VPN-snurran" varje gång de klickar på spara.
3. Tillverkning: Fabriker på distans kan ansluta sina IoT-sensorer till molnet utan att behöva en IT-tekniker på plats som fixar en fysisk brandvägg varje gång den hänger sig.

Det handlar i grunden om att göra säkerheten osynlig. När det fungerar som det ska märker dina anställda inte ens att den finns där – de märker bara att deras appar är snabba. Härnäst ska vi avrunda med att titta på hur du faktiskt börjar röra dig mot denna "SASE-framtid" utan att förstöra det du redan har byggt upp.

Implementera SASE utan huvudvärk

Så du har bestämt dig för att satsa på SASE, men är orolig för att sänka hela den befintliga infrastrukturen? Ärligt talat känner de flesta så – ingen vill vara den som råkar stänga ner företagets nätverk en tisdagsmorgon.

Att implementera SASE behöver inte vara en mardröm av typen "riv ut och ersätt". Du kan faktiskt göra det stegvis, vilket är betydligt bättre för både sinnesron och budgeten.

Det smartaste sättet att börja är att ta itu med ditt största irritationsmoment först – oftast den där tröga, gamla VPN-lösningen. Som vi nämnde tidigare är det ett perfekt första steg att ersätta VPN med ZTNA (Zero Trust Network Access). Det ger dina distansarbetare bättre hastighet och avsevärt högre säkerhet utan att du behöver röra hårdvaran på kontoret.

• Identifiera "kronjuvelerna": Börja med att placera dina mest känsliga applikationer bakom SASE-dörrvakten.
• Välj en pilotgrupp: Låt ett gäng teknikintresserade kollegor på marknads- eller säljavdelningen testa den nya åtkomsten innan du rullar ut den till hela företaget.
• Städa upp i policys: Använd flytten som en anledning att radera gamla användarkonton som legat och skräpat i tre år.

En rapport från Zscaler från 2024 lyfter fram att övervakning av den digitala användarupplevelsen (DEM) nu integreras direkt i SASE-plattformar, vilket är en stor fördel. Eftersom SASE sitter direkt mellan användaren och applikationen har systemet första parkett till all prestandadata. Det innebär att du kan se exakt varför en användares anslutning är långsam – oavsett om det beror på deras dåliga Wi-Fi hemma eller ett faktiskt nätverksproblem – innan de ens hinner ringa supporten.

Du behöver inte köpa allt från en och samma leverantör om du inte vill. Vissa företag föredrar en "single-vendor"-strategi för enkelhetens skull, medan andra väljer en "dual-vendor"-modell där de behåller sitt befintliga nätverk men lägger på ett nytt molnbaserat säkerhetslager.

Microsofts guide på området föreslår att din SASE-utrullning bör kopplas till dina nuvarande identitetsleverantörer. Om du redan använder Single Sign-On (SSO), se till att ditt SASE-verktyg kommunicerar sömlöst med det så att de anställda slipper memorera ännu ett lösenord.

Jag har sett den här fasindelade metoden fungera i flera olika branscher:

1. Utbildning: Ett universitet började med att säkra sina forskningsdatabaser med ZTNA och flyttade sedan gradvis över säkerheten för campusets Wi-Fi till molnet.
2. Tillverkningsindustri: Ett globalt företag behöll sin hårdvara i fabrikerna men flyttade all åtkomst för externa konsulter till en SASE-plattform för att hålla huvudnätverket dolt ("dark") för utomstående.
3. Detaljhandel: En butikskedja implementerade molnbaserade brandväggar (FWaaS) i sina nya butiker först, medan de gamla fick behålla traditionell teknik tills deras hårdvaruavtal löpte ut.

I slutändan är SASE en resa, inte ett helgprojekt. Börja i liten skala, bevisa att det fungerar och skala sedan upp. Ditt nätverk – och din nattsömn – kommer definitivt att tacka dig senare.