Como a SASE e a Internet assumiram o controle das redes de longa distância (Parte 1)

Este blog faz parte da série contínua “I & O Perspectives”, que apresenta insights de especialistas do setor sobre o impacto das ameaças atuais, da rede e de outras tendências de segurança cibernética.

Ao assumir uma nova função na equipe de engenharia da plataforma Netskope, estou ansioso para explorar como a visão da nossa empresa molda a evolução da segurança de redes empresariais. Este primeiro artigo de uma série é uma prova da minha introspecção técnica, apresentando os antecedentes, os desafios e as necessidades que levaram ao SASE — Security Access Service Edge.

Over the past quarter of a century, enterprises have gradually recognized the internet as a reliable means of transporting applications. Remote work further accelerated this shift, transforming the workspace into a borderless environment. Coupled with the rise of corporate SaaS applications, this has led to a new era of connectivity.

However, in this new era, the internet has become a critical vector for cyber threats. As organizations rely more on the internet for connectivity, they face increased exposure to sophisticated threats, including data breaches, malware, and phishing attacks. SASE emerged as a response to the limitations of traditional networking and security models.

Com tudo isso em mente, vamos fazer uma viagem pela história recente das WANs para entender a direção que a segurança e a rede estão tomando.

Evolução da rede de área ampla moldando nosso presente e futuro

Em 2000, antes do estouro da bolha da Internet, a Cisco Systems tinha a maior capitalização de mercado em todo o mundo, permanecendo como líder inquestionável no setor de redes corporativas. Os produtos de segurança da Internet foram insignificantes nas declarações de receita da Cisco, contribuindo com apenas uma pequena fração de suas vendas. No geral, a cibersegurança ainda era um setor relativamente pequeno. As redes corporativas e a Internet costumavam existir como dois silos distintos, uma separação que inerentemente fornecia segurança sem a necessidade de criptografia.

Os backbones da rede de longa distância (WAN), que, por definição, eram executados em infraestrutura física privada, dependiam de linhas e protocolos ponto a ponto dedicados legados, como frame relay e ATM.

Additionally, cloud applications were not that critical for corporations. Besides email, electronic communications and IT resources were mainly private.

Alguns pioneiros começaram a usar mais túneis IPsec de site a site para backup de WAN e descarregar tráfego de baixa prioridade pela Internet. Lembro-me de demonstrar essa implementação para uma grande corporação em 2002, mas não foi além de uma prova de conceito. Naquela época, a Internet de melhor esforço não era considerada elegível para transportar tráfego corporativo confidencial. Hoje, isso evoluiu com qualidade de serviço inteligente e orquestração em uma interface gráfica, representando a parte SD-WAN do SASE.

Multiprotocol Label Switching (MPLS) virtual private network (VPN), a genuine IP-minded solution, was the rising star.

MPLS e VRF: aprimorando o roteamento IP e o isolamento de rede

O MPLS é um conjunto de protocolos de comutação central projetados para acelerar o roteamento IP. Ele combina as vantagens do IP e do caixa eletrônico.

Network operators and vendors developed the VPN application of MPLS to provide network isolation at layer 3. On an MPLS-VPN network, each VPN is a private routing context. Customers purchase one or several VPN contexts to segregate their WAN routing environments over the same physical infrastructure.

Traffic over MPLS-VPN is generally not encrypted and the network is trusted. In most cases, these VPN instances naturally became the long-haul extensions of the local area network VLANs. Machines with the same usage profile would sit in the same LAN segments and VPNs.

O impacto dos SLAs na diferenciação do MPLS-VPN dos serviços de Internet

Para empresas (ou pelo menos seus departamentos jurídicos), a principal métrica de qualidade eram os SLAs e as penalidades que os acompanham. Em outras palavras, como as penalidades podem ser prejudiciais o suficiente para os prestadores de serviços cuidarem e igualarem uma qualidade de serviço decente?

On MPLS-VPN networks, packet delivery, round-trip delays, and service availability are subject to SLAs. In contrast, most internet services only offer time-to-restore or availability SLAs. These contractual items have been the key argument for telcos to differentiate MPLS-VPN from IPsec over the internet. 

SLAs do not apply when the link has been broken because of a force majeure event: natural disasters, acts of war, government actions, and pandemics, among others. For example, if an excavator cuts a fiber cable, and even if it’s not considered a force majeure event, it makes no difference whether the service is internet or MPLS-VPN. There’s only a small chance that the provider will restore the link within the SLA time.

Construindo redes resilientes e capazes: cumprindo os SLAs em meio a restrições complexas

Para apoiar os SLAs, a resiliência e o gerenciamento de capacidade sempre foram temas predominantes ao projetar redes de comunicação. Esses atributos são fundamentais para garantir que a rede seja extensa, redundante, rápida e ágil o suficiente para atender às expectativas do cliente em qualquer condição de rede. No entanto, conseguir isso envolve navegar por um conjunto complexo de restrições, como:

• Várias rotas disponíveis entre dois pontos.
• Cada link tem seu próprio gerenciamento de capacidade.
• As rotas de backup devem ser restauradas com rapidez suficiente para preservar as sessões em andamento (por exemplo, uma chamada telefônica) sem que os usuários percebam quando uma rota é interrompida.
• Com o IP, nem todos os aplicativos (como voz) têm largura de banda reservada. A rede pode restringir aplicativos de baixa prioridade durante eventos de congestionamento, mas não excessivamente. 

As abordagens em backbones privados, como o MPLS e a rede compartilhada da Internet, são naturalmente profundamente diferentes. A Internet sempre foi considerada o “melhor esforço”, enquanto o MPLS-VPN garante a qualidade do serviço. No entanto, os usuários esperam que a Internet ofereça um serviço decente na maioria das condições de rede. A concorrência entre os provedores de serviços de Internet impulsionou melhorias na qualidade. Técnicas e kits de ferramentas para gerenciar a capacidade da Internet avançaram significativamente

Muitos esforços também foram investidos para enriquecer o arsenal de técnicas de engenharia de tráfego em protocolos IP e ambientes MPLS, incluindo gerenciamento de capacidade on-line, reservas de largura de banda, prioridades de aplicativos, políticas de caminhos de ponta a ponta, redirecionamento rápido e muito mais.

A boa notícia é que o MPLS, como tecnologia de base, agora é a operadora subjacente para tudo, desde redes móveis até a Internet, e alguns desses esforços também beneficiam a Internet, não apenas o MPLS-VPN.

A ascensão da Internet: da necessidade doméstica à espinha dorsal corporativa

For consumers, the internet quickly started providing such valuable use cases that it soon became essential to subscribe to an internet service at home. Some of these examples include personal email, online shopping, search engines, encyclopedic content, social media, and instant messaging.

Around 2008, the internet conquered the mobile space with the user-friendly smartphone, its ecosystem, and high-speed cellular data. Smartphones made access to these ubiquitous use cases, causing a seismic growth in the volume of data flows and user counts.

Juntamente com o crescimento dos volumes de tráfego, que foi multiplicado pelo crescimento dos serviços de vídeo na Internet (veja a Figura 1), o número de usuários da Internet aumentou dramaticamente.

Internet use in the enterprise accelerated too. In addition to consumer-friendly applications, access to SaaS applications, starting with Salesforce, became a significant topic for IT departments. SaaS solutions offered scalable, cost-effective alternatives to traditional on-premises software, reducing the need for extensive IT infrastructure and maintenance.

Alguns CIOs até decidiram reduzir o tráfego dos usuários e implantar conectividade privada e cara, como o Secure Cloud Direct Interconnect (SDCI), para alcançar serviços disponíveis principalmente na Internet pública (gratuita). Por muito tempo, nunca pudemos resolver totalmente o conflito entre a onipresença da Internet e a qualidade garantida do serviço prestado por backbones privados.

Adotando o trabalho remoto: A mudança para o SASE

Innovation was pushing for changes. The pandemicmarked a dramatic shift. Remote workers became the norm. They were able to benefit from business applications from their homes as if they were in the private and concealed areas of the enterprise locations and WAN networks. Cloud and particularly virtual meeting applications, such as Microsoft O365/Teams, would be affected in a centralized configuration with a single or few WAN breakouts to internet. Users require their internet traffic to go through the shortest possible path.

Os players da Internet continuaram fornecendo uma grande largura de banda para lidar com o ritmo e absorver a carga adicional. A Internet lidou muito bem com a carga que subitamente passou dos terminais do prédio de escritórios para os locais residenciais.

Naturally, the user’s workstation turned into the only remaining barrier to the privacy of company data. Intellectual property, secret commercial data, and any information to safeguard must be reached through the employee device and cloud services, which could be anywhere.

Nonetheless, CIOs couldn’t sacrifice service quality and security. Preserving productivity and guaranteeing privacy and data protection are essential. The removal of the corporate “perimeter” has led to the spread and growth of sophisticated attacks, ransomware, involuntary breaches of confidentiality, and insider threats. This threat landscape requires a ubiquitous and granular security model to protect users and data everywhere, moving from traditional defenses, the castle-and-moat, to a global, always-on security layer. This logically gave birth to SASE. 

Na próxima parte desta série do blog, exploraremos o paradigma da conectividade SASE e como a Netskope oferece conectividade de alto nível nesse novo cenário.

Fique ligado nas próximas edições da nossa série I & O Perspective. Junte-se a nós na SASE Week 2024 para explorar o que há de mais recente em SASE e Zero Trust e saiba como aprimorar a estratégia de segurança e transformação de rede da sua organização. Não perca a mesa redonda "SASE for Networkers Roundtable" em 25 de setembro, na qual os clientes compartilharão suas jornadas de transformação digital em direção à SASE