SASE 與 SSE：關鍵差異與如何選擇

什麼是 SASE 和 SSE？

您的安全邊界不再位於網路邊緣。使用者從居家辦公室、機場和分支據點連線。應用程式存在於 SaaS 平台和多雲環境中。傳統防火牆和 VPN 集中器難以保護其無法看見的內容，而攻擊者則利用這個缺口。

兩種架構框架因應了這項現實：Secure Access Service Edge（SASE）與 Security Service Edge（SSE）。了解兩者之間的差異，以及知道您的組織實際需要哪一種，將決定您建立的是可擴展的安全架構，還是會產生新盲點的架構。

• SASE 由 Gartner 於 2019 年提出，作為一種將 WAN 能力與網路安全功能結合的方案，包括 SWG、CASB、FWaaS 和 ZTNA，以支援數位企業動態且安全的存取需求。SASE 能力以服務形式交付，依據實體身分、即時情境，以及企業安全與合規政策而定。此模型會在每個工作階段期間持續評估風險與信任。
• SSE 則在之後作為以安全為重點的對應方案出現。 Gartner 對 SSE 的定義 代表 SASE 的安全半部，提供具備存取控制、威脅防護、資料安全與監控的雲端式安全服務，但不包含網路層。

最簡單的說法是：SASE = SSE + SD-WAN。SSE 明確是 SASE 的子集，不包含整合式 SD-WAN 網路。

SASE 和 SSE 與網路安全的關係

這兩種框架都實作了 零信任 原則，如 NIST SP 800-207 所定義。Gartner 的原始文件指出，網路存取應根據使用者、裝置和應用程式的身分，而非 IP 位址或實體位置。文件也明確指出，無論使用者是否位於企業網路內，SASE 都能提供一致的工作階段保護。 NIST 實作指南 也將 SDP 和 SASE 納入經測試可用於零信任實作的企業建置組態。

CISA 雲端指南 在其 Cloud Use Case 指南中進一步強化了這一點，將 SASE 和 ZTNA 列為機構可部署以支援遠端存取的安全機制。CISA 的政策執行指南也將基於 SASE 的私有存取解決方案列為獨立政策執行點的範例。

對您的安全團隊而言，這表示 SASE 和 SSE 並非可有可無的附加項目。它們是您已被要求執行之零信任政策的交付機制。問題不在於是否採用，而在於哪種範圍適合您的環境。

SASE 和 SSE 的核心元件

兩種架構共享安全支柱。SASE 則新增了一個以網路為重點的元件，改變了整體部署模型。

• Secure Web Gateway, SWG，透過檢查和過濾所有導向網際網路的流量（包括加密的 HTTPS/SSL 工作階段），保護使用者免受基於 Web 的攻擊。在 SSE 部署中，SWG 作為雲端交付的代理，處理對外的網際網路流量。在 SASE 中，它與 SD-WAN 流量導引整合，使分支辦公室的網際網路流量無需本地設備即可自動路由至檢查點。
• Cloud Access Security Broker, CASB，為 SaaS 應用程式提供可視性、合規執行與資料保護。CASB 以兩種模式運作：內嵌式代理型和 API 型。CASB 可補足僅靠 SWG 無法涵蓋雲端託管服務的安全缺口。
• Zero Trust Network Access，ZTNA，以基於身分與情境的方式存取特定私有應用程式，取代傳統 VPN。與 VPN 的關鍵架構差異很簡單：ZTNA 授予的是對個別應用程式的存取，而非更廣泛的網路區段，從而消除隱含的 橫向移動 信任。在 SSE 中，雲端 PoP 負責代理驗證與裝置狀態驗證。在 SASE 中，分支到應用程式的流量也會透過 SD-WAN 整合遵循零信任政策。
• Firewall-as-a-Service，FWaaS，從雲端提供入侵防護、應用程式控制、URL 過濾和第 7 層深度封包檢測，免除每個據點部署實體邊界防火牆設備的需求。
• Data Loss Prevention，DLP，作為嵌入於 SWG、CASB 和 ZTNA 中的跨領域能力運作。Forrester 將 SSE DLP 現代化 視為公認的 SSE 採用驅動因素。
• SD-WAN，SASE 專屬的差異化因素。 SD-WAN 透過動態路徑選擇、QoS 和集中式分支連線管理，為跨多種傳輸連結的 WAN 流量提供智慧型、軟體控制的路由。若沒有 SD-WAN，SSE 安全工具只能看見經由其雲端 PoP 路由的流量，主要是使用者到網際網路以及使用者到雲端的流向。當 SASE 整合 SD-WAN 時，您的安全堆疊便能掌握所有 WAN 流量的可視性：分支到分支、分支到資料中心，以及分支到雲端。

這些共享與獨特的元件定義了每種框架能保護的範圍。它們在實務中的運作方式，取決於您的部署模型，以及您的平台需要看見哪些流量流向。

SASE 與 SSE 的運作方式

在日常營運中，這兩種框架都會將使用者流量導向雲端 PoP（存在點），並在該處執行安全性原則。差異在於涵蓋範圍與流量可視性。

• SSE 的實務運作： 您的遠端使用者開啟瀏覽器。流量會導向最近的 SSE PoP，由 SWG 檢查該請求、CASB 強制執行 SaaS 原則，而 ZTNA 則在授予對私有應用程式的存取權之前驗證身分與裝置狀態。您的安全團隊可透過單一雲端主控台管理所有內容。無需網路團隊協調。
• SASE 的實務運作： 相同的安全檢查同樣適用，但 SD-WAN 也會將分支辦公室流量導向該平台。存取內部應用程式的分支使用者，會遵循與遠端使用者相同的零信任原則。WAN 最佳化有助於提升應用程式效能，而 FWaaS 則會檢查各地點之間的東西向流量。您的安全團隊與網路團隊都可透過同一平台管理各自的元件。

Gartner 的 SSE 標準 定義了必要的營運能力，例如具備解密功能且可感知身分的正向 Proxy、以雲端交付為主的管理與資料平面、內嵌與頻外 SaaS 保護、適用於有代理程式與無代理程式裝置的自適應存取控制，以及與外部身分提供者的整合。

實務中常見的部署模型：

1. 以安全為先，由 SSE 主導： 常見路徑。您會先部署 ZTNA 以取代 VPN，接著加入 SWG，然後再疊加 CASB 以取得 SaaS 可視性。SD-WAN 則稍後再導入，甚至可能完全不導入。
2. 以網路為先，由 SD-WAN 主導： 正在進行 MPLS 卸載專案的組織會先部署 SD-WAN，然後再在其上加入 SSE 安全能力。
3. 雙團隊部署： 您的網路團隊負責操作 SD-WAN，而您的安全團隊則管理獨立的 SSE 服務。這會造成營運摩擦。
4. 代管式 SASE/SSE： 您將部署與原則管理外包給受管安全服務供應商。

端點防護 會整合至 ZTNA 層。您的 EPP/EDR 平台會將裝置健康訊號提供給 ZTNA 條件式存取決策。當裝置未通過狀態檢查時，ZTNA 會自動限制存取。SASE 與 SSE 都無法取代端點安全。它們運作於互補的層級。

SASE 與 SSE 最佳實務

了解元件與部署模型是第一步。若要有效實作任一框架，從一開始就需要營運紀律。

先從架構著手，而不是產品。先為零信任進行設計，再對齊解決方案。部署在設計不良系統中的工具，將難以發揮價值。

1. 仔細檢視 SLA，不只看正常運作時間。 要求針對問題識別時間、修復時間、變更準確性、SOC 摘要可用性，以及安全更新頻率做出承諾，而不只是可用性百分比。
2. 要求提供移轉作戰手冊。在承諾採用某家供應商之前，要求其提供從 VPNs 與內部部署閘道轉移的詳細計畫。
3. 將端點健康狀態串接至 ZTNA。如果您的端點防護平台未將裝置狀態訊號提供給 ZTNA 條件式存取引擎，您就等於讓零信任中最有價值的訊號閒置未用。Singularity Platform 可與 SASE 和 SSE 框架整合，提供結合身分情境的裝置健康訊號，以支援即時網路存取決策。
4. 避免孤島式團隊結構。 當您的網路團隊與安全團隊在沒有整合規劃的情況下操作不同平台時，您會付出更高成本卻獲得更少可視性。如果您選擇 SASE，請從一開始就規劃跨團隊治理。

無論您選擇哪一種框架，這些營運基礎都適用。下一步是判斷哪種範圍最符合您組織當前的需求。

在 SASE 與 SSE 之間做出選擇

SASE 與 SSE 之間的決策，不在於哪一個更好，而在於哪一種範圍符合您組織目前的狀態與發展方向。

在以下情況選擇 SSE：

• 您已經擁有可正常運作的 SD-WAN 部署，並且需要新增雲端安全，而無需更換網路基礎架構。
• 您的資安團隊可獨立主導轉型，無需網路團隊協調。
• 您的主要使用案例是保護遠端使用者與 SaaS 應用程式。
• 預算或組織限制要求分階段採用，從 ZTNA 或 SWG 開始。

在以下情況選擇完整 SASE：

• 您正同時處理 MPLS 卸載與資安轉型。
• 分支機構硬體汰換週期與資安架構規劃時程一致。
• 您希望為資安工具取得完整的 WAN 流量可視性，而這是單靠 SSE 無法提供的能力。
• 您已準備好整合網路與資安兩方面的供應商合約。

市場正朝向單一供應商 SASE 平台發展。 Forrester SASE Wave要求供應商必須在統一主控台中提供 SD-WAN、SSE 與 ZTNA，才有資格接受評估。

對大多數組織而言，SSE 是務實的起點。SASE 則是長期的架構目標。Gartner 發現，組織平均使用 45 種網路安全工具。SSE 與 SASE 提供了整合路徑，以減少這種工具蔓延。

從 SSE 到完整 SASE

大多數組織不會在單一階段部署 SASE。更常見的路徑是從 SSE 開始，並隨著網路需求演進擴展為完整 SASE。Gartner 的 SASE Convergence 策略路線圖可協助組織讓其 SASE 路線圖與現有 IT 技能、供應商合約及硬體汰換週期保持一致。

規劃轉型

從 SSE 遷移到 SASE 通常遵循可預測的順序：

• 第 1 階段：ZTNA 取代 VPN。 這是最常見的切入點。您會淘汰傳統 VPN 集中器，並透過雲端式 ZTNA 路由遠端使用者存取。此流程由資安團隊獨立推動。
• 第 2 階段：SWG 與 CASB 整合。內部部署的 Web Proxy 與獨立 CASB 工具會移轉至 SSE 平台。DLP 原則會在 Web、SaaS 與私有應用程式流量之間統一。
• 第 3 階段：SD-WAN 整合。分支辦公室的 WAN 基礎架構會從 MPLS 或靜態 VPN 遷移至 SD-WAN。此階段通常需要網路團隊參與，並在分支據點進行硬體汰換。
• 第 4 階段：統一 SASE 營運。資安與網路原則會整合至單一管理平面。跨團隊治理模型會正式確立共同歸屬。

從第 2 階段邁向第 3 階段的觸發因素通常是基礎架構事件：MPLS 合約續約、分支硬體生命週期結束，或重大辦公室擴張。缺乏這些觸發因素的組織通常會停留在 SSE，而不會失去資安價值。

成本與預算因素

由於 SSE 不需要更換分支硬體或重新設計 WAN 架構，因此前期成本較低。SSE 與完整 SASE 之間的成本差異可從幾個面向來看：

Gartner 預測，到 2026 年，60% 的新 SD-WAN 採購將成為單一供應商 SASE 方案的一部分。對於預算受限的團隊而言，SSE 可提供最快的安全投資報酬率。當 WAN 基礎架構已屆現代化時程時，SASE 會帶來額外的網路投資報酬率。在合約續約時將 SSE 與 SD-WAN 整併至同一供應商之下，可避免提前終止費用，並讓您擁有更強的議價能力。

使用 SentinelOne 實現安全的零信任存取

SASE 和 SSE 可保護網路層存取與雲端流量。您的端點仍需要裝置層級的自主防護。Singularity Platform 正是扮演此角色，並可與 SASE/SSE 架構整合，以在裝置層強化您的零信任架構。

最重要的整合點是 ZTNA 條件式存取。SentinelOne 透過與外部安全平台的整合，將即時裝置狀態訊號提供給 ZTNA 決策。當使用者身分在端點遭到入侵時，SentinelOne 可即時將該資訊分享給您的身分控制機制，觸發條件式存取原則，並在橫向移動開始之前封鎖對企業資源的存取。

Singularity™ Platform 提供 XDR 功能，可將網路遙測與端點、雲端及身分資料關聯至單一統一檢視中。藉由其專利 Storyline™ 技術，該平台會自動連結這些不同的訊號，以建立連貫的事件時間軸。

它可協助安全團隊識別橫向移動、探索未受管理的裝置，以找出並描繪缺乏安全代理程式的影子資產，甚至自動化回應，例如隔離遭入侵的裝置，以及封鎖與未知威脅的通訊。您可藉由提升安全效率來減少安全團隊的警示疲勞。請查看導覽。

Purple AI 進一步擴展了這項能力。它可在單一調查工作階段中查詢多個來源的資料。根據 IDC 研究，Purple AI 帶來關鍵的營運改善：

• 威脅識別速度提升 63%，涵蓋已關聯的資料來源
• MTTR 降低 55%，透過統一的調查工作流程實現

當您的 SSE 平台標記出可疑的存取模式，而分析師需要在單一工作流程中取得端點遙測、程序樹與身分訊號，而不是手動進行關聯時，這一點就非常重要。

SentinelOne Singularity AI SIEM以及 Data Lake 提供另一項整合優勢。透過運用大規模平行查詢引擎與欄式資料庫，該平台可透過 OCSF 正規化，實現來自任何來源的高速資料擷取。無結構描述架構可對串流資料進行即時偵測，提供明顯快於傳統 SIEM 解決方案的查詢效能。對於將 SASE 或 SSE 遙測資料與端點及身分事件整合的團隊而言，這種速度會直接影響您調查與採取行動的效率。

Singularity Network Discovery 使用代理程式技術來繪製網路對應並識別惡意裝置，直接支援您的 SASE 或 SSE 部署所需的持續性裝置狀態評估。SentinelOne 在警示數量比中位數少 88%，於 2024 MITRE ATT&CK Evaluations中達成，並具備100% 偵測率且零延遲，且已連續五年在 Gartner Magic Quadrant 的 Endpoint Protection Platforms 類別中獲評為領導者。對您的團隊而言，較少的警示代表較低的分析師疲勞，尤其當您已在零信任架構中管理身分、端點與網路情境時更是如此。

無論您今天部署 SSE，或是推動完整的 SASE，您的端點保護平台都是讓零信任真正落地的訊號來源。Singularity Platform 彌合了網路安全與端點可視性之間的落差。 向 SentinelOne 申請示範，了解自主端點防護如何與您的 SASE 或 SSE 部署整合。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

重點整理

SASE 將安全服務與 SD-WAN 網路結合。SSE 僅提供其中的安全部分。對大多數組織而言，SSE 是實際的切入點，而 SASE 則是長期目標。兩種框架都實作零信任原則，並且需要端點健康訊號提供給 ZTNA 存取決策，才能有效運作。 

市場正整合為統一平台。自主式端點防護（例如 Singularity Platform）會在 ZTNA 層整合，以提供讓任一架構得以運作的裝置狀態情報。