Zero Trust 與 SASE：您應為網路安全採用哪一種？

網路安全情勢已以前所未有的程度演變，且安全性外洩事件從 2021 年到 2023 年大幅增加了 72%，這意味著企業必須立即重新調整其安全框架，以因應這些新興威脅。最初在以邊界為基礎的防禦中有效的保護措施，在如今這個由雲端運算、居家辦公和行動裝置主導的世界中已不再適用。

為了因應這些新興挑戰，組織越來越多地採用 Zero Trust 與 SASE 等進階模型。這兩種框架都提供強大、可擴充且動態的安全策略，專為現代基礎架構和分散式員工隊伍而設計。

在本文中，我們將討論 Zero Trust 和 SASE 的基礎知識，涵蓋 SASE 與 Zero Trust 的差異，並說明各自如何協助整合整體安全策略。閱讀完本文後，您將更清楚掌握兩者，以及如何應用它們來進一步強化組織的網路安全態勢。

什麼是 Zero Trust？

Zero Trust 是現代網路安全理念的一個面向，其基礎原則為「永不信任，一律驗證」。此模型要求每位想要進入網路的使用者、裝置和應用程式都必須進行嚴格的身分驗證，無論其位於網路內部或外部。

其他安全模型往往假設內部使用者是可信任的，而此模型則假設所有實體都可能是潛在威脅，並且在獲得存取權限之前都應先完成驗證。它實際上也降低了來自外部和內部人員的威脅風險，因為它限制了橫向移動。

Zero Trust 的基本原則

隨著北美以外 76% 的企業希望增加對安全資訊與事件管理（SIEM）的投資，Zero Trust 技術堆疊也正在擴展。在北美，組織的重點仍然是將 IAM 與自動化整合，只有 11% 未專注於新的安全整合，較去年下降了 36%。

現在，讓我們討論一些 Zero Trust 的原則，以更好地理解這個概念：

1. 身分與存取管理（IAM）： 安全的身分驗證是 Zero Trust 的核心。身分與存取管理可確保只有經過驗證與授權的使用者才能存取特定資源。IAM 解決方案經常納入 多重要素驗證（MFA） 以增強安全性。事實上，即使對內部使用者而言，持續性的身分驗證通常也是維持 Zero Trust 框架所必需的。
2. 最小存取原則： 此模型依賴最小權限原則，這表示使用者僅獲得履行其職責所需的存取權限。透過這種方法，可限制潛在攻擊面，而若該合法使用者的憑證遭到入侵，攻擊者可能達成的行為也會受到限制。
3. 微分段：Zero Trust 採用微分段，將網路劃分為更小且彼此隔離的區段。此策略可在某一區段遭入侵時，有效阻止攻擊者在網路中進行橫向移動。每個區段都會獨立強化，並以細粒度方式管控存取。
4. 持續觀察與分析：Zero Trust 並非「設定後就不管」的模型，而是持續監控網路流量、監控使用者行為，以及追蹤存取請求的過程。任何異常行為，例如來自不常見位置的登入或在異常時段發出的存取嘗試，都會啟動安全措施並即時阻止威脅。
5. 多重要素驗證（MFA）： Zero Trust 包含 MFA，也就是將兩種或以上的驗證因素整合到系統中以取得存取權。MFA 也能將未經授權存取服務的可能性降到最低，因為它在使用者名稱和密碼之外增加了一層安全防護。

什麼是 SASE（Secure Access Service Edge）？

SASE 是一種專為雲端原生設計的精巧框架，旨在整合廣域網路與網路安全服務的能力。它特別是為擁有分散式員工隊伍、雲端優先策略，以及廣泛使用行動裝置的組織而設計。Gartner 預測，到 2025 年，60% 的企業 將採用 SASE 作為其核心安全策略的一部分，相較於 2020 年僅有 10%。

這一成長是由於保護分散式員工隊伍和雲端基礎架構的需求日益增加，因為遠端工作和行動存取在現代商業環境中持續變得更加普遍。

SASE 簡化了網路安全，並提供企業所需的安全服務，包括 Firewall-as-a-Service (FWaaS)、Secure Web Gateway (SWG)，以及 Cloud Access Security Broker (CASB)，以及一組內含的網路功能，例如 Software-Defined Wide Area Network (SD-WAN)。此外，SASE 可讓使用者、應用程式和裝置無論位於何處都能安全地存取。

這使其特別適合員工分布於多個地區的高度分散型企業。這種統一的雲端式方法可確保安全政策在整個網路中保持一致且可擴充，同時簡化多種安全解決方案的管理。

SASE（Secure Access Service Edge）的組成元件

現在我們已清楚了解什麼是 SASE，接下來讓我們探討 SASE 所涵蓋的組成元件。這些知識將幫助企業更妥善地實作此安全模型，並改善其網路安全態勢：

1. Firewall-as-a-Service (FWaaS)： SASE 納入了 Firewall-as-a-Service (FWaaS)，將防火牆防護帶入雲端。它會檢查並控制傳入與傳出的流量，確保無論使用者與裝置位於企業辦公室或任何工作地點，安全政策都能一致套用。FWaaS 可為所有員工提供可信任的環境，同時為內部與遠端員工隊伍提供整體保護。
2. Secure Web Gateway (SWG)： SWG 是 SASE 最關鍵的組成元件之一。它會監看並篩選所有 Web 流量，以確保使用者僅存取安全且合法的網站。SWG 也會封鎖已知惡意網站；因此，它是防禦 Web 型威脅（例如網路釣魚、惡意軟體及其他線上攻擊）的重要工具。在閘道層級篩選此類內容，可提升整體網路的安全性。
3. Software-Defined Wide Area Network (SD-WAN)： SASE 整合了 SD-WAN，使企業能夠透過軟體而非僅依賴硬體來監控與管理其廣域網路。透過 SD-WAN，可藉由流量轉送來提升應用程式效能，並使用最佳轉送路徑，在網路上提供更快速且更安全的體驗。此外，SD-WAN 可確保與安全性相關的政策在整個網路中一致套用，從而同時保障良好效能與防護。
4. Cloud Access Security Broker – CASB： CASB 解決方案 整合至 SASE 框架中，可對雲端應用程式與資料實施高安全性的存取控制。系統會嚴格執行政策，並以高度警覺監控雲端使用情況，以防止未經授權的存取並確保遵循所有安全標準。CASB 可讓組織掌握雲端應用程式的使用可視性，確保敏感資料在雲端環境中受到保護。
5. Zero Trust Network Access： SASE 包含 Zero Trust Network Access，它會在每個節點驗證對應用程式與服務的所有存取。遵循 Zero Trust 模型，ZTNA 預設將每個人與每台裝置都視為不受信任；因此，在授予存取權之前，會先對其進行驗證。藉由持續驗證與最小權限原則，這可讓只有獲准的對象才能存取敏感資源。

Zero Trust 與 SASE 的差異

Zero Trust 與 SASE 都是可強化組織網路安全的框架，但兩者在方法論、範圍與作法上各不相同。Zero Trust 建立在身分識別與存取管理的強大原則之上，任何使用者或裝置若未經適當驗證，皆不會被接受。

SASE 將網路與安全整合為封裝式的雲端架構，可為分散式環境與遠端工作者提供持續性的防護。

以下各節將說明這兩種模型之間的關鍵差異，兩者皆旨在因應特定的組織需求。

1. 基本概念： Zero Trust 遵循「永不信任，一律驗證」的概念，這表示任何請求存取的使用者、裝置或系統，每次都必須進行驗證。另一方面，SASE 在雲端架構上整合網路與安全服務，採用可擴充且完整安全的防護，為任何使用者提供保護，不論其來自何處。它就像一名老派的警衛四處追著人跑，並在不同地點保護他們的安全。
2. 以基礎架構為基礎的方法： Zero Trust 可套用於任何基礎架構，無論是地端或雲端環境。這種彈性使其成為可對應不同鎖具的萬用鑰匙，總能在需要時打開正確的門。另一方面，SASE 是原生建構於雲端的解決方案，即使在最分散的環境中也能良好運作，而不干擾營運。它非常適合支援遠端與混合型工作團隊。它如同任何持續不中斷運作的防護系統一樣流暢且高效。
3. 安全涵蓋範圍：Zero Trust 以身分驗證與權限管理為基礎，只允許每個人在獲得許可的情況下存取其所需內容，以協助其達成目標，藉此不僅降低風險，也減少暴露面。另一方面，在 SASE 中，託管於雲端的應用程式與資料可從任何位置以一致的高效能進行存取，因此對遠端或分散式團隊而言至關重要。
4. 實作模型： Zero Trust 可用於所有基礎架構，橫跨雲端與地端系統。這種彈性使其適用於現代與傳統網路。然而，SASE 是純粹的雲端型解決方案，因此非常適合以雲端優先的組織，但對於處理傳統地端部署的組織而言則更具挑戰性。
5. 安全目標： Zero Trust 的主要重點在於嚴格的使用者存取控制，對每一次存取請求進行驗證並持續監控。因此，可限制網路中的橫向移動，並將入侵造成的損害降至最低。相比之下，SASE (Secure Access Service Edge) 優先確保對雲端應用程式與資料的安全且可靠存取，不受位置限制，同時確保最佳效能。這使其成為擁有遠端或地理分散團隊之組織的重要解決方案。
6. 技術整合： Zero Trust 導入 MFA、身分管理、微分段，以及 端點防護 來落實以原則為基礎的存取控制。此架構也經過細緻設計，以確保該層級的安全管理。相較之下，SASE 將 SWG、防火牆、CASB 與 SD-WAN 等服務整合為整體套件，確保從端點到邊緣的整體網路皆受到涵蓋。
7. 敏捷性： Zero Trust 提供更高的客製化能力，讓組織可依據獨特需求或法規要求調整安全原則。它非常適用於金融與醫療等高度受監管的領域。另一方面，SASE 具備高標準，可簡化分散式環境的管理，並透過統一的集中控制提供無縫擴充能力。
8. 理想使用案例： Zero trust 特別適合用於降低內部威脅並落實最低權限存取。很少有產業像金融與醫療一樣，將強健的存取控制視為成功的根本，因此這也是該標準具吸引力的原因。SASE 非常適合擁有分散式遠端或分支據點員工，且高度依賴雲端應用程式的組織。

Zero Trust vs SASE：10 項關鍵差異

Zero Trust 與 SASE 已成為尋求強大防護之組織的領先模型。雖然兩者都旨在保護網路與資料，但其方法與關注領域有顯著差異。Zero Trust 優先採用嚴格的存取控制與持續性的身分驗證，確保任何實體預設都不被信任。相較之下，SASE 將安全與網路服務整合為統一的雲端原生解決方案。

下表比較這兩種框架，以突顯兩者為確保組織安全所採取的不同方法。

從表格中可以清楚看出，雖然 Zero Trust 與 SASE 在保護現代網路方面具有共同目標，但兩者在其基本原則與實作上有顯著差異。Zero Trust 是以身分識別與存取管理為基礎，任何使用者或裝置若未經適當驗證，皆不會被接受。此框架適用於需要嚴格存取控制的組織，以將內部威脅降至最低並保護敏感資訊。

另一方面，SASE 採用更全面的方法，將網路與安全服務整合為單一雲端式解決方案，使其成為保護遠端工作團隊和雲端式應用程式的理想選擇。Zero Trust 則可提供高度可自訂的安全模型，可套用於地端、雲端或混合環境。同時，SASE 提供標準化且整合的方法，透過 SD-WAN、防火牆和 雲端安全 閘道等服務，提供一致的防護。這些模型結合後可相輔相成，同時因應存取管理與全球網路防護需求。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

結論

總而言之，Zero Trust 與 SASE 共同構成組織建立強大資安策略不可或缺的框架。Zero Trust 確保每位使用者、裝置和應用程式持續相互驗證，從而限制內部威脅並遏止未經授權的存取。由於其更著重於嚴格的身分與存取控制，因此對敏感資料特別有益，進而減少網路中的 橫向移動。同時，SASE 是一種雲端原生解決方案，利用網路與整合式安全性來保護遠端工作者和分散式環境。