SASE（框架和能力）

为云原生构建统一管理的SD-WAN服务
提供一个全局的、安全管理的SD-WAN服务。能够从遗留的MPLS(一组单点解决方案和昂贵的托管服务)转移到简单、敏捷和可负担得起的网络。自助服务还是托管服务取决于自己。

用云原生网络架构取代传统的电信网络。将全球私有主干网、Edge SD-WAN、安全即服务（SaaS）、安全优化的云和移动访问聚合到一个云服务中。因此，云解决了组织的全球网络、安全、云和移动需求，以支持完整的WAN转换过程。

SASE能力
核心能力：即插即用可视化，优化与管控

SASE体系结构由两个核心组件组成。SASE云充当网络和安全功能的聚合器。SASE边缘连接器将流量从物理、云和设备边缘驱动到SASE云处理。SASE使用一个单通道的流量处理引擎来有效地应用优化和安全检查，并为所有流量提供丰富的前后关联。将SASE模型与堆叠单点产品进行对比，在堆叠单点产品中，每个产品分析特定需求的流量，增加解密等操作的开销，并且缺少在其他网络和安全点产品中生成的前后联系。SASE可选能力包括：

1. 认证：在连接边缘时，动态风险评估驱动多因素认证的激活。
2. 访问：对关键应用程序和服务的访问由支持应用程序和用户的下一代防火墙策略控制。此外，零信任网络访问模型可以确保用户只能访问授权的应用程序，而不能获得一般的网络访问权限。
3. 优先级：应用程序标识为流量分配优先级，以对损失敏感（loss-sensitive）的应用程序进行优化（如VOIP和虚拟桌面访问（VID）），而不是其他流量（如常规的Internet浏览）。
4. 解密：为启用深度包检查，可以对加密的通信流进行一次解密，从而允许多个威胁预防引擎处理这些通信流。
5. 威胁预测：多个安全引擎解析流量以检测有风险的访问。这包括寻找恶意网站的安全Web网关、防止下载恶意文件的反恶意软件、停止指示机器人活动的入站和出站异常连接的IPS等等。
6. 数据防泄漏：SASE应用特定的数据防泄漏规则来检测网络流量中的敏感数据并阻止其泄漏。类似地，云访问服务代理(CASB)可以对云应用程序实施粒度访问控制。

这是SASE功能的一个子集，SASE体系结构的设计目的是用新引擎快速扩展“单通道流量处理引擎”。SASE这个独特优势是未来的网络向SASE云扩展，新的功能无缝扩展到任何人和任何地方。类似地，使SASE云服务适应新的威胁或攻击载体可以集中完成，并立即影响所有企业和所有边缘，而不需要部署或激活这些新增功能（类似思科APIC自动化即插即用）。