Warum SASE und ADSP komplementäre Plattformen sind

John MaddisonChief Marketing Officer | F5

Zwei konvergente Plattformen bestimmen heute, wie Unternehmen ihre wichtigsten Ressourcen schützen und bereitstellen: Secure Access Service Edge (SASE) für hybride Belegschaften und eine Application Delivery and Security Platform (ADSP) für hybride Anwendungslandschaften. Zu verstehen, worin sich diese Plattformen unterscheiden und warum sie sich gegenseitig ergänzen, ist entscheidend für die Entwicklung resilienter Architekturen.

SASE vs. ADSP

In vielerlei Hinsicht ähneln sich SASE und ADSP. Beide sind konvergente Netzwerk- und Sicherheitsplattformen. Beide werden über Hardware, Software und SaaS bereitgestellt. Zudem verfolgen beide das Konzept einer zentralen Konsole für sämtliche Komponenten, die NetOps, SecOps, PlatformOps, DevOps und andere Betriebsteams unterstützt. Dennoch handelt es sich um sehr unterschiedliche Technologien: Die eine konzentriert sich auf Mitarbeitende, die andere auf Anwendungen.

SASE (allgemeine Darstellung links) schützt und vernetzt die hybride Belegschaft, während F5 ADSP (Abbildung rechts) die hybride Anwendungslandschaft bereitstellt und schützt – zwei konvergente Plattformen, die unterschiedliche Bereiche des Unternehmens abdecken.

Eine SASE-Plattform setzt einheitliche Richtlinien für den Netzwerkzugriff (SD-WAN/ZTNA) und die Sicherheit (Security Service Edge) von Unternehmensmitarbeitern durch – unabhängig davon, ob sie sich vom Hauptsitz, einer Niederlassung, von zu Hause oder unterwegs aus verbinden.

ADSP hingegen gewährleistet mithilfe von Application Delivery Controllern (ADCs) eine einheitliche Anwendungsbereitstellung und schützt Unternehmensanwendungen durch Web Application and API Protection (WAAP) – unabhängig davon, ob sich diese Anwendungen in einem Rechenzentrum, in Multicloud-Umgebungen oder am Edge befinden. ADSP empfängt außerdem Datenverkehr von Endkunden, die sich über ein Content Delivery Network (CDN) verbinden.

Wie stark unterscheiden sich also diese beiden konvergenten Netzwerk- und Sicherheitsplattformen?

Es mag offensichtlich klingen, aber SASE, dessen Schwerpunkt auf dem Schutz von Mitarbeitenden liegt, nutzt einen Forward-Proxy, um Inhalte von öffentlichen und privaten Anwendungen zu empfangen, zu prüfen und an die Mitarbeitenden weiterzuleiten.

Im Gegensatz dazu fungiert ADSP in erster Linie als Reverse-Proxy: Es fängt den für eine Anwendung bestimmten Datenverkehr ab, prüft ihn und leitet ihn an den entsprechenden Server weiter, auf dem die Anwendung gehostet wird. Grundsätzlich handelt es sich bei SASE und ADSP um unterschiedliche zentrale Netzwerk- und Sicherheitstechnologien mit völlig verschiedenen Größenordnungen. Man denke nur daran, wie viele Verbraucher auf eine Anwendung zugreifen und wie viele interne Mitarbeitende auf ein Netzwerk.

SASE vs. ADSP: Unterschiede bei der Vernetzung

Betrachten wir zunächst die Unterschiede bei der Vernetzung, beginnend mit SASE. Software-Defined Wide Area Networking (SD-WAN) nutzt eine Kombination aus Underlay-Transport und Overlay-Tunneln, um den zuverlässigsten Pfad zwischen Benutzern und der Security-Service-Edge-Cloud (SSE) oder einem anderen Ziel bereitzustellen. Der Datenverkehr kann dabei anhand der Echtzeitleistung dynamisch über MPLS-, Breitband-, 5G/LTE- oder Satellitenverbindungen geleitet werden. Da SD-WAN Anwendungen erkennt, kann es Routing- und Traffic-Engineering-Entscheidungen treffen, die mit herkömmlichem IP-Routing nicht möglich sind, beispielsweise die Auswahl von Pfaden anhand der Anwendungsidentität, Latenz, Laufzeitschwankungen oder Paketverluste.

Wenn sich Mitarbeiter von außerhalb des Unternehmensnetzwerks verbinden, liegt SD-WAN in der Regel nicht im Übertragungspfad. Datenverkehr außerhalb des Netzwerks ist auf das standardmäßige Internet-Routing angewiesen, das weder Leistungsgarantien noch eine optimierte Pfadauswahl oder unternehmensweite QoS-Richtlinien bietet. In diesen Fällen fungiert die cloudbasierte SSE als Forward-Proxy: Sie terminiert die Verbindung des Mitarbeiters, prüft den aus- und eingehenden Datenverkehr und ruft anschließend die Inhalte im Namen des Mitarbeiters ab.

ADSP deckt einen anderen Teil des Netzwerk-Stacks ab. Die ADCs in ADSP optimieren die Weiterleitung von Anfragen an Anwendungen und gewährleisten dabei hohe Leistung, Verfügbarkeit und Zuverlässigkeit. Da ADCs auf den Schichten 4 bis 7 arbeiten, verstehen sie Anwendungsprotokolle, Sitzungsverhalten und Datenverkehrsmuster. Dadurch können sie erweitertes Load Balancing, TLS-Terminierung, Zustandsüberwachung und Verbindungsmanagement durchführen.

Da ADSP als Reverse-Proxy arbeitet, befindet es sich vor den Anwendungen, um eingehenden Datenverkehr zu prüfen, Richtlinien durchzusetzen und die richtige Anwendungsinstanz oder den richtigen Dienst auszuwählen. Obwohl ADSP eng mit WAAP verknüpft ist, kann es auch in CDNs und andere Bereitstellungsebenen integriert werden, um Leistung und globale Reichweite weiter zu optimieren.

SASE vs. ADSP: Unterschiede bei der Sicherheit

Wie sieht es mit der Sicherheit aus? Im SASE-Modell schützt SSE Mitarbeitende – insbesondere ihre Geräte und Browsersitzungen – vor Bedrohungen aus dem Web und der Cloud. Ursprünglich konzentrierte sich SSE auf die Funktionen eines Secure Web Gateway (SWG), wurde inzwischen jedoch um Kontrollen eines Cloud Access Security Broker (CASB), Remote Browser Isolation (RBI) und Data Loss Prevention (DLP) erweitert.

Im Vergleich dazu konzentriert sich ADSP auf den Schutz von Anwendungen und APIs. Zu den zentralen Sicherheitsfunktionen gehört der Schutz von Webanwendungen und APIs (WAAP), einschließlich einer Web Application Firewall (WAF), der Abwehr von Distributed-Denial-of-Service-Angriffen (DDoS), Bot-Schutz, API-Sicherheit und clientseitigem Schutz. Zunehmend gewinnt DLP auch am Anwendungsrand an Bedeutung, da Unternehmen verhindern möchten, dass sensible Daten über APIs und Webanwendungen offengelegt werden.

Zero trust architecture

Beide Plattformen tragen zu einer Zero-Trust-Architektur bei, setzen jedoch auf unterschiedlichen Ebenen der Umgebung an. SASE stellt Zero Trust Network Access (ZTNA) bereit, das die Identität von Mitarbeitenden, den Sicherheitsstatus des Geräts und kontextbezogene Signale überprüft, bevor der Zugriff auf eine Anwendung gewährt wird. Dadurch wird verhindert, dass nicht verifizierte Benutzer und nicht verwaltete Geräte überhaupt auf interne Ressourcen zugreifen können, was die Angriffsfläche auf Benutzerseite erheblich reduziert.

ADSP ergänzt dies durch Zero Trust Application Access (ZTAA), das Zugriffsentscheidungen am Reverse Proxy durchsetzt, der der Anwendung direkt vorgeschaltet ist. Während ZTNA regelt, wer versuchen darf, eine Verbindung herzustellen, kontrolliert ZTAA, was Benutzer tatsächlich tun können, sobald der Datenverkehr die Anwendung erreicht. Durch die Prüfung von Anfragen, die Durchsetzung granularer Richtlinien und die Kontrolle jeder einzelnen Transaktion schützt ZTAA die Anwendung selbst vor kompromittierten Identitäten, schädlichen Payloads und Versuchen zur lateralen Bewegung, die herkömmliche Kontrollen auf Netzwerkebene nicht erkennen können.

Zusammen bilden ZTNA und ZTAA ein mehrschichtiges Zero-Trust-Modell: Das eine sichert den Zugriff auf die Anwendung, das andere schützt die Anwendung, sobald der Zugriff gewährt wurde.

Wie SASE und ADSP zusammenarbeiten

SASE und ADSP adressieren unterschiedliche, sich jedoch in hohem Maße ergänzende Herausforderungen und sind beide für moderne digitale Abläufe unverzichtbar. Branchenanalysten weisen regelmäßig darauf hin, dass SASE für die sichere Anbindung hybrider Belegschaften optimiert ist. Es stellt ZTNA-, SWG-, CASB- und DLP-Funktionen am Netzwerkrand für die Benutzer bereit und gewährleistet so, dass der Zugriff auf Unternehmensressourcen mit strengen Identitäts-, Geräte- und Inhaltskontrollen beginnt.

ADSP hingegen ist für die Bereitstellung und den Schutz der Anwendungen selbst optimiert. Es bietet ADC, WAAP, DDoS-Abwehr, Zero Trust Application Access und API-Sicherheit am App-Edge, wo Performance, Ausfallsicherheit und die Abwehr anwendungsspezifischer Bedrohungen entscheidend sind. Da Unternehmen zunehmend auf hybride Arbeitsmodelle und hybride Multicloud-Architekturen umstellen, müssen diese beiden Edges aufeinander abgestimmt zusammenarbeiten, um eine konsistente Performance, Sicherheit und Richtliniendurchsetzung in weit verteilten Umgebungen zu gewährleisten.

In der Praxis stellt SASE sicher, dass nur autorisierte Mitarbeiter und richtlinienkonforme Geräte auf interne oder private Anwendungen zugreifen können. ADSP sorgt anschließend dafür, dass diese Anwendungen schnell, zuverlässig und geschützt bleiben, sobald der Datenverkehr eintrifft. So greifen beispielsweise Entwickler oder Mitarbeiter im Homeoffice über die ZTNA-Kontrollen von SASE auf interne Tools zu, während kundenorientierte Portale, APIs und KI-gestützte Dienste für eine effiziente Bereitstellung, erweiterten Bedrohungsschutz und anwendungsspezifische Sicherheit auf ADSP angewiesen sind.

Gemeinsam schaffen die beiden Plattformen eine ganzheitliche Zero-Trust-Architektur, die Mitarbeitende, Netzwerke und Anwendungen umfasst. Keine der beiden Plattformen kann dieses Ergebnis allein erzielen, doch zusammen bilden sie die durchgängige Sicherheits- und Performance-Grundlage, die für moderne digitale Geschäftsmodelle erforderlich ist.

Werden SASE und ADSP jemals in einer einzigen Plattform vereint sein?

Für kleine und mittlere Unternehmen ist es durchaus vorstellbar, SASE und ADSP über eine einzige, konsolidierte Plattform bereitzustellen. Diese Unternehmen bevorzugen häufig einfache Lösungen, verfügen über kleinere IT-Teams und profitieren davon, Netzwerk- und Sicherheitsfunktionen als einheitlichen Cloud-Service zu beziehen. In solchen Umgebungen ist die Unterscheidung zwischen der Sicherheit am Benutzer-Endpunkt und der Bereitstellung am Anwendungs-Endpunkt weniger entscheidend.

Großunternehmen hingegen agieren in einem anderen Maßstab. SASE und ADSP basieren auf unterschiedlichen Technologien, lösen unterschiedliche Probleme und liegen in der Verantwortung verschiedener Netzwerk- und Sicherheitsteams. Diese betrieblichen Grenzen machen in Verbindung mit höheren Anforderungen an Leistung, Compliance und Architektur eine vollständige Konvergenz unpraktikabel. Große Unternehmen erzielen den größten Mehrwert, wenn beide Plattformen spezialisiert bleiben, aber dennoch nahtlos zusammenarbeiten.

Gartner AI Security Platform

Da Unternehmen zunehmend KI-gestützte Workflows einsetzen, wächst der Bedarf an robusten KI-Sicherheitsstrategien. Um diesem Bedarf gerecht zu werden, definiert Gartner eine neue Kategorie namens AI Security Platform (AISP) – ein Framework zur Absicherung sowohl von KI-Anwendungen von Drittanbietern als auch von individuell entwickelten KI-Anwendungen. AISP besteht aus zwei zentralen Säulen:

• KI-Nutzungskontrolle (AIUC): Konzentriert sich auf die Steuerung der unternehmensweiten Nutzung externer KI-Tools wie generativer KI-Plattformen oder Datenanalyse-Engines durch die Durchsetzung von Richtlinien zu Datenschutz, Verwaltung geistigen Eigentums und Privatsphäre.
• KI-Anwendungssicherheit (AIAS): Entwickelt, um individuell erstellte KI-Anwendungen vor Bedrohungen wie adversarialen KI-Angriffen, fehlerhaft trainierten Modellen und API-Missbrauch zu schützen.

SASE und ADSP können innerhalb dieses Frameworks komplementäre Rollen übernehmen. Mit seinem mitarbeiterzentrierten, Proxy-basierten Durchsetzungsmodell ist SASE optimal auf AIUC abgestimmt, da es die Interaktionen zwischen Menschen und KI sowie Integrationen von Drittanbietern absichert. ADSP hingegen eignet sich hervorragend zur Unterstützung von AIAS und nutzt dabei seine Stärken beim Schutz von Anwendungen, APIs und Backend-Infrastrukturen auf Unternehmensebene.

Vorteile eines Plattformansatzes

Konvergente Netzwerk- und Sicherheitsplattformen wie SASE und ADSP bieten Unternehmen zahlreiche Vorteile. Sie konsolidieren Einzellösungen, vereinfachen den Betrieb und synchronisieren Richtlinien über Netzwerk- und Sicherheitsfunktionen hinweg.

Ob sich diese beiden großen Kategorien konvergenter Plattformen miteinander kombinieren lassen, ist umstritten. Auch wenn es Unternehmen mitunter schwerfällt, isolierte Zuständigkeiten aufzubrechen, sind die Vorteile eines Plattformansatzes zu groß, um sie zu ignorieren.

Informieren Sie sich ausführlich über die Vorteile und erfahren Sie auf unserer F5 ADSP-Webseite, wie die F5 Application Delivery and Security Platform (ADSP) Anwendungen in jeder Umgebung bereitstellt und absichert.

Über den Autor

John MaddisonChief Marketing Officer | F5

John Maddison ist Chief Marketing Officer bei F5. Er verfügt über mehr als 30 Jahre Erfahrung in der Leitung von Produktteams und Marketingabteilungen in den Bereichen Cybersicherheit, Cloud und Telekommunikation. Vor seinem Wechsel zu F5 war John zwölf Jahre lang bei Fortinet tätig, zuletzt als Chief Marketing Officer und Executive Vice President of Product Strategy. Zuvor hatte er Führungspositionen bei Trend Micro, Vina Communications und Octel Communications inne. John hat einen Bachelor of Science in Ingenieurwissenschaften von der Plymouth University in Devon, England.

Weitere Blogbeiträge von John Maddison