Pourquoi les plateformes SASE et ADSP sont complémentaires

John MaddisonDirecteur marketing | F5

Deux plateformes convergées définissent désormais la manière dont les organisations sécurisent et mettent à disposition leurs actifs les plus critiques : le Secure Access Service Edge (SASE) pour les effectifs hybrides, et une plateforme de fourniture et de sécurisation des applications (ADSP) pour les environnements applicatifs hybrides. Comprendre en quoi ces plateformes diffèrent et pourquoi elles sont complémentaires est essentiel pour concevoir des architectures résilientes.

SASE ou ADSP

À bien des égards, le SASE et l’ADSP sont similaires. Il s’agit dans les deux cas de plateformes convergées de réseau et de sécurité. Tous deux sont déployés sous forme de matériel, de logiciels et de SaaS. Ils reposent également sur le principe d’une console unique couvrant l’ensemble des services destinés aux équipes NetOps, SecOps, PlatformOps, DevOps et aux autres équipes opérationnelles. Cependant, ces technologies sont aussi très différentes : l’une se concentre sur les employés, tandis que l’autre est axée sur les applications.

SASE (représentation générale à gauche) sécurise et connecte les collaborateurs en mode hybride, tandis que F5 ADSP (figure à droite) assure la mise à disposition et la protection du parc applicatif hybride — deux plateformes convergées répondant à des besoins distincts au sein de l’entreprise.

Une plateforme SASE applique des politiques cohérentes d’accès au réseau (SD-WAN/ZTNA) et de sécurité (Security Service Edge) pour les employés de l’entreprise, qu’ils se connectent depuis le siège social, l’une de ses succursales, leur domicile ou lors de leurs déplacements.

De son côté, l’ADSP assure une distribution cohérente des applications au moyen de contrôleurs de distribution d’applications (ADC) et sécurise les applications d’entreprise grâce à la protection des applications web et des API (WAAP), que ces applications soient hébergées dans un centre de données, dans des environnements multicloud ou en périphérie. L’ADSP reçoit également le trafic des utilisateurs qui se connectent par l’intermédiaire d’un réseau de diffusion de contenu (CDN).

Alors, à quel point ces deux plateformes convergées de réseau et de sécurité sont-elles différentes ?

Cela peut sembler évident, mais le SASE, qui met l’accent sur la protection des employés, s’appuie sur un proxy direct pour recevoir le contenu provenant d’applications publiques et privées, l’inspecter, puis le transmettre aux employés.

À l’inverse, l’ADSP est principalement un proxy inverse : il intercepte le trafic destiné à une application, l’inspecte, puis le transmet au serveur approprié qui héberge l’application. Fondamentalement, le SASE et l’ADSP reposent sur des technologies de réseau et de sécurité différentes, avec des échelles très différentes. Il suffit de comparer le nombre de consommateurs qui accèdent à une application au nombre d’employés internes qui accèdent à un réseau.

SASE et ADSP : différences en matière de réseau

Examinons les différences en matière de réseau, en commençant par le SASE. Le réseau étendu à définition logicielle (SD-WAN) combine une infrastructure de transport sous-jacente et des tunnels de superposition afin d’offrir le chemin le plus fiable entre les utilisateurs et le cloud SSE (Security Service Edge), ou une autre destination. Il peut acheminer dynamiquement le trafic via des liaisons MPLS, haut débit, 5G/LTE ou satellite en fonction de leurs performances en temps réel. Comme le SD-WAN tient compte des applications, il prend des décisions de routage et d’ingénierie du trafic impossibles avec le routage IP traditionnel, par exemple en sélectionnant les chemins selon l’identité de l’application, la latence, la gigue ou la perte de paquets.

Lorsque les employés se connectent depuis l’extérieur du réseau de l’entreprise, le SD-WAN ne se trouve généralement pas sur le chemin du trafic. Le trafic hors réseau repose sur le routage Internet standard, qui n’offre aucune garantie de performances, aucune sélection optimisée des chemins et aucune politique de qualité de service (QoS) d’entreprise. Dans ce cas, le SSE basé dans le cloud fait office de proxy direct : il met fin à la connexion de l’employé, inspecte le trafic entrant et sortant, puis récupère le contenu pour le compte de celui-ci.

L’ADSP intervient à un autre niveau de la pile réseau. Les contrôleurs de mise à disposition d’applications (ADC) de l’ADSP optimisent l’acheminement des requêtes vers les applications afin de garantir des performances, une disponibilité et une fiabilité élevées. Fonctionnant au niveau des couches 4 à 7, les ADC comprennent les protocoles applicatifs, le comportement des sessions et les schémas de trafic, ce qui leur permet d’assurer un équilibrage de charge avancé, la terminaison TLS, la surveillance de l’état de santé et la gestion des connexions.

Comme l’ADSP fonctionne en tant que proxy inverse, il se place devant les applications afin d’inspecter le trafic entrant, d’appliquer les politiques et de sélectionner l’instance d’application ou le service approprié. Bien que l’ADSP soit étroitement associé au WAAP, il peut également s’intégrer aux CDN et à d’autres couches de diffusion afin d’optimiser davantage les performances et la portée mondiale.

SASE et ADSP : différences en matière de sécurité

Qu’en est-il de la sécurité ? Dans le modèle SASE, le SSE protège les employés, en particulier leurs appareils et leurs sessions de navigation, contre les menaces provenant du Web et du cloud. À l’origine, le SSE était axé sur les fonctionnalités de passerelle Web sécurisée (SWG), mais il s’est depuis étendu pour inclure les contrôles de courtier en sécurité d’accès au cloud (CASB), l’isolation du navigateur à distance (RBI) et la prévention des pertes de données (DLP).

En comparaison, l’ADSP se concentre sur la protection des applications et des API. Ses principales fonctionnalités de sécurité couvrent la protection des applications Web et des API (WAAP), notamment un pare-feu d’applications Web (WAF), l’atténuation des attaques par déni de service distribué (DDoS), la protection contre les bots, la sécurité des API et la protection côté client. La DLP gagne également en pertinence à la périphérie des applications, car les entreprises cherchent à empêcher l’exposition de données sensibles par l’intermédiaire des API et des applications Web.

Architectures Zero trust

Les deux plateformes contribuent à une architecture Zero Trust, mais interviennent à différents niveaux de l’environnement. Le SASE fournit un accès réseau Zero Trust (ZTNA), qui vérifie l’identité des employés, l’état de sécurité des appareils et les signaux contextuels avant d’autoriser l’accès à une application. Cela empêche les utilisateurs non vérifiés et les appareils non gérés d’atteindre les ressources internes, réduisant ainsi considérablement la surface d’attaque à la périphérie côté utilisateur.

L’ADSP complète ce dispositif avec un accès applicatif Zero Trust (ZTAA), qui applique les décisions d’accès au niveau du proxy inverse placé directement devant l’application. Contrairement au ZTNA, qui détermine qui peut tenter de se connecter, le ZTAA contrôle ce que les utilisateurs peuvent réellement faire une fois le trafic arrivé. En inspectant les requêtes, en appliquant des politiques granulaires et en assurant la médiation de chaque transaction, le ZTAA protège l’application elle-même contre les identités compromises, les charges utiles malveillantes et les tentatives de déplacement latéral que les contrôles traditionnels de la couche réseau ne peuvent pas détecter.

Ensemble, le ZTNA et le ZTAA offrent un modèle Zero Trust multicouche : l’un sécurise l’accès à l’application, tandis que l’autre protège l’application une fois l’accès accordé.

Comment le SASE et l’ADSP fonctionnent ensemble

Le SASE et l’ADSP répondent à des enjeux distincts mais hautement complémentaires, et sont tous deux essentiels aux opérations numériques modernes. Les analystes du secteur soulignent régulièrement que le SASE est optimisé pour sécuriser et connecter les collaborateurs en mode hybride. Il fournit des fonctionnalités ZTNA, SWG, CASB et DLP à la périphérie utilisateur, garantissant que l’accès aux ressources de l’entreprise repose dès le départ sur des contrôles rigoureux de l’identité, des appareils et des contenus.

À l’inverse, l’ADSP est optimisé pour assurer la mise à disposition et la protection des applications elles-mêmes. Il fournit des fonctionnalités d’ADC, de WAAP, d’atténuation des attaques DDoS, d’accès Zero Trust aux applications et de sécurité des API à la périphérie applicative, où les performances, la résilience et les défenses contre les menaces propres aux applications sont essentielles. Alors que les entreprises poursuivent leur transition vers le travail hybride et les architectures multicloud hybrides, ces deux périphéries doivent fonctionner de concert afin de garantir des performances, une sécurité et une application des politiques cohérentes dans des environnements largement distribués.

Dans la pratique, le SASE garantit que seuls les employés autorisés et les appareils conformes peuvent accéder aux applications internes ou privées. L’ADSP veille ensuite à ce que ces applications restent rapides, fiables et protégées une fois le trafic arrivé. Par exemple, les développeurs ou employés à distance accèdent aux outils internes via les contrôles ZTNA du SASE, tandis que les portails destinés aux clients, les API et les services basés sur l’IA s’appuient sur l’ADSP pour assurer une diffusion efficace, une protection avancée contre les menaces et une sécurité adaptée aux applications.

Ensemble, les deux plateformes créent une architecture Zero Trust globale qui couvre les collaborateurs, les réseaux et les applications. Aucune des deux plateformes ne peut atteindre seule cet objectif, mais leur association fournit le socle de sécurité et de performances de bout en bout indispensable aux entreprises numériques modernes.

Le SASE et l’ADSP finiront-ils par former une seule et même plateforme ?

Pour les petites et moyennes entreprises, il est tout à fait envisageable que le SASE et l’ADSP soient proposés au sein d’une plateforme unique et consolidée. Ces organisations privilégient souvent la simplicité, disposent d’équipes informatiques plus restreintes et tirent parti de services réseau et de sécurité fournis sous la forme d’un service cloud unifié. Dans de tels environnements, la distinction entre la sécurité à la périphérie côté utilisateurs et la fourniture de services à la périphérie côté applications est moins déterminante.

Les grandes entreprises, en revanche, opèrent à une tout autre échelle. Le SASE et l’ADSP reposent sur des technologies différentes, répondent à des problématiques distinctes et relèvent d’équipes réseau et sécurité séparées. Ces frontières opérationnelles, associées à des exigences plus élevées en matière de performances, de conformité et d’architecture, rendent une convergence totale peu réaliste. Les grandes organisations tirent le meilleur parti de ces deux plateformes lorsqu’elles restent spécialisées tout en fonctionnant ensemble de manière fluide.

Gartner AI Security Platform

À mesure que les entreprises adoptent de plus en plus de workflows pilotés par l’IA, le besoin de stratégies robustes en matière de sécurité de l’IA s’accroît. Pour y répondre, Gartner définit une nouvelle catégorie appelée AI Security Platform (AISP), un cadre conçu pour sécuriser aussi bien les applications d’IA tierces que les applications personnalisées. L’AISP repose sur deux piliers fondamentaux :

• Contrôle de l’utilisation de l’IA (AIUC) : Vise à encadrer l’utilisation par les entreprises d’outils d’IA externes, tels que les plateformes d’IA générative ou les moteurs d’analyse de données, en appliquant des politiques relatives à la protection des données, à la gouvernance de la propriété intellectuelle et au respect de la vie privée.
• Sécurité des applications d’IA (AIAS): conçue pour protéger les applications d’IA développées sur mesure contre des menaces telles que les attaques adversariales, les modèles mal entraînés et l’utilisation abusive des API.

Le SASE et l’ADSP peuvent jouer des rôles complémentaires au sein de ce cadre. Grâce à son modèle de contrôle basé sur des proxys et centré sur les employés, le SASE s’inscrit naturellement dans l’AIUC en sécurisant les interactions entre les humains et l’IA ainsi que les intégrations tierces. L’ADSP, quant à elle, est particulièrement adaptée à la prise en charge de l’AIAS, en s’appuyant sur ses atouts pour protéger les applications, les API et les infrastructures back-end à l’échelle de l’entreprise.

Avantages d’une approche par plateforme

Les plateformes convergées de réseau et de sécurité telles que le SASE et l’ADSP offrent plusieurs avantages aux entreprises. Elles permettent de regrouper les solutions ponctuelles, de simplifier les opérations et de synchroniser les politiques entre les fonctions réseau et de sécurité.

La possibilité de combiner ces deux grandes catégories de plateformes convergées reste sujette à débat. Pourtant, même s’il est parfois difficile pour les entreprises de décloisonner les responsabilités, les avantages d’une approche fondée sur une plateforme sont trop importants pour être ignorés.

Découvrez ces avantages en détail et apprenez comment la F5 Application Delivery and Security Platform (ADSP) assure la mise à disposition et la sécurisation des applications dans tous les environnements en consultant notre page web F5 ADSP.

À propos de l’auteur

John MaddisonDirecteur marketing | F5

John Maddison est directeur marketing de F5. Il possède plus de 30 ans d’expérience dans la direction d’équipes produit et de fonctions marketing d’entreprise dans les domaines de la cybersécurité, du cloud et des télécommunications. Avant de rejoindre F5, John a passé 12 ans chez Fortinet, où il a occupé en dernier lieu les fonctions de directeur marketing et de vice-président exécutif chargé de la stratégie produit. Il a auparavant exercé des fonctions de direction chez Trend Micro, Vina Communications et Octel Communications. John est titulaire d’une licence en ingénierie de l’université de Plymouth, dans le Devon, en Angleterre.

Autres articles de John Maddison