如今，两大融合平台决定了组织如何保护和交付其最关键的资产：面向混合办公人员的安全访问服务边缘（SASE），以及面向混合应用环境的应用交付与安全平台（ADSP）。了解这两大平台有何不同以及为何能够相互补充，是设计韧性架构的关键。
SASE与ADSP对比
SASE和ADSP在许多方面都很相似。两者都是融合网络与安全的平台，均可通过硬件、软件和SaaS进行部署，并采用统一控制台管理所有相关功能，为NetOps、SecOps、PlatformOps、DevOps及其他运维团队提供支持。不过，两者在技术上也存在显著差异：一个侧重于员工，另一个侧重于应用。
SASE平台为企业员工实施一致的网络访问（SD-WAN/ZTNA）和安全（安全服务边缘）策略，无论员工是从总部、分支机构、家中还是在旅途中连接。
另一方面，ADSP通过应用交付控制器（ADC）提供一致的应用交付，并利用Web应用和API保护（WAAP）保障企业应用安全，无论这些应用位于数据中心、跨多云环境还是边缘。ADSP还接收消费者通过内容分发网络（CDN）连接时产生的流量。
那么，这两种融合网络与安全平台究竟有多大差异？
答案或许显而易见：SASE侧重于保护员工，依靠正向代理接收来自公共和私有应用的内容，经检查后再传递给员工。
相比之下，ADSP主要充当反向代理，拦截发往应用的流量，经检查后再将其传递到托管该应用的相应服务器。从根本上说，SASE和ADSP采用不同的核心网络与安全技术，规模也相差悬殊。可以比较一下：访问应用的消费者数量与访问网络的内部员工数量有多大差异。
SASE与ADSP：网络方面的差异
下面先从SASE入手，分析两者在网络方面的差异。软件定义广域网（SD-WAN）结合使用底层网络进行传输，并通过覆盖隧道，在用户与安全服务边缘（SSE）云或其他目的地之间提供可靠性更高的路径。它可以根据实时性能，在MPLS、宽带、5G/LTE或卫星链路之间动态引导流量。由于SD-WAN能够感知应用，因此可以执行传统IP路由无法实现的路由和流量工程决策，例如根据应用身份、延迟、抖动或丢包率选择路径。
员工从企业网络外部连接时，SD-WAN通常不在流量路径中。企业网络外的流量依赖标准互联网路由，无法获得性能保证、优化的路径选择或企业QoS策略。在这种情况下，基于云的SSE充当前向代理，终止员工的连接，检查出站和入站流量，然后代表员工获取内容。
ADSP面向网络堆栈的另一部分。ADSP中的ADC负责优化请求到达应用的方式，确保高性能、可用性和可靠性。ADC在第4层至第7层运行，能够理解应用协议、会话行为和流量模式，从而执行高级负载均衡、TLS终止、运行状况监控和连接管理。
ADSP作为反向代理运行，位于应用前端，用于检查入站流量、实施策略，并选择正确的应用实例或服务。虽然ADSP与WAAP密切相关，但也可以与CDN及其他交付层集成，进一步优化性能并扩大覆盖范围。
SASE与ADSP：安全性差异
安全性方面又如何？在SASE模型中，SSE可保护员工，尤其是员工的设备和浏览器会话，使其免受Web和云端威胁。SSE最初以安全Web网关（SWG）功能为核心，后来扩展到涵盖云访问安全代理（CASB）控制、远程浏览器隔离（RBI）和数据丢失防护（DLP）。
相比之下，ADSP侧重于保护应用和API。其核心安全功能涵盖Web应用和API保护（WAAP），包括Web应用防火墙（WAF）、分布式拒绝服务（DDoS）缓解、机器人程序防护、API安全和客户端保护。随着组织寻求防止敏感数据通过API和Web应用泄露，DLP在应用边缘也日益受到重视。
Zero trust architecture
这两个平台都为零信任架构提供支持，但作用于环境中的不同层面。SASE提供零信任网络访问（ZTNA），在授予应用访问权限之前验证员工身份、设备安全状况和上下文信号。这可以阻止未经验证的用户和未受管理的设备访问内部资源，从而显著缩小用户边缘的攻击面。
ADSP则通过零信任应用访问（ZTAA）形成补充，在应用前端的反向代理处执行访问决策。ZTNA控制谁可以尝试连接，而ZTAA则管理流量到达后用户实际可以执行的操作。ZTAA通过检查请求、执行精细策略并调解每笔事务，保护应用本身免受身份凭据泄露、恶意载荷和横向移动尝试的威胁，而传统网络层控制措施无法检测到这些威胁。
ZTNA与ZTAA共同构建分层零信任模型：前者保护应用访问，后者则在授予访问权限后保护应用本身。
SASE与ADSP如何协同工作
SASE和ADSP应对不同但高度互补的挑战，二者对于现代数字化运营都至关重要。行业分析师普遍指出，SASE经过优化，可保护混合办公人员并为其提供连接。它在用户边缘提供ZTNA、SWG、CASB和DLP功能，确保从访问企业资源的起点就实施严格的身份、设备和内容控制。
相比之下，ADSP经过优化，专注于应用本身的交付与保护。它在应用边缘提供ADC、WAAP、DDoS缓解、Zero Trust Application Access和API安全功能，而性能、韧性以及针对应用特定威胁的防御在此至关重要。随着企业不断转向混合办公和混合多云架构，这两个边缘必须协同运行，才能在广泛分布的环境中保持一致的性能、安全性和策略执行。
在实际应用中，SASE可确保只有获得授权的员工和符合要求的设备才能访问内部或私有应用。流量到达后，ADSP则可确保这些应用继续保持快速、可靠且受到保护。例如，远程开发人员或员工通过SASE的ZTNA控制访问内部工具，而面向客户的门户、API和AI驱动的服务则依靠ADSP实现高效交付、高级威胁防护和应用感知安全。
这两个平台协同构建覆盖员工、网络和应用的整体零信任架构。任何一个平台都无法单独实现这一目标，但二者结合，可为现代数字化业务提供所需的端到端安全与性能基础。
SASE和ADSP未来会整合为一个平台吗？
对于中小型企业，可以设想通过单一的整合平台交付SASE和ADSP。这些组织通常更注重简便性，IT团队规模较小，并可通过将网络和安全作为统一的云服务使用而受益。在此类环境中，用户边缘安全与应用边缘交付之间的区别不那么重要。
但企业的运营规模有所不同。SASE和ADSP依赖不同的技术，解决不同的问题，并分别由不同的网络和安全团队负责。这些运营边界，加上更高的性能、合规性和架构要求，使全面融合并不切实际。对于大型组织而言，让两个平台各自保持专业化，同时实现无缝协作，可以带来更大价值。
Gartner AI Security Platform
随着企业越来越多地采用AI驱动的工作流，对稳健AI安全策略的需求也日益增长。为此，Gartner定义了一个名为AI Security Platform（AISP）的新类别。该框架旨在保护第三方和定制AI应用。AISP包含两大核心支柱：
- AI使用控制（AIUC）：通过实施数据保护、知识产权治理和隐私相关策略，重点管控企业对生成式AI平台或数据分析引擎等外部AI工具的使用。
- AI应用安全（AIAS）：旨在保护定制开发的AI应用，抵御对抗性AI、训练不当的模型和API滥用等威胁。
在此框架中，SASE和ADSP可以发挥互补作用。SASE采用以员工为中心、基于代理的策略执行模型，通过保护人机交互和第三方集成，自然契合AIUC。另一方面，ADSP凭借其在企业级应用、API和后端基础设施保护方面的优势，非常适合为AIAS提供支持。
平台化方法的优势
SASE和ADSP等网络与安全融合平台可为企业带来多项优势。它们能够整合单点产品、简化运维，并在网络和安全职能之间同步策略。
这两大融合平台类别能否合并，仍有待讨论。尽管企业有时难以打破各自为政的管理模式，但平台化方法带来的优势不容忽视。
访问F5 ADSP网页，深入了解这些优势，以及F5 Application Delivery and Security Platform (ADSP)如何在各种环境中交付并保护应用。
关于作者
John Maddison是F5首席营销官。他在网络安全、云和电信领域拥有超过30年的产品团队及企业营销职能领导经验。加入F5之前，他曾在Fortinet任职12年，最近担任首席营销官兼产品战略执行副总裁。此前，他还曾在Trend Micro、Vina Communications和Octel Communications担任领导职务。 John拥有英国德文郡普利茅斯大学工程学理学学士学位。
John Maddison 的更多博客文章相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
