SD-WAN e SASE: rede e segurança deixaram de ser projetos separados

SD-WAN é uma camada de software que desacopla a decisão de roteamento do enlace físico. Em vez de a filial ter um circuito MPLS e um link de contingência ocioso, ela passa a ter vários transportes disponíveis — MPLS, banda larga, fibra dedicada, 4G/5G — e uma política que escolhe, por aplicação e em tempo real, por onde cada fluxo deve seguir, com base em latência, perda, jitter e custo. 

SSE, Security Service Edge, é o conjunto de funções de segurança entregues a partir da nuvem, em pontos de presença distribuídos: gateway web seguro, corretor de acesso a aplicações em nuvem, acesso Zero Trust a aplicações privadas, firewall como serviço e prevenção de perda de dados. 

SASE, Secure Access Service Edge, é a convergência dos dois em uma arquitetura única, com política aplicada por identidade e contexto na borda mais próxima do usuário — esteja ele em uma filial, em casa ou em um aeroporto. 

A definição operacional que mais ajuda na prática: SASE existe quando a mesma política de acesso vale para o mesmo usuário independentemente de onde ele esteja, e é aplicada antes que o tráfego alcance a aplicação. 

Por que o modelo antigo parou de funcionar 

O destino do tráfego inverteu. No desenho clássico, a maior parte do tráfego ia de dentro para dentro. Hoje, a maior parte vai de dentro para fora, e uma parcela relevante vai de fora para fora — usuário remoto acessando SaaS, sem tocar em nenhum ativo da empresa. 

A VPN virou gargalo e risco simultâneos. A VPN corporativa tradicional concede acesso à rede, não à aplicação. Uma vez autenticado, o usuário — ou o atacante que roubou suas credenciais — enxerga uma faixa de endereços inteira. Concentradores VPN também se tornaram alvo preferencial: falhas críticas em produtos de acesso remoto de múltiplos fabricantes foram exploradas ativamente nos últimos anos, e a própria CISA passou a incluir esses dispositivos com frequência no catálogo de vulnerabilidades exploradas conhecidas. Um dispositivo de borda comprometido entrega, de uma vez, o que a arquitetura prometia proteger. 

Backhaul ficou caro em dois eixos. No eixo financeiro, MPLS custa por megabit um múltiplo do preço da banda larga empresarial. No eixo de experiência, cada desvio adiciona latência a aplicações sensíveis — videoconferência e voz degradam de forma perceptível. 

O perímetro deixou de ser um lugar. Identidade virou o ponto de controle porque é o único elemento presente em todas as combinações de usuário, dispositivo, localização e aplicação. 

Anatomia técnica 

O que o SD-WAN realmente faz 

Três mecanismos sustentam o valor: 

Direcionamento por aplicação. O equipamento identifica a aplicação — não apenas porta e protocolo — e aplica política específica. Tráfego de voz vai pelo enlace de menor jitter; backup vai pelo enlace mais barato; ERP vai pelo caminho com garantia contratual. 

Remediação em tempo real. Perda de pacote e jitter são medidos continuamente entre os pontos. Quando um enlace degrada sem cair, o SD-WAN pode reordenar, duplicar pacotes críticos ou mover a sessão sem derrubá-la. Isso cobre a falha cinzenta, que o failover tradicional baseado em queda de enlace não detecta.

Sobreposição criptografada e orquestração central. Túneis IPsec formam uma malha lógica independente do transporte, e a política é distribuída por um controlador central em vez de configurada dispositivo a dispositivo. 

O ponto de atenção: se o SD-WAN for implantado apenas para reduzir custo de circuito, sem política de segurança acompanhando a quebra local de tráfego, o resultado líquido é uma superfície de ataque maior por um preço menor. 

Os cinco componentes do SSE 

SWG — gateway web seguro. Inspeciona tráfego de saída para web: categorização de URL, controle de conteúdo, inspeção TLS, isolamento remoto de navegador para destinos não classificados. É o substituto direto do proxy corporativo, agora distribuído. 

CASB — corretor de acesso a nuvem. Atua em dois modos. Em linha, no caminho do tráfego, controlando ações dentro do SaaS — permitir leitura e bloquear download em dispositivo não gerenciado, por exemplo. Via API, conectado diretamente ao tenant do SaaS, varre o que já está armazenado, encontra compartilhamentos públicos indevidos e aplicações OAuth de terceiros com permissões excessivas. O segundo modo costuma revelar mais risco imediato e é frequentemente esquecido. 

ZTNA — acesso Zero Trust a aplicações. Substitui a VPN pelo modelo de conexão iniciada de dentro para fora: um conector dentro da rede privada estabelece a sessão com o broker, e a aplicação nunca é publicada na internet. O usuário recebe acesso a uma aplicação específica, após avaliação de identidade, postura do dispositivo e contexto — não a uma sub-rede. 

FWaaS — firewall como serviço. Move o controle de camadas 3 a 7 para a nuvem, incluindo prevenção de intrusão e regras entre filiais e entre nuvens. 

DLP — prevenção de perda de dados. Classifica e controla o movimento de informação sensível através de todos os canais anteriores. Em contexto brasileiro, é o componente que dá materialidade ao controle de dado pessoal exigido pela LGPD. 

O ponto que decide o projeto: inspeção TLS 

Praticamente todo o tráfego relevante é criptografado. Sem interceptação TLS, SWG, DLP e prevenção de ameaça enxergam apenas metadados. Com interceptação, surgem três problemas concretos que precisam de decisão antes da implantação, não depois: 

Fixação de certificado. Aplicações que validam o certificado do servidor contra uma lista fixa quebram quando há interceptação. É preciso uma lista de exceções mantida ativamente. 

Categorias sensíveis. Tráfego bancário, de saúde e de folha de pagamento normalmente é excluído da inspeção por razões legais e de privacidade. Essa decisão precisa estar documentada e alinhada com o jurídico. 

Distribuição de confiança. A autoridade certificadora interna precisa estar instalada em todos os dispositivos, inclusive nos não gerenciados que acessam recursos corporativos — o que na prática força uma conversa sobre BYOD que muitas organizações vinham adiando. 

Os erros que mais destroem valor 

Tratar SASE como compra e não como arquitetura. O contrato é a parte fácil. O difícil é decidir a política: quem acessa o quê, sob qual postura de dispositivo, com qual nível de inspeção. Adquirir a plataforma e replicar as regras de firewall antigas produz custo novo sobre o modelo velho. 

Manter redes e segurança como equipes com metas conflitantes. Este é o obstáculo real. SASE elimina a fronteira operacional entre as duas áreas, e organizações que mantêm processos, orçamentos e indicadores separados acabam com uma plataforma convergida operada de forma dividida. A decisão de quem escreve a política de acesso precisa ser tomada antes da migração. 

Migrar tudo de uma vez. Cortar MPLS antes de validar comportamento sob carga real, com aplicações legadas e integrações de terceiros, transforma a migração em incidente de negócio. 

Esquecer o tráfego que não é de usuário. Impressoras, câmeras, controladores industriais, sistemas de automação predial e servidores de arquivos legados não têm agente e não fazem autenticação moderna. Precisam de tratamento explícito, geralmente por segmentação e política baseada em identidade de dispositivo. 

Confiar apenas na disponibilidade do provedor. Concentrar acesso corporativo em um serviço de nuvem cria dependência crítica. O plano de contingência para indisponibilidade do próprio SASE precisa existir e ser testado — inclusive o caminho de emergência para os sistemas essenciais. 

Ignorar a soberania do dado no ponto de presença. Se o tráfego brasileiro é inspecionado em um POP fora do país, isso tem implicações de LGPD para transferência internacional. Vale exigir do fornecedor a topologia real de POPs e onde os logs residem. 

Roteiro de migração em quatro ondas