Palo Alto Prisma SASE: Testbericht und Funktionen

Die starke Marke von Palo Alto und der hervorragende Ruf seiner Sicherheitslösungen machen Prisma SASE zu einem ernstzunehmenden Wettbewerber auf dem Markt. Für SASE-Serviceanbieter wird das Angebot durch Funktionen für die automatisierte, künstliche Intelligenz (KI) unterstützte Verarbeitung sowie Multi-Tenant-Funktionen noch attraktiver.

Weitere Einzelheiten finden Sie in den folgenden Abschnitten dieses Testberichts:

• Wer ist Palo Alto
• Prisma SASE
• Preise und Bereitstellung
• Funktionen
• Vorteile
• Nachteile
• Alternativen zu Prisma SASE
• So haben wir Prisma SASE bewertet
• Fazit: Am besten für SASE-Einsteiger

Um Palo Alto Prisma SASE mit der Konkurrenz zu vergleichen, finden Sie hier unsere vollständige Liste der führenden Secure-Access-Service-Edge-Lösungen (SASE).

Wer ist Palo Alto?

Palo Alto ist ein führendes Cybersicherheitsunternehmen, das die Firewall-Technologie maßgeblich geprägt hat und weiterhin auf die Marktführerschaft setzt. Das Unternehmen ist unter dem Kürzel „PANW“ an der NASDAQ-Börse notiert.

Prisma SASE

Die Prisma-SASE-Lösung von Palo Alto ist das einzige Unternehmen, das im Gartner Magic Quadrant 2023 für Single-Vendor-SASE als Leader eingestuft wurde. Sie erfüllt die sechs zentralen SASE-Funktionen mit:

1. Zentrale Steuerungüber lokale (Panorama Managed) oder cloudbasierte (Strata Cloud Manager) Konsolen, die eine zentrale Oberfläche zur Verwaltung anderer Komponenten und Richtlinien bereitstellen
2. Überwachter Netzwerkstatusdurch fortschrittliche und KI-automatisierte softwaredefinierte Wide Area Network- (SD-WAN-)Funktionen, die Berichte und Analysen liefern sowie die Leistung und Sicherheit des Netzwerkbetriebs steuern
3. Überwachte Benutzeraktivitäten und Data-Loss-Prevention- (DLP-)Analysen über Aktivitäts-Dashboards und Berichte auf Grundlage von Zugriffsprotokollen und der Anwendung Prisma Access Insights
4. Überprüfter und entschlüsselter Datenverkehr, der Malware und schädliche URLs durch zentrale Steuerung und Filterung, integrierte Internetsicherheit, die Malware-Analysesoftware Advanced WIldFire und ein Secure Web Gateway (SWG) mit Next-Generation-Firewall- (NGFW-)Funktionen blockiert
5. Kontrollierter Zugriff auf Daten und Ressourcen auf Grundlage von Benutzer, Gerät und Berechtigungen durch Zero-Trust-Netzwerkzugriff (ZTNA), SD-WAN, einen Cloud-Access-Security-Broker (CASB) der nächsten Generation sowie Domain-Name-Service-Sicherheit (DNS-Sicherheits-)Funktionen
6. Abgesicherte cloudbasierte Ressourcen wie Anwendungen, Websites und Software-as-a-Service-Ressourcen (SaaS) durch ZTNA-, SWG- und CASB-Funktionen für öffentliche und private Apps

Prisma SASE kann Algorithmen für künstliche Intelligenz (KI) und maschinelles Lernen (ML) einsetzen, um Anomalien schnell zu erkennen und leistungsstarke Analyse-, Steuerungs- und Reaktionsfunktionen für die Erkennung fortschrittlicher Bedrohungen sowie die automatisierte Behebung von Betriebs- und Sicherheitsproblemen bereitzustellen.

Palo Alto verkauft das Produkt Prisma Access in drei Editionen:

• Business Edition: umfasst SWG, erweiterte URL-Filterung und DNS-Sicherheit
• Business Premium Edition: ergänzt erweiterten Bedrohungsschutz und die erweiterte Malware-Analyse WildFire
• Enterprise Edition: ergänzt ZTNA-Verbindungen für 2–5 private Apps

Jede lizenzierte Einheit umfasst 250 GB Datenübertragung pro Jahr. Kunden können den Strata Cloud Manager oder die lokale Verwaltung von Prisma Access über virtuelle oder physische Panorama-Management-Appliances auswählen. Für Prisma Access ist ein Cortex-Data-Lake-Abonnement zur Speicherung von Protokolldateien erforderlich.

Kunden können für jede Stufe entweder ein lokales oder ein weltweites Zugriffsmodell auswählen. Lizenzen werden in Einheiten verkauft, wobei eine Einheit als ein mobiler Benutzer oder 1 Mbit/s Netzwerkbandbreite definiert ist.

Die lokale Option erfordert mindestens 200 „Einheiten“ und ermöglicht den Zugriff auf bis zu 5 Point-of-Presence-Zugangspunkte (PoP). Die weltweite Option erfordert mindestens 1.000 „Einheiten“ und ermöglicht den Zugriff auf ein wachsendes PoP-Zugangsnetzwerk mit derzeit mehr als 100 PoPs.

Kunden können außerdem Zusatzkomponenten für spezielle Anforderungen und zur Erfüllung der grundlegenden SASE-Anforderungen erwerben:

• Zusätzliche Serviceverbindungen für den Zugriff auf private Apps
• Autonomous Digital Experience Management (ADEM)*
• KI-gestütztes ADEM
• Colo Connect*
• Enterprise DLP
• Inline-SaaS-Sicherheit*
• IoT-Sicherheit (nur für entfernte Netzwerke verfügbar)
• Next-Gen-CASB*
• Datenverkehrsreplikation
• ZTNA-Connector*

*Diese Optionen sind erforderlich, um die SASE-Definition zu erfüllen, werden aber möglicherweise nicht von jedem Kunden benötigt.

Preise und Bereitstellung

Palo Alto veröffentlicht keine Preise für Prisma Access und seine Komponenten; das Unternehmen stellt jedoch einen Leitfaden zur Lizenzierung von Prisma Access bereit. Die verschiedenen Editionen und Optionen sollen zwar maximale Flexibilität bieten, können aber auch die Ermittlung der für eine bestimmte Lösung benötigten Lizenzen erschweren. Kunden werden gebeten, sich für konkrete Preise an Palo Alto oder seine Partner zu wenden.

Öffentlich sind nur begrenzte Informationen verfügbar, darunter:

• Lizenzen werden üblicherweise für Abonnements mit 1, 3 oder 5 Jahren Laufzeit
• Panorama-Management-Appliances für lokale Bereitstellungen
• • Kunden müssen eine gültige Supportlizenz aufrechterhalten. Diese hängt von der Anzahl der unterstützten Geräte und dem erforderlichen Supportlevel (Standard, Premium) ab.
  • Alle Protokolle werden an den Cortex Data Lake weitergeleitet (2.000 US-Dollar/TB Daten).
• Cloudverwaltetes Prisma Access
• • Erfordert die Cortex-Data-Lake-Lizenz zu 2.000 US-Dollar/TB Daten
  • Muss in derselben Region wie Prisma Access lizenziert werden
  • Kunden müssen möglicherweise die SaaS-Security-API für clientloses VPN und Authentifizierung lizenzieren und integrieren
• Prisma-Access-Einheiten (pro Benutzer, pro Mbit/s) kosten je nach Stufe (Business, Business Premium, Enterprise) und PoP-Zugriff (lokal, weltweit) 60–200 US-Dollar pro Jahr
• Zusatzoptionen kosten zwischen 40 und 150 US-Dollar pro Einheit (Benutzer, SaaS-App usw.)

Palo-Alto-Partner bieten möglicherweise Paketpreise oder Rabatte auf Grundlage des Volumens oder mehrjähriger Abonnements an.

Funktionen

• Umfassende SASE-Funktionen: zentrale Steuerung, überwachte Benutzeraktivitäten, überprüfter und entschlüsselter Datenverkehr, kontrollierter Zugriff, abgesicherte cloudbasierte Ressourcen sowie Überwachung von Netzwerkstatus und Betriebssteuerung
• Strenge ZTNA- (auch ZTNA 2.0 genannt) mit kontinuierlicher Vertrauensprüfung, Sicherheitsinspektion und Datenschutz sowie präziser Zugriffskontrolle auf App- und Sub-App-Ebene
• Multi-Tenant-Bereitstellungsoption für Serviceanbieter
• ML-gestütztes SWG erweitert die Funktionen der statischen Analyse, um die Sicherheit zu verbessern und zugleich die Benutzeraufnahme sowie die Migration von Kunden zu vereinfachen
• Größte API-basierte CASB-Abdeckung von SaaS-Apps
• Automatische Erkennung von Apps durch umfassende Scans von Datenverkehr, Ports und Protokollen
• Automatische SD-WAN-Konfiguration für Prisma Access, ermöglicht durch die Installation eines CloudBlade-Docker-Containers
• ML-gestützte DLP mit mehr Erkennungs-Engines und mehr Kontrollpunkten zur Erkennung und Blockierung unbeabsichtigter oder böswilliger Datenlecks
• Erkennung von Fehlkonfigurationen bei SaaS-Sicherheit und Vermeidung von Konfigurationsabweichungen durch den Next-Generation-CASB von Prisma SASE
• SOC2-Berichte für viele Prisma-SASE-Komponenten verfügbar (WildFire, Prisma Access, Prisma SD-WAN usw.)
• Agentenloser und agentenbasierter (GlobalProtect-App) Schutz und Sicherheit für Remote-Benutzer
• Umfassende Betriebssystemunterstützung: Der GlobalProtect-Agent unterstützt Windows, macOS, iOS, Android, ChromeOS und Linux

Vorteile

• SASE-Marktführer laut Gartner im Magic Quadrant 2023 für Single-Vendor-SASE und der einzige Anbieter in der Kategorie der Marktführer
• Marktführer ebenfalls von Gartner bei SASE-Komponenten (SSE, SD-WAN) und von Forrester für Zero-Trust-Edge-Lösungen anerkannt
• Funktionsreich mit zahlreichen Optionen für Lizenzen und technologische Erweiterungen
• Übersichtliche GUI für die SASE-Verwaltung
• Etablierte und vertrauenswürdige Marke sowie ein etablierter SASE-Anbieter mit einer guten Erfolgsbilanz bei Kundenerfolgen
• Granulare Kontrolle über Geräte, Ressourcen, Benutzer und Sicherheitsoptionen
• Optionen für automatisierte IT-Abläufe für AIOps und Autonomous Digital Experience Management (ADEM) zur prädiktiven Problemerkennung und Analyse, um die mittlere Zeit bis zur Behebung (MTTR) zu verkürzen
• Integrierte IoT-Sicherheitsoption über SD-WAN zur Vereinfachung der Geräteanbindung

Nachteile

• Zusatzmodule erforderlich für wichtige SASE-Sicherheitskontrollen wie Next-Gen-CASB oder DLP
• Kein privates Backbone für Hochgeschwindigkeits-SD-WAN-Verbindungen; Kunden nutzen öffentliche Backbone-Ressourcen oder schließen Verträge mit Backbone-Anbietern ab
• Überangebot an Optionen kann die Ermittlung der geeigneten erforderlichen Lizenzen und Optionen erschweren
• Komplexere Optionen aus einer gut etablierten Technologie können zu einer längeren und komplexeren Einrichtung sowie zu möglichen unbeabsichtigten Lücken oder Konflikten in Sicherheitsrichtlinien führen
• Probleme bei der lokalen Integration mit Management-Appliances und anderen SASE-Funktionen
• Mangelhafte internationale Dokumentation mit begrenzten nicht englischsprachigen Informationen
• Höhere Preise von Kunden angeführt
• Leistungseinbußen festgestellt von einigen Kunden beim Einsatz in einer Umgebung mit mehreren Anbietern; möglicherweise am besten in einer reinen Palo-Alto-Umgebung geeignet

Alternativen zu Palo Alto Prisma SASE

Prisma SASE erhält Anerkennung für die Sicherheit sowie die verfügbaren Funktionen und Anpassungsoptionen seiner Lösung. Käufer, die nach Multi-Tenant-Alternativen zu Prisma SASE suchen, werden sich wahrscheinlich ähnlichen Marken und Optionen zuwenden, darunter:

• FortiSASE: Setzt anwendungsspezifische integrierte Schaltkreise (ASICs) für SD-WAN-Hardware ein, die den Netzwerkdurchsatz verbessern, sowie eine ähnlich große Bandbreite an Anpassungsmöglichkeiten für Netzwerk und Sicherheit
• Versa Universal SASE: Bietet eine vollständig lokal betriebene SASE-Lösung, bei der ein Kunde den SASE-Controller in seiner eigenen Umgebung installieren kann, sowie ein privates Backbone zur Beschleunigung des SD-WAN-Datenverkehrs für Unternehmen, die eine gehostete Lösung bevorzugen
• VMware SASE: Bietet herausragende Optionen für die Sicherheit von Remote-Benutzern mit möglichen Bundles für das marktführende Workspace ONE von VMware sowievirtueller Desktop-Instanz-Sicherheit (VDI) für Remote-Benutzer und technologieagnostische Konnektoren für Lösungen von Drittanbietern.

So haben wir Prisma SASE bewertet

Prisma SASE wird im Vergleich zu sieben weiteren SASE-Wettbewerbern in unserem Artikel zu den führenden SASE-Anbietern. Der Artikel erläutert die Gesamtrangliste; hier liefern wir Details speziell zu Prisma SASE:

• Gesamtbewertung: 3,31 / 5 (#7)
• Lizenzierung: 2,75 von 5 möglichen Kriterien
• Überwachung und Verwaltung: 4,2 von 7 möglichen Kriterien
• Ressourcensteuerung: 3,4 von 4 möglichen Kriterien
• Implementierung und Administration: 3,9 von 5 möglichen Kriterien
• Kundensupport: 3,31 von 4 möglichen Kriterien

Prisma SASE bietet eine enorme Bandbreite an Optionen, doch einige grundlegende SASE-Funktionen sind nur über optionale Zusatzmodule erhältlich, was die Ermittlung der Lizenzanforderungen erschwert. Dennoch wird der starke Markenname dafür sorgen, dass die Lösung von Palo Alto bei großen Unternehmen regelmäßig in Betracht gezogen wird.

Fazit: Am besten für Multi-Tenant-Serviceanbieter

Als Marktführer mit guten Ergebnissen in Sicherheitstests und einer Spitzenplatzierung in Analystenberichten können Managed-Service-Provider die starke Marke Palo Alto nutzen, um ihre verwalteten SASE-Dienste zu verkaufen. Prisma SASE unterstreicht diese Fähigkeit zusätzlich mit robusten Multi-Tenant-Funktionen und einer großen Zahl an Optionen, die selbst ungewöhnliche Netzwerk- und Sicherheitsanforderungen unterstützen.