Was ist ein Secure Web Gateway (SWG)?

Secure Web Gateway (SWG) ist ein Sicherheitsdienst, der den Datenverkehr zwischen den Benutzern eines Unternehmens und dem Internet überprüft und kontrolliert und dabei Richtlinien wie URL-Filterung, SSL/TLS-Entschlüsselung, Malware-Prüfung, DNS-Filterung und Dateifilterung durchsetzt – verfügbar als Cloud-Dienst, als Appliance vor Ort oder als Kombination aus beidem.

Die wichtigsten Erkenntnisse

• SWG überprüft und filtert den ausgehenden Web-Datenverkehr, bevor er das Internet erreicht.
• Kernfunktionen: URL-Filterung, SSL/TLS-Entschlüsselung, Malware- und DNS-Filterung.
• Cloud-basierte SWGs setzen Richtlinien in der Nähe der Nutzer durch, anstatt den Datenverkehr über das Backhaul-Netzwerk zu leiten.
• SWG ist neben CASB, ZTNA und DLP ein grundlegender SSE-Dienst.
• Versa integriert SWG in „ Versa Secure Internet Access“ (VSIA).

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SWG & Versa · FAQ

Warum ist SWG wichtig?

Das Internet ist der wichtigste Weg, über den Unternehmensnutzer auf SaaS-Anwendungen, Cloud-Dienste und das offene Internet zugreifen – und zugleich der wichtigste Weg, über den Malware, Phishing und Command-and-Control-Datenverkehr zu den Nutzern gelangen. Ohne Überprüfung fließt dieser Datenverkehr in beide Richtungen ungehindert.

In der Vergangenheit setzten Unternehmen ihre Webrichtlinien mithilfe eines lokalen Proxys am Rand des Rechenzentrums durch, wobei der Datenverkehr aus den Zweigstellen zunächst an einen zentralen Engpass weitergeleitet wurde, bevor er das Internet erreichte. Als sich die Nutzer zunehmend außerhalb des Rechenzentrums verteilten, ließ sich dieses Modell nicht mehr skalieren.

SWG ist von Bedeutung, weil es die Überprüfung dorthin verlagert, wo der Datenverkehr entsteht: an ein Cloud-Gateway in der Nähe des Nutzers oder an ein Gerät in der Zweigstelle, wobei unabhängig vom Standort einheitliche Richtlinien angewendet werden – eine Eigenschaft, die SWG zu einem Baustein von Security Service Edge (SSE) und damit auch von „ SASE “ macht.

Was ist SWG?

Ein SWG befindet sich logisch gesehen zwischen den Benutzern und dem Internet – implementiert als Forward-Proxy, als durch eine PAC-Datei gesteuertes Gateway oder als Client-Agent, der den Datenverkehr an einen Überprüfungspunkt umleitet. Jede HTTP- und HTTPS-Anfrage durchläuft das Gateway, bevor sie ihr Ziel erreicht.

Da der Großteil des Webdatenverkehrs verschlüsselt ist, führt ein SWG in der Regel eine SSL/TLS-Entschlüsselung durch, um den Inhalt der Sitzung zu überprüfen, und verschlüsselt die Daten anschließend vor der Weiterleitung erneut – mit Ausnahmen für datenschutzrelevante Bereiche wie Bank- oder Gesundheitswebsites. Sobald der Datenverkehr sichtbar ist, wird er anhand von URL-Filterung, Malware-Scans, DNS-Filterung und Dateifilterung überprüft und unter Berücksichtigung der Identität und des Kontexts des anfragenden Nutzers ausgewertet.

Eine SWG kann als Cloud-Dienst, als lokale Appliance oder als Hybrid aus beidem bereitgestellt werden – das Bereitstellungsmodell bestimmt, wo die Durchsetzung erfolgt, nicht jedoch, was durchgesetzt wird.

Arten von SWG

Es gibt drei Modelle für den Einsatz von SWG. Bei der cloudbasierten SWG wird der Datenverkehr an ein weltweit verteiltes Netzwerk von Cloud-Präsenzpunkten weitergeleitet, wobei Richtlinien ohne Rückleitung an ein Rechenzentrum durchgesetzt werden – dieses Modell wird bei den meisten neuen Implementierungen gewählt. On-Premises-SWG (Appliance-basiert) führen den Proxy auf einer physischen oder virtuellen Appliance am Netzwerkrand aus und tauschen standortbezogene Hardware gegen die Kontrolle über die Datenlokalität ein. Hybride SWG kombinieren beide Ansätze, indem sie bestimmte Standorte oder Datenverkehrsklassen lokal prüfen und den Rest an die Cloud weiterleiten.

Die richtige Kombination hängt davon ab, wo sich die Nutzer befinden: Eine Niederlassung mit lokalem Breakout könnte Datenverkehr mit geringem Risiko vor Ort prüfen und Kategorien mit hohem Risiko an die Cloud weiterleiten, während Remote-Nutzer sich direkt mit dem nächstgelegenen Cloud-Standort verbinden.

SWG & Versa

Versa Versa SASE Secure Web Gateway wird über „Versa Cloud Gateways“ bereitgestellt – ein weltweit verteiltes Netzwerk mandantenfähiger Gateways – und ist neben Secure SD-WANVersa Secure Access (VSA). Es bewertet jede Anfrage anhand des Kontexts von Benutzer, Gerät und Standort und wendet dabei in einem einzigen Durchlauf URL- und IP-Reputation, DNS-Reputation und -Filterung, Layer-7-Anwendungsregeln, SSL/TLS-Entschlüsselung, IPS der nächsten Generation, Virenschutz sowie Dateifilterung an.

Die Bereitstellung ist flexibel – „ Versa “ SWG läuft in der Cloud, vor Ort oder als Kombination aus „Thin-Branch“- und „Thick-Cloud“-Modellen. Über den Produktkatalog „Versa “ können Managed-Service-Provider das „ Versa Secure Web Gateway“ in den Stufen „Essential“ (Firewall und URL-Filterung) oder „Professional“ (zusätzlich mit Virenschutz, IPS und TLS-Entschlüsselung) bestellen. „ Versa “ konsolidiert das SWG außerdem innerhalb von „ Versa Secure Internet Access“ (VSIA).

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Secure Web Gateway und einer Firewall?

Eine Firewall filtert den Datenverkehr am Netzwerkrand nach IP-Adresse, Port und Protokoll. Ein SWG überprüft speziell den Webdatenverkehr – indem es TLS entschlüsselt, anhand der URL-Reputation filtert und Inhalte auf Malware scannt –, weshalb SWG-Funktionen mittlerweile häufig in Firewalls der nächsten Generation und in Plattformen für die integrierte Sicherheitsverwaltung ( SASE ) integriert sind.

Ist ein Secure Web Gateway dasselbe wie ein Proxy-Server?

Nicht ganz. Ein Proxy-Server leitet Anfragen im Auftrag eines Benutzers weiter und kann diese zwischenspeichern, und ein SWG basiert in der Regel auf Proxy-Technologie – doch ein SWG fügt zusätzlich eine Sicherheitsebene hinzu: URL-Filterung, TLS-Überprüfung und Malware-Prüfung – Funktionen, die ein einfacher Proxy nicht bietet.

Wie fügt sich SWG in „ SASE “ und „SSE“ ein?

SWG ist neben CASB, ZTNA und DLP einer der Kernservices von Security Service Edge (SSE). SSE ist der Sicherheitsbereich von „ SASE “, der SSE mit SD-WAN-Konnektivität verbindet. SWG ist in der Regel der erste SSE-Service, den ein Unternehmen einführt.

Muss ein Secure Web Gateway den HTTPS-Datenverkehr entschlüsseln?

Was die Überprüfung von Inhalten angeht: Ja – da der Großteil des Webverkehrs verschlüsselt ist, beendet ein SWG in der Regel TLS-Sitzungen und baut sie neu auf, um deren Inhalt einzusehen, filtert die Daten anschließend und verschlüsselt sie dann erneut. Administratoren können sensible Kategorien, wie beispielsweise Websites von Banken oder aus dem Gesundheitswesen, von der Entschlüsselung ausnehmen.

Was ist der Unterschied zwischen SWG und CASB?

SWG schützt Nutzer vor Bedrohungen aus dem offenen Internet – bösartige Websites, Malware, riskante URLs. CASB schützt Daten, die zu und von zugelassenen und nicht zugelassenen SaaS-Anwendungen übertragen werden, und kontrolliert dabei das Hochladen und Teilen von Daten. Bei beiden handelt es sich um sich ergänzende SSE-Dienste, die häufig gemeinsam eingesetzt werden.

Mehr zu SWG

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über SWG informieren, sollten Sie sich als Nächstes diese Artikel ansehen.