¿Qué es una pasarela web segura (SWG)?

Secure Web Gateway (SWG) es un servicio de seguridad que inspecciona y controla el tráfico entre los usuarios de una organización e Internet, aplicando políticas como el filtrado de URL, el descifrado de SSL/TLS, el análisis de malware, el filtrado de DNS y el filtrado de archivos; se ofrece como servicio en la nube, como dispositivo local o como una combinación de ambos.

Puntos clave

• SWG inspecciona y filtra el tráfico web saliente antes de que llegue a Internet.
• Controles principales: filtrado de URL, descifrado de SSL/TLS, filtrado de malware y de DNS.
• Los SWG basados en la nube aplican las políticas cerca de los usuarios, en lugar de redirigir el tráfico.
• SWG es un servicio fundamental de SSE, junto con CASB, ZTNA y DLP.
• Versa consolida SWG dentro de « Versa » (VSIA).

En esta página: Por qué es importante · Cómo funciona · Tipos · SWG y Versa · Preguntas frecuentes

¿Por qué es importante el SWG?

Internet es la vía principal que utilizan los usuarios empresariales para acceder a aplicaciones SaaS, servicios en la nube e Internet abierto, y también es la vía principal por la que el malware, el phishing y el tráfico de comando y control llegan a los usuarios. Sin una inspección adecuada, ese tráfico circula sin control en ambas direcciones.

Históricamente, las organizaciones aplicaban la política de uso de Internet mediante un proxy local situado en el perímetro del centro de datos, que desviaba el tráfico de las sucursales hacia un punto de control central antes de que llegara a Internet. A medida que los usuarios se fueron extendiendo más allá del centro de datos, ese modelo dejó de ser escalable.

El SWG es importante porque traslada la inspección al lugar donde se origina el tráfico: una puerta de enlace en la nube cercana al usuario o un dispositivo en la sucursal, aplicando una política coherente independientemente de la ubicación; esta característica es la que convierte al SWG en un pilar fundamental del Security Service Edge (SSE) y, por extensión, de la arquitectura « SASE ».

¿Qué es SWG?

Un SWG se sitúa lógicamente entre los usuarios e Internet, y se implementa como un proxy de reenvío, una pasarela dirigida por un archivo PAC o un agente de cliente que redirige el tráfico a un punto de inspección. Todas las solicitudes HTTP y HTTPS pasan por la pasarela antes de llegar a su destino.

Dado que la mayor parte del tráfico web está cifrado, un SWG suele realizar un descifrado SSL/TLS para inspeccionar el contenido de la sesión y, a continuación, vuelve a cifrarlo antes de reenviarlo, salvo en el caso de categorías sensibles en materia de privacidad, como los sitios web bancarios o sanitarios. Una vez visible, el tráfico se somete a filtrado de URL, análisis de malware, filtrado de DNS y filtrado de archivos, y se evalúa en función de la identidad y el contexto del usuario solicitante.

Un SWG puede ofrecerse como servicio en la nube, como dispositivo local o como una combinación de ambos: el modelo de implementación determina dónde se lleva a cabo la aplicación de las políticas, no qué políticas se aplican.

Tipos de SWG

Las implementaciones de SWG se dividen en tres modelos. El SWG en la nube redirige el tráfico a una red distribuida a nivel mundial de puntos de presencia en la nube, aplicando las políticas sin necesidad de redirigir el tráfico a un centro de datos; este es el modelo que eligen la mayoría de las nuevas implementaciones. Los SWG locales (basados en dispositivos) ejecutan el proxy en un dispositivo físico o virtual en el perímetro de la red, a cambio de hardware específico para cada sitio a cambio de control sobre la localidad de los datos. Los SWG híbridos combinan ambos enfoques, inspeccionando algunos sitios o clases de tráfico de forma local, mientras que el resto se reenvía a la nube.

La combinación adecuada depende de dónde se encuentren los usuarios: una sucursal con conexión local podría inspeccionar el tráfico de bajo riesgo en las propias instalaciones y reenviar las categorías de alto riesgo a la nube, mientras que los usuarios remotos se conectarían directamente al punto de presencia en la nube más cercano.

SWG y Versa

Versa Secure Web Gateway se ofrece desde Versa Cloud Gateways —una red distribuida a nivel mundial de pasarelas multitenant— como uno de los tres componentes principales de la arquitectura Versa SASE , junto con Secure SD-WANVersa Secure Access (VSA). Evalúa cada solicitud en función del contexto del usuario, el dispositivo y la ubicación, aplicando controles de reputación de URL e IP, reputación y filtrado de DNS, reglas de aplicaciones de capa 7, descifrado SSL/TLS, IPS de última generación, antivirus y filtrado de archivos en una sola pasada.

La implementación es flexible: la pasarela web segura (SWG) de Versa funciona en la nube, en las propias instalaciones o como una combinación de modelos de «sucursal ligera» y «nube pesada». A través del catálogo de productos deVersa , los proveedores de servicios gestionados pueden solicitar la pasarela web segura de Versa en los niveles Essential (cortafuegos y filtrado de URL) o Professional (que añade antivirus, IPS y descifrado TLS). Versa también integra la SWG en el acceso seguro a Internet (VSIA) de Versa .

Preguntas frecuentes

¿Cuál es la diferencia entre una pasarela web segura y un cortafuegos?

Un cortafuegos filtra el tráfico por dirección IP, puerto y protocolo en el perímetro de la red. Un SWG inspecciona específicamente el tráfico web —descifrando TLS, filtrando según la reputación de las URL y analizando el contenido en busca de malware—, razón por la cual la funcionalidad del SWG suele integrarse actualmente en los cortafuegos de última generación y en las plataformas de gestión de acceso a la información ( SASE ).

¿Es lo mismo una pasarela web segura que un servidor proxy?

No exactamente. Un servidor proxy reenvía y puede almacenar en caché las solicitudes en nombre del usuario, y un SWG suele basarse en tecnología de proxy, pero el SWG añade una capa de seguridad adicional: filtrado de URL, inspección de TLS y análisis de malware, funciones que un proxy sencillo no ofrece.

¿Cómo encaja SWG en « SASE » y SSE?

SWG es uno de los servicios fundamentales de Security Service Edge (SSE), junto con CASB, ZTNA y DLP. SSE es la parte dedicada a la seguridad de « SASE », que la integra con la conectividad SD-WAN. SWG suele ser el primer servicio de SSE que adopta una organización.

¿Es necesario descifrar el tráfico HTTPS en una pasarela web segura?

En cuanto a la inspección del contenido, sí: dado que la mayor parte del tráfico web está cifrado, un SWG suele interrumpir y restablecer las sesiones TLS para examinar su contenido, y luego las filtra antes de volver a cifrarlas. Los administradores pueden excluir del descifrado categorías sensibles, como los sitios web bancarios o sanitarios.

¿Cuál es la diferencia entre SWG y CASB?

SWG protege a los usuarios frente a las amenazas procedentes de Internet abierto: sitios web maliciosos, malware y direcciones URL peligrosas. CASB protege los datos que se transfieren hacia y desde aplicaciones SaaS autorizadas y no autorizadas, controlando las subidas y el intercambio de archivos. Se trata de dos servicios SSE complementarios que suelen implementarse conjuntamente.

Más información sobre SWG

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre SWG, te recomiendo que eches un vistazo a lo siguiente.