Qu'est-ce qu'une passerelle Web sécurisée (SWG) ?

Secure Web Gateway (SWG) est un service de sécurité qui inspecte et contrôle le trafic entre les utilisateurs d'une entreprise et Internet, en appliquant des politiques telles que le filtrage d'URL, le déchiffrement SSL/TLS, l'analyse anti-malware, le filtrage DNS et le filtrage de fichiers. Ce service est disponible sous forme de service cloud, d'appareil sur site ou d'une combinaison des deux.

Points clés à retenir

• Le SWG inspecte et filtre le trafic Web sortant avant qu'il n'atteigne Internet.
• Fonctions de contrôle principales : filtrage des URL, déchiffrement SSL/TLS, filtrage des logiciels malveillants et des requêtes DNS.
• Les groupes de travail logiciels (SWG) hébergés dans le cloud appliquent les politiques à proximité des utilisateurs, sans avoir à acheminer le trafic vers un serveur central.
• SWG est un service SSE fondamental, au même titre que CASB, ZTNA et DLP.
• Versa intègre SWG au sein de la solution d'accès Internet sécurisé « Versa » (VSIA).

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SWG et Versa · FAQ

Pourquoi le SWG est-il important ?

Le Web est la principale voie empruntée par les utilisateurs professionnels pour accéder aux applications SaaS, aux services cloud et à l'Internet ouvert – mais c'est aussi la principale voie empruntée par les logiciels malveillants, les tentatives d'hameçonnage et le trafic de commande et de contrôle pour atteindre les utilisateurs. Sans inspection, ce trafic circule sans contrôle dans les deux sens.

Par le passé, les entreprises appliquaient leur politique d'accès à Internet à l'aide d'un proxy sur site, situé à la périphérie du centre de données, qui redirigeait le trafic des succursales vers un point de contrôle central avant qu'il n'atteigne Internet. À mesure que les utilisateurs se sont dispersés en dehors du centre de données, ce modèle a cessé d'être évolutif.

Le SWG est essentiel car il déplace l'inspection vers le point d'origine du trafic : une passerelle cloud proche de l'utilisateur ou un appareil situé dans la succursale, appliquant ainsi une politique cohérente quel que soit l'emplacement. C'est cette caractéristique qui fait du SWG un élément constitutif du Security Service Edge (SSE) et, par extension, de l'SASE.

Qu'est-ce que le SWG ?

Un SWG se situe logiquement entre les utilisateurs et Internet : il peut prendre la forme d'un proxy de transfert, d'une passerelle gérée par un fichier PAC ou d'un agent client qui redirige le trafic vers un point d'inspection. Chaque requête HTTP et HTTPS transite par la passerelle avant d'atteindre sa destination.

Comme la majeure partie du trafic Web est chiffrée, un SWG procède généralement à un déchiffrement SSL/TLS pour inspecter le contenu de la session, puis rechiffre les données avant de les transférer, à l'exception des catégories sensibles en matière de confidentialité, telles que les sites bancaires ou de santé. Une fois le trafic rendu visible, il est soumis à un filtrage des URL, à une analyse anti-malware, à un filtrage DNS et à un filtrage des fichiers, le tout en fonction de l'identité et du contexte de l'utilisateur à l'origine de la requête.

Un SWG peut être fourni sous forme de service cloud, d'appareil sur site ou d'une solution hybride combinant les deux : le modèle de déploiement détermine où s'effectue l'application des règles, et non la nature de ces règles.

Types de SWG

Les déploiements SWG se répartissent en trois modèles. Le SWG fourni dans le cloud achemine le trafic vers un réseau mondialement distribué de points de présence cloud, appliquant les politiques sans passer par un centre de données – c’est le modèle choisi par la plupart des nouveaux déploiements. Les SWG sur site (basés sur des appliances) exécutent le proxy sur une appliance physique ou virtuelle à la périphérie du réseau, privilégiant le contrôle de la localisation des données au détriment du matériel spécifique à chaque site. Les SWG hybrides combinent les deux approches, en inspectant localement certains sites ou certaines classes de trafic tout en acheminant le reste vers le cloud.

La configuration optimale dépend de l'emplacement des utilisateurs : une succursale dotée d'une connexion locale peut analyser le trafic à faible risque sur site et transférer les catégories à haut risque vers le cloud, tandis que les utilisateurs distants se connectent directement au point de présence cloud le plus proche.

SWG & Versa

Versa Secure Web Gateway est fourni depuis les passerelles cloud d’Versa – un réseau mondial de passerelles multi-locataires – en tant que l’un des trois composants clés de l’architecture Versa SASE , aux côtés de Secure SD-WANVersa Secure Access (VSA). Elle évalue chaque requête en fonction du contexte (utilisateur, appareil et emplacement), en appliquant en un seul passage des contrôles de réputation des URL et des adresses IP, de réputation et de filtrage DNS, des règles applicatives de couche 7, le décryptage SSL/TLS, un IPS de nouvelle génération, un antivirus et un filtrage de fichiers.

Le déploiement est flexible : la passerelle Web sécurisée (SWG) d’ Versa peut fonctionner dans le cloud, sur site ou selon une combinaison de modèles « succursale allégée / cloud enrichi ». Via le catalogue de produitsVersa , les fournisseurs de services gérés peuvent commander la passerelle Web sécurisée d’ Versa en version « Essential » (pare-feu et filtrage d’URL) ou « Professional » (avec en plus un antivirus, un système de prévention des intrusions (IPS) et le décryptage TLS). Versa intègre également la passerelle Web sécurisée (SWG) au sein de la solution d’accès Internet sécurisé d’ Versa (VSIA).

Questions fréquentes

Quelle est la différence entre une passerelle Web sécurisée et un pare-feu ?

Un pare-feu filtre le trafic en fonction de l'adresse IP, du port et du protocole au niveau du périmètre du réseau. Un SWG inspecte spécifiquement le trafic Web – en déchiffrant le protocole TLS, en filtrant en fonction de la réputation des URL et en analysant le contenu à la recherche de logiciels malveillants –, ce qui explique pourquoi les fonctionnalités SWG sont désormais couramment intégrées aux pare-feu de nouvelle génération et aux plateformes de gestion des menaces ( SASE ).

Une passerelle Web sécurisée, c'est la même chose qu'un serveur proxy ?

Pas tout à fait. Un serveur proxy transfère les requêtes et peut les mettre en cache pour le compte d’un utilisateur, et un SWG repose généralement sur la technologie proxy – mais le SWG ajoute une couche de sécurité supplémentaire : filtrage des URL, inspection TLS et analyse anti-malware, autant de fonctionnalités qu’un simple proxy ne propose pas.

Quelle est la place de SWG au sein d'SASE et de SSE ?

Le SWG est l'un des services clés de Security Service Edge (SSE), aux côtés du CASB, du ZTNA et du DLP. Le SSE constitue le volet sécurité d'SASE, qui l'associe à la connectivité SD-WAN. Le SWG est généralement le premier service SSE adopté par une entreprise.

Une passerelle Web sécurisée nécessite-t-elle le déchiffrement du trafic HTTPS ?

Pour inspecter le contenu, oui : comme la majeure partie du trafic Web est chiffrée, un SWG met généralement fin aux sessions TLS et les rétablit afin d'en examiner le contenu, puis effectue un filtrage avant de les chiffrer à nouveau. Les administrateurs peuvent exclure certaines catégories sensibles, telles que les sites bancaires ou de santé, du déchiffrement.

Quelle est la différence entre un SWG et un CASB ?

Le SWG protège les utilisateurs contre les menaces provenant d'Internet ouvert : sites malveillants, logiciels malveillants, URL à risque. Le CASB protège les données transitant vers et depuis des applications SaaS autorisées et non autorisées, en contrôlant les téléchargements et les partages. Il s'agit de deux services SSE complémentaires, souvent déployés conjointement.

En savoir plus sur SWG

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à SWG, voici quelques liens qui pourraient vous intéresser.