セキュア・ウェブ・ゲートウェイ（SWG）とは何ですか？

Secure Web Gateway（SWG）は、組織のユーザーとインターネット間のトラフィックを検査・制御し、URLフィルタリング、SSL/TLS復号、マルウェアスキャン、DNSフィルタリング、ファイルフィルタリングなどのポリシーを適用するセキュリティサービスです。クラウドサービス、オンプレミス型アプライアンス、あるいはその両方の組み合わせとして提供されます。

主なポイント

• SWGは、インターネットに到達する前に、送信されるWebトラフィックを検査し、フィルタリングします。
• 主要な制御機能：URLフィルタリング、SSL/TLS復号、マルウェアおよびDNSフィルタリング。
• クラウド経由で提供されるSWGは、トラフィックをバックホールするのではなく、ユーザーの近くでポリシーを適用します。
• SWGは、CASB、ZTNA、DLPと並ぶ、SSEの基盤となるサービスです。
• Versa SWGを「Versa Secure Internet Access（VSIA）」に統合します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ SWG およびVersa · よくある質問

SWGはなぜ重要なのでしょうか？

Webは、企業ユーザーがSaaSアプリケーション、クラウドサービス、およびオープンインターネットにアクセスするための主要な経路であると同時に、マルウェア、フィッシング、コマンド＆コントロールトラフィックがユーザーに到達するための主要な経路でもあります。検査が行われない限り、そのトラフィックは双方向で無制限に流通してしまいます。

従来、組織はデータセンターのエッジにオンプレミスのプロキシを設置し、支社のトラフィックがインターネットに到達する前に中央のボトルネック地点へバックホールすることで、Webポリシーを適用していました。しかし、ユーザーがデータセンターの外に広がっていくにつれて、このモデルは拡張性を失ってしまいました。

SWGが重要なのは、トラフィックの発生源である、ユーザーの近くにあるクラウドゲートウェイや支社にあるアプライアンスの場所で検査を行い、場所に関係なく一貫したポリシーを適用できる点にあります。この特性こそが、SWGをセキュリティ・サービス・エッジ（SSE）の構成要素とし、ひいてはSASE の基盤としているのです。

SWGとは何ですか？

SWGは、ユーザーとインターネットの間に論理的に位置し、フォワードプロキシ、PACファイルによって制御されるゲートウェイ、あるいはトラフィックを検査ポイントへリダイレクトするクライアントエージェントとして実装されます。すべてのHTTPおよびHTTPSリクエストは、宛先に到達する前にこのゲートウェイを通過します。

Webトラフィックの大部分は暗号化されているため、SWGは通常、セッションの内容を検査するためにSSL/TLSの復号を行い、転送前に再暗号化します。ただし、銀行や医療関連サイトなど、プライバシーが特に重要なカテゴリは例外となります。トラフィックが可視化されると、URLフィルタリング、マルウェアスキャン、DNSフィルタリング、ファイルフィルタリングによるチェックが行われ、リクエスト元のユーザーの身元やコンテキストに基づいて評価されます。

SWGは、クラウドサービス、オンプレミス型アプライアンス、あるいはその両方を組み合わせたハイブリッド形式として提供可能です。導入モデルによって異なるのは、適用が行われる場所であり、適用される内容そのものではありません。

SWGの種類

SWGの導入には3つのモデルがあります。クラウド型SWGは、トラフィックを世界中に分散したクラウドPoP（接続拠点）ネットワークにルーティングし、データセンターへのバックホールを行わずにポリシーを適用します。これは、新規導入の多くが選択するモデルです。オンプレミス（アプライアンス型）のSWGは、ネットワークエッジにある物理または仮想アプライアンス上でプロキシを実行し、サイトごとのハードウェアリソースを犠牲にする代わりに、データの局所性を制御します。ハイブリッドSWGはこれら2つのモデルを組み合わせ、一部のサイトやトラフィッククラスをローカルで検査し、残りをクラウドに転送します。

最適な構成は、ユーザーの所在地によって異なります。ローカルブレイクアウトを採用している支店では、リスクの低いトラフィックをオンプレミスで検査し、リスクの高いカテゴリのトラフィックをクラウドに転送する一方、リモートユーザーは最寄りのクラウド拠点に直接接続します。

SWG &Versa

Versa Secure Web Gatewayは、マルチテナント型ゲートウェイのグローバルに分散したファブリックである「Versa Cloud Gateways」から提供され、Versa SASE アーキテクチャ の3つのコアコンポーネントの1つとして、 Secure SD-WANVersa Secure Access (VSA) と並んで提供されます。本ソリューションは、各リクエストをユーザー、デバイス、およびロケーションのコンテキストに基づいて評価し、URLおよびIPのレピュテーション、DNSのレピュテーションとフィルタリング、レイヤー7アプリケーションルール、SSL/TLS復号、次世代IPS、アンチウイルス、ファイルフィルタリングを1回のパスで適用します。

導入方法は柔軟です。Versa のSWGは、クラウド、オンプレミス、あるいは「シン・ブランチ／シック・クラウド」モデルを組み合わせた形態で稼働します。マネージドサービスプロバイダーは、「Versa 」製品カタログを通じて、Versa のSecure Web Gatewayを、「Essential」（ファイアウォールおよびURLフィルタリング）または「Professional」（アンチウイルス、IPS、TLS復号機能が追加）の各エディションから選択して注文できます。また、Versa では、SWGをVersa のSecure Internet Access（VSIA）内に統合しています。

よくある質問

セキュアWebゲートウェイとファイアウォールの違いは何ですか？

ファイアウォールは、ネットワークの境界において、IPアドレス、ポート、プロトコルに基づいてトラフィックをフィルタリングします。一方、SWGは特にWebトラフィックを詳細に検査します。具体的には、TLSの復号化、URLのレピュテーションに基づくフィルタリング、コンテンツのマルウェアスキャンなどを行います。そのため、現在ではSWGの機能が次世代ファイアウォールやSASE プラットフォームに統合されることが一般的になっています。

セキュアWebゲートウェイはプロキシサーバーと同じものですか？

必ずしもそうとは限りません。プロキシサーバーは、ユーザーに代わってリクエストを転送し、キャッシュすることもできます。また、SWGは通常、プロキシ技術に基づいて構築されていますが、SWGにはその上にセキュリティ層が追加されています。具体的には、URLフィルタリング、TLS検査、マルウェアスキャンなどがあり、これらは通常のプロキシでは提供されない機能です。

SWGは、SASE およびSSEにおいてどのような位置づけにあるのでしょうか？

SWGは、CASB、ZTNA、DLPと並んで、Security Service Edge（SSE）の中核となるサービスの一つです。SSEは、SASE のセキュリティ機能部分であり、SD-WAN接続機能と統合されています。SWGは通常、組織が最初に導入するSSEサービスです。

セキュアWebゲートウェイでは、HTTPSトラフィックの復号化が必要ですか？

コンテンツの検査については、その通りです。Webトラフィックの大部分は暗号化されているため、SWGは通常、TLSセッションを一旦終了させて再確立し、その内容を解析した上でフィルタリングを行い、再暗号化します。管理者は、銀行や医療関連のサイトなど、機密性の高いカテゴリを復号の対象から除外することができます。

SWGとCASBの違いは何ですか？

SWGは、オープンインターネットからユーザーに及ぶ脅威（悪意のあるサイト、マルウェア、危険なURLなど）からユーザーを保護します。CASBは、承認済みおよび未承認のSaaSアプリケーションとの間でやり取りされるデータを保護し、アップロードや共有を管理します。これら2つは相互に補完し合うSSEサービスであり、多くの場合、併せて導入されます。

SWGに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SWGについて読んでいるなら、次はこれらもチェックしてみる価値があります。