Was versteht man unter Secure Web Gateways?

Anwendungsfälle für SWGs zur Verbesserung der Cybersicherheit

Gemäß der Definition von Gartner müssen im Funktionsumfang eines Secure Web Gateway mindestens URL-Filterung, Erkennung und Filterung von Schadcode sowie Anwendungskontrollen für gängige Cloud-Applikationen wie Instant Messaging (IM) und Skype inbegriffen sein. Zuletzt nannte Gartner CASB als weitere unverzichtbare Komponente einer Sicherheitsarchitektur auf der Grundlage des SASE-Frameworks (Secure Access Service Edge), auf das weiter unten im Text ausführlicher eingegangen wird.

Anwendungsfälle für SWGs

SWGs blockieren den Zugriff auf bzw. von schädliche(n) Websites und Links. Sie setzen granulare Nutzungsrichtlinien durch und verhindern, dass Bedrohungen auf Webanwendungen zugreifen, indem sie als Sicherheitsgateway fungieren, das den Web- und Internet-Traffic auf Anwendungsebene filtert.

Ist ein Secure Web Gateway eine Art Firewall?

Firewalls und SWGs erfüllen ähnliche Aufgaben, sind aber keineswegs identisch. Firewalls überprüfen ausschließlich auf Netzwerkebene die Inhalte eingehender Pakete und gleichen sie mit den Signaturen bekannter Bedrohungen ab. SWGs werden dagegen auf Anwendungsebene ausgeführt und können Verbindungen oder bestimmte Keywords gemäß den einschlägigen Richtlinien der jeweiligen Organisation blockieren oder zulassen.

Ist ein Web-Gateway das gleiche wie ein Proxy?

Zwischen Web-Gateways und Proxys bestehen einige wesentliche Unterschiede. Beide werden zur Weiterleitung des Traffics aus einem Netzwerk ins Internet eingesetzt. Anders als bei einem Gateway filtert der Proxy-Server jedoch nach genehmigten und nicht genehmigten Verbindungen. Insofern ähnelt ein Gateway eher einer Tür zum Internet, während man sich den Proxy-Server als Schutzmauer vorstellen kann, die das Netzwerk vom Internet trennt.

SWGs: Bedeutung in der Praxis

Mitarbeiter greifen heute längst nicht mehr ausschließlich über das unternehmenseigene Rechenzentrum auf Daten und Anwendungen zu. Stattdessen wird zunehmend in Zweigstellen, im Homeoffice oder an anderen Remote-Standorten gearbeitet. Diese mobilen User müssen über Laptops, Smartphones oder andere Endgeräte auf Anwendungen zugreifen können, die ihrerseits auch nicht mehr im Rechenzentrum, sondern in der Cloud bereitgestellt werden. Herkömmliche Netzwerksicherheitskontrollen gewährleisten unter diesen geänderten Vorzeichen keinen ausreichenden Schutz.

Organisationen, die sich zur Absicherung des Internet-Traffics auf herkömmliche Netzwerksicherheits-Infrastrukturen verlassen, müssen teure MPLS-Verbindungen einrichten, um den Traffic zum Legacy-SWG im Rechenzentrum umzuleiten. Dieses sogenannte Backhauling führt zu Verzögerungen, die von den Mitarbeitern nicht nur als frustrierend empfunden werden, sondern auch ihre Produktivität beeinträchtigen.

Ein weiteres Manko herkömmlicher Sicherheitsarchitekturen liegt darin, dass sie den neuartigen Risiken, die durch die Cloud-Transformation entstehen, einfach nicht gewachsen sind. Cyberkriminelle entwickeln in rasantem Tempo neue Schadcodes und Angriffsmethoden. Angesichts des hohen Kosten- und Zeitaufwands, der erforderlich ist, um veraltete Hardware zu aktualisieren, damit sie neuartigen Bedrohungen gewachsen ist, verzichten allzu viele Organisationen ganz auf entsprechende Updates – und machen sich damit anfällig für Angriffe.

Argumente für den Einsatz von SWGs

Mit der rapiden Umstellung auf dezentrale Arbeitskonzepte und SaaS-Anwendungen steigt auch die Nachfrage nach Cloud-nativen Sicherheitslösungen. Zusätzlich zum Intrusionsschutz benötigen Organisationen zuverlässigen Schutz vor komplexen Bedrohungen, Malware-Schutz, Sandboxing sowie Datenschutzservices wie CASB (Cloud Access Security Broker), DLP (Data Loss Prevention), Cloud-DLP und Browser Isolation. Darüber hinaus ist eine zuverlässige und bedarfsgerecht skalierbare Möglichkeit zur Überprüfung des gesamten Traffics – inklusive SSL-verschlüsselter Inhalte – erforderlich.

Zum effektiven Schutz von Cloud-Ressourcen sollten Sicherheitslösungen gemäß dem SASE-Konzept von Gartner (Secure Access Service Edge) konzipiert werden. Vieles, was heute als „Cloud-Sicherheitsservice“ angeboten wird, ist in Wirklichkeit eine Mogelpackung. Oft verbergen sich dahinter Appliance-basierte Architekturen, die insbesondere bei rechenintensiven Aufgaben wie der Entschlüsselung und Überprüfung des SSL-Traffics schnell an ihre Grenzen stoßen. Der Versuch, hardwarebasierte On-Premise-Services wie VPN in die Cloud zu verlagern, ist ungefähr so effektiv, als würde man Tausende von DVD-Playern in ein Cluster packen und Netflix damit Konkurrenz machen wollen.

Nur mit einer cloudbasierten Lösung lässt sich identischer Schutz und einheitliche Richtliniendurchsetzung für alle Verbindungen zwischen Usern und Cloud-Services – unabhängig vom jeweiligen Standort und Hosting-Anbieter – gewährleisten.

SWGs im Kontext des SASE-Frameworks

SASE-Architekturen werden in der Cloud bereitgestellt und kombinieren eine Vielfalt von Netzwerk- und Sicherheitsservices in einer zentralen Plattform, insbesondere DNS-Sicherheit, SWG, Zero Trust Network Access (ZTNA) und Data Loss Prevention (DLP). In Verbindung mit einem SD-WAN bieten SASE-Lösungen deutliche Vorteile für eine Reihe von Anwendungsfällen:

• Geringere IT-Kosten und Komplexität: Durch die unkomplizierte Bereitstellung und Verwaltung als automatisierter Service aus der Cloud ermöglichen effektive SASE-Lösungen eine digitale Transformation ohne die technischen Schulden, die beim Festhalten an Legacy-Architekturen entstehen.
• Hervorragende User Experience: Mit SASE werden Sicherheitsrichtlinien in unmittelbarer User-Nähe bereitgestellt. Dadurch lässt sich unnötiges Backhauling vermeiden und optimale Bandbreite mit niedriger Latenz gewährleisten.
• Weniger Risiko: Mit SASE werden alle Verbindungen überprüft und abgesichert – unabhängig von Identität und Standort des Users, der jeweils angeforderten Anwendung und dem ggf. verwendeten Verschlüsselungsprotokoll.

SWG von Zscaler

Zscaler wurde 10 Mal in Folge im Magic Quadrant für Secure Web Gateways von Gartner als Leader gewürdigt. Seit 2021 fallen SWGs unter die neu definierte Kategorie „Security Service Edge“ als Element der Secure Access Service Edge (SASE). Entsprechend wurde Zscaler im Magic Quadrant für Security Service Edge 2022 von Gartner als Leader ausgezeichnet und erhielt die höchste Bewertung im Bereich „Fähigkeit zur Umsetzung“.