什麼是 Secure Web Gateway (SWG)？網路防禦解析

什麼是 Secure Web Gateway (SWG)？

攻擊者會透過看似合法且可繞過 URL 篩選器的網路釣魚網站竊取憑證。根據 IBM X-Force 分析，組織面臨的 infostealer 電子郵件增加了 84%，而 FBI 已識別出可規避現有控制措施的惡意網路釣魚基礎設施。使用行為式 AI 與即時威脅情報檢查網頁流量的 SWG 解決方案，可在這些威脅到達端點之前加以發現並封鎖。

Secure Web Gateway (SWG) 可作為防禦網頁型攻擊的保護層。根據 Gartner 的詞彙表，SWG「會從使用者發起的 Web/Internet 流量中篩除不需要的軟體/惡意軟體，並強制遵循企業與法規政策。」此保護機制運作於使用者與網際網路之間，在流量到達端點或離開網路之前，檢查每一個網頁請求與回應。

SWG 已超越單純的網頁篩選。雲端型 SWG 會隨使用者而動，不受位置限制，提供 URL 篩選、惡意軟體識別、應用程式控制，以及 資料外洩防護，在威脅到達端點之前加以阻止。適當的 SWG 組態可建立政策強制執行層，以檢查加密流量、封鎖惡意網域，並防止資料透過網頁通道外洩。

網頁型威脅的規模持續擴大。根據 FBI IC3 2024 報告，2024 年的網路釣魚申訴達到 23,252 件，高於 2023 年的 2,856 件。這代表年增率達 714%。使用者持續遭遇這些網頁型攻擊，而組織需要傳統邊界防火牆無法提供的網頁篩選與檢查能力。

為何 Secure Web Gateway 在現代安全中至關重要

傳統的網路邊界已不復存在。員工會從家用網路、咖啡店與機場存取企業資源，而 SaaS 應用程式則將關鍵資料託管在企業防火牆之外。組織無法保護其看不見的網頁流量。SWG 透過隨使用者工作地點而動，並在存取點而非集中式邊界檢查流量，來彌補這項缺口。

SWG 現在也作為 Security Service Edge (SSE) 平台中的基礎元件。組織會將 SWG、Cloud Access Security Broker (CASB) 與 Zero Trust Network Access (ZTNA) 整合為一體化架構，而非部署獨立解決方案。 NIST SP 800-207 指出，零信任著重於「保護資源，而非網路區段。」SWG 透過根據身分、裝置狀態與即時威脅情報，而非網路位置，做出存取決策，將此原則落實於營運中。

SWG 也會與更廣泛的安全堆疊整合：它會將日誌提供給 SIEM、與 CASB 協調政策，並與端點防護共享威脅情報。當憑證竊取透過 網路釣魚網站發生時，SWG 會封鎖惡意網域，而端點防護則會阻止惡意軟體執行，且 身分威脅偵測 會監控異常的驗證嘗試。

這種整合式方法之所以有效，是因為 SWG 提供了其他安全工具無法複製的特定技術能力。

SWG 的核心元件

根據 Gartner 的定義，SWG 解決方案至少需要四項能力：URL 篩選、惡意程式碼識別與篩選、應用程式控制，以及資料外洩防護 (DLP)。

1. URL 篩選 會根據安全政策對網站存取進行分類與控制。SWG 採用完整代理架構，可攔截所有網頁請求，並使用即時威脅情報資料庫執行檢查。當使用者嘗試存取遭封鎖的網站時，SWG 會透過其內嵌檢查程序拒絕連線，防止與遭封鎖目的地進行任何資料交換。
2. 惡意程式碼識別 與篩選 是 SWG 的核心元件，可主動發現並防止網頁型威脅。此檢查會在使用者下載檔案時即時進行，防止惡意可執行檔、指令碼與文件在危害系統之前到達端點。
3. 應用程式控制 可對網頁型應用程式提供細緻化治理。此能力可支援如下情境：組織允許使用者檢視個人雲端儲存中的檔案，但封鎖可能導致敏感資料外洩的上傳行為。
4. 資料外洩防護 會檢查輸出流量，以防止敏感資訊透過網頁通道離開網路。SWG 會掃描 HTTP/HTTPS 流量，尋找符合信用卡號碼、社會安全號碼或安全團隊定義之自訂資料模式的內容。當發生政策違規時，SWG 會封鎖傳輸並產生警示以供調查。

這四個元件會在協調一致的架構中運作，透過多層檢查處理每一個網頁請求。但此架構與組織已部署的其他網路安全技術有何不同？

SWG 與防火牆及傳統 Proxy 的比較

安全團隊經常將 SWG 與防火牆及舊式 Proxy 混淆，因為三者都會篩選網路流量。當架構師設計分層防禦時，這種區別非常重要。

• 傳統防火牆 在網路層（第 3-4 層）運作，根據 IP 位址、連接埠與通訊協定做出允許/封鎖決策。 防火牆 無法檢查加密 HTTPS 流量內容，也無法識別允許連線中的惡意承載。當使用者透過連接埠 443 造訪遭入侵的網站時，防火牆只會看到一個被允許的 HTTPS 連線。
• 舊式網頁 Proxy 是為了快取與頻寬最佳化而設計，而非安全性。傳統 Proxy 會在未進行深度內容檢查的情況下轉送請求，提供基本的 URL 類別封鎖，且無法解密 SSL/TLS 流量進行分析。使用僅有 Proxy 架構的組織，會錯失隱藏在加密工作階段中的惡意軟體下載與資料外洩嘗試。
• Secure Web Gateway 結合了 Proxy 架構與以安全為重點的檢查。SWG 會終止並解密 SSL/TLS 連線、對下載內容執行惡意軟體分析、強制執行資料外洩防護政策，並套用細緻化的應用程式控制。當防火牆看到的是允許的連接埠、Proxy 看到的是快取內容時，SWG 看到的是網頁流量中的實際威脅。

組織會在分層架構中部署這三種技術：防火牆控制網路層存取、SWG 檢查網頁流量內容，而端點防護則處理繞過這兩種控制的威脅。

Secure Web Gateway 的運作方式

SWG 作為完整 Proxy 運作，會為每一個網頁請求建立兩個獨立連線。當使用者嘗試存取網站時，SWG 會在閘道終止初始連線、檢查完整請求、與目的地建立另一個獨立連線，並根據政策評估結果轉送或封鎖流量。

SSL/TLS 解密流程 可透過受控的中間人作業檢查加密流量。SWG 會向用戶端端點出示其自有的企業簽署憑證，同時與目的地伺服器建立個別的加密工作階段。解密後，SWG 會執行完整的內容分析，包括 URL 分類、 惡意軟體 掃描，以及資料外洩防護檢查，之後再重新加密並轉送已核准的流量。

這項解密能力可讓 Cloud SWG 檢查 HTTPS 連線並執行原則檢查。若沒有 SSL 檢查，SWG 就無法分析威脅藏身其中的加密流量。

多層檢查結合 URL 分類、反惡意軟體引擎、資料外洩防護，以及應用程式層級檢查。這個多層流程可讓 SWG 在維持大多數 Web 請求低延遲的同時，強制執行安全性原則。

Secure Web Gateways 中的原則強制執行，是透過以身分為基礎、具情境感知能力的決策框架來運作。現代 SWG 可與 Active Directory、LDAP 或 SAML 身分提供者整合，以驗證使用者並根據群組成員資格套用原則。原則決策會納入多項情境因素：

• 使用者身分與角色
• 裝置安全狀態
• 地理位置
• 一天中的時間
• 即時威脅情報評分

雲端部署架構透過地理分散的 Points of Presence (PoP) 提供防護。Cloud SWG 會將使用者流量導向最近的檢查節點，在提供一致原則強制執行的同時將延遲降到最低，而不受使用者位置影響。

雲端架構只是其中一種部署選項。組織必須評估哪一種模型最符合其基礎架構、法規遵循需求與員工分布。

Secure Web Gateways 的部署模型

組織會根據員工分布、現有基礎架構與法規遵循需求，在三種主要部署架構之間做出選擇。

• 雲端原生 SWG透過全球分散的 Points of Presence 提供檢查。無論位於何處，使用者都會連線至最近的雲端節點，免除經由集中式資料中心回傳流量。此模型適合擁有分散式員工、遠端優先政策，或內部部署基礎架構有限的組織。Cloud SWG 可自動擴充，並將維護責任轉移給供應商。
• 內部部署 SWG設備可讓組織直接控制檢查基礎架構。部署於企業資料中心的硬體或虛擬設備，會透過本機管理的系統處理所有 Web 流量。此模型可因應嚴格的資料駐留要求、禁止雲端檢查的監管規定，或主要由辦公室員工組成的組織。內部部署需要內部專業能力來進行維護、更新與容量規劃。
• 混合式部署結合雲端與內部部署元件。總部流量會經由本機設備路由，而遠端使用者則連線至雲端檢查節點。此方法可保留既有的內部部署投資，同時將防護延伸至分散式工作者，而無需回傳其流量。

部署模型會直接影響使用者體驗、營運負擔與總體成本。雲端原生架構可降低遠端工作者的延遲，但也會引入對供應商的依賴。內部部署可維持控制權，但需要大量內部資源。

無論組織選擇哪一種部署模型，SWG 都能在多個面向帶來可衡量的安全性改善。

採用 SWG 的主要優勢

SWG 可防護會繞過傳統周邊防禦的 Web 型攻擊方法。它會封鎖憑證遭竊的網路釣魚網站與憑證蒐集頁面，在 驗證發生之前阻止攻擊。

1. 在分散式員工之間一致地強制執行原則可因應已消融的網路邊界。當使用者在總部、居家辦公室、咖啡店與機場貴賓室工作時，傳統以網路為基礎的安全控制無法跟著他們移動。雲端式 SWG 無論使用者位於何處，都能提供相同的防護。 CSA 研究強調，在混合辦公環境中，「敏感資料可能會透過未受保護的網路被存取與傳輸，進而提高資料外洩風險。」SWG 建立了可保護這些未受控網路連線的安全層。
2. 對影子 IT 與未經核准應用程式的可視性揭示使用者實際在 Web 上存取的內容。組織可發現其員工使用哪些雲端應用程式、識別未經核准的檔案分享服務，並找出具風險的個人應用程式使用情況。
3. 針對 Web 型資料外洩的資料外洩防護可阻止敏感資訊透過 Web 通道外流。SWG 會檢查外送 Web 流量中的敏感資料模式，無論是來自惡意內部人員，還是遭外部攻擊者控制的受害帳戶，都能封鎖外洩企圖。
4. 降低端點感染率是因為在惡意軟體透過上游 Web 篩選抵達裝置之前就先加以阻止。這種上游防護可降低端點安全性必須防禦的 攻擊面，但組織仍應將 SWG 作為縱深防禦策略的一部分來實作，而非作為獨立解決方案。
5. 支援法規要求的法規遵循可因應專門的安全需求，提供法規所要求的可接受使用強制執行與稽核軌跡。

組織遭遇部署挑戰，主要是因為在實作前略過了規劃步驟。

實作 SWG 的挑戰

SSL/TLS 檢查的複雜性與相容性問題會造成影響 SWG 部署成效的營運挑戰。部署 SSL 解密時，組織會遇到：

• 行動應用程式中的憑證釘選會破壞功能
• 無法信任企業憑證的醫療裝置與 IoT 端點
• 對於解密包含受保護健康資訊流量的法規疑慮

效能影響與延遲 會直接影響使用者生產力。當亞洲的遠端使用者必須先將流量回傳至北美的 SWG 檢查節點，再到達其實際目的地時，延遲將變得無法接受。

跨使用者族群的政策管理複雜性 會隨著組織成長而升高。安全團隊需為高階主管、遠端工作者、承包商與訪客管理不同政策，同時為特定應用程式定義例外、建立時間型規則，並實施地理限制。

這些技術挑戰還因削弱 SWG 效能的組織性失誤而更加複雜，且這些問題從一開始就存在。

常見的 SWG 部署錯誤

組織在為分散式環境實作網路安全解決方案時，常會犯下可避免的錯誤。根據 Omdia 研究，組織在實作前經常未能設定目標、與專家審查計畫，或驗證成功標準。

1. 在未定義安全目標與成功指標的情況下部署 會導致解決方案無法因應實際威脅。若未進行可識別組織特定攻擊手法的威脅建模，團隊便無法設定可因應實際威脅態勢的政策。
2. 根據品牌知名度而非技術適配性來選擇解決方案 會將預算浪費在不需要的功能上，同時錯失實際需求。僅憑品牌名稱選擇、而未針對實際使用者工作負載進行概念驗證測試的組織，往往在部署後才發現能力缺口。
3. 忽略 SSL 檢查的憑證管理複雜性 會造成部署失敗。組織低估了將企業根憑證散佈至所有端點、跨多樣化裝置類型管理憑證更新，以及在啟用 SSL 檢查後排除應用程式中斷問題的營運負擔。
4. 與既有安全基礎架構的整合規劃不足 會造成營運孤島。當 SWG 部署時未與 SIEM 系統協調以進行安全日誌彙整、與 CASB 平台協調以對齊雲端應用程式政策，以及與端點防護工具協調以共享威脅情報時，安全工具將缺乏整合式可視性，無法關聯並回應橫跨 Web 與端點層面的攻擊。

避免這些錯誤需要審慎規劃並遵循經驗證的部署實務。

SWG 最佳實務

成功的 SWG 部署會在正式上線前，遵循可因應技術需求與營運現實的結構化規劃。

在部署前讓安全架構專家進行驗證 以避免代價高昂的錯誤。Omdia 研究建議「預先與專家合作規劃，或請專家審查計畫。」曾在企業規模部署安全解決方案的專家可識別整合挑戰、根據類似部署驗證架構，並在問題發生前及早發現。

以實際使用者工作負載進行概念驗證測試 以根據現實驗證供應商宣稱。組織在承諾採用前，必須探索多家供應商與平台，而非僅根據品牌知名度選擇解決方案。以實際應用程式、使用者族群與網路條件測試 SWG 解決方案，可衡量對真實視訊會議工作階段的延遲影響，並驗證 SSL 檢查相容性。

以適當的企業憑證基礎架構實作 SSL/TLS 解密 作為 SWG 部署的技術要求。這需要：

• 建立具備雙重憑證呈現的企業憑證授權基礎架構
• 將企業管理的根憑證部署至所有端點以建立信任
• 確保解密後的內容分析，包括 URL 分類、惡意程式掃描與 DLP 檢查

從初始部署開始將 Secure Web Gateway 日誌整合至 SIEM，適用於將專用 SWG 解決方案與安全平台搭配使用的情境。這可在整個安全堆疊中啟用威脅識別。部署專用 SWG 解決方案的組織可設定即時 將日誌串流至 SIEM 平台，透過標準整合方法，包括 syslog、以 API 為基礎的日誌擷取，或 Common Event Format 格式化。此整合可建立關聯規則，將以 Web 為基礎的攻擊與端點感染連結起來，並透過鑑識資料分析支援事件回應。

向 SentinelOne 申請示範，了解自主式端點防護如何補強您的 Web 閘道安全。

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

Secure Web Gateways 會透過檢查 Web 流量、強制執行政策，以及在威脅到達端點前加以封鎖，來保護分散式工作團隊。SWG 作為 SSE 平台中的基礎元件運作，並與 CASB 和 ZTNA 整合以實現統一安全。SWG 由四項核心能力所定義：URL 篩選、惡意程式碼識別、應用程式控制，以及資料外洩防護。雲端型 SWG 會隨使用者而動，不受位置限制，藉此因應已消融的網路邊界。

成功部署需要明確定義的 安全目標、專家驗證、概念驗證測試，以及適當的憑證管理。組織必須將專用 SWG 解決方案與端點安全平台（例如 SentinelOne 的 Singularity Platform）搭配使用，以在 Web 與端點攻擊面上提供分層防護。