SWG 與防火牆：關鍵差異與最佳實務

什麼是安全 Web 閘道與防火牆？

使用者在瀏覽器中點擊一個連結。幾毫秒內，加密流量便向外傳送至未知網域，而一個承載內容開始下載。有兩種不同的技術位於這次點擊與潛在入侵之間，各自檢查連線的不同層級。了解各自的功能，以及其不足之處，正是區分具備韌性的安全架構與存在盲點架構的關鍵。

• 一個 安全 Web 閘道（SWG）會過濾 您在應用層（第 7 層）的 Web 流量。Gartner 對 SWG 的定義將其描述為「一種可從使用者發起的 Web/Internet 流量中過濾不需要的軟體／惡意軟體，並強制執行企業與法規政策合規性的解決方案。」它會檢查 HTTP/HTTPS 工作階段、將 URL 分類、掃描下載內容中的惡意軟體，並在完整掌握使用者身分的情況下強制執行可接受使用政策。
• 您的 防火牆 在網路層與傳輸層（第 3 層與第 4 層）運作。 CISA 的防火牆概述 將防火牆描述為一種安全系統，可「透過保護您的電腦或網路免受惡意或不必要的網路流量影響，提供對外部網路攻擊者的防護。」您的 防火牆 使用基於 IP 位址、連接埠與通訊協定的規則來控制流量，並維護狀態表以追蹤作用中的連線。

這項區別很重要，因為每種技術看到的內容不同。您的防火牆會根據網路層級屬性驗證某個連線是否應該存在。您的 SWG 則會在應用層檢查該連線內傳輸的內容，包括網頁內容、URL 信譽，以及提出請求的使用者身分。

SWG 與防火牆與網路安全的關係

這兩種技術都可作為您安全架構中的強制執行點，但它們處理的是不同類別的風險。 NIST SP 800-207 將防火牆與 SWG 都歸類為零信任架構中的政策強制執行點（PEP）。每個 PEP 都會「在主體與企業資源之間啟用、監控，並最終終止連線。」

單靠任一種技術都無法提供足夠的涵蓋範圍。針對數十億筆網路事件的研究發現，若 Web 閘道獨立部署，會呈現明顯的可穿透性。另一方面，若沒有 SSL/TLS 檢查等能力，您的防火牆就缺乏深入的應用層可視性。

真實事件進一步強化了同樣的觀點。在其 Colonial Pipeline 公告中，CISA 詳細說明了 2021 年一起勒索軟體事件如何擾亂燃料配送，顯示僅靠邊界控制無法阻止以身分為導向的入侵路徑。在 MGM Resorts 的 SEC 申報文件（2023）中，該公司回報了一起網路安全事件，造成約 1 億美元的營收影響，顯示網路釣魚與社交工程如何繞過簡單的網路允許／拒絕規則。

這些範例說明了為何單靠任一工具都無法涵蓋完整的攻擊面。在更深入探討各項技術如何運作之前，先快速比較如下。

SWG 與防火牆快速比較

本指南其餘內容將逐一解析各列：流量如何流經各工具、哪些元件驅動各項能力，以及真實世界中的缺口會出現在哪裡。

SWG 與防火牆如何運作

您的 SWG 與防火牆都會內嵌於流量路徑中，但它們處理流量的方式不同，看到的內容也不同。

SWG 如何處理 Web 流量

您的 SWG 作為使用者與網際網路之間的正向代理運作。當使用者開啟瀏覽器並請求 URL 時，該請求會先經過 SWG，然後才到達目的地。閘道會分幾個階段評估該請求：它會根據信譽資料庫和類別清單解析 URL，根據您的目錄（Active Directory、LDAP 或 SSO）檢查提出請求之使用者的身分，並套用您的可接受使用政策。如果允許該目的地，SWG 會代表使用者建立對外連線。

對於 HTTPS 流量，這類流量占 Google 上超過 95% 的 Web 請求，SWG 會執行 SSL/TLS 解密。它會終止加密工作階段，並檢查明文內容中的 惡意軟體 特徵碼、資料外洩模式，以及嵌入式威脅，然後重新加密並轉送流量。這種中間人檢查讓 SWG 能夠看見網路層工具無法看見的承載內容。

雲端交付的 SWG 將此代理模型延伸至遠端使用者，而無需 VPN 通道。流量會路由至最近的接入點 (PoP)，無論使用者位於何處，都會套用相同的檢查政策。

防火牆如何處理網路流量

您的防火牆會在網路邊界使用封包層級屬性來評估流量。當封包到達時，防火牆會讀取其標頭：來源 IP、目的地 IP、來源連接埠、目的地連接埠，以及通訊協定。接著，具狀態防火牆會根據其連線狀態表檢查這些資訊，以判斷該封包是否屬於已建立的工作階段，或代表新的連線嘗試。

對於新連線，防火牆會由上而下逐條檢查其規則庫。第一條符合的規則會決定動作：允許、拒絕或丟棄。若沒有任何規則符合，則會套用預設政策（通常為拒絕）。這一切會在微秒內完成，因此防火牆能有效處理高吞吐量。它們是根據結構化中繼資料，而非內容分析，來做出二元決策。

次世代防火牆 (NGFW) 透過加入應用程式識別與入侵防護來延伸此模型。一個 NGFW 可以依應用程式分類流量，即使它共用常見連接埠也是如此，並且會套用 IPS 特徵碼來尋找已知的漏洞利用模式。這讓 NGFW 具備部分第 7 層感知能力，但其檢查仍是以模式為基礎，而非具備內容感知能力。NGFW 可以識別流量是 Slack 或 Salesforce，但無法像您的 SWG 那樣對 URL 進行分類、即時掃描檔案下載，或強制執行以身分為基礎的可接受使用政策。

檢查差異所在

當您追蹤單一事件如何通過這兩種控制時，操作上的差異就會變得清楚。使用者在瀏覽器中點擊了一個網路釣魚連結。您的防火牆看到一個對外連往 443 連接埠的 HTTPS 連線，並予以允許，因為目的地 IP 不在封鎖清單上，且允許對外 HTTPS。您的 SWG 會攔截相同的請求、解密 TLS 工作階段、根據威脅情報來源檢查 URL，並封鎖該連線，因為該網域是在 12 小時前註冊，且託管了一個憑證竊取頁面。

這並不是任何一種工具的失敗。您的防火牆完全依照其設計執行：評估網路層屬性並強制執行連線政策。您的 SWG 也依照其設計執行：檢查該連線中的內容與情境。這兩種範圍之間的落差，就是攻擊者活動的空間。

了解這些機制有助於您評估每項技術的元件實際上對您的安全態勢帶來哪些貢獻。

SWG 與防火牆的核心元件

既然您已了解流量如何流經各種工具，接著看看它們內部包含哪些元件會很有幫助。下列元件決定了每項技術能檢查、強制執行及回報哪些內容，也說明了為何這兩種工具在實務中的行為如此不同。

SWG 核心元件

根據 Gartner 的 SWG 規範，您的 SWG 至少必須包含三項必要能力：

• URL 篩選與分類： 即時 URL 信譽評估、依類別進行內容篩選，以及與可接受使用政策一致的動態政策強制執行。
• 惡意程式碼偵測與篩選: 對 Web 流量進行即時惡意軟體掃描、對下載檔案使用反惡意軟體引擎，以及防範 drive-by download。
• 應用程式控制: 針對 SaaS 平台、Web 郵件及社群媒體等 Web 型應用程式的細緻化政策，包括頻寬管理與 shadow IT 可視性。

這些能力是基準。您在實務中的結果通常取決於您如何透過加密流量檢查與身分情境來延伸這些能力。

除了這些要求之外，現代 SWG 還包括：

• SSL/TLS 檢查: 解密與重新加密 HTTPS 流量，以進行即時分析，因為現在絕大多數 Web 流量都已加密。
• 資料外洩防護 (DLP): 對外傳內容進行檢查，以識別敏感資料模式並封鎖透過 Web 通道進行外洩的嘗試。
• 身分與使用者感知： 與 Active Directory、LDAP 及 SSO 系統整合，以根據角色與情境對每位使用者、每個群組強制執行政策，並符合 Zero Trust architecture 原則。

這些元件共同賦予您的 SWG 對每個 Web 工作階段做出內容感知、身分感知決策的能力，這與您的防火牆所提供的模型有根本上的不同。

防火牆核心元件

您的防火牆核心元件包括維護作用中連線記錄的狀態表、根據既有連線情境驗證封包的檢查引擎，以及由上而下處理安全政策的規則式政策引擎。NGFW 在這些基礎之上加入應用程式識別與入侵防護，而 Firewall-as-a-Service (FWaaS) 則以受管雲端服務的形式提供相同的檢查。根據 CISA's SSE guidance，FWaaS 是四個核心 Security Service Edge (SSE) 元件之一，其他還包括 ZTNA、Cloud SWG 與 CASB。

了解這些基礎構件有助於您看出，為何這兩種工具即使位於相同的網路路徑上，仍會產生不同的安全結果。

SWG 與防火牆的主要優勢

元件只有在能轉化為可衡量的成果時才有意義。本節將說明每項技術在妥善設定時實際能提供什麼，以及同時運行兩者時您能獲得什麼。

SWG 的優勢

當您在第 7 層保護 Web 流量時，您可獲得以下特定優勢：

• 加密流量可視性： 您可深入了解加密 Web 工作階段中的內容，這是運作於第 3-4 層的防火牆的盲點。
• 具使用者感知的政策強制執行： 您的雲端交付 SWG 政策會根據使用者身分與裝置情境強制執行 存取控制，讓遠端員工無需透過 VPN 回傳流量即可維持安全性。
• 雲端應用程式控制： 您可發現影子 IT，並以細緻精準的方式強制執行 SaaS 專屬政策。
• 內聯威脅防護： 您可在內容到達端點之前阻止惡意軟體、惡意 URL 與網路釣魚。

SWG 為 Web 提供具身分感知的控制，而這正是網路釣魚、憑證竊取與惡意軟體下載的起點。

防火牆的優勢

防火牆承擔廣泛網路控制與分段的重任：

• 多通訊協定涵蓋： 您的防火牆會檢查所有網路通訊協定，包括資料庫連線、檔案傳輸、SSH 工作階段與自訂應用程式。
• 網路分段： CISA 建議 使用實體或虛擬隔離進行邏輯網路區隔，以將裝置隔離到各個網路區段中。
• 高吞吐量檢查： 您可對所有流量類型進行網路層篩選，並根據連線狀態進行情境感知決策。
• 基礎架構保護： 您的防火牆可保護網路裝置本身，包括路由器、交換器與 VPN 集中器，避免遭受直接利用。

防火牆可限制連線可前往的位置，以及哪些項目可彼此通訊，這是降低爆炸半徑的基礎。

綜合優勢

當您同時部署這兩項技術時，便能建立多層防禦，並在多個層級進行強制執行。您的防火牆會在未經授權的網路連線到達內部資源之前先行封鎖。您的 SWG 則會檢查已允許 Web 工作階段中的內容。

這種分層方法之所以重要，是因為許多高影響事件始於身分遭入侵與 Web 傳遞，接著轉向內部移動。例如，Change Healthcare disclosure (2024) 描述了一起擾亂服務的網路攻擊，並在 2024 年第一季造成據報達 8.72 億美元的影響，說明了為何您同時需要強大的存取控制與徹底檢查，才能阻止經由 Web 傳遞的入侵鏈演變為企業範圍的中斷。

分層控制也會增加營運複雜性，而這正是團隊經常遭遇摩擦之處。

SWG 與防火牆的挑戰與限制

每項安全控制都有盲點，而了解您的盲點所在，才能避免它們成為攻擊路徑。以下限制並不是避免採用任一技術的理由；而是您在設計技術堆疊架構時必須納入考量的設計限制。

SWG 的限制

您的 SWG 有一些您必須納入設計考量的實際限制：

• 僅涵蓋 Web： 您的 SWG 會檢查 HTTP/HTTPS 與相關 Web 通訊協定。非 Web 流量則完全超出其可視範圍。
• SSL 檢查負擔： 解密與重新加密 HTTPS 流量會增加延遲。在大規模環境下，這會形成效能與安全性之間的取捨，因此需要審慎的容量規劃。
• 憑證管理複雜性：SSL 檢查需要在所有受管理裝置上部署受信任的根憑證，這會為 BYOD 環境帶來營運摩擦。

這些限制說明了您必須在哪些方面以 端點與身分控制來補強 Web 層。

防火牆的限制

您的防火牆也有一些限制，這些限制會在雲端安全與加密流量情境中顯現：

• 無內容可視性： 您的防火牆無法檢查允許連線中應用層的承載內容。透過允許的 HTTPS 工作階段下載的惡意檔案會在未經檢查的情況下通過。
• 雲端效能下降： 防火牆在雲端環境中可能會遇到效能限制，而將遠端使用者流量回傳至集中位置可能會增加延遲和瓶頸。
• 靜態政策模型： 以 IP 位址為基礎、以網路為中心的規則難以適應動態雲端環境。根據 NIST SP 800-215，以設備為基礎的方法在混合式架構中面臨「目前網路存取解決方案的安全限制」。
• 規則蔓延： 您的企業防火牆會隨時間累積數千條規則，造成管理複雜性與潛在的錯誤設定。

綜合來看，SWG 僅限於 Web 的涵蓋範圍，以及防火牆對內容的盲點，形成了攻擊者經常利用的缺口。要彌補這個缺口，需要審慎的營運實務，而不是另一個點式產品。

SWG 與防火牆最佳實務

上述限制指向一個共同主題：這兩種工具都不是因為它們所做的事情而失敗，而是因為團隊對其涵蓋範圍的假設。以下七項實務可彌補我們在正式環境中最常見的缺口。

1. 將兩者部署為互補的強制執行層

將您的防火牆與 SWG 視為互補的政策強制執行點，並遵循 NIST SP 800-207。您的防火牆負責執行網路分段與多通訊協定存取控制。您的 SWG 負責執行具身分識別感知的 Web 篩選、Web 安全與內容檢查。兩者皆無法取代對方。

2. 優先考量整合，而非功能清單

在評估新產品之前，先評估您現有的 SWG 與防火牆與 SIEM、身分基礎架構及端點保護平台之間的協調程度。產業分析顯示，整合到您的架構中，比追求最新功能更重要。

3. 為分散式員工採用 SASE/SSE

CISA/FBI 聯合指引將 SASE 定位為目標架構，將 SWG、CASB、ZTNA 與 FWaaS 整合為雲端交付服務。如果您的組織支援遠端或混合式工作者，請評估SASE架構，以消除回傳流量造成的延遲。

4. 實作以身分為中心的政策

不要再侷限於靜態 IP 與連接埠規則。將您的 SWG 設定為與身分提供者綁定的使用者與群組型政策。NIST 零信任架構指出，存取決策應依循使用者身分、裝置狀態與應用程式情境，而非網路位置。將 SWG 政策與 身分安全搭配，可降低單一遭網路釣魚竊取的憑證變成全面通行證的機率。

5. 集中化監控與組態管理

CISA 強化指引建議實作監控，以「強制執行組態管理、自主處理例行管理功能，並對環境中的變更發出警示。」將此套用至您的防火牆與 SWG 基礎架構：

• 將組態儲存在版本控制的儲存庫中
• 啟用變更識別，並對未經授權的修改發出警示
• 要求所有管理存取皆使用多重要素驗證
• 定期依據安全基準執行合規稽核

這些控制可降低營運漂移，而這是事件回應期間導致防火牆與 Proxy 失效的最常見原因之一。

6. 在真實條件下測試 SSL 檢查

在全面部署之前，先以您的實際流量模式與流量規模進行概念驗證測試。請特別注意延遲影響、憑證處理的邊界情況，以及應用程式相容性。

7. 強化安全基礎架構本身

您的防火牆與 SWG 都是高價值目標。請遵循 NIST 裝置強化指引，鎖定管理介面、及時套用供應商安全修補程式，並將管理流量與正式環境流量分離。

有了這些實務，您就能更清楚地判斷何時以及在何處部署各項控制。

何時使用 SWG、防火牆，或兩者並用

您的部署決策取決於您要保護什麼，以及您的使用者從何處連線。

• 當您需要以下能力時，部署防火牆： 為資料中心與校園環境提供邊界防禦、在內部區域之間進行東西向分段、多通訊協定檢測，以及為路由器、交換器和伺服器提供基礎架構保護。
• 當您需要以下能力時，部署 SWG： 掌握加密 Web 流量內容的可視性、以使用者身分為基礎的 Web 存取政策、雲端應用程式治理與影子 IT 控制，以及無需 VPN 回傳的遠端使用者保護。
• 當您需要以下能力時，同時部署兩者： 縱深防禦、涵蓋 Web 與非 Web 通訊協定，以及在網路層與應用程式層同時執行強制措施，尤其是在混合環境中。

請將這些選擇與您的 零信任模型 對齊，並根據您在環境中最常見的攻擊路徑進行驗證。無論您選擇哪種組合，當這些控制措施匯入統一的安全營運層，以便關聯網路、端點與身分識別之間的訊號時，效果最佳。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點摘要

SWG 與防火牆是互補技術，而非彼此競爭的替代方案。您的防火牆會在第 3 層與第 4 層執行網路層分段。您的 SWG 會檢測 Web 流量內容，並在第 7 層執行具身分識別感知的政策。 

現代 網路安全框架 需要兩者，理想情況下應整合於符合 NIST 零信任原則的 SASE/SSE 框架中。SentinelOne 的 Singularity Platform 透過統一架構將保護延伸至您的端點、雲端與身分識別層。