とことこロゴス
メニュー

セキュアWebゲートウェイ

読み：せきゅあうぇぶげーとうぇい　／　英語表記：Secure Web Gateway

利用者のWeb通信を中継し、URLフィルタリングやマルウェアの検査などを行うセキュリティ製品・サービス。社内に設置する機器型や、事業者が提供するクラウド型があり、対象の通信を経由させて組織の利用規則を適用する。

イマシルちゃんの解説

セキュアWebゲートウェイ（SWG）は、利用者とWebサイトの間で通信を検査するセキュリティ製品やサービスだよ。
危険と判定したサイトへの接続を止め、ダウンロードするファイルに不正なプログラムがないかも調べるんだ。
接続先を選別する機能はURLフィルタリングと呼ぶよ。
社内に機器を置く形も、事業者のサービスを使う形もあるの。
社外で使う端末も検査対象にするには、Web通信がSWGを通るように設定しておくんだ。
こうして働く場所が変わっても組織で決めた規則を適用し、危険な通信を減らすために使うんだよ。

より深い解説

定義

セキュアWebゲートウェイ（SWG）は、利用者の端末とインターネット上のWebサイトの間に入り、Webの通信（HTTP、HTTPS）を検査して、危険なサイトへのアクセスや、マルウェアの持ち込み、情報の持ち出しを防ぐ仕組みである。現在は、事業者がクラウドの上で提供するサービスとして使われることが多い。

主な機能

機能内容
URLフィルタリング（サイトブロック）拒否リストのFQDN、IPアドレス、URLや、カテゴリ（マルウェア配布など）に基づいて通信を遮断する
レピュテーション機能接続先のドメインやIPアドレスに対する評価を利用し、スコアとしきい値などで許可・検査・遮断を決める
マルウェア駆除機能・マルウェア検査ファイルを既知のシグネチャと照合し、必要に応じてサンドボックスで動作を分析する。危険なファイルの遮断や、製品が対応する除去処理につなげる
HTTPSの検査TLSを中継して復号し、暗号化された通信の中身も検査する（TLSインスペクション）
ダイレクト通信（直接接続）直接接続リストに登録したFQDNやIPアドレスへの通信を、SWGを経由させずに接続する
利用者認証とログ誰がいつどこにアクセスしたかを記録する

Webサイトの評判や過去の観測結果を利用する評価をWebレピュテーションと呼ぶ。レピュテーション機能のスコアは、大きいほど安全な製品も、危険度が高いことを示す製品もある。数値の意味としきい値の方向は製品ごとに確認し、リストへの一致だけで遮断するサイトブロックと区別する。

マルウェア駆除機能という名称があっても、SWGが感染端末内のすべてのマルウェアを除去するという意味ではない。通信中のファイルを検査して止めることと、すでに感染したOSを修復することは別である。サンドボックスも観測できた振舞いを基に判断するため、すべての未知の攻撃を必ず検出できるわけではない。

ダイレクト通信によるSWGバイパスは、当該通信をSWGの検査経路から外す。社内向けなど必要な宛先に限定し、対象範囲と変更後の通信経路を確認する。

端末からSWGへの経路

クラウド型のSWGでは、端末にエージェントソフトを導入し、端末のローカルプロキシとして動作させて、Webの通信をSWGに中継させる方式が多い。エージェントは、SWGに接続するときに利用者を認証し、未認証の通信を遮断する。社内でも社外でも、端末のエージェントが同じように動くため、場所を問わずに同じポリシーが適用される。

導入時に考えること

項目内容
証明書HTTPSの検査のため、SWGのルート証明書を端末にインストールしておく
送信元アドレス送信元のIPアドレスで接続を制限しているSaaSなどは、SWGの出口のアドレス（企業ごとに割り当てられる固定のグローバルIPアドレスなど）を許可するように、設定を変更する
ファイアウォール社内の端末から、SWGへの通信（TCP/443など）を許可する
社内の宛先社内のサーバへの通信まで、インターネット上のSWGを経由させると遠回りになる。社内の宛先は直接接続のリストに登録する

SASEとの関係

SWGに、CASB（クラウドサービスの利用の可視化・制御）、ZTNA（ゼロトラストの考え方による社内システムへのアクセス）などを組み合わせて、クラウドでまとめて提供するものを SSE（Security Service Edge）、さらにSD-WANなどのネットワークの機能まで統合したものを SASE（Secure Access Service Edge）という。

参考資料

実際の試験ではここに出る！全1問

ネットワークスペシャリスト

午後Ⅰ

この用語が出てくる記事

↑