بوابات الويب الآمنة السحابية مقابل بوابات الويب الآمنة المحلية

يُعد جهاز « secure web gateway » المحلي جهازًا وكيلًا، سواء كان ماديًا أو افتراضيًا، يعمل في مركز البيانات الخاص بك أو في أحد فروعك، ويقوم بفحص حركة مرور الويب محليًّا. أما جهاز « secure web gateway » السحابي، فيؤدي الوظيفة نفسها من نقاط تواجد المزود. وتحتاج العديد من المؤسسات حاليًّا إلى كلا النوعين، ولهذا السبب أصبح جهاز SWG الهجين بنية شائعة لدى المؤسسات الخاضعة للرقابة.

هذه المقالة جزء من دليل أمن السحابة الهجينة.

ما الذي يفعله « secure web gateway »؟

يتم وضع جهاز " secure web gateway " بين المستخدمين والإنترنت لحجب التهديدات، وفرض قواعد الاستخدام المقبول، ومنع فقدان البيانات، أينما كان يعمل.

وعادةً ما يوفر ما يلي:

• تصفية عناوين URL والفئات
• فك تشفير TLS وفحصه
• الفحص بحثًا عن البرامج الضارة، وتقنية "الصندوق الرملي"، ووظيفة "التصفح الآمن" ( remote browser isolation ) للمواقع الخطرة
• Data loss prevention لعمليات التحميل وإرسال النماذج
• الرؤية والتحكم في التطبيقات السحابية
• تسجيل البيانات لأغراض التحقيقات والامتثال

يُدرج معيار NIST SP 800-215 مجموعات العمل الخاصة (SWGs) ضمن حلول الأمان النقطية التي تجمعها شبكات المؤسسات الحديثة مع ZTNA وCASB وغيرها من الضوابط، مع تلاشي مفهوم الحماية التقليدية للمحيط الخارجي.

SWG السحابي مقابل SWG المحلي: مقارنة جنبًا إلى جنب

يكمن الاختلاف الرئيسي بين مجموعات التصفية (SWG) السحابية وتلك الموجودة محليًّا في المكان الذي تتم فيه عملية الفحص، ومن يتولى مسؤولية تشغيلها.

موقع التفتيش

يحدد موقع التفتيش الجهة التي تتولى التعامل مع المحتوى الذي تم فك تشفيره.

بالنسبة للعديد من فئات حركة المرور، يمكن أن يلبي جهاز SWG السحابي المزود بضوابط وشهادات مناسبة المتطلبات. أما بالنسبة للحمولات الخاضعة للتنظيم، فقد يقلل الفحص المحلي من الحاجة إلى المعالجة الخارجية، ولكن يجب تقييم الخدمات المُحوَّلة، والتسجيل، والأدلة، والوصول، والمتطلبات المعمول بها قبل اختيار موقع الفحص.

توصي إرشادات وكالة الأمن القومي (NSA) بشأن إدارة المخاطر الناجمة عن فحص TLS بإجراء فحص TLS مرة واحدة فقط، داخل شبكة المؤسسة، وتجنب سلاسل الوكلاء التي يقوم كل منها بفك تشفير نفس حركة المرور. يجب أن تضمن التصميمات الهجينة أن يتم فك تشفير تدفق معين إما بواسطة البوابة المحلية أو البوابة السحابية، وليس كليهما. انظر: «فحص TLS المحلي مقابل السحابي: المفاضلات في النشر».

الزمن المستغرق وتجربة المستخدم

يعتمد زمن الاستجابة على مسار التوجيه الفعلي، ومسافة نقطة التواجد، وسعة البوابة، وحجم عمليات الفحص.

بالنسبة للمستخدمين عن بُعد، يمكن أن يحسّن جهاز SWG السحابي تجربة المستخدم من خلال التخلص من الحاجة إلى اتصال VPN بالموقر الرئيسي. أما بالنسبة للمستخدمين في الموقع، فيمكن أن يؤدي الفحص المحلي إلى تجنب مسار العبور السحابي، في حين أن الفحص السحابي قد يظل مناسبًا للوجهة وتصميم الشبكة. قم بقياس الفرق في:

• التطبيقات التي تعمل في الوقت الفعلي، مثل تطبيقات الصوت والفيديو ومنصات التداول
• نقل الملفات الكبيرة وتحديثات البرامج
• المواقع البعيدة عن أقرب نقطة تواجد للبائع
• أنظمة التشغيل (OT) والأنظمة الصناعية ذات المتطلبات الزمنية الصارمة

التحكم في السياسات

يطبق كلا النموذجين سياسة دقيقة؛ والسؤال الحقيقي هو ما إذا كانت بوابات السحابة والبوابات المحلية تتشاركان في سياسة واحدة.

غالبًا ما تحتفظ المؤسسات التي تدير أسطولًا من الأجهزة القديمة جنبًا إلى جنب مع خدمة سحابية منفصلة بمجموعتين من القواعد، ومجموعتين من الاستثناءات، وتكوينين لنظام منع تسرب البيانات (DLP). ومع مرور الوقت، يُعامل المستخدم في المكتب ونفس المستخدم في المنزل معاملة مختلفة، ولا يلاحظ أحد ذلك حتى يتم إجراء تدقيق أو وقوع حادث.

يتيح جهاز SWG الهجين المزود بإدارة موحدة للسياسات للفرق تحديد القاعدة مرة واحدة وتطبيقها على كل بوابة. فعلى سبيل المثال، يدعم جهاز Skyhigh SWG for Hybrid الإدارة الموحدة للسياسات عبر نقاط التنفيذ المحلية والسحابية، حيث يتم وضع السياسة مرة واحدة في وحدة التحكم السحابية.

الجهد التشغيلي

تقلل مجموعات الـ SWG السحابية من عبء العمل المتعلق بالأجهزة، لكن وضع السياسات والاستثناءات وإدارة الشهادات تظل من مهام فريقك في كلا النموذجين.

تُغني حلول SWG السحابية عن الحاجة إلى شراء الأجهزة، وتخطيط السعة، وتطبيق التصحيحات على الأجهزة. لكنها لا تُغني عن تصميم السياسات، ومعالجة الاستثناءات، وإدارة الشهادات، أو تصنيف الحوادث. فهذه المهام تظل من اختصاص فريقك في كلا النموذجين.

تتطلب أجهزة SWG المحلية إدارة دورة الحياة: تحديث الأجهزة، وترقية أنظمة التشغيل، والتوسع لمواكبة نمو حركة المرور. تقلل الأجهزة الافتراضية والمُعبَّأة في حاويات من بعض هذا الجهد. وقد يؤدي تغيير منصة المورد إلى تكاليف تشغيل غير مخطط لها. فعلى سبيل المثال، يواجه عملاء Symantec Edge SWG (المعروف سابقًا باسم Blue Coat ProxySG) انتهاء دعم SGOS 7.3 وإزالة وحدة التحكم الإدارية القائمة على Java في SGOS 7.4. انظر Blue Coat و"انتهاء عمر ProxySG: تخطيط الترحيل".

المرونة

تستمر أجهزة SWG المثبتة محليًّا في إجراء الفحص عند انقطاع الاتصال الخارجي، بينما تعتمد أجهزة SWG السحابية على المزود ومسار الشبكة المؤدي إليها.

يعتمد جهاز فحص الويب السحابي (SWG) على الاتصال بالمزود وعلى توفر خدماته. وتقبل معظم المؤسسات ذلك بالنسبة للمستخدمين عن بُعد. أما بالنسبة للمصانع أو المستشفيات أو قاعات التداول أو المنشآت الحكومية، فقد يكون فقدان خدمة فحص الويب أو عدم فتح المواقع أثناء انقطاع الخدمة أمرًا غير مقبول. تستمر البوابات المحلية في فحص حركة مرور الويب محليًّا عند تعطل الروابط الخارجية. ولا تتوفر الخدمات التي تعتمد على سحابة المزود، مثل حماية البيانات و remote browser isolation ، حتى يتم استعادة المسار. راجع مرونة SSE الهجينة: التحويل التلقائي والاستعادة.

متطلبات الهجرة

تتضمن كل عملية ترحيل لنظام SWG، سواء بين الطرز أو بين الموردين، نفس الخطوات الست التالية:

1. السياسة الحالية للمخزون، والاستثناءات، ومجالات المصادقة، وعمليات التكامل مثل ICAP وDLP.
2. حدد المستخدمين والمواقع التي سيتم نقلها إلى كل نقطة تطبيق.
3. إعادة تفعيل توجيه حركة المرور: ملفات الوكيل الصريحة أو ملفات PAC، أو الوكلاء، أو الأنفاق، أو عناصر التحكم في المتصفح.
4. إعادة إصدار وتوزيع شهادة سلطة التصديق الخاصة بـ TLS.
5. تجربة التشغيل بالتوازي مع مجموعة تجريبية قبل الانتقال إلى النظام الجديد.
6. يتم الانتقال إلى النظام الجديد على مراحل مع وجود خطة تراجع مجربة.

انظر قائمة مراجعة عملية الترحيل إلىSecure Web Gateway : الانتقال والتراجع.

ما هو الطراز المناسب لك؟

اختر بناءً على مواقع المستخدمين والتطبيقات والبيانات الخاضعة للتنظيم، وليس بناءً على قوائم الميزات.

اختر الحل السحابي بشكل أساسي إذا كان معظم المستخدمين يعملون عن بُعد، وكانت معظم التطبيقات من نوع SaaS، ولم تكن هناك أي لوائح أو عقود تقتضي معالجة حركة المرور المفكوك تشفيرها محليًّا.

اختر الخيار «في الموقع» بشكل أساسي عندما تكون المعالجة المحلية أو استمرارية الخدمة مطلوبة لحركة مرور محددة. بالنسبة للبيئات المعزولة شبكيًّا أو السرية أو بيئات OT، تحقق من الدعم الصريح للمنتج ومن جميع متطلبات الإدارة والهوية والتحديث والترخيص والتفتيش.

اختر النموذج الهجين إذا كان لديك مزيج من المستخدمين في المكتب والمستخدمين عن بُعد، أو بيانات خاضعة للرقابة إلى جانب حركة المرور العامة، أو بنية بوابات محلية قائمة ترغب في تحديثها دون الاضطرار إلى الانتقال إلى السحابة. وينطبق هذا الوصف على معظم المؤسسات الكبيرة في القطاعات الخاضعة للرقابة.

السيارة الهجينة secure web gateway

يجمع جهاز التصفية الهجين (SWG) بين الأجهزة المحلية ونقاط التواجد السحابية تحت محرك سياسات واحد، ووحدة تحكم واحدة، ومجموعة واحدة من السجلات.

يتم فحص حركة المرور داخل المكتب محليًّا، وحركة المرور عن بُعد في السحابة، وحركة المرور الخاضعة للتنظيم حيثما تقتضي السياسة ذلك.

توسع منصة «Skyhigh Hybrid SSE Mesh» نطاق هذا النموذج ليتجاوز بوابات الويب، حيث تضيف ميزات ZTNA المحلية، وعناصر التحكم الآمنة في المتصفح، بالإضافة إلى حلول CASB وDSPM وDLP وRBI السحابية في إطار نفس السياسة.

المصادر

1. المعهد الوطني للمعايير والتقنية (NIST). SP 800-215: دليل لتصميم بيئة شبكات مؤسسية آمنة (نوفمبر 2022). https://csrc.nist.gov/pubs/sp/800/215/final
2. وكالة الأمن القومي (NSA). إدارة المخاطر الناجمة عن فحص بروتوكول أمان طبقة النقل (TLS) (نوفمبر 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
3. Skyhigh Security. Secure Web Gateway للسيارات الهجينة. https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
4. Skyhigh Security. «تصنيف "Skyhigh Security " في المرتبة الأولى ضمن فئة "حالات الاستخدام المتقدمة لـ SSE" في تقرير غارتنر لعام 2026 بعنوان " Critical Capabilities " الخاص بـ " Security Service Edge"» (5 أغسطس 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
5. Broadcom. انتهاء الدعم ودورة حياة المنتج لـ Edge SWG (ProxySG) و Advanced Secure Gateway (KB 151102). https://knowledge.broadcom.com/external/article/151102/end-of-life-and-product-lifecycle-for-pr.html