Blue Coat sowie das Ende des Supports für ProxySG: Migrationsplanung

Blue Coat ProxySG ist nun Broadcoms „Symantec Edge Secure Web Gateway “ (Edge SWG), auf dem das Betriebssystem SGOS läuft. Das Ende des Lebenszyklus wird je nach Softwareversion und Hardwaremodell festgelegt. SGOS 6.7 hat seit Ende 2023 das Ende des Lebenszyklus erreicht. Für SGOS 7.3 läuft der Zeitraum mit eingeschränktem Support von Broadcom bis Dezember 2026; danach wird von den Kunden erwartet, dass sie auf SGOS 7.4 umsteigen. Da in SGOS 7.4 die veraltete Java-Konsole und der Policy Manager entfernt wurden, erfordert sowohl der Verbleib bei dieser Version als auch ein Wechsel eine Anpassung der Art und Weise, wie Richtlinien verwaltet werden.

Der SGOS-Lebenszyklus auf einen Blick

Derzeit sind drei SGOS-Versionen von Bedeutung: 6.7 wird nicht mehr unterstützt, 7.3 wird bis Dezember 2026 in begrenztem Umfang unterstützt, und 7.4 ist die aktuelle Langzeitversion.

Quelle: Broadcom, „End of Life“ und Produktlebenszyklus für Edge SWG (ProxySG) und Advanced Secure Gateway sowie Dokumentation zum „End of Life“ von ProxySG. Broadcom weist darauf hin, dass Wartungsversionen zwischen Dezember 2024 und Ende Dezember 2026 genehmigte Ausnahmen für geringfügige Verbesserungen und Sicherheitsupdates enthalten können, und empfiehlt den Kunden, sich bei ihrem Broadcom-Team zu erkundigen.

Zugehörige Komponenten

• Hardware. Die Termine für das Ende der Wartung und das Ende der Lebensdauer sind modellspezifisch. Der Lebenszyklus-Artikel von Broadcom behandelt die Appliances SG-S200, SG-S400 und SG-S500, die Plattformen ASG-S200, ASG-S400 und ASG-S500, die Plattformen SSP-S210 und SSP-S410 sowie die virtuellen Appliances SG-VA. Überprüfen Sie die Daten für Ihr Modell in der PDF-Datei zum Lebenszyklus, die diesem Artikel beigefügt ist.
• Verwaltungstools. Broadcom gibt an, dass die Java-basierte Verwaltungskonsole in SGOS 7.4 und späteren Versionen nicht mehr verfügbar ist und dass auch das Java-VPM entfernt wurde. Frühere Versionen enthalten diese Komponenten zwar noch, erhalten jedoch keine Updates mehr (Broadcom).
• Web-Isolation vor Ort. Alle Versionen haben am 1. Januar 2024 das Ende ihrer Lebensdauer erreicht. Broadcom bietet die Browser-Isolation nun ausschließlich als Cloud-Dienst an (Broadcom).

So überprüfen Sie Ihre ProxySG-Version und den Status bezüglich des Endes der Lebensdauer

Überprüfen Sie den Status des Produktlebenszyklus, indem Sie die SGOS-Version und das Modell jedes Geräts notieren und beide Angaben mit dem Artikel von Broadcom zum Produktlebenszyklus abgleichen.

1. Ermitteln Sie Ihre SGOS-Version. Diese wird auf dem Dashboard der Management-Konsole oder der Admin-Konsole angezeigt; alternativ können Sie über die Befehlszeile den Befehl „show version“ ausführen.
2. Notieren Sie sich das Modell jeder Appliance. Notieren Sie das Modell jeder physischen und virtuellen Appliance, beispielsweise SSP-S410, SG-S500 oder SG-VA.
3. Sehen Sie sich die PDF-Datei zum Lebenszyklus an. Vergleichen Sie jede Version und jedes Modell mit dem Artikel von Broadcom zum Produktlebenszyklus, um die Termine für das Ende des Supports und das Ende der Lebensdauer zu ermitteln.
4. Führen Sie die abhängigen Komponenten auf. Dazu gehören das Management Center, die Inhaltsanalyse und das Sandboxing, die mit ICAP verbundene DLP, die Berichterstellung sowie etwaige Isolationsmaßnahmen vor Ort.

Was das Lebensende für einen secure web gateway

Mit dem Ende der Lebensdauer werden zunächst neue Funktionen entfernt, anschließend Fehlerbehebungen eingestellt und schließlich der Support für das Gerät eingestellt, das Ihren gesamten Webdatenverkehr überwacht.

• Keine neuen Funktionen. Für SGOS 7.3 wurden Ende 2024 keine neuen Funktionen mehr bereitgestellt.
• Eingeschränkte Fehlerbehebungen. Der Support konzentriert sich auf kritische und hochgradige Sicherheitslücken, und für die Behebung der Fehler ist unter Umständen ein Upgrade auf Version 7.4 erforderlich.
• Nach dem Schließen des Fensters gibt es keinen Support-Weg mehr. Nicht unterstützte Software auf dem Gerät, die Ihren gesamten Webdatenverkehr überwacht, stellt ein erhebliches Sicherheitsrisiko dar.
• Fragen zu Audits und Versicherungen. Der Betrieb einer nicht unterstützten Gateway-Infrastruktur lässt sich bei Compliance-Audits und bei der Prüfung von Cyberversicherungen nur schwer rechtfertigen.

Der Haken an der Devise „Einfach aktualisieren“

Durch ein Upgrade auf SGOS 7.4 bleibt der Support gewährleistet, jedoch werden die Java-Konsole und VPM entfernt, sodass dennoch eine Änderung der Richtlinien und Arbeitsabläufe erforderlich ist.

Die naheliegende Reaktion auf das Ende des Supportzyklus von SGOS 7.3 ist ein Upgrade auf Version 7.4. Dabei handelt es sich jedoch nicht um einen einfachen, eins-zu-eins-Wechsel. Mit SGOS 7.4 entfallen die Java-basierte Management-Konsole und das Java-VPM, die viele Teams seit Jahren nutzen, und Broadcom verweist Administratoren stattdessen auf die Edge SWG Admin-Konsole und das Web-VPM.

In der Praxis bedeutet dies, dass ein Verbleib bei „ Blue Coat “ nach wie vor die Einführung einer neuen Konsole, die Umschulung von Administratoren und die erneute Validierung von Richtlinien erfordert. Sobald diese Arbeiten unvermeidbar sind, lautet die eigentliche Entscheidung: Soll dies auf der aktuellen Plattform erfolgen oder auf einem Gateway, das für den hybriden Einsatz, integrierten Datenschutz und den Datenverkehr im Zeitalter der KI ausgelegt ist?

Ihre beiden Möglichkeiten

Sie können entweder ein Upgrade auf SGOS 7.4 vor Ort durchführen oder auf ein neues Gateway umsteigen; in beiden Fällen sind Anpassungen an den Richtlinien erforderlich.

Upgrade vor Ort. Führen Sie ein Upgrade auf SGOS 7.4 durch und ersetzen Sie alle Hardwarekomponenten, deren Lebensdauer abgelaufen ist. Auf diese Weise bleibt der Support für Sie gewährleistet; allerdings sind weiterhin die Umstellung der Konsole und des VPM erforderlich, und Bedenken hinsichtlich Lizenzierung, Support oder der Roadmap werden dadurch nicht ausgeräumt. Am nächsten Meilenstein des Lebenszyklus stehen Sie erneut vor derselben Entscheidung.

Modernisieren Sie Ihre Infrastruktur. Ersetzen Sie ProxySG durch ein Gateway, das dort, wo Sie es benötigen, vor Ort installiert bleibt und bei Bedarf auf die Cloud erweitert werden kann. Informationen zu den Bewertungskriterien finden Sie unter „Blue Coat -Alternativen und Ersatz für ProxySG “.

Ein Migrationsplan für das 4. Quartal 2026

Da das Zeitfenster für SGOS 7.3 Ende Dezember 2026 abläuft, sieht ein realistischer Plan für das vierte Quartal eine parallele Einführung in etwa zehn Wochen vor:

Wochen 1 bis 2: Entscheiden Sie sich. Legen Sie Versionen und Modelle fest, erstellen Sie eine Liste der Abhängigkeiten und entscheiden Sie sich zwischen einem Upgrade vor Ort und einer Modernisierung. Im Falle einer Modernisierung prüfen Sie, ob Ihre aktuelle 7.3-Bereitstellung ein Überbrückungs-Upgrade oder eine Support-Vereinbarung benötigt, während das neue Gateway bereitgestellt wird.

Wochen 3 bis 6: Bestandsaufnahme und Konzeption. Erfassen Sie die CPL- und VPM-Richtlinien, Authentifizierungsbereiche (SAML, Kerberos/IWA), Ausnahmen bei der TLS-Prüfung, ICAP- und DLP-Integrationen sowie die Proxy-Verkettung vor- und nachgelagert. Ordnen Sie Datensouveränitätszonen und OT-Umgebungen zu, die eine lokale Überprüfung erfordern.

Wochen 6 bis 10: Parallele Bereitstellung. Richten Sie das neue Gateway neben ProxySG ein. Importieren und überprüfen Sie die Richtlinienvorlagen. Leiten Sie den Datenverkehr einer Pilotgruppe um und vergleichen Sie das Verhalten.

Ab Woche 10: Führen Sie die Umstellung schrittweise durch. Übertragen Sie Benutzer und Standorte in mehreren Phasen, nachdem die Richtlinien akzeptiert und ein Rollback-Plan getestet wurde. Nehmen Sie ProxySG anschließend außer Betrieb, sobald der Datenverkehr vollständig umgestellt ist und die vereinbarte Rollback-Frist abgelaufen ist.

Größere Unternehmen führen die Bereitstellung und Einführung in der Regel parallel über einen Zeitraum von sechs bis zwölf Monaten durch. Bis zum Jahresende besteht die Priorität darin, nicht mehr unterstützte Software außer Betrieb zu nehmen, sei es durch ein Upgrade oder durch die Verlagerung des Produktionsdatenverkehrs auf die Ersatzlösung.

Was die Migration von „ Blue Coat “ zu „Skyhigh“ umfasst

Die Migration von „ Blue Coat “ zu „Skyhigh“ ist ein begleiteter, sechsphasiger Prozess, bei dem die CPL-Richtlinien übernommen und anhand des parallelen Datenverkehrs validiert werden.

Richtlinien werden nicht als blinde Dateikonvertierung zwischen Proxy-Engines übertragen. Skyhigh wandelt bestehende CPL-Dateien in seiner einheitlichen Richtlinienkonsole im Rahmen eines validierten Importprozesses um: Die Regeln werden importiert, überprüft und vor der Umstellung anhand von Parallelverkehr getestet. Dies ist zudem die beste Gelegenheit für Sie, seit Jahren ungenutzte Regeln aus dem Verkehr zu ziehen.

1. Bestandsaufnahme und Erfassung. Erfassen Sie Geräte, SGOS-Versionen, Datenverkehrsaufkommen, Benutzerzahlen, Authentifizierungsbereiche, ICAP- und DLP-Integrationen sowie Proxy-Verkettungen. Exportieren Sie die aktuellen CPL- und VPM-Richtlinien als maßgebliche Quelle.
2. Import und Validierung von Richtlinien. Übertragen Sie Regeln, Kategorien und Ausnahmen in die Richtlinien-Engine von Skyhigh und entfernen Sie dabei Regeln, die nicht mehr zutreffen.
3. Bereitstellung und Datenverkehrssteuerung. Stellen Sie Skyhigh SWG vor Ort, in einer Hybridumgebung oder in der Cloud bereit und steuern Sie den Datenverkehr mithilfe von expliziten Proxy- oder PAC-Dateien, dem Skyhigh-Client, agentenlosen Secure-Browser-Kontrollen oder IPsec- und GRE-Tunneln.
4. Pilot- und Parallelbetrieb. Überprüfen Sie die Richtlinienübereinstimmung und proben Sie das Rollback mit einer Testgruppe, während ProxySG weiterhin den Produktionsbetrieb aufrechterhält.
5. Schrittweise Umstellung. Migrieren Sie Benutzer und Websites in mehreren Phasen und überwachen Sie dabei den blockierten Datenverkehr sowie Fehlalarme.
6. Außerbetriebnahme. Nehmen Sie ProxySG außer Betrieb, sobald der Datenverkehr vollständig umgestellt ist.

Siehe „Secure Web Gateway -Migration: Checkliste für die Umstellung und den Rollback“.

Häufige Bedenken im Zusammenhang mit der Migration

Bei jeder ProxySG-Migration müssen fünf Bereiche ausdrücklich berücksichtigt werden: Authentifizierung, TLS-Überwachung, Datenverkehrssteuerung, ICAP und DLP sowie Koexistenz.

• Authentifizierung. Ordnen Sie vorhandene Bereiche (SAML, Kerberos/IWA oder Client-Proxy-Identität) zu, damit sich benutzer- und gruppenbasierte Richtlinien einheitlich verhalten.
• TLS-Überwachung. Erneuern und verteilen Sie die Zertifizierungsstelle für die Überprüfung sowie die Ausnahmen für die Port-Entschlüsselung und die Vertrauenswürdigkeit.
• Verkehrssteuerung. Wählen Sie je nach Standort: expliziter Proxy oder PAC für verwaltete Netzwerke, Browsersteuerung für den Zugriff auf SaaS- und KI-Tools, den Skyhigh-Client für Benutzer im Roaming sowie Tunnel für Zweigstellen.
• ICAP und DLP. Der Datenschutz wird über die Skyhigh-Cloud gemäß derselben Richtlinie umgesetzt, sodass eine ICAP-Kette durch eine in der Cloud durchgeführte Überprüfung anstelle einer lokalen Engine ersetzt wird. Bitte überprüfen Sie im Rahmen der Bewertung, ob dieser Ansatz Ihren Anforderungen an die Datenspeicherung entspricht. Die Übergabe an DLP-Lösungen von Drittanbietern wird im Rahmen der Bewertung abgebildet.
• Koexistenz. Durch einen parallelen Betrieb kann ProxySG weiterhin den Produktionsbetrieb gewährleisten, während die Skyhigh-Richtlinie überprüft wird.

Was Sie behalten und was Sie gewinnen

Sie behalten Ihr Bereitstellungsmodell und Ihre Investitionen in Sicherheitsrichtlinien bei und profitieren gleichzeitig von einer Inline-Bedrohungsprüfung, integriertem Datenschutz sowie einem Weg zur vollständigen SSE.

Sie behalten Ihr Bereitstellungsmodell bei. Skyhigh SWG lässt sich vor Ort, in einer Hybridumgebung oder in der Cloud betreiben. So kann eine vor Ort betriebene ProxySG-Umgebung zu einer vor Ort betriebenen Skyhigh-Gateway-Umgebung werden, wobei Datenschutz und Isolierung über die Skyhigh-Cloud gewährleistet werden, und Sie können nach Ihrem eigenen Zeitplan schrittweise weiter in Richtung Cloud voranschreiten. Ihre Investitionen in Richtlinien bleiben erhalten, werden übernommen und validiert.

Über das Gateway erhalten Sie „Gateway Anti-Malware“ mit Inline-Prüfung in Echtzeit, lokalen Zero-Trust-Zugriff, agentenlose Secure-Browser-Kontrollen mit WebSocket-fähiger Prüfung sowie Anwendungstransparenz. Über die Skyhigh-Cloud erhalten Sie unter derselben Richtlinie Datenschutz für das Web, SaaS, private Anwendungen, Endgeräte und KI-Tools, „ remote browser isolation “, Emulations-Sandboxing und UEBA, die auf den vom Gateway weitergeleiteten Datenverkehr angewendet werden. Eine einzige Konsole vereint SWG, CASB, ZTNA und DSPM über das Skyhigh Hybrid SSE Mesh.

Im Rahmen des Modernisierungsprogramms „Blue Coat “ werden die verbleibenden Investitionsmittel von Broadcom für die Umstellung verwendet, sodass die Mittel, die ursprünglich für eine weitere Erneuerung der Geräte vorgesehen waren, nun stattdessen für die Umstellung eingesetzt werden.

Quellen

1. Broadcom. Ende der Unterstützung und Produktlebenszyklus für Edge SWG (ProxySG) und Advanced Secure Gateway (KB 151102). https://knowledge.broadcom.com/external/article/151102/end-of-life-and-product-lifecycle-for-pr.html
2. Broadcom. Dokumentation zum Ende des Lebenszyklus von ProxySG. https://techdocs.broadcom.com/us/en/symantec-security-software/web-and-network-security/edge-swg/legacy/documentation-for-end-of-life-proxysg.html
3. Broadcom. Wechseln Sie zur Edge SWG (ProxySG) Admin Console (SGAC) (KB 251426). https://knowledge.broadcom.com/external/article/251426/switch-to-the-edge-swg-proxysg-admin-con.html
4. Broadcom. FAQ zum Produktende (EOL) von „Web Isolation On-premises“ (KB 215429). https://knowledge.broadcom.com/external/article/215429/web-isolation-onpremises-eol-faq.html
5. Broadcom. Empfohlene stabile SGOS-Versionen für Edge SWG (ProxySG) und ASG (KB 169724). https://knowledge.broadcom.com/external/article/169724/recommended-stable-releases-for-proxysg.html
6. Skyhigh Security. „Modernisierung Ihrer Symantec Edge- Secure Web Gateway s mit Skyhigh Hybrid SSE Mesh“ (15. Juli 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
7. Skyhigh Security. Modernisierung von Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html