Passerelles Web sécurisées : cloud ou sur site ?
- Les passerelles Web sécurisées dans le cloud et sur site se distinguent principalement par l'endroit où le trafic est déchiffré et inspecté.
- Les SWG dans le cloud conviennent aux utilisateurs distants et aux solutions SaaS ; les SWG sur site conviennent au trafic réglementé, interne et OT.
- La latence, la souveraineté, la résilience et le coût à grande échelle sont plus importants que des listes de fonctionnalités de plus en plus similaires.
- Une architecture hybride secure web gateway examine chaque utilisateur et chaque site au point le plus approprié, dans le cadre d'une politique unique.
- L'exécution des deux modèles sans moteur de stratégie commun entraîne un décalage entre les utilisateurs au bureau et ceux travaillant à distance.
Un « secure web gateway » sur site est un dispositif proxy, physique ou virtuel, qui fonctionne dans votre propre centre de données ou succursale et analyse le trafic Web localement. Un « secure web gateway » dans le cloud remplit la même fonction à partir des points de présence du fournisseur. De nombreuses organisations ont désormais besoin des deux, ce qui explique pourquoi l’architecture SWG hybride est devenue courante pour les entreprises soumises à une réglementation.
Cet article fait partie du guide consacré à la sécurité du cloud hybride.
Le rôle d'un « secure web gateway »
Un « secure web gateway » s'interpose entre les utilisateurs et Internet afin de bloquer les menaces, de faire respecter les règles d'utilisation et de prévenir la perte de données, quel que soit l'endroit où il est déployé.
Il propose généralement :
- Filtrage par URL et par catégorie
- Déchiffrement et inspection TLS
- Analyse des logiciels malveillants, environnement de test isolé et « remote browser isolation » pour les sites à risque
- Data loss prevention pour les téléchargements et les envois de formulaires
- Visibilité et contrôle des applications dans le cloud
- Enregistrement des données à des fins d'enquête et de conformité
La norme NIST SP 800-215 classe les SWG parmi les solutions de sécurité ponctuelles que les réseaux d'entreprise modernes associent au ZTNA, au CASB et à d'autres contrôles, à mesure que le périmètre traditionnel disparaît.
SWG dans le cloud ou sur site : comparaison côte à côte
La principale différence entre les SWG dans le cloud et ceux sur site réside dans le lieu où s'effectue l'inspection et dans l'identité de la personne chargée de la mettre en œuvre.
| Facteur | Groupe de travail sur les nuages | SWG sur site |
|---|---|---|
| Lieu d'inspection | Points de présence des fournisseurs | Vos centres de données et vos succursales |
| Idéal pour | Utilisateurs à distance et mobiles, trafic accédant directement aux services SaaS | Utilisateurs des bureaux, des sites de production et des centres de données ; trafic interne |
| Latence | Cela dépend de la distance par rapport au point de présence le plus proche | Ajout minimal de saut pour les utilisateurs sur site |
| Lorsque des données déchiffrées existent | Infrastructure du fournisseur | Votre infrastructure |
| Emplacement du fichier journal | Régions sélectionnées par le fournisseur ou configurables | Quel que soit l'endroit où vous le rangez |
| Dépendance vis-à-vis de la connectivité externe | Obligatoire | Non requis pour l'inspection locale prise en charge ; les services déployés dans le cloud nécessitent une connexion Internet |
| Planification des capacités | Responsabilité du fournisseur | Vos responsabilités |
| Effort d'exploitation | Moins d'efforts au niveau matériel ; vous conservez le contrôle des règles et des exceptions | La gestion du cycle de vie du matériel, l'application des correctifs et l'évolutivité sont entre vos mains |
| Modèle de coûts | Par utilisateur ou en fonction de la consommation, s'adapte au nombre d'utilisateurs | Matériel et licences : évolutifs en fonction du débit |
| Réseaux isolés physiquement | Ne convient pas | Uniquement lorsque cela est explicitement pris en charge et que toutes les dépendances sont prises en compte |
Lieu d'inspection
C'est le lieu d'inspection qui détermine qui gère le contenu déchiffré.
Pour de nombreuses catégories de trafic, un SWG en cloud doté des contrôles et des certifications appropriés peut répondre aux exigences. Pour les charges utiles réglementées, une inspection locale peut réduire le traitement externe ; toutefois, veuillez évaluer les services transférés, la journalisation, les preuves, l'accès et les exigences applicables avant de choisir le lieu d'inspection.
Les recommandations de la NSA concernant la gestion des risques liés à l'inspection TLS préconisent de n'effectuer cette inspection qu'une seule fois, au sein du réseau d'entreprise, et d'éviter les chaînes de proxys qui déchiffrent chacune le même trafic. Dans les architectures hybrides, il convient de veiller à ce qu'un flux donné soit déchiffré soit par la passerelle locale, soit par la passerelle cloud, mais pas par les deux. Voir « Inspection TLS locale ou cloud : compromis de déploiement ».
Latence et expérience utilisateur
La latence dépend de l'acheminement effectif, de la distance par rapport au point de présence, de la capacité de la passerelle et de la charge liée à l'inspection.
Pour les utilisateurs à distance, un SWG dans le cloud peut améliorer l'expérience en supprimant le backhaul VPN vers le siège social. Pour les utilisateurs sur site, l'inspection locale permet d'éviter un chemin de transit dans le cloud, même si l'inspection dans le cloud peut tout de même convenir en fonction de la destination et de la conception du réseau. Évaluez la différence pour :
- Les applications en temps réel telles que la voix, la vidéo et les plateformes de trading
- Transferts de fichiers volumineux et mises à jour logicielles
- Sites situés loin du point de présence le plus proche du fournisseur
- Systèmes OT et industriels soumis à des contraintes de synchronisation strictes
Contrôle des politiques
Ces deux modèles appliquent une politique granulaire ; la véritable question est de savoir si les passerelles cloud et sur site partagent une même politique.
Les organisations qui exploitent à la fois un parc d'appareils hérités et un service cloud distinct gèrent souvent deux jeux de règles, deux listes d'exceptions et deux configurations DLP. Au fil du temps, un utilisateur au bureau et ce même utilisateur à son domicile sont traités différemment, et personne ne s'en rend compte jusqu'à ce qu'un audit ou un incident survienne.
Un SWG hybride doté d'une gestion unifiée des politiques permet aux équipes de définir une règle une seule fois et de l'appliquer sur toutes les passerelles. Skyhigh SWG for Hybrid, par exemple, prend en charge la gestion unifiée des politiques sur l'ensemble des points d'application, qu'ils soient sur site ou dans le cloud, les politiques étant définies une seule fois dans la console cloud.
Effort d'exploitation
Les groupes de travail de sécurité (SWG) dans le cloud réduisent la charge de travail liée au matériel, mais la gestion des politiques, des exceptions et des certificats reste du ressort de votre équipe, quel que soit le modèle.
Les SWG dans le cloud vous dispensent de l'achat de matériel, de la planification des capacités et de l'application des correctifs aux appliances. En revanche, ils ne vous dispensent pas de la conception des politiques, de la gestion des exceptions, de la gestion des certificats ni du triage des incidents. Ces tâches restent à la charge de votre équipe, quel que soit le modèle retenu.
Les passerelles SWG sur site nécessitent une gestion du cycle de vie : renouvellement du matériel, mises à niveau du système d'exploitation et adaptation à la croissance du trafic. Les appliances virtuelles et conteneurisées réduisent en partie cet effort. Un changement de plateforme fournisseur peut entraîner des coûts d’exploitation imprévus. Les clients de Symantec Edge SWG (anciennement ProxySG d’ Blue Coat ), par exemple, sont confrontés à la fin de vie de SGOS 7.3 et à la suppression de la console de gestion basée sur Java dans SGOS 7.4. Voir « Blue Coat » et « Fin de vie de ProxySG : planification de la migration ».
Résilience
Les SWG sur site continuent d'effectuer des inspections même en cas de défaillance de la connectivité externe, tandis que les SWG dans le cloud dépendent du fournisseur et du chemin d'accès au réseau.
Un SWG dans le cloud dépend de la connectivité avec le fournisseur et de la disponibilité de ce dernier. La plupart des organisations acceptent cette situation pour les utilisateurs distants. En revanche, pour une usine, un hôpital, une salle des marchés ou un établissement public, la perte de l’inspection Web ou le passage en mode « fail-open » lors d’une panne peut s’avérer inacceptable. Les passerelles sur site continuent d’inspecter le trafic Web localement lorsque les liaisons externes sont interrompues. Les services qui dépendent du cloud du fournisseur, tels que la protection des données et l’ remote browser isolation, ne sont pas disponibles tant que la liaison n’est pas rétablie. Voir « Résilience SSE hybride : basculement et reprise ».
Conditions de migration
Chaque migration SWG, qu'elle porte sur un changement de modèle ou de fournisseur, comporte les six étapes suivantes :
- Répertoriez la politique en vigueur, les exceptions, les domaines d'authentification et les intégrations telles que l'ICAP et le DLP.
- Déterminez quels utilisateurs et quels sites doivent être transférés vers quel point d'application.
- Rétablir le routage du trafic : proxy explicite ou fichiers PAC, agents, tunnels ou contrôles du navigateur.
- Réémettez et diffusez l'autorité de certification d'inspection TLS.
- Mettez en place ce projet en parallèle avec un groupe pilote avant la mise en production.
- Procédez à la migration par étapes, en vous appuyant sur un plan de retour en arrière éprouvé.
Consultez la liste de contrôle « Migration versSecure Web Gateway : basculement et retour en arrière ».
Quel modèle vous convient le mieux ?
Faites votre choix en fonction de la localisation de vos utilisateurs, de vos applications et de vos données soumises à une réglementation, et non en fonction d'une liste de fonctionnalités.
Optez en priorité pour le cloud si la plupart des utilisateurs travaillent à distance, si la plupart des applications sont des solutions SaaS et si aucune réglementation ni aucun contrat n'impose le traitement local du trafic déchiffré.
Optez en priorité pour une solution sur site lorsque le traitement local ou la continuité de service sont requis pour un trafic spécifique. Pour les environnements isolés physiquement, classifiés ou OT, vérifiez la prise en charge explicite du produit ainsi que toutes les dépendances en matière de gestion, d'identité, de mise à jour, de licence et d'inspection.
Optez pour une solution hybride si vous comptez à la fois des utilisateurs au bureau et à distance, si vous gérez à la fois des données réglementées et du trafic général, ou si vous disposez d'un parc de passerelles sur site que vous souhaitez moderniser sans être contraint de migrer vers le cloud. C'est le cas de la plupart des grandes entreprises évoluant dans des secteurs réglementés.
L'hybride secure web gateway
Un SWG hybride associe des appliances sur site et des points de présence dans le cloud au sein d'un même moteur de règles, d'une même console et d'un même ensemble de journaux.
Le trafic au sein de l'entreprise est contrôlé sur site, le trafic à distance dans le cloud, et le trafic réglementé partout où la politique l'exige.
Skyhigh Hybrid SSE Mesh étend ce modèle au-delà des passerelles Web, en y ajoutant un accès ZTNA local, des contrôles de navigation sécurisés, ainsi que des solutions CASB, DSPM, DLP et RBI dans le cloud, le tout régi par une même politique.
Sources
- NIST. SP 800-215 : Guide pour un environnement réseau d'entreprise sécurisé (novembre 2022). https://csrc.nist.gov/pubs/sp/800/215/final
- NSA. Gestion des risques liés à l'inspection du protocole SSL (novembre 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security. Secure Web Gateway pour Hybrid. https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
- Skyhigh Security. «Skyhigh Security classé n° 1 dans la catégorie « Cas d’utilisation avancés du SSE » dans le rapport Gartner de 2026 intitulé « Critical Capabilities for Security Service Edge» (5 août 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Broadcom. Fin de vie et cycle de vie des produits Edge SWG (ProxySG) et Advanced Secure Gateway (KB 151102). https://knowledge.broadcom.com/external/article/151102/end-of-life-and-product-lifecycle-for-pr.html