Gateway Web Aman Berbasis Awan vs. On-Premises
- Perbedaan utama antara gerbang web aman berbasis cloud dan yang diinstal di lokasi terletak pada tempat di mana lalu lintas data didekripsi dan diperiksa.
- SWG berbasis cloud cocok untuk pengguna jarak jauh dan layanan SaaS; sedangkan SWG yang dipasang di lokasi cocok untuk lalu lintas yang diatur, internal, dan OT.
- Latensi, kedaulatan, ketahanan, dan biaya per volume jauh lebih penting daripada daftar fitur yang semakin mirip satu sama lain.
- secure web gateway hibrida memeriksa setiap pengguna dan situs pada titik yang paling tepat berdasarkan satu kebijakan.
- Menjalankan kedua model tersebut tanpa mesin kebijakan bersama akan menyebabkan ketidaksesuaian antara pengguna di kantor dan pengguna jarak jauh.
secure web gateway (SWG) on-premises adalah perangkat proxy—baik fisik maupun virtual—yang beroperasi di pusat data atau cabang Anda sendiri dan memeriksa lalu lintas web secara lokal. secure web gateway berbasis cloud menjalankan fungsi yang sama dari titik kehadiran (point of presence) penyedia layanan. Kini, banyak organisasi membutuhkan keduanya; itulah sebabnya arsitektur SWG hibrida telah menjadi pilihan umum bagi perusahaan yang tunduk pada regulasi.
Artikel ini merupakan bagian dari panduan Keamanan Hybrid Cloud.
Apa yang Dilakukan oleh Seorang Ahli Pemasaran Digital ( secure web gateway )
Sebuah sistem manajemen akses jaringan ( secure web gateway ) ditempatkan di antara pengguna dan internet untuk memblokir ancaman, menegakkan kebijakan penggunaan yang wajar, dan mencegah kehilangan data, di mana pun sistem tersebut dijalankan.
Biasanya, hal ini mencakup:
- Penyaringan URL dan kategori
- Dekripsi dan pemeriksaan TLS
- Pemindaian malware, sandboxing, dan pengalihan otomatis ( remote browser isolation ) untuk situs berisiko
- Data loss prevention untuk pengunggahan dan pengiriman formulir
- Visibilitas dan kendali atas aplikasi berbasis cloud
- Pencatatan untuk keperluan penyelidikan dan kepatuhan
NIST SP 800-215 mencantumkan SWG sebagai salah satu solusi keamanan titik yang dipadukan oleh jaringan perusahaan modern dengan ZTNA, CASB, dan pengendalian lainnya seiring dengan menghilangnya batas perimeter tradisional.
SWG Berbasis Awan vs. SWG Lokal: Perbandingan Langsung
Perbedaan utama antara SWG berbasis cloud dan SWG on-premises terletak pada di mana proses pemeriksaan dilakukan dan siapa yang bertanggung jawab atas pengoperasiannya.
| Faktor | Cloud SWG | SWG di lokasi |
|---|---|---|
| Lokasi pemeriksaan | Titik kehadiran vendor | Pusat data dan cabang Anda |
| Paling cocok untuk | Pengguna jarak jauh dan pengguna seluler, lalu lintas langsung ke SaaS | Pengguna di kantor, pabrik, dan pusat data; lalu lintas internal |
| Latensi | Tergantung pada jarak ke titik kehadiran terdekat | Penambahan hop minimal untuk pengguna di lokasi |
| Di mana data yang telah didekripsi berada | Infrastruktur vendor | Infrastruktur Anda |
| Lokasi log | Wilayah yang dipilih oleh vendor atau yang dapat dikonfigurasi | Di mana pun Anda menyimpannya |
| Ketergantungan pada konektivitas eksternal | Wajib | Tidak diperlukan untuk inspeksi lokal yang didukung; layanan berbasis cloud memerlukan konektivitas |
| Perencanaan kapasitas | Tanggung jawab vendor | Tanggung jawab Anda |
| Upaya operasional | Upaya yang lebih sedikit dalam hal perangkat keras; kebijakan dan pengecualian tetap berada di tangan Anda | Siklus hidup perangkat keras, penerapan patch, dan penskalaan ada di tangan Anda |
| Model biaya | Per pengguna atau berdasarkan penggunaan, dapat disesuaikan dengan jumlah pengguna | Perangkat keras dan lisensi, dapat disesuaikan dengan kapasitas pemrosesan |
| Jaringan yang terisolasi secara fisik | Tidak cocok | Hanya jika didukung secara eksplisit dan semua ketergantungan telah dipenuhi |
Lokasi pemeriksaan
Lokasi pemeriksaan menentukan siapa yang menangani konten yang telah didekripsi.
Untuk banyak kelas lalu lintas, SWG berbasis cloud yang dilengkapi dengan kontrol dan sertifikasi yang sesuai dapat memenuhi persyaratan. Untuk muatan yang diatur, pemeriksaan lokal mungkin dapat mengurangi pemrosesan eksternal, namun pertimbangkan layanan yang diteruskan, pencatatan, bukti, akses, serta persyaratan yang berlaku sebelum menentukan lokasi pemeriksaan.
Panduan NSA mengenai pengelolaan risiko dari inspeksi TLS merekomendasikan agar inspeksi TLS dilakukan satu kali saja, di dalam jaringan perusahaan, serta menghindari rantai proxy yang masing-masing mendekripsi lalu lintas yang sama. Desain hibrida harus memastikan bahwa suatu aliran data didekripsi oleh gateway lokal atau gateway cloud, bukan keduanya. Lihat “Inspeksi TLS Lokal vs. Cloud: Pertimbangan Penerapan”.
Latensi dan pengalaman pengguna
Latensi bergantung pada rute yang sebenarnya, jarak titik kehadiran, kapasitas gerbang, dan beban pemeriksaan.
Bagi pengguna jarak jauh, SWG berbasis cloud dapat meningkatkan pengalaman dengan menghilangkan koneksi backhaul VPN ke kantor pusat. Bagi pengguna di lokasi, inspeksi lokal dapat menghindari jalur transit berbasis cloud, sementara inspeksi berbasis cloud mungkin tetap sesuai dengan tujuan dan desain jaringan. Ukur perbedaannya untuk:
- Aplikasi real-time seperti platform suara, video, dan perdagangan
- Pengiriman berkas berukuran besar dan pembaruan perangkat lunak
- Lokasi yang jauh dari titik kehadiran terdekat penyedia layanan
- Sistem OT dan sistem industri dengan persyaratan waktu yang ketat
Pengendalian kebijakan
Kedua model tersebut menerapkan kebijakan yang terperinci; pertanyaan sebenarnya adalah apakah gateway cloud dan gateway di lokasi menggunakan kebijakan yang sama.
Organisasi yang mengoperasikan armada perangkat lama bersamaan dengan layanan cloud terpisah sering kali mengelola dua set aturan, dua set pengecualian, dan dua konfigurasi DLP. Seiring berjalannya waktu, seorang pengguna di kantor dan pengguna yang sama saat berada di rumah diperlakukan secara berbeda, dan tidak ada yang menyadarinya hingga terjadi audit atau insiden.
SWG hibrida dengan manajemen kebijakan terpadu memungkinkan tim untuk menetapkan aturan sekali saja dan menerapkannya di setiap gateway. Skyhigh SWG for Hybrid, misalnya, mendukung manajemen kebijakan terpadu di seluruh titik penerapan baik di lokasi (on-premises) maupun di cloud, dengan kebijakan yang dibuat sekali saja melalui konsol cloud.
Upaya operasional
SWG berbasis cloud memang mengurangi beban kerja terkait perangkat keras, namun pengelolaan kebijakan, pengecualian, dan sertifikat tetap menjadi tanggung jawab tim Anda dalam kedua model tersebut.
SWG berbasis cloud menghilangkan kebutuhan akan pengadaan perangkat keras, perencanaan kapasitas, dan penerapan patch pada perangkat. Namun, hal tersebut tidak menghilangkan tugas perancangan kebijakan, penanganan pengecualian, pengelolaan sertifikat, atau penyaringan insiden. Tugas-tugas tersebut tetap menjadi tanggung jawab tim Anda, baik dalam model mana pun.
SWG yang dipasang di lokasi memerlukan manajemen siklus hidup: pembaruan perangkat keras, peningkatan sistem operasi, dan penyesuaian kapasitas untuk menanggapi pertumbuhan lalu lintas. Perangkat virtual dan berbasis kontainer dapat mengurangi sebagian upaya tersebut. Perubahan platform vendor dapat menimbulkan biaya operasional yang tidak terduga. Pelanggan Symantec Edge SWG (sebelumny Blue Coat ProxySG), misalnya, menghadapi penghentian dukungan SGOS 7.3 dan penghapusan konsol manajemen berbasis Java pada SGOS 7.4. Lihat "Blue Coat " dan "ProxySG End of Life: Migration Planning".
Ketangguhan
SWG yang dipasang di lokasi terus melakukan pemeriksaan saat konektivitas eksternal terputus, sedangkan SWG berbasis cloud bergantung pada vendor dan jalur jaringan menuju SWG tersebut.
SWG berbasis cloud bergantung pada konektivitas ke penyedia layanan dan ketersediaan penyedia tersebut. Sebagian besar organisasi menerima hal ini untuk pengguna jarak jauh. Namun, bagi pabrik, rumah sakit, ruang perdagangan, atau fasilitas pemerintah, hilangnya fungsi inspeksi web atau kegagalan dalam membuka akses selama gangguan mungkin tidak dapat diterima. Gateway di lokasi tetap melakukan inspeksi lalu lintas web secara lokal ketika koneksi eksternal terputus. Layanan yang bergantung pada cloud vendor, seperti perlindungan data dan remote browser isolation, tidak akan tersedia hingga koneksi pulih. Lihat Ketahanan SSE Hibrida: Failover dan Pemulihan.
Persyaratan migrasi
Setiap migrasi SWG, baik antar model maupun antar vendor, melibatkan enam langkah yang sama:
- Kebijakan inventaris saat ini, pengecualian, ranah otentikasi, serta integrasi seperti ICAP dan DLP.
- Tentukan pengguna dan situs mana saja yang akan dipindahkan ke titik penegakan mana.
- Mengaktifkan kembali pengalihan lalu lintas: proxy eksplisit atau berkas PAC, agen, terowongan, atau pengaturan peramban.
- Terbitkan kembali dan sebarkan otoritas sertifikat pemeriksaan TLS.
- Laksanakan secara paralel dengan kelompok percontohan sebelum peralihan sistem.
- Lakukan migrasi secara bertahap dengan rencana pemulihan yang telah teruji.
Lihat Daftar Periksa MigrasiSecure Web Gateway : Cutover dan Rollback.
Model mana yang tepat untuk Anda?
Pilihlah berdasarkan lokasi pengguna, aplikasi, dan data yang diatur, bukan berdasarkan daftar fitur.
Pilihlah solusi berbasis cloud sebagai pilihan utama jika sebagian besar pengguna bekerja dari jarak jauh, sebagian besar aplikasi bersifat SaaS, dan tidak ada peraturan atau kontrak yang mewajibkan pemrosesan lalu lintas yang telah didekripsi secara lokal.
Pilihlah opsi "on premises" sebagai prioritas utama apabila diperlukan pemrosesan lokal atau kelangsungan operasional untuk lalu lintas data tertentu. Untuk lingkungan yang terisolasi secara fisik (air-gapped), rahasia, atau OT, pastikan adanya dukungan produk yang eksplisit serta periksa setiap ketergantungan terkait manajemen, identitas, pembaruan, lisensi, dan inspeksi.
Pilihlah model hybrid jika Anda memiliki campuran pengguna di kantor dan pengguna jarak jauh, data yang diatur bersama dengan lalu lintas umum, atau infrastruktur gateway di lokasi yang sudah ada yang ingin Anda modernisasi tanpa harus pindah ke cloud. Hal ini menggambarkan sebagian besar perusahaan besar di industri yang diatur.
Hibrida secure web gateway
SWG hibrida menggabungkan perangkat di lokasi (on-premises) dan titik kehadiran (PoP) di cloud di bawah satu mesin kebijakan, satu konsol, dan satu set log.
Lalu lintas di kantor diperiksa secara lokal, lalu lintas jarak jauh di cloud, dan lalu lintas yang diatur di mana pun kebijakan mengharuskannya.
Skyhigh Hybrid SSE Mesh memperluas cakupan model ini melampaui gerbang web, dengan menambahkan ZTNA lokal, Kontrol Peramban Aman, serta CASB, DSPM, DLP, dan RBI berbasis cloud di bawah kebijakan yang sama.
Sumber
- NIST. SP 800-215: Panduan untuk Lingkungan Jaringan Perusahaan yang Aman (November 2022). https://csrc.nist.gov/pubs/sp/800/215/final
- NSA. Mengelola Risiko dari Pemeriksaan Keamanan Lapisan Transportasi (November 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security. Secure Web Gateway untuk Hybrid. https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
- Skyhigh Security. “Skyhigh Security Menduduki Peringkat #1 dalam Kategori Kasus Penggunaan SSE Tingkat Lanjut dalam Laporan Gartner ‘ Critical Capabilities ’ Tahun 2026 untuk ‘ Security Service Edge’” (5 Agustus 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Broadcom. Penghentian dukungan dan siklus hidup produk untuk Edge SWG (ProxySG) dan Advanced Secure Gateway (KB 151102). https://knowledge.broadcom.com/external/article/151102/end-of-life-and-product-lifecycle-for-pr.html