เกตเวย์เว็บที่ปลอดภัยแบบคลาวด์เทียบกับแบบติดตั้งในสถานที่
- ความแตกต่างหลักระหว่างเกตเวย์เว็บที่ปลอดภัยแบบคลาวด์และแบบติดตั้งในสถานที่ คือสถานที่ที่ข้อมูลการรับส่งถูกถอดรหัสและตรวจสอบ
- SWG บนคลาวด์เหมาะสำหรับผู้ใช้ระยะไกลและบริการ SaaS ส่วน SWG ที่ติดตั้งในสถานที่เหมาะสำหรับทราฟฟิกที่อยู่ภายใต้การกำกับดูแล ทราฟฟิกภายในองค์กร และทราฟฟิก OT
- ความล่าช้า ความเป็นอิสระ ความทนทาน และค่าใช้จ่ายเมื่อใช้ในปริมาณใหญ่ มีความสำคัญมากกว่าการมีรายการคุณสมบัติที่คล้ายกันมากขึ้นเรื่อยๆ
- secure web gateway แบบไฮบริดจะตรวจสอบผู้ใช้และเว็บไซต์แต่ละแห่งที่จุดที่เหมาะสมที่สุดภายใต้กฎนโยบายเดียว
- การดำเนินการทั้งสองโมเดลโดยไม่ใช้เครื่องยนต์นโยบายร่วมกัน จะก่อให้เกิดความแตกต่างระหว่างผู้ใช้ในสำนักงานและผู้ใช้จากระยะไกล
secure web gateway แบบติดตั้งในสถานที่ (on-premises) คืออุปกรณ์พร็อกซี (ทั้งแบบกายภาพและแบบเสมือน) ที่ทำงานในศูนย์ข้อมูลหรือสาขาของคุณเอง และตรวจสอบการจราจรบนเว็บแบบท้องถิ่น ส่วนsecure web gateway แบบคลาวด์ (cloud) ทำงานในหน้าที่เดียวกันจากจุดให้บริการของผู้จำหน่าย ปัจจุบันองค์กรหลายแห่งต้องการทั้งสองแบบ ซึ่งทำให้สถาปัตยกรรม SWG แบบไฮบริด (hybrid SWG) กลายเป็นสถาปัตยกรรมที่นิยมใช้กันในองค์กรที่อยู่ภายใต้การกำกับดูแล
บทความนี้เป็นส่วนหนึ่งของคู่มือความปลอดภัยของ Hybrid Cloud
secure web gateway ทำอะไรได้บ้าง
secure web gateway จะทำงานอยู่ระหว่างผู้ใช้กับอินเทอร์เน็ต เพื่อบล็อกภัยคุกคาม บังคับใช้กฎการใช้งานที่เหมาะสม และป้องกันการสูญเสียข้อมูล ไม่ว่าจะติดตั้งไว้ที่ใดก็ตาม
โดยทั่วไปแล้ว มันจะให้บริการ:
- การกรอง URL และหมวดหมู่
- การถอดรหัสและตรวจสอบ TLS
- การสแกนมัลแวร์ การใช้แซนด์บ็อกซ์ และremote browser isolation สำหรับเว็บไซต์ที่มีความเสี่ยง
- Data loss prevention สำหรับการอัปโหลดและส่งข้อมูลผ่านแบบฟอร์ม
- การมองเห็นและการควบคุมแอปพลิเคชันบนคลาวด์
- การบันทึกข้อมูลเพื่อการสอบสวนและการปฏิบัติตามกฎระเบียบ
NISTSP 800-215ระบุ SWGs เป็นหนึ่งในโซลูชันความปลอดภัยแบบจุดที่เครือข่ายองค์กรสมัยใหม่ใช้ร่วมกับ ZTNA, CASB และมาตรการควบคุมอื่นๆ เมื่อขอบเขตความปลอดภัยแบบดั้งเดิมเริ่มหายไป
SWG บนคลาวด์เทียบกับ SWG ในสถานที่: การเปรียบเทียบแบบเคียงข้างกัน
ความแตกต่างหลักระหว่าง SWG บนคลาวด์และ SWG ที่ติดตั้งในสถานที่คือสถานที่ที่การตรวจสอบเกิดขึ้น และผู้รับผิดชอบในการดำเนินการนั้นคือใคร
| ปัจจัย | เมฆ SWG | SWG ที่ติดตั้งในสถานที่ |
|---|---|---|
| สถานที่ตรวจสอบ | จุดให้บริการของผู้จำหน่าย | ศูนย์ข้อมูลและสาขาของคุณ |
| เหมาะที่สุดสำหรับ | ผู้ใช้จากระยะไกลและผู้ใช้บนอุปกรณ์เคลื่อนที่, การเข้าใช้งาน SaaS โดยตรง | ผู้ใช้ในสำนักงาน โรงงาน และศูนย์ข้อมูล; การส่งข้อมูลภายใน |
| ความล่าช้า | ขึ้นอยู่กับระยะทางไปยังจุดให้บริการที่ใกล้ที่สุด | เพิ่มฮอปน้อยที่สุดสำหรับผู้ใช้ในสถานที่ |
| ที่ใดที่มีข้อมูลที่ได้รับการถอดรหัส | โครงสร้างพื้นฐานของผู้จำหน่าย | โครงสร้างพื้นฐานของคุณ |
| บันทึกตำแหน่ง | พื้นที่ที่ผู้ขายเลือกหรือสามารถกำหนดได้ | ไม่ว่าคุณจะเก็บมันไว้ที่ไหน |
| ความพึ่งพาการเชื่อมต่อกับระบบภายนอก | จำเป็น | ไม่จำเป็นสำหรับการตรวจสอบในสถานที่ที่ได้รับการสนับสนุน; บริการที่ใช้ระบบคลาวด์จำเป็นต้องมีการเชื่อมต่ออินเทอร์เน็ต |
| การวางแผนความจุ | ความรับผิดชอบของผู้ขาย | ความรับผิดชอบของคุณ |
| ความพยายามในการดำเนินงาน | ลดความซับซ้อนในการจัดการฮาร์ดแวร์; นโยบายและข้อยกเว้นยังคงเป็นของคุณ | วงจรชีวิตของฮาร์ดแวร์ การติดตั้งแพตช์ และการขยายระบบ อยู่ในมือคุณ |
| แบบจำลองต้นทุน | ตามจำนวนผู้ใช้หรือตามปริมาณการใช้งาน, ขยายตามจำนวนผู้ใช้ | อุปกรณ์และใบอนุญาต สามารถปรับขนาดได้ตามปริมาณงาน |
| เครือข่ายที่แยกจากเครือข่ายภายนอก | ไม่เหมาะสม | เฉพาะในกรณีที่ได้รับการสนับสนุนอย่างชัดเจน และมีการจัดการกับทุกการพึ่งพาแล้ว |
สถานที่ตรวจสอบ
สถานที่ตรวจสอบจะกำหนดว่าใครจะเป็นผู้รับผิดชอบในการจัดการเนื้อหาที่ถอดรหัสแล้ว
สำหรับประเภทการจราจรหลายประเภท ระบบ SWG บนคลาวด์ที่มีกลไกควบคุมและใบรับรองที่เหมาะสมสามารถตอบสนองข้อกำหนดได้ สำหรับข้อมูลที่ได้รับการกำกับดูแล การตรวจสอบภายในระบบอาจช่วยลดการประมวลผลจากภายนอกได้ แต่ควรประเมินบริการที่ถูกส่งต่อ การบันทึกข้อมูล หลักฐาน การเข้าถึง และข้อกำหนดที่เกี่ยวข้องก่อนที่จะเลือกสถานที่ตรวจสอบ
แนวทางของ NSAเกี่ยวกับการจัดการความเสี่ยงจากการตรวจสอบ TLSแนะนำให้ดำเนินการตรวจสอบ TLS เพียงครั้งเดียวภายในเครือข่ายองค์กร และหลีกเลี่ยงการใช้โซ่พร็อกซีที่แต่ละตัวทำการถอดรหัสข้อมูลการสื่อสารเดียวกัน การออกแบบแบบไฮบริดควรรับรองว่าข้อมูลการสื่อสารแต่ละชุดจะถูกถอดรหัสโดยเกตเวย์ท้องถิ่นหรือเกตเวย์บนคลาวด์เท่านั้น ไม่ใช่ทั้งสองอย่าง ดูเพิ่มเติมที่“การตรวจสอบ TLS แบบท้องถิ่นเทียบกับแบบคลาวด์: ข้อได้เปรียบและข้อเสียในการปรับใช้”
ความล่าช้าและประสบการณ์ของผู้ใช้
ความล่าช้าขึ้นอยู่กับเส้นทางจริง ระยะทางจากจุดเชื่อมต่อ ความจุของเกตเวย์ และปริมาณการตรวจสอบ
สำหรับผู้ใช้ระยะไกล ระบบ SWG บนคลาวด์สามารถปรับปรุงประสบการณ์การใช้งานได้โดยการกำจัดเส้นทาง backhaul ของ VPN ไปยังสำนักงานใหญ่ ส่วนสำหรับผู้ใช้ในสถานที่ การตรวจสอบแบบท้องถิ่นสามารถหลีกเลี่ยงเส้นทางผ่านคลาวด์ได้ ในขณะที่การตรวจสอบบนคลาวด์อาจยังคงเหมาะสมกับจุดหมายปลายทางและการออกแบบเครือข่าย วัดความแตกต่างสำหรับ:
- แอปพลิเคชันแบบเรียลไทม์ เช่น ระบบเสียง วิดีโอ และแพลตฟอร์มการซื้อขาย
- การส่งไฟล์ขนาดใหญ่และการอัปเดตซอฟต์แวร์
- สถานที่ที่อยู่ห่างจากจุดให้บริการใกล้ที่สุดของผู้จำหน่าย
- ระบบ OT และระบบอุตสาหกรรมที่มีข้อกำหนดด้านเวลาที่เคร่งครัด
การควบคุมนโยบาย
ทั้งสองรุ่นนี้ต่างก็บังคับใช้นโยบายแบบละเอียด; คำถามที่แท้จริงคือว่าเกตเวย์บนคลาวด์และเกตเวย์ในสถานที่เดียวกันใช้นโยบายเดียวกันหรือไม่
องค์กรที่ใช้งานกลุ่มอุปกรณ์แบบดั้งเดิมควบคู่กับบริการคลาวด์ที่แยกต่างหาก มักต้องจัดการกับชุดกฎสองชุด ชุดข้อยกเว้นสองชุด และการตั้งค่า DLP สองชุด เมื่อเวลาผ่านไป ผู้ใช้ในสำนักงานและผู้ใช้คนเดียวกันเมื่ออยู่บ้านจะได้รับการปฏิบัติที่แตกต่างกัน และไม่มีใครสังเกตเห็นจนกระทั่งมีการตรวจสอบหรือเกิดเหตุการณ์
SWG แบบไฮบริดที่มีระบบการจัดการนโยบายแบบรวมศูนย์ช่วยให้ทีมสามารถกำหนดกฎเพียงครั้งเดียวและนำไปใช้กับทุกเกตเวย์ได้ ตัวอย่างเช่นSkyhigh SWG for Hybrid รองรับการจัดการนโยบายแบบรวมศูนย์ทั้งในจุดบังคับใช้ภายในองค์กรและบนคลาวด์ โดยสามารถกำหนดนโยบายเพียงครั้งเดียวผ่านคอนโซลบนคลาวด์
ความพยายามในการดำเนินงาน
กลุ่มงานซอฟต์แวร์บนคลาวด์ (Cloud SWGs) ช่วยลดภาระงานด้านฮาร์ดแวร์ แต่การกำหนดนโยบาย การจัดการข้อยกเว้น และการจัดการใบรับรอง ยังคงเป็นหน้าที่ของทีมคุณในทั้งสองรูปแบบ
กลุ่มงานซอฟต์แวร์บนคลาวด์ (Cloud SWGs) ช่วยลดภาระในการจัดซื้ออุปกรณ์ฮาร์ดแวร์ การวางแผนความจุ และการอัปเดตแพตช์สำหรับอุปกรณ์ แต่ไม่ได้ช่วยลดภาระในการออกแบบนโยบาย การจัดการกรณีข้อยกเว้น การจัดการใบรับรอง หรือการประเมินระดับความรุนแรงของเหตุการณ์ ซึ่งงานเหล่านี้ยังคงเป็นหน้าที่ของทีมคุณในทั้งสองรูปแบบ
SWG ที่ติดตั้งในสถานที่ต้องมีการจัดการวงจรชีวิต: การอัปเดตอุปกรณ์ฮาร์ดแวร์ การอัปเกรดระบบปฏิบัติการ และการปรับขนาดเพื่อรองรับการเติบโตของปริมาณการรับส่งข้อมูล อุปกรณ์เสมือนและอุปกรณ์ในคอนเทนเนอร์ช่วยลดความพยายามดังกล่าวได้บางส่วน การเปลี่ยนแพลตฟอร์มของผู้จำหน่ายอาจก่อให้เกิดค่าใช้จ่ายในการดำเนินงานที่ไม่ได้วางแผนไว้ ตัวอย่างเช่น ลูกค้าของ Symantec Edge SWG (เดิมคือBlue Coat ProxySG) ต้องเผชิญกับการสิ้นสุดการสนับสนุน SGOS 7.3 และการยกเลิกคอนโซลการจัดการที่ใช้ Java ใน SGOS 7.4 ดูเพิ่มเติมที่Blue Coat และ ProxySG End of Life: Migration Planning.
ความยืดหยุ่น
SWG ที่ติดตั้งในสถานที่ยังคงดำเนินการตรวจสอบต่อไปแม้เมื่อการเชื่อมต่อกับภายนอกล้มเหลว ส่วน SWG บนคลาวด์จะขึ้นอยู่กับผู้ให้บริการและเส้นทางเครือข่ายที่เชื่อมต่อกับมัน
SWG บนคลาวด์ขึ้นอยู่กับความเชื่อมต่อกับผู้ให้บริการและความพร้อมใช้งานของผู้ให้บริการ ส่วนใหญ่ขององค์กรยอมรับสิ่งนี้สำหรับผู้ใช้ระยะไกล แต่สำหรับโรงงาน โรงพยาบาล ห้องซื้อขาย หรือสถานประกอบการของรัฐบาล การสูญเสียการตรวจสอบเว็บหรือการไม่สามารถเปิดหน้าเว็บได้ระหว่างการหยุดให้บริการอาจเป็นเรื่องที่รับไม่ได้ เกตเวย์แบบติดตั้งในสถานที่ (on-premises) จะยังคงตรวจสอบการจราจรเว็บในท้องถิ่นต่อไปเมื่อการเชื่อมต่อภายนอกล้มเหลว บริการที่ขึ้นอยู่กับคลาวด์ของผู้จำหน่าย เช่น การปกป้องข้อมูล (data protection) และบริการตรวจสอบความปลอดภัยเว็บแบบอัตโนมัติ (remote browser isolation) จะไม่สามารถใช้งานได้จนกว่าเส้นทางจะกลับสู่สภาพปกติ ดูHybrid SSE Resilience: Failover and Recovery.
ข้อกำหนดเกี่ยวกับการย้ายถิ่นฐาน
การย้ายระบบ SWG ทุกครั้ง ไม่ว่าจะระหว่างรุ่นหรือระหว่างผู้จำหน่าย ก็มีขั้นตอนหกขั้นตอนเดียวกันเสมอ:
- นโยบายการจัดการสินค้าคงคลังในปัจจุบัน ข้อยกเว้น ขอบเขตการยืนยันตัวตน และการบูรณาการ เช่น ICAP และ DLP
- กำหนดว่าผู้ใช้และเว็บไซต์ใดจะย้ายไปยังจุดบังคับใช้ใด
- ตั้งระบบการควบคุมทิศทางการรับส่งข้อมูลใหม่: ใช้พร็อกซีแบบกำหนดเองหรือไฟล์ PAC, ตัวแทน, ทันเนล หรือการควบคุมผ่านเบราว์เซอร์
- ออกใหม่และแจกจ่ายหน่วยงานออกใบรับรองการตรวจสอบ TLS
- ดำเนินการแบบขนานกับกลุ่มทดลองก่อนการเปลี่ยนระบบ
- ดำเนินการเปลี่ยนระบบเป็นขั้นตอน พร้อมด้วยแผนการคืนค่าที่ผ่านการทดสอบแล้ว
ดู "Secure Web Gateway Migration: Cutover and Rollback Checklist"
รุ่นไหนเหมาะกับคุณที่สุด?
เลือกตามตำแหน่งที่ผู้ใช้ แอปพลิเคชัน และข้อมูลที่อยู่ภายใต้การกำกับดูแลของคุณอยู่ ไม่ใช่ตามรายการคุณสมบัติ
ควรเลือกใช้ระบบคลาวด์เป็นหลักหากผู้ใช้ส่วนใหญ่ทำงานจากระยะไกล แอปพลิเคชันส่วนใหญ่เป็น SaaS และไม่มีกฎระเบียบหรือสัญญาใดที่กำหนดให้ต้องประมวลผลข้อมูลที่ถอดรหัสแล้วในระบบท้องถิ่น
ควรเลือกใช้ระบบภายในองค์กรเป็นหลักเมื่อจำเป็นต้องมีการประมวลผลหรือความต่อเนื่องในท้องถิ่นสำหรับข้อมูลที่เลือกไว้ สำหรับสภาพแวดล้อมที่แยกจากเครือข่ายภายนอก (air-gapped) ข้อมูลลับ หรือสภาพแวดล้อม OT ให้ตรวจสอบให้แน่ใจว่าผลิตภัณฑ์ได้รับการสนับสนุนอย่างชัดเจน รวมถึงทุกข้อพึ่งพาที่เกี่ยวข้องกับการจัดการ การระบุตัวตน การอัปเดต การออกใบอนุญาต และการตรวจสอบ
เลือกระบบไฮบริดหากคุณมีผู้ใช้ทั้งในสำนักงานและทำงานจากระยะไกล มีข้อมูลที่อยู่ภายใต้การกำกับดูแลควบคู่กับข้อมูลทั่วไป หรือมีระบบเกตเวย์ในสถานที่ที่มีอยู่เดิมที่คุณต้องการปรับปรุงให้ทันสมัยโดยไม่ต้องย้ายไปยังระบบคลาวด์อย่างบังคับ สิ่งนี้อธิบายถึงองค์กรขนาดใหญ่ส่วนใหญ่ในอุตสาหกรรมที่อยู่ภายใต้การกำกับดูแล
แบบไฮบริดsecure web gateway
SWG แบบไฮบริดรวมอุปกรณ์ที่ติดตั้งในสถานที่และจุดให้บริการบนคลาวด์ไว้ภายใต้ระบบนโยบายเดียว คอนโซลเดียว และชุดบันทึกเดียว
การตรวจสอบการจราจรในสำนักงานจะดำเนินการในสถานที่จริง ส่วนการจราจรจากระยะไกลในระบบคลาวด์ และการจราจรที่ถูกควบคุมจะดำเนินการตามนโยบายที่กำหนด
Skyhigh Hybrid SSE Meshขยายขอบเขตการใช้งานของรุ่นนี้ให้เกินกว่าเกตเวย์เว็บ โดยเพิ่ม ZTNA ในระดับท้องถิ่น, Secure Browser Controls และ CASB, DSPM, DLP และ RBI บนคลาวด์ ภายใต้กฎนโยบายเดียวกัน
แหล่งข้อมูล
- NISTSP 800-215: คู่มือการจัดตั้งโครงสร้างเครือข่ายองค์กรที่ปลอดภัย(พฤศจิกายน 2022).https://csrc.nist.gov/pubs/sp/800/215/final
- NSA.การจัดการความเสี่ยงจากการตรวจสอบความปลอดภัยชั้นการส่งข้อมูล(พฤศจิกายน 2019).https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security.Secure Web Gateway สำหรับ Hybrid.https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
- Skyhigh Security. “Skyhigh Security ได้รับการจัดอันดับที่ 1 ในด้านกรณีการใช้งาน SSE ขั้นสูง ในปี 2026 ตามรายงาน GartnerCritical Capabilities สำหรับSecurity Service Edge” (5 สิงหาคม 2026).https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Broadcom.การยุติการสนับสนุนและวงจรชีวิตผลิตภัณฑ์สำหรับ Edge SWG (ProxySG) และ Advanced Secure Gateway(KB 151102).https://knowledge.broadcom.com/external/article/151102/end-of-life-and-product-lifecycle-for-pr.html