セキュアWebゲートウェイ
利用者のWebアクセスを中継して、URLフィルタリング、マルウェアの検査、通信の内容の検査などを行うクラウド型（または機器型）のセキュリティサービス。社内外のどこからでも、同じセキュリティポリシーを適用できる。
イマシルちゃんの解説
会社のパソコンがインターネットのサイトを見るとき、これまでは社内のプロキシサーバを通して、危ないサイトをブロックしていたんだ。
でも、家で仕事をするテレワークだと、社内のプロキシを通らないよね。
セキュアWebゲートウェイは、その「見張り番」をクラウドの上に置いたサービスなんだ。
会社にいても、家にいても、同じ見張り番を通るから、どこでも同じように守れるんだよ！
より深い解説
定義
セキュアWebゲートウェイ（SWG）は、利用者の端末とインターネット上のWebサイトの間に入り、Webの通信（HTTP、HTTPS）を検査して、危険なサイトへのアクセスや、マルウェアの持ち込み、情報の持ち出しを防ぐ仕組みである。現在は、事業者がクラウドの上で提供するサービスとして使われることが多い。
主な機能
| 機能 | 内容 |
|---|---|
| URLフィルタリング（サイトブロック） | 登録したFQDN、IPアドレス、URLや、カテゴリ（ギャンブル、マルウェア配布など）への通信を遮断する |
| レピュテーション | 接続先のドメインやIPアドレスの安全性を評価（数値化）し、しきい値以上の安全なサイトだけに接続を許可する |
| マルウェアの検査 | ダウンロード・アップロードするファイルを、パターンの照合と、サンドボックス（隔離環境での実行）で検査する |
| HTTPSの検査 | TLSを中継して復号し、暗号化された通信の中身も検査する（TLSインスペクション） |
| ダイレクト通信（直接接続） | 指定した宛先への通信は、SWGを経由させずに直接接続させる |
| 利用者認証とログ | 誰がいつどこにアクセスしたかを記録する |
端末からSWGへの経路
クラウド型のSWGでは、端末にエージェントソフトを導入し、端末のローカルプロキシとして動作させて、Webの通信をSWGに中継させる方式が多い。エージェントは、SWGに接続するときに利用者を認証し、未認証の通信を遮断する。社内でも社外でも、端末のエージェントが同じように動くため、場所を問わずに同じポリシーが適用される。
導入時に考えること
| 項目 | 内容 |
|---|---|
| 証明書 | HTTPSの検査のため、SWGのルート証明書を端末にインストールしておく |
| 送信元アドレス | 送信元のIPアドレスで接続を制限しているSaaSなどは、SWGの出口のアドレス（企業ごとに割り当てられる固定のグローバルIPアドレスなど）を許可するように、設定を変更する |
| ファイアウォール | 社内の端末から、SWGへの通信（TCP/443など）を許可する |
| 社内の宛先 | 社内のサーバへの通信まで、インターネット上のSWGを経由させると遠回りになる。社内の宛先は直接接続のリストに登録する |
SASEとの関係
SWGに、CASB（クラウドサービスの利用の可視化・制御）、ZTNA（ゼロトラストの考え方による社内システムへのアクセス）などを組み合わせて、クラウドでまとめて提供するものを SSE（Security Service Edge）、さらにSD-WANなどのネットワークの機能まで統合したものを SASE（Secure Access Service Edge）という。