Une passerelle web s\u00e9curis\u00e9e (SWG) est un service de s\u00e9curit\u00e9 qui s’interpose entre les utilisateurs et l’internet, inspectant tout le trafic web en temps r\u00e9el. Elle applique les politiques d’acc\u00e8s, bloque les contenus malveillants, emp\u00eache les fuites de donn\u00e9es et donne aux \u00e9quipes informatiques une visibilit\u00e9 sur la mani\u00e8re dont l’organisation utilise le web. Dans une plateforme SASE, SWG partage un moteur de politique unique avec ZTNA, FWaaS et SD-WAN, \u00e9liminant ainsi le besoin d’un produit autonome. <\/p>\n
Chaque requ\u00eate web de votre \u00e9quipe passe par un endroit. La question est de savoir si cet endroit inspecte r\u00e9ellement ce qui revient. C’est exactement ce que fait une passerelle web s\u00e9curis\u00e9e. Elle intercepte le trafic web sortant, v\u00e9rifie la destination, d\u00e9crypte et analyse le contenu, applique vos politiques et autorise ou bloque la demande avant qu’elle n’atteigne le point final. <\/p>\n
Pour les responsables informatiques qui \u00e9valuent leur pile de s\u00e9curit\u00e9, le GTS est l’un de ces composants qui semblent simples mais qui se trouvent au centre de plusieurs pr\u00e9occupations qui se chevauchent : diffusion de logiciels malveillants, informatique fant\u00f4me, exfiltration de donn\u00e9es, conformit\u00e9 NIS2 et productivit\u00e9 des utilisateurs. Cet article explique ce que fait un SWG, comment il se compare aux pare-feu, CASB et WAF, et pourquoi le SWG autonome dispara\u00eet rapidement dans les plates-formes SASE. <\/p>\n
Un GTS fonctionne \u00e0 la couche 7 du mod\u00e8le OSI, la couche application. C’est ce qui le diff\u00e9rencie des pare-feu traditionnels qui fonctionnent aux niveaux 3 et 4. Au lieu de se contenter de v\u00e9rifier les adresses IP et les ports, un GTS comprend le contenu des sessions HTTP et HTTPS. Il peut faire la distinction entre un utilisateur qui consulte un profil LinkedIn et ce m\u00eame utilisateur qui t\u00e9l\u00e9charge un document confidentiel sur un compte personnel de stockage en nuage. <\/p>\n
Les fonctions essentielles sont r\u00e9parties en six domaines.<\/p>\n
Le filtrage des URL et des DNS<\/strong> v\u00e9rifie chaque requ\u00eate web par rapport aux bases de donn\u00e9es de cat\u00e9gorisation et aux flux de renseignements sur les menaces. Les domaines d’hame\u00e7onnage connus, les serveurs de commande et de contr\u00f4le et les cat\u00e9gories restreintes par des politiques sont bloqu\u00e9s avant le chargement du contenu. <\/p>\n L’inspection TLS\/SSL<\/strong> d\u00e9crypte le trafic crypt\u00e9, l’analyse, puis le recrypte avant de le transmettre \u00e0 l’utilisateur. Sans cela, la passerelle n’a aucune visibilit\u00e9 sur les sessions HTTPS, qui repr\u00e9sentent aujourd’hui plus de 90 % de l’ensemble du trafic web. <\/p>\n La recherche de logiciels malveillants<\/strong> analyse les t\u00e9l\u00e9chargements et le contenu web en temps r\u00e9el. Les passerelles avanc\u00e9es combinent la d\u00e9tection bas\u00e9e sur les signatures avec le sandboxing, o\u00f9 les fichiers suspects s’ex\u00e9cutent dans un environnement isol\u00e9 avant d’atteindre le point final. <\/p>\n La cat\u00e9gorisation des contenus<\/strong> classe les sites web en cat\u00e9gories (m\u00e9dias sociaux, jeux d’argent, partage de fichiers, outils d’intelligence artificielle) et applique des politiques par cat\u00e9gorie, par groupe d’utilisateurs ou par type d’appareil.<\/p>\n La pr\u00e9vention des pertes de donn\u00e9es (DLP)<\/strong> inspecte le trafic sortant \u00e0 la recherche de sch\u00e9mas sensibles : num\u00e9ros de cartes de cr\u00e9dit, formats d’identification nationaux, marqueurs de propri\u00e9t\u00e9 intellectuelle. Si un utilisateur tente de coller un code source dans un outil d’IA non approuv\u00e9, la pr\u00e9vention des pertes de donn\u00e9es le d\u00e9tecte. <\/p>\n Le contr\u00f4le des applications<\/strong> identifie des applications web sp\u00e9cifiques, ind\u00e9pendamment du port ou du protocole. Les \u00e9quipes informatiques peuvent ainsi autoriser Slack mais bloquer les t\u00e9l\u00e9chargements de fichiers, ou autoriser Google Workspace mais restreindre le partage \u00e0 des domaines externes. <\/p>\n Plus de 90 % du trafic web est d\u00e9sormais crypt\u00e9. C’est une bonne chose pour la vie priv\u00e9e, mais cela cr\u00e9e un \u00e9norme angle mort pour les outils de s\u00e9curit\u00e9 qui ne peuvent pas voir \u00e0 l’int\u00e9rieur des sessions HTTPS. Les recherches montrent r\u00e9guli\u00e8rement qu’une part importante des logiciels malveillants est diffus\u00e9e par le biais de connexions crypt\u00e9es. Si votre pile de s\u00e9curit\u00e9 ne peut pas inspecter le trafic TLS, elle ignore en fait la majorit\u00e9 des menaces potentielles. <\/p>\n L’inspection TLS s’effectue par le biais d’un processus contr\u00f4l\u00e9 de type \u00ab\u00a0man-in-the-middle\u00a0\u00bb que l’organisation g\u00e8re elle-m\u00eame.<\/p>\n Lorsqu’un utilisateur consulte un site web s\u00e9curis\u00e9, le SWG intercepte la connexion avant qu’elle n’atteigne sa destination. La passerelle \u00e9tablit sa propre session TLS avec le serveur cible, re\u00e7oit la r\u00e9ponse, la d\u00e9crypte et fait passer le contenu par ses moteurs d’inspection. Si le contenu passe toutes les v\u00e9rifications, la passerelle le recrypte \u00e0 l’aide de son propre certificat et le transmet au navigateur de l’utilisateur. <\/p>\n Pour que cela fonctionne sans d\u00e9clencher d’avertissements du navigateur, le certificat racine de l’organisation doit \u00eatre install\u00e9 sur chaque terminal g\u00e9r\u00e9. Cette op\u00e9ration est simple avec une solution MDM comme Intune ou Jamf, mais devient plus complexe avec les appareils BYOD. <\/p>\n Il y a des limites l\u00e9gitimes \u00e0 respecter en mati\u00e8re de protection de la vie priv\u00e9e. La plupart des organisations excluent certaines cat\u00e9gories de trafic de l’inspection : sites bancaires, portails de soins de sant\u00e9, services gouvernementaux. Une liste de contournement bien configur\u00e9e n’est pas facultative. Il s’agit d’une exigence de conformit\u00e9 dans de nombreuses juridictions europ\u00e9ennes. <\/p>\n Le probl\u00e8me des performances est r\u00e9el, mais souvent surestim\u00e9. Les anciennes appliances mat\u00e9rielles de SWG avaient du mal \u00e0 supporter la charge de travail de l’unit\u00e9 centrale pour d\u00e9crypter des milliers de sessions simultan\u00e9es. Les services SWG en nuage g\u00e8rent ce probl\u00e8me \u00e0 l’\u00e9chelle, car la capacit\u00e9 d’inspection augmente avec la plateforme, et non avec un bo\u00eetier dans votre salle de serveurs. <\/p>\n Ces quatre technologies se chevauchent suffisamment pour pr\u00eater \u00e0 confusion, mais chacune d’entre elles remplit une fonction distincte. La mani\u00e8re la plus simple de comprendre la diff\u00e9rence est d’examiner le trafic que chacune inspecte et dans quelle direction. <\/p>\nComment fonctionne l’inspection TLS (et pourquoi elle est importante)<\/h2>\n
SWG vs firewall vs CASB vs WAF<\/h2>\n