SWG（安全 Web 网关）：员工上网的 "门卫" 到底挡什么？

很多企业不是被 "攻破了大门"，而是被员工的浏览器 "带进了后门"。一封伪装成快递通知的邮件，一个看起来正经的网站，一次随手下载的 "办公插件"—— 传统防火墙根本看不见这些。SWG 要补的，正是这一层。

01 SWG 到底在看什么？

SWG，全称 Secure Web Gateway，即安全 Web 网关，专门保护员工上网行为 —— 浏览器访问的网页、下载的文件、发送出去的数据。

它和传统防火墙的差别，一句话能说清：防火墙看 "包"，SWG 看 "内容"。

举个例子：同样是访问一个网站，普通防火墙只看到 "一次 443 端口的 HTTPS 连接"；SWG 会继续看这个网页里有没有恶意脚本、下载的文件带不带病毒、员工有没有把客户资料上传到个人网盘。发现异常就拦截或告警。

02 它重点防谁？

03 和防火墙、CASB 怎么分工？

可以这样理解：防火墙是园区大门，CASB 管 "云里的应用权限"，SWG 则守在员工浏览器出门前，专门检查 HTTP/HTTPS 请求里有没有 "危险东西"。三者各管一段，不是替代关系。

04 常见的几种部署姿势

1. 显式代理：最主流。员工浏览器配置代理地址，流量经过 SWG 检查后放行。
2. 透明代理：不用改员工配置，流量自动经过 SWG，无感知、改造小，适合传统机房。
3. 云 SWG（SaaS）：接入最快，远程办公、分支场景首选。
4. 终端插件：轻量级客户端，适合移动办公和频繁出差场景。

05 落地时注意什么？

先盘清楚员工常用的网站和应用 → 先开审计模式观察，再逐步收紧策略 → 规则上线后持续看误报漏报 → 与日志审计、身份认证打通，形成闭环。

06 正在发生的趋势

从 SWG 走向 SASE：防护范围从网页扩展到云应用、零信任接入和分支机构组网；远程办公成为常态后，"所有流量都回中心数据中心检查" 的老模式越来越慢，云化、就近检查成为主流；AI 驱动的威胁识别、行为建模越来越受重视。

SWG 的价值，是在员工上网接触到外部风险之前，先替公司把一道关。

如果你的远程办公、分支组网和 Web 安全正愁怎么一套搞定，赛柏特的 OneWAN SASE 已将 SWG 能力纳入统一安全接入体系 —— 安全防护与组网，可以在同一套架构里落地。