درگاه امن وب یا همان درگاه امن اینترنت، یک محصول امنیت سایبری است که از داده‌های شرکت محافظت می‌کند و سیاست‌های امنیتی شرکت را اعمال می‌کند. درگاههای امن وب بین کارمندان شرکت و اینترنت کار می‌کند. مانند فیلتر آب، که ناخالصی‌های خطرناک آب را از بین می‌برد تا نوشیدن آن بی خطر باشد، درگاههای امن وب برای جلوگیری از تهدیدات سایبری و نقض داده‌ها، محتوای ناامن را از ترافیک وب فیلتر می‌کنند. آنها همچنین رفتارهای مخاطره آمیز یا غیر مجاز کاربر را مسدود می‌کنند.
همه محصولات درگاه امن وب حاوی این فناوری ها هستند:
- فیلتر کردن URL
- شناسایی و مسدود کردن Anti-malware
- کنترل اپلیکیشن
همچنین ممکن است درگاههای امن وب شامل جلوگیری از دست دادن داده‌ها (DLP)، فیلتر کردن محتوا و سایر فیلترهای ترافیک اینترنت باشد.
یک درگاه امن وب چگونه کار می کند؟
برخی از درگاههای امن وب بر روی سرورهای پروکسی اجرا می‌شوند. همان طور که کسی ممکن است یک پروکسی قانونی را به نمایندگی از او به یک حراج زنده ارسال کند، یک سرور پروکسی نیز نمایانگر دستگاه دیگری در اینترنت است. سرور پروکسی سروری است که از طرف دستگاه سرویس گیرنده (مثلاً لپ تاپ کاربر) یا سرور دیگری درخواست می‌کند و پاسخ می‌گیرد. برای درگاههای امن وب، این سرور پروکسی می‌تواند یک سرور فیزیکی واقعی یا یک دستگاه مجازی در فضای ابری باشد.
سایر درگاههای امن وب فقط نرم افزار هستند. درگاههای مبتنی بر نرم افزار می‌توانند در محل شرکت یا در ابر به عنوان یک برنامه SaaS اجرا شوند. و سرانجام، برخی از درگاههای امن وب به عنوان “لوازم” داخلی استفاده می‌شوند: دستگاه‌های سخت افزاری فیزیکی که به زیرساخت‌های IT شرکت متصل می‌شوند.
مهم نیست که کجا اجرا می شوند و چگونه مستقر می شوند، همه درگاههای امن وب تقریباً به همان شیوه کار می کنند.
وقتی دستگاه سرویس گیرنده درخواستی را به وب سایت یا برنامه‌ای در اینترنت می‌فرستد، درخواست ابتدا از طریق درگاه امن وب حرکت می‌کند. درگاه درخواست را بازرسی می‌کند و فقط در صورت عدم نقض سیاست‌های امنیتی ایجاد شده، آن را منتقل می‌کند، همان طور که نگهبانان امنیتی ممکن است قبل از اجازه دادن به شخصی، در یک ایستگاه بازرسی امنیتی فیزیکی دارایی‌های وی را بازرسی کنند. یک فرآیند مشابه نیز برعکس اتفاق می افتد: تمام داده‌های دریافتی قبل از انتقال به کاربران توسط درگاه امن وب بازرسی می‌شوند.
از آنجا که دروازه‌های امن وب می‌توانند در هر مکانی اجرا شوند، به ویژه برای مدیریت کارمندان از راه دور بسیار مفید هستند. با الزام کارگران از راه دور برای دسترسی به اینترنت از طریق یک درگاه امن وب، شرکت‌هایی که به نیروی کار توزیع شده اعتماد می‌کنند بهتر می‌توانند از نقض داده‌ها جلوگیری کنند، حتی اگر کنترل مستقیمی بر روی دستگاه‌ها یا شبکه‌های کارکنان خود نداشته باشند.
بیشتر بخوانید: نرم افزار به عنوان سرویس (SaaS) چیست؟
سیاست امنیتی چیست؟
خط مشی امنیتی قانونی است که کلیه داده‌ها و ترافیک شبکه در یک شرکت باید با آن مطابقت داشته باشند. به عنوان مثال، فرض کنید یک شرکت سیاستی تنظیم می‌کند که تمام ترافیک شبکه باید رمزگذاری شود. اجرای این سیاست شامل مسدود کردن وب سایت‌هایی است که از HTTPS استفاده نمی‌کنند. یک درگاه امن وب یکی از راه‌های اجرای این سیاست است، زیرا می‌تواند تمام ترافیک شبکه غیر HTTPS را فیلتر کند.
چگونه درگاه امن وب سیاست های امنیتی را اجرا می کند؟
درگاههای امن وب می‌توانند برای اعمال سیاست‌های امنیتی، چندین فعالیت در ترافیک وب که مورد بازرسی قرار می‌دهند انجام دهند و آن را ارسال کنند:
فیلتر کردن URL
URL رشته متنی است که هنگام بارگیری یک صفحه وب در بالای مرورگر ظاهر می‌شود: به عنوان مثال http://www.sepantadp.com بنابراین فیلتر کردن URL راهی است برای کنترل وب سایت‌هایی که کاربر می‌تواند بارگیری کند.
فیلتر کردن URL به طور معمول شامل استفاده از یک blocklist است: لیستی از وب سایت‌هایی که بد شناخته شده و مجاز نیستند. اگر کاربر بخواهد وب سایتی را که در یک blocklist است بارگیری کند، درگاه امن وب درخواست او را مسدود می‌کند و وب سایت در دستگاه کاربر بارگیری نمی‌شود.
اسکن ضد بدافزار
درگاههای امن وب، ترافیک شبکه را برای بدافزار اسکن می‌کنند، به این معنی که آنها داده‌های عبوری را بررسی می‌کنند و بررسی می‌کنند که آیا با کد بدافزار شناخته شده مطابقت دارد یا خیر. برخی از درگاه‌ها از sandboxing نیز برای آزمایش بدافزار استفاده می‌کنند: آنها کدهای بالقوه مخربی را در یک محیط کنترل شده اجرا می‌کنند تا ببینند چگونه رفتار می‌کند. اگر بدافزار شناسایی شود، درگاه آن را مسدود می‌کند.
بسیاری از ترافیک شبکه در اینترنت با HTTPS رمزگذاری شده است. بسیاری از درگاههای امن وب می‌توانند ترافیک HTTPS را رمزگشایی کنند تا بتوانند ترافیک را برای بدافزار اسکن کنند. پس از بازرسی، درگاه ترافیک را دوباره رمزگذاری (رمزگذاری، فرآیند تغییر داده‌ها به گونه‌ای است که به نظر می‌رسد تصادفی باشد. داده‌های رمزگذاری شده تا زمانی که رمزگشایی نشوند، قابل خواندن نیستند. رمزگشایی برعکس روند رمزگذاری است.) کرده و آن را به کاربر یا وب سرور ارسال می‌کند.
کنترل برنامه
درگاههای امن وب می‌توانند تشخیص دهند که کارمندان از چه برنامه‌هایی استفاده می‌کنند. بر این اساس، آنها می‌توانند منابعی را که برنامه‌های مختلف می‌توانند به آنها دسترسی داشته باشند کنترل کنند یا برخی اپلیکیشن های خاص را به‌طور کلی مسدود کنند. برخی از درگاههای امن، حتی درجه کنترل بیشتری بر استفاده از برنامه را ارائه می‌دهند: به عنوان مثال، آنها می‌توانند استفاده از برنامه را بر اساس هویت یا مکان کاربر کنترل کنند.
سایر قابلیت های درگاه امن وب شامل موارد زیر است:
- فیلتر محتوا: این ویژگی انواع خاصی از محتوا را شناسایی کرده و آن محتوا را مسدود می‌کند. به عنوان مثال، فیلتر کردن محتوا می‌تواند ورود فیلم‌ها یا عکس‌های صریح را به یک شبکه شرکتی مسدود کند. مدیران IT شرکت معمولاً می‌توانند سیاست فیلتر محتوای درگاه امن وب خود را سفارشی کنند.
- جلوگیری از از دست دادن داده ها (DLP): این ویژگی توسط همه درگاههای امن وب ارائه نشده است، اما می‌تواند برای جلوگیری از نقض آن بسیار مؤثر باشد. DLP تا حدودی به طور معکوس مانند فیلتر کردن محتوا است: به جای جلوگیری از ورود محتوا به شبکه، باعث می‌شود محتوا از شبکه خارج نشود. DLP تشخیص می‌دهد چه زمانی داده‌های محرمانه از یک محیط تحت کنترل شرکت خارج می‌شود و داده‌ها را ویرایش، مسدود یا رمزگذاری می‌کند تا از فاش شدن آنها جلوگیری کند. به عنوان مثال، DLP می‌تواند به منظور جلوگیری از خروج شماره کارت‌های اعتباری محرمانه از شبکه، تمام شماره‌های ۱۶ رقمی ارسال شده در ایمیل‌های کارمندان را شناسایی و اصلاح کند.
چگونه درگاه امن وب در مدل SASE جای می گیرد؟
SASE یا لبه سرویس دسترسی امن، توابع شبکه را با عملکردهای امنیتی مختلف (مانند درگاههای امن وب) در یک مجموعه قرار می‌دهد و آنها را از یک شبکه جهانی واحد تحویل می‌دهد. مانند بسیاری از محصولات امنیتی، درگاه امن وب محصولی تک راه حلی است که اغلب جدا از سایر توابع شبکه و امنیت شبکه مدیریت می‌شود. با وجود یک چارچوب SASE، شرکت‌ها می‌توانند شبکه‌ها و امنیت شبکه خود را از طریق یک فروشنده مبتنی بر فضای ابر پیاده سازی و حفظ کنند.