前言：為什麼單一防火牆不夠？
許多中小企業的網路安全架構仍然停留在「一台防火牆擋在前面」的狀態——在網際網路與內網之間放置一台防火牆，就認為已經做好了資安防護。然而，現代攻擊手法的複雜度已遠超單一設備的防禦能力。
根據 Verizon《2025 年資料外洩調查報告》，超過 68% 的資安事件涉及人為因素（如釣魚、社交工程），而非直接突破防火牆。攻擊者利用釣魚郵件進入內網後，在缺乏內部防護的扁平網路中，可以輕易地橫向移動到關鍵伺服器，造成嚴重損失。
本文將從縱深防禦（Defense in Depth）的概念出發，完整介紹企業網路安全架構的設計原則與實務作法。
一、縱深防禦（Defense in Depth）核心概念
縱深防禦源自軍事術語，指的是部署多層防線，即使某一層被突破，後方仍有防禦機制可以阻止攻擊深入。在網路安全中，縱深防禦通常包含以下層次：
七層防禦模型
- 第一層：邊界防護（Perimeter）——防火牆、IPS、WAF，阻擋外部攻擊
- 第二層：網路分段（Network）——VLAN、ACL、微分隔，限制橫向移動
- 第三層：端點防護（Endpoint）——EDR/XDR、防毒、主機型防火牆
- 第四層：應用程式安全（Application）——WAF、輸入驗證、安全開發
- 第五層：資料安全（Data）——加密、DLP、存取控制
- 第六層：身份與存取管理（Identity）——MFA、IAM、特權帳號管理
- 第七層：監控與回應（Monitoring）——SIEM、SOC、事件回應
有效的縱深防禦策略要求每一層都能獨立發揮防護作用，且各層之間能協同運作，形成整體性的安全態勢。
二、安全區域設計（Security Zones）
安全區域設計是網路安全架構的基礎。透過將網路劃分為不同的安全等級區域，並控制區域間的流量，可以有效降低攻擊擴散的風險。
典型的安全區域劃分
| 區域名稱 | 安全等級 | 內容 | 存取規則 |
|---|---|---|---|
| 外部區域（Untrust） | 最低 | 網際網路 | 預設拒絕所有進入流量 |
| DMZ | 中低 | 對外服務（Web、Mail、DNS） | 僅允許特定服務埠，禁止主動連回內網 |
| 使用者區域（User） | 中 | 員工工作站、印表機 | 可存取特定伺服器，受限存取網際網路 |
| 伺服器區域（Server） | 中高 | AD、ERP、檔案伺服器 | 僅接受來自使用者區域的授權連線 |
| 管理區域（Management） | 高 | 管理主機、監控系統、備份 | 僅管理員 IP 可存取，強制 MFA |
| 關鍵資產區域（Restricted） | 最高 | 資料庫、財務系統、機密資料 | 嚴格白名單、加密通訊、完整稽核 |
區域間流量控制原則
- 預設拒絕（Default Deny）：所有區域間流量預設拒絕，僅開放經核准的連線
- 最小權限：只允許業務必要的通訊埠與協定
- 單向信任：高安全等級區域不應主動連線至低安全等級區域
- 完整日誌：所有跨區域流量都應記錄日誌，供事後分析與稽核
三、DMZ 設計實務
DMZ（Demilitarized Zone，非軍事區）是介於外部網路與內部網路之間的緩衝區域，用來放置需要對外提供服務的伺服器。正確的 DMZ 設計可以有效隔離對外服務與內部資產。
雙防火牆 DMZ 架構
最安全的 DMZ 設計採用兩台不同品牌的防火牆，形成「雙層防護」：
- 外層防火牆：面向網際網路，負責過濾外部流量，只允許特定服務埠（80/443/25 等）進入 DMZ
- 內層防火牆：面向內部網路，嚴格控制 DMZ 到內網的流量，僅允許必要的應用程式連線（如 DMZ 的 Web 伺服器連線至內網的資料庫特定埠）
- 建議使用不同廠牌（如外層 FortiGate + 內層 Palo Alto），避免單一漏洞同時影響兩層防護
單防火牆多區域架構
對於預算有限的中小企業，可使用單台次世代防火牆（NGFW）的多區域功能：
- 利用防火牆的多個實體或虛擬介面劃分區域
- 透過安全策略（Policy）控制各區域間的流量
- 雖然成本較低，但存在單點失敗風險，建議搭配 HA（高可用性）部署
DMZ 伺服器加固要點
- 最小化安裝：只安裝必要的服務與元件
- 定期更新：優先修補 DMZ 伺服器的安全漏洞
- 獨立帳號：DMZ 伺服器不加入內部 Active Directory
- 檔案完整性監控：偵測未授權的檔案變更
- 出站限制：DMZ 伺服器預設禁止主動對外連線，阻斷 C2 通訊
四、防火牆配置最佳實務
次世代防火牆（NGFW）核心功能
現代企業應部署次世代防火牆，而非僅依靠傳統的狀態檢測防火牆。NGFW 的關鍵功能包括：
- 應用程式識別：不只看通訊埠，而是深度辨識應用程式（如區分 HTTPS 中的 YouTube 與 Office 365）
- 使用者識別：與 AD 整合，依使用者身份而非 IP 制定策略
- SSL/TLS 解密：解密加密流量進行檢查（需注意合規與隱私議題）
- 入侵防護（IPS）：即時偵測並阻擋已知攻擊特徵
- 沙箱分析：將可疑檔案送入沙箱環境進行動態分析
- URL 過濾：阻擋已知惡意網站與不當內容
防火牆規則管理
| 最佳實務 | 說明 |
|---|---|
| 規則排序 | 最常匹配的規則放在前面，提升效能；最嚴格的規則優先 |
| 避免 Any-Any | 禁止使用「Any 來源 / Any 目的 / Any 服務」的萬用規則 |
| 定期審查 | 每季審查所有規則，刪除過期或無用規則，記錄變更原因 |
| 變更管理 | 所有規則變更需經申請、核准、測試、驗證四個步驟 |
| 命名規範 | 規則名稱包含用途、申請人、日期（如：ERP_to_DB_AP_20260315） |
| 日誌啟用 | 所有規則啟用日誌記錄，至少保存 6 個月 |
五、IDS / IPS 部署策略
IDS（入侵偵測系統）與 IPS（入侵防禦系統）是縱深防禦中不可或缺的一環。
IDS 與 IPS 的差異
- IDS（偵測模式）：監聽網路流量，偵測到攻擊時產生告警，但不主動阻斷。適合初期部署，用於瞭解環境中的威脅樣貌
- IPS（防禦模式）：部署在流量路徑上（Inline），偵測到攻擊時即時阻斷惡意封包。適合已調校完成的成熟環境
建議的部署策略是先 IDS 後 IPS：先以偵測模式運行 2-4 週，觀察告警品質並調校規則後，再切換為防禦模式。
IPS 部署位置
- 邊界：防火牆內建 IPS，檢查南北向流量（外部進出的流量）
- 核心交換器：使用 SPAN/Mirror 將東西向流量（內部間的流量）導入獨立 IPS 設備
- 關鍵伺服器前方：在資料庫或 ERP 伺服器前方部署專屬 IPS
- 端點：主機型 IPS（HIPS）安裝在伺服器上，提供最後一層防護
IPS 規則管理要點
- 只啟用與環境相關的規則（如不使用 Apache 就停用 Apache 相關規則）
- 依資產價值設定不同的阻斷閾值
- 定期更新特徵碼（Signature），建議啟用自動更新
- 監控 IPS 效能，避免因規則過多導致延遲或丟包
六、VLAN 與網路分段
VLAN（Virtual LAN）是實現網路分段最基本也最有效的技術。透過 VLAN 將不同部門或功能的設備隔離到不同的廣播域中，可以有效限制攻擊的擴散範圍。
VLAN 規劃建議
| VLAN ID | 名稱 | 用途 | 子網路 |
|---|---|---|---|
| 10 | MGMT | 網路設備管理 | 10.0.10.0/24 |
| 20 | SERVER | 伺服器區 | 10.0.20.0/24 |
| 30 | USER-OFFICE | 辦公室使用者 | 10.0.30.0/24 |
| 40 | USER-GUEST | 訪客 / BYOD | 10.0.40.0/24 |
| 50 | VOIP | IP 電話 | 10.0.50.0/24 |
| 60 | IOT | IoT / 監控攝影機 | 10.0.60.0/24 |
| 70 | DMZ | 對外服務區 | 10.0.70.0/24 |
| 99 | QUARANTINE | 隔離區 | 10.0.99.0/24 |
跨 VLAN 存取控制
- 所有跨 VLAN 通訊必須經過防火牆或 Layer 3 交換器的 ACL 控制
- 訪客 VLAN 禁止存取任何內部 VLAN，僅允許上網
- IoT VLAN 與使用者 VLAN 完全隔離
- 管理 VLAN 只允許特定管理員 IP 存取
- 使用 802.1X 進行 VLAN 動態分配，依使用者身份自動歸入對應 VLAN
七、無線網路安全
無線網路通常是企業網路中最脆弱的一環，因為無線訊號可能洩漏到建築物外部，且 Wi-Fi 設備多為 BYOD。
- 使用 WPA3-Enterprise 搭配 802.1X RADIUS 認證
- 企業 SSID 與訪客 SSID 分離，分屬不同 VLAN
- 啟用無線入侵偵測（WIDS），偵測 Rogue AP 與 Evil Twin 攻擊
- 關閉 WPS（Wi-Fi Protected Setup），避免暴力破解
- 實施 MAC 過濾 + 802.1X 雙重認證
- 定期掃描未授權的無線裝置
八、網路安全監控與可視化
再完善的防護架構，沒有監控就形同虛設。企業應建立完整的網路安全監控體系：
- NetFlow / sFlow 分析：收集網路流量統計，偵測異常流量模式
- 全封包擷取（Full Packet Capture）：在關鍵節點部署封包擷取，供事後鑑識使用
- DNS 日誌分析：監控 DNS 查詢，偵測 C2 通訊與 DNS Tunneling
- 網路拓撲可視化：即時呈現網路架構與流量走向，快速定位異常
- 整合 SIEM：將所有網路設備日誌匯入 SIEM 進行關聯分析
九、常見設計錯誤與改善建議
- 扁平網路：所有設備在同一個 VLAN，無任何分段。解決方案：依業務功能劃分安全區域與 VLAN
- 防火牆規則累積：多年來只新增不刪除規則，導致規則庫臃腫且存在衝突。解決方案：每季進行規則審查與清理
- 只有南北向防護：只檢查進出網際網路的流量，忽略內部橫向流量。解決方案：部署東西向 IPS 或啟用微分隔
- 管理介面暴露：防火牆、交換器的管理介面可從使用者 VLAN 存取。解決方案：管理介面僅限管理 VLAN，搭配 MFA
- 忽略加密流量：超過 90% 的網路流量已加密，未解密就是盲區。解決方案：在適當位置部署 SSL 解密（需評估法規與隱私）
重點摘要
- 四層防禦：邊界（NGFW）→ 網路（VLAN）→ 端點（EDR）→ 應用（WAF）
- 設計原則：最小權限、縱深防禦、預設拒絕、持續監控
- 50-200 人企業基本需要：NGFW + VLAN + MFA + EDR + 備份
- 資安預算建議佔 IT 總預算 10-15%
有任何問題，歡迎與我們討論。
預約免費網路架構評估 →