防火牆部署前的關鍵認知

防火牆是網路安全的第一道防線，但單純安裝軟體或硬體並不等於安全。以下整理 11 項新手常忽略的核心觀念，助你建立真正有效的防護體系。

1. 防火牆實踐的是你的安全政策

防火牆只是工具，真正的核心在於「安全政策」。若在部署前未制定明確政策（允許/拒絕哪些流量、如何處理異常），防火牆將淪為擺設。政策不必冗長，但必須書面化、經團隊共識，並定期審視更新。

2. 防火牆通常是「系統」而非單一設備

除極簡單環境，防火牆往往由多台設備、伺服器、管理平台組成。即使購買「整合型」產品，仍需配置後端伺服器（如郵件、Web 伺服器）協同運作。這些元件的信任關係、管理方式同屬防火牆架構一部分，不可只買盒子就以為萬事大吉。

3. 防火牆非買來即用的成品，需持續經營

選擇防火牆如同買房：需長期居住、維護、修繕。沒有「設定好就不動」的防火牆。威脅演變、業務變更、新漏洞出現，都要求持續調整規則、更新特徵碼、審核日誌。適合 A 公司的方案，對 B 公司可能完全錯誤。

4. 防火牆無法解決所有安全問題

它主要擋禦「外部直接攻擊內部」，但無法防禦：
• 內部發起的攻擊（內部威脅）
• 已合法通過的連結中夾帶的惡意碼
• 社交工程、實體安全缺失等非技術面風險

5. 採用「預設拒絕」原則

僅開放已知必要且安全的服務，其餘全部拒絕。但新漏洞每天湧現，「關閉不安全服務」是場持久戰，需建立漏洞管理流程，定期掃描、修補。

6. 在風險可控前提下妥協，而非盲目開放或全盤拒絕

全開不安全，全關業務停擺。須在滿足業務需求與風險承受度間找平衡：評估每項開放服務的風險，部署補償性控制（如 IPS、WAF、流量監控），並記錄決策理由。

7. 採取纵深防禦

不要依賴單一設備或單一防禦點。在網路邊界、核心交換、伺服器區、端點各層部署防火牆、IPS、主機防火牆、應用層防護，避免單點失效導致全盤崩潰。

8. 防火牆主機只安裝必要元件

防火牆伺服器不應安裝辦公軟體、瀏覽器、多媒體播放器等非必要程式。最小化安裝減少攻擊面，降低修補負擔。即使自以為安全的工具，若非運作必需，也不裝。

9. 善用多元資訊來源

勿只信單一廠商說法。參考：廠商公告、權威安全書籍、郵件論壇（如 Bugtraq）、專業安全網站、同業經驗分享。交叉驗證後再決策。

10. 只信驗證過的結果

圖形介面顯示「已封鎖」不代表真封鎖。必須實測：嘗試連線被拒絕的埠口、確認允許的服務確能通達、抓包分析規則生效與否。信任源於證據，而非介面提示。

11. 定期重新評估與調整

五年前的房子可能不適合現在的家庭；一年前的防火牆規則可能不適合現在的業務。每季或半年審視：規則是否過時？新增服務是否受保護？日誌是否有人看？調整防火牆如同搬家，需規劃、測試、分階段執行。