企業內網安全六大弊病與改善對策

資安不只是口號，更是系統性工程。許多企業在邊界防護投入巨資，內網卻因管理盲點而脆弱不堪。以下六大常見弊病與具體改善建議。

弊病一：客戶端修補程式完全依賴員工自覺

現狀： Windows/Office/IE 修補程式頻繁，IT 僅開啟「自動更新」交由使用者決定是否安裝、重開機。
風險： 使用者嫌麻煩拒絕更新，未修補漏洞成為病毒/蠕蟲傳播高速公路。
對策：

• 部署 WSUS (Windows Server Update Services) 或 SCCM/Intune，主管機器集中下發、強制安裝、排程重開機（維護視窗）。
• 建立修補合規基線，定期稽核未合規主機並隔離修復。

弊病二：自簽憑證僅相容 Microsoft 產品，導致管理員為免麻煩直接停用

現狀： Exchange/IIS 預設自簽憑證啟用 SSL，但非 IE 瀏覽器（Firefox、Chrome、Safari）提示「不受信任」，使用者投訴。
風險： 管理員為止血直接關閉 SSL，導致帳密明文傳輸、中間人攻擊風險暴增。
對策：

• 申請公信 CA 憑證（Let's Encrypt 免費、企業級付費），全服務統一啟用 HTTPS。
• 內部 PKI 簽發憑證並透過 GPO 推送信任根憑證至所有端點，支援跨瀏覽器/作業系統。

弊病三：重前期部署、輕後續稽核（無審計機制）

現狀： 檔案伺服器設好 NTFS 權限後不再追蹤，無法知曉誰嘗試越權存取、誰竄改關鍵資料。
對策：

• 啟用 物件存取審核（群組原則：稽核物件存取 → 成功/失敗）。
• 關鍵資料夾設定 SACL，記錄寫入/刪除/權限變更事件。
• 部署 SIEM/日誌集中分析平台，設定異常存取告警（如非工作時間大量讀取、權限提升嘗試）。

弊病四：為讓外部存取內部服務，在防火牆開放大量埠口

現狀： Exchange、Lync、SharePoint、RDP、VPN 等各開多個埠，防火牆規則複雜難管。
風險： 每個開放埠都是潛在攻擊面，掃描/爆破/漏洞利用風險隨埠口數線性增長。
對策：

• 部署 反向代理 / Web Application Proxy (WAP) / ADC：單一 443 埠發布所有 Web 應用，預先驗證、WAF 防護、SSL 卸載。
• 非 Web 服務（RDP、SSH）走 VPN/Zero Trust Network Access (ZTNA)，不直接暴露埠口。
• 成本與效能優於傳統 NAT/埠映射，管理集中化。

弊病五：單一伺服器部署過多應用，單點故障與漏洞疊加

現狀： 一台主機跑 AD、DNS、DHCP、檔案、印表、ERP、資料庫、Web…
風險： 任一服務漏洞被利用 → 全服務淪陷；修補其中一服務需重開機 → 所有服務中斷。
對策：

• 核心服務（AD、資料庫、ERP）專機專用。
• 次要服務採用 虛擬化/容器 隔離，單一主機承載有限服務數（建議 ≤3）。
• 導入資源監控與自動化部署，降低多機維運成本。

弊病六：郵件/檔案/入口等需授權系統未強制 SSL/TLS 加密

現狀： 僅靠帳密驗證，傳輸層明文，帳密、Session ID、郵件內容在區網/公共 Wi-Fi 極易被竊聽。
對策：

• 全站強制 HTTPS（HSTS）、IMAPS/POP3S/SMTPS、LDAPS、FTPS。
• 內網同樣啟用加密，防禦內部威脅與橫向移動。
• 淘汰不支援 TLS 1.2+ 的舊版用戶端/伺服器。

總結：纵深防禦從內網開始

修補管理自動化、憑證統一化、稽核常態化、發布代理化、服務隔離化、傳輸加密化——六大轉型，將內網從「軟趴趴」變成「硬骨頭」。