微軟五大防護領域與網路防護定位

微軟主張關注五大獨立領域：周邊、網路、應用、資料、主機防護。獨立防護確保單層失效時其餘層仍有效。本文聚焦「網路防護」——解決網路互連、協定、路由器等問題，不含外部防火牆（屬周邊）與單一伺服器/工作站（屬主機）。

步驟一：部署內部防火牆

• 理由一： 外部防火牆一旦被攻破，內部防火牆可阻擋滲入的惡意封包。
• 理由二： 內部攻擊普遍存在（好奇心驅動的同事、未授權安裝含木馬軟體）。
• 理由三： 多數技術人員只限制進入封包，放任輸出封包。木馬潛伏內網向外廣播資料極危險，輸出同樣需嚴格管控。

Windows XP 內建網際網路連線防火牆可作內部防火牆使用：「我的網路環境/屬性/網路連線/右鍵屬性/進階/網際網路連線防火牆」啟用並設定開放連接埠。

步驟二：啟用 IPSec 加密通訊

• 要求加密： 雙向強制加密，不支援 IPSec 的機器拒絕通訊。
• 請求加密： 雙方支援則建立安全通道，否則以明文通訊（兼容性較好）。

建議架構： 所有伺服器置於專用伺服器網段，雙網卡隔離（一張接主網路、一張接伺服器骨幹網），骨幹網強制要求 IPSec 加密。工作站與重要伺服器設「請求加密」，平衡安全與相容。無線網路採用 WEP（至少 128 位）加密，並可疊加 IPSec 實現雙重加密。

步驟三：網段隔離與 ISA 伺服器前置

• Web 伺服器若無需存取後台資料庫，應完全隔離於私有網路之外。
• 若需存取後台資源，於防火牆與 Web 伺服器間部署 ISA 伺服器代理請求，Web 與資料庫建立 IPSec，Web 與 ISA 建立 SSL 連線。

步驟四：定期封包監聽稽核

部署完畢後，偶爾使用協定分析器監聽網路流量，了解實際通訊型態。若發現異常封包，可追蹤來源。
偵測竊聽者技巧： 部署一台僅管理員知曉的「誘餌主機」（有 IP、不在網域），產生流量。若有人監聽，會對誘餌主機 IP 進行 DNS 查詢。監控 DNS 記錄，一旦出現對誘餌主機的查詢，即可鎖定竊聽者。