前言：內網才是真正戰場

企業投入巨資建設邊界防火牆、IPS、WAF，卻忽視內部威脅：私接 Modem/4G/5G 上網、攜帶個人筆電接入、供應商/合作夥伴 VPN 直通核心區、內部惡意洩密、未受管理的 IoT/OT 設備。調查顯示 超過 60% 的嚴重資安事件源自內部或經由內部跳板。本文提供 10 大內網防護策略，構建纵深防御體系。

策略 1：區分內網與邊界安全威脅模型

• 邊界防禦：阻擋來自 Internet 的掃描、漏洞利用、DDoS、惡意程式碼下載。
• 內網防禦：防範內部發起的側向移動、權限提升、資料外洩、供應鏈攻擊、影子 IT。
• 核心差異：內網信任基線較高、流量加密 (TLS 1.3) 導致可見度降低、異構設備 (IT/OT/IoT/行動裝置) 管理困難。

策略 2：VPN 存取最小權限與零信任替代

• 廢除「全網通」VPN，改用軟體定義邊界 (SDP) / 零信任網路存取 (ZTNA)：身分驗證 + 設備健康檢查 + 應用層授權，僅授權存取特定應用 (RDP/SSH/Web/DB)，不暴露網段。
• 若保留 VPN：強制 MFA、客戶端憑證、分割隧道 (Split Tunneling) 僅路由企業流量、連線逾時 ≤ 30 分鐘、日誌審計。

策略 3：為合作夥伴建立 DMZ 隔離區

• 每個合作夥伴/供應商分配獨立 VLAN/DMZ 區段，僅放置其需存取的應用伺服器 (API Gateway, SFTP, Web Portal)。
• 防火牆策略：預設拒絕，僅允許合作夥伴來源 IP/身分 → 目標伺服器特定埠口/協議。
• 定期審查合作夥伴存取權限，專案結束即撤銷。

策略 4：自動化、即時的安全策略執行

• 身分生命週期自動化：HR 系統 (Workday, SAP) → Identity Governance (IGA) → AD/Azure AD → 防火牆/VPN/ZTNA 策略自動同步 (入職/調動/離職)。
• 資產發現與標籤化：持續掃描 (Nmap, Qualys, RunZero) + CMDB 整合，自動打標 (環境、擁有者、敏感度、合規域)。
• 配置漂移偵測：IaC 掃描 (Terraform Plan, Checkov) + 運行時漂移檢測 (AWS Config, Azure Policy, Kyverno)。

策略 5：關閉非必要網路服務與埠口

• 定期執行 內部埠口掃描 (Nmap, Masscan) 識別異常開放服務 (SMBv1, Telnet, FTP, RDP, SSH, WinRM, WMI, RPC, SQL, Oracle, Redis, MongoDB, Elasticsearch, Kubernetes API, Docker Socket)。
• 原則：未明確授權即關閉。必要服務啟用強認證 (Kerberos, 证书认证, MFA)、加密 (TLS 1.2+、IPsec)、最小權限服務帳號。
• 禁用 SMBv1、LLMNR、NBT-NS、WPAD 等舊協議，防範中繼攻擊 (NTLM Relay, PetitPotam)。

策略 6：風險導向的資產分級與重點防護

• 資產分級：核心資產 (Crown Jewels) — 核心資料庫、ERP、CRM、原始碼庫、金鑰管理系統 (HSM/KMS)、域控制器、PKI、備份系統。
• 重點防護措施：
  • 網路微分段：核心資產置於獨立區段，僅允許必要應用伺服器存取。
  • 堡壘機/跳板機統一運維入口，全程錄像、命令審計、雙人授權。
  • 資料庫活動監控 (DAM)、檔案完整性監控 (FIM)、資料防洩漏 (DLP)。
  • 最嚴格修補週期 (關鍵漏洞 72 小時內)、專用威脅情報餵送。

策略 7：建立安全的無線存取架構

• 企業 Wi-Fi：WPA3-Enterprise (EAP-TLS/PEAP-MSCHAPv2) + 802.1X + RADIUS (NPS/FreeRADIUS/Aruba ClearPass) + 動態 VLAN 指派 (依身分/設備合規)。
• 訪客/物聯網 Wi-Fi：隔離 VLAN、僅允許 Internet 出站、客戶端隔離、頻寬限制、Portal 認證/PSK 定期輪換。
• 無線入侵防禦系統 (WIPS) 偵測流氓 AP、惡意雙生熱點、Deauth 攻擊。
• 無線控制器/AP 管理介面僅限管理網段存取、強制 HTTPS/SSH、MFA。

策略 8：安全的訪客/臨時存取管控

• 訪客網路物理/邏輯隔離於生產網路 (獨立 VLAN、防火牆區域)。
• 提供 Captive Portal 認證 (簡訊/郵件 OTP、社群登入、受訪員工核准)。
• 禁止訪客存取內部資源 (列印伺服器、檔案共享、內部 Web 應用)。
• 會議室投影/視訊系統隔離於訪客網路，或使用專用無線投影協議 (AirPlay, Miracast, Barco ClickShare) 並啟用加密/密碼。

策略 9：虛擬邊界與微分段 — 限制爆炸半徑

• 傳統 VLAN/ACL 靜態、粗糙、維護困難。採用軟體定義微分段 (VMware NSX, Cisco ACI, Illumio, Guardicore/Akamai, Palo Alto CloudGenix)：
• 基於工作負載標籤 (標籤: env=prod, app=erp, tier=db) 定義策略：allow prod-web → prod-app tcp/8080; deny prod-app → prod-db any; allow prod-bastion → prod-* tcp/22,3389。
• 策略隨工作負載遷移 (vMotion, 跨雲遷移) 自動生效。
• 預設拒絕所有區段間通訊，僅放行經審批的應用依賴關係。

策略 10：可用性與安全性平衡的決策機制

• 安全策略必須易懂、易用、可例外申請、可審計。過度複雜導致影子 IT、繞過控制。
• 建立「安全冠軍」網絡：各業務單位指定安全聯絡人，參與策略制定、推廣最佳實務、快速回報異常。
• 定期桌上演練：勒索軟體爆發、供應商帳號被盜、內部洩密、雲端配置錯誤。
• 技術基線清單 (必備)：
  • 核心交換器/防火牆高可用 (VRRP/StackWise/CLI)
  • 關鍵資料異地備份 + 不可變備份 (Object Lock, Immutable Backup)
  • 代理閘道 (Forward/Reverse Proxy) 統一出入口檢測
  • 作業系統強化基準 (CIS Benchmark, STIG) 自動化合規 (Ansible, SCCM, Intune)
  • 主機入侵防護 (HIPS/EDR/XDR) 全覆蓋
  • 網路流量分析 (NDR/NetFlow/Zeek) 持續監控

結語

內網安全非一蹴而就，需「識別資產、分級分域、最小權限、持續可見、自動化響應、文化內化」六大支柱持續建設。從「信任內部」轉向「永不信任、持續驗證」，將零信任原則落地至每一個網段、每一個工作負載、每一個身分，才能在不可避免的入侵發生時，將損害限制在最小爆炸半徑內。