前言

資安投入需與業務風險匹配。依據企業對 Internet 依賴程度，分為三類場景，提供分級防護基線與進階建議。

第一類：完全未連接 Internet (隔離網/內網專用)

基線要求

1. 人員管控： 嚴選系統管理員 (可信度、背景查核)、雙人複核機制、操作權限最小化、操作全程稽核 (堡壘機錄影)。
2. 帳號管理： 強制複雜密碼 (12+ 字元)、定期輪換 (90 天)、禁止共用帳號、停用/刪除離職/調動帳號、禁用 Guest、重命名 Administrator。
3. 防毒/防惡意碼： 部署離線更新防毒軟體 (病毒碼手動匯入)、禁用 USB/光碟自動執行、建立白名單執行控制 (AppLocker/WDAC)。
4. 介質管控： 外來儲存媒體 (USB、硬碟、光碟) 必須經專用掃描站 (氣隙掃描機) 掃描登記後始可接入。
5. 機房實體安全： 門禁、監視器、環境監控、資產標籤、訪客陪同、伺服器機櫃上鎖。

進階建議

• 部署主機入侵防護 (HIPS/EDR) 離線版、檔案完整性監控 (FIM)、網路流量分析 (內網 NDR)。
• 定期滲透測試/紅隊演練 (內部紅隊)，驗證隔離網實際隔離效果。
• 建立離線備份與災難恢復演練 (年 2 次以上)。

第二類：偶爾使用 Internet (每日固定站點查詢)

在第一類基線上新增

1. 代理伺服器架構： 專用 Proxy 伺服器 (Squid, BlueCoat, Zscaler) 定時抓取白名單網站內容 (RSS、網頁快照、檔案下載) → 存放內部內容伺服器 → 內部用戶僅存取內部內容伺服器。代理伺服器完成任務後立即斷開 Internet 連線 (物理斷網或防火牆策略關閉)。
2. 代理伺服器隔離： 置於 DMZ，不加入內網域、不信任內網、僅單向推送內容至內網。
3. 客戶端強化： 使用支援最新 TLS/憑證透明度的現代瀏覽器 (Edge/Chrome/Firefox ESR)、停用不必要外掛 (Flash, Java Applet, ActiveX)、啟用瀏覽器強化策略 (Group Policy/Intune)。
4. 作業系統版本： 僅使用仍在主流支援週期內的 OS (Windows 10/11 LTSC, Windows Server 2019/2022, RHEL 8/9, Ubuntu LTS)，啟用最高安全性設定 (Windows: 攻擊面縮減 ASR 規則、啟用 Credential Guard、HVCI)。

第三類：大量/即時使用 Internet (電商、SaaS、API 經濟、遠端辦公)

在前兩類基線上新增核心防護體系

1. 身分與存取管理 (IAM) 核心

• 統一身分來源 (AD/Azure AD/Okta/PingIdentity) + MFA (FIDO2/WebAuthn 首選、TOTP 次之)。
• 條件式存取：依裝置合規、風險等級、位置、應用敏感度動態要求 MFA/封鎖/要求合規裝置。
• 特權存取管理 (PAM)：帳號棧出、即時授權 (JIT)、會話錄影、密碼自動輪換。

2. 網路邊界與微分段

• 新一代防火牆 (NGFW) / 雲端防火牆 (AWS Network Firewall, Azure Firewall, Google Cloud Armor)：應用辨識、IPS、URL 過濾、SSL 檢測 (選擇性解密)、威脅情報整合。
• 零信任網路存取 (ZTNA) 取代傳統 VPN：應用層授權、身分感知代理、裝置姿態評估。
• 微分段 (Micro-segmentation)：工作負載級東西向流量控制 (Illumio, VMware NSX, Cisco ACI, Guardicore)。

3. 端點防護與響應 (EPP/EDR/XDR)

• 新一代防毒 (NGAV) + 行為分析 (EDR) + 自動化響應 (SOAR 整合)。
• 攻擊面縮減 (ASR) 規則全開：封鎖 Office 宏啟動子程式、封鎖可疑腳本 (JS/VBS/PS)、封鎖未簽名執行檔從 USB/網路執行、阻擋認證竊取 (LSASS)、阻擋勒索軟體行為。
• 統一端點管理 (UEM/MDM) 管理所有裝置 (Win/Mac/Linux/iOS/Android/ChromeOS)。

4. 應用與資料安全

• Web 應用防火牆 (WAF) / API 閘道保護所有對外 API。
• 資料分類分級 + DLP (端點/網路/雲端) 防止敏感資料外洩。
• 資料庫活動監控 (DAM)、靜態/動態遮罩、加密 (TDE/欄位加密)。
• 軟體供應鏈安全：SBOM、簽名驗證、SLSA 等級、依賴掃描 (SCA)、容器映像掃描。

5. 安全運營中心 (SOC) 能力建設

• 日誌集中收集 (SIEM) + 威脅情報平台 (TIP) + 自動化劇本 (SOAR)。
• MITRE ATT&CK 對應偵測規則覆蓋率 ≥ 80% (技術層面)。
• 7×24 小時值守或 MDR (Managed Detection and Response) 服務。
• 定期紅藍對抗、假設入侵演練、桌上推演。

6. 關鍵基礎設施強化 (補充原文細節)

• 重命名 Administrator、建立專用管理帳號、禁止管理員瀏覽 Web。
• 保護 `%systemroot%\repair\sam._` (SAM 備份) 僅限系統讀取。
• 限制遠端管理 (WinRM/SSH/RDP) 僅限管理跳板機來源 IP、強制 MFA、啟用網路層級驗證 (NLA)。
• 啟用 Windows 防火牆進階安全性 (出站/入站/連線安全規則)、IPsec 域隔離。
• 部署入侵偵測/防禦 (HIDS/NIDS)、檔案完整性監控 (Tripwire, OSSEC/Wazuh)。
• 定期稽核群組原則結果 (RSOP)、安全設定基線合規 (SCAP/OpenSCAP)。

結語

資安防護非買產品即完成，而是「風險評估 → 分級基線 → 架構設計 → 持續運營 → 持續改善」的生命週期。依業務模式選擇適當防護層級，避免過度投資或防護真空。核心原則：身分為新邊界、資料為核心資產、零信任為架構指導、自動化為運營保障。