前言：為何單一防毒軟體不再足夠？
即便部署了防毒軟體，許多組織仍遭受惡意軟體攻擊。微軟建議採用深層防護策略，構建多層次、重疊的安全防線，確保單一防線失效時仍有後續防禦。
惡意軟體主要威脅途徑
- 外部網路（尤其是 Internet）：匿名性與廣泛連通性使其成為最大威脈來源。
- 來賓客戶端：攜帶病毒的筆電、行動裝置接入內網。
- 可執行檔案：程式、腳本、批次檔、ActiveX 控件等均可攜帶惡意代碼。
- 文件巨集：Office 巨集語言常被利用製作巨集病毒。
- 電子郵件：附件與 HTML 郵件中的活動代碼雙重威脅。
- 可移動媒體：光碟、軟碟/Zip、USB 隨身碟、記憶卡等實體載體傳播。
深層防護安全模型七層架構
- 資料層：保護機密業務資料、用戶隱私、客戶資訊，防範資料外洩與竊取。
- 應用程式層：防範惡意代碼利用應用程式漏洞、偵聽服務缺口、不當資料收集。
- 主機層：修補作業系統漏洞（如緩衝區溢位），保護核心二進制檔與偵聽服務。
- 內部網路層：保障內部傳輸資料機密性，管控工作站接入風險。
- 外圍網路層（DMZ）：控制 TCP/UDP 連接埠暴露，阻擋來自廣域網的直接攻擊。
- 物理安全層：防止攻擊者透過實體接觸（如插入 USB）繞過網路防線植入惡意程式。
- 策略、流程與意識層：制定安全政策、操作流程，並持續開展安全意識訓練，彌補技術防禦之外的人為漏洞。
集中式深層病毒防護視圖
將上述七層整合為三大防護策略組：
- 用戶端/伺服器防護：整合資料、應用、主機三層，雖共享通用策略但實施細節不同。
- 網路防護：合併內部與外圍網路層，統一管控傳輸協定與連接埠。
- 物理與管理防護：對應物理層與策略意識層。
核心原則：不遺漏任何安全層，避免防禦架構出現薄弱環節。組織應依據自身風險評估結果，在各層部署適配的防禦技術與管理措施。
實施建議
- 先完成完整的安全風險評估（參考 Microsoft SRMD 方法論）。
- 依評估結果，在深層防護模型各層選型部署防毒、防火牆、入侵偵測、資料防洩漏、補丁管理、存取控制、物理門禁、安全教育等措施。
- 建立持續監控與應變機制，定期演練並優化防護態勢。