被動防禦的侷限

防火牆、VPN、反病毒、IDS 屬被動/反應型措施：攻擊來臨才動作，且各有盲點（防火牆誤攔合法封包、VPN 不護數據、反病毒依賴特徵碼、IDS 事後報警）。2004 E-Crime Survey 指出 90% 安全問題源於 CVE（通用漏洞暴露）攻擊，傳統四大件對 CVE 無力。

主動性安全模型核心：漏洞管理系統

整合四大措施並加入漏洞管理系統，才是關鍵。95% 攻擊源於系統漏洞或錯誤配置。如同出門鎖門，網路也需多加一把鎖——在漏洞被利用前修補它。

實現主動性安全網路的七大步驟

1. 制定並強制執行安全策略

哪怕只有一頁，全員（含總經理）必須遵守。涵蓋密碼規範、業務持續計畫 (BCP)、災難恢復計畫 (DRP)、資料備份/鏡像站點、冷/熱備援站點等。

2. 減少終端違規

強制所有終端：安裝反病毒、開啟 XP 內建防火牆或商用桌面防火牆、移除 P2P (Kazaa、BT、eMule 等) 與雜亂 IM 軟體——它們是漏洞溫床。

3. 封鎖移動設備風險

筆電/無線終端可隨員工進入不安全環境再回內網，成最大隱患。Forrester 預測 2010 年移動設備達 150 億。策略：接入前快速檢測、驗證合規性、掃描漏洞。

4. 開啟無線加密 (WEP/WPA) 並設最高等級

管理員帳密頻繁更換。但無線路由器常含未修補 CVE，高階駭客可用免費工具利用漏洞突破。

5. 為無線路由器打補丁並啟用內建防火牆

及時更新固件，學會配置內建防火牆。限制同時連線數（如 15 人公司設 15 連線上限）。

6. 智能化防火牆規則

關閉可能被利用的埠（如 1045 埠為 Sasser 攻擊埠）。對移動終端動態套用封鎖危險埠規則。

7. 下載部署商用級安全工具

安全策略模板、反病毒/反垃圾郵件、微軟補丁等豐富資源，充分利用提升防護等級。

補充防護

• 禁止 BHO (Browser Helper Object)：常被間諜軟體利用監控導航/下載。用 BHODemon 掃描，禁用 ADODB Stream 物件防 BHO 寫入檔案/執行程式。
• 持續關注最新威脅：CSI/FBI 調查顯示電腦犯罪不減且趨向金融領域。訂閱安全資訊源。
• 修補所有已知 CVE：用工具快速掃描修補，參考 cve.mitre.org。

結語

主動性安全模型以策略為起點，貫徹執行，因應移動辦公動態環境，時刻比駭客/蠕蟲/惡意內部人員/網路罪犯早一步。雖無法達 100% 安全，但能確保處於優勢地位。