多數企業視防火牆為成熟技術，審計時僅勾選「已部署」即結事。實則防火牆若無持續驗證與優化，極易淪為「昂貴的直通設備」。本文提出四大關鍵審視問題與實戰測試方法論。
一、四大必問審視問題
- 上次全面驗證規則集是何時？
- 規則集上次更新時間？
- 上次全面滲透測試/流量測試是何時？
- 上次優化/清理冗餘規則是何時？
若答案均為「數年前」，防火牆極大概率已失效。
二、設計與配置兩大核心原則
1. 設計黃金法則：所有連接必須經過防火牆
現實中，加密鏈路、無線網路、Modem、外部專線常繞過防火牆。隨著網路開放度提升，許多防火牆實際僅見 60% 以下流量，無法防護不可見區域。
2. 配置基石：規則集須有政策文件驅動
- 無文檔驅動的規則集 = 無法驗證正確性。
- 技術人員憑經驗在控制台手工加規則，極易產生過度放行、衝突、殘留規則。
三、測試方法論：正常與異常雙軌並行
- 正常測試：確保合法業務通行（必要但不充分）。
- 異常測試：依政策文件構造攻擊封包（掃描、漏洞利用、異常協議、惡意載荷），驗證是否被正確阻擋。唯有異常測試才能證明防火牆真正在工作。
四、核心效能指標：丟包統計
防火牆價值在於阻擋應被阻擋的流量。關鍵指標：
每日丟棄封包數量（Dropped Packets/Day）
- 0 個：規則集等同「全許可」，防火牆形同虛設（實例：某客戶 237 條規則，丟包 0）。
- 每天 < 100 個：極可能配置錯誤或部署位置過於內側。
- 每天數千~數萬：典型健康企業網路（視業務規模與暴露面）。
- 每小時數千：高威脅環境（金融、政府、高價值目標）。
規則變更後必須對比丟包趨勢，確認變更對安全態勢的實際影響。
五、持續優化建議
- 建立防火牆政策文件（業務需求、風險承受、合規要求）。
- 季度規則集審計：清理影子規則、過期規則、過度寬鬆規則。
- 半年滲透測試/紅隊演練，驗證防禦有效性。
- 日常日誌關聯分析（SIEM），異常丟包峰值自動告警。
- 確保100% 關鍵流量經過防火牆，消除繞道鏈路。
結論：防火牆非「裝好不管」的銀彈。透過流量覆蓋率審視 + 異常測試驗證 + 丟包統計追蹤三大機制，才能讓防火牆持續發揮應有防禦價值。