一、蜂窩網絡四大安全薄弱環節
- 無線空中接口：電波易被竊聽，3G/4G/5G 雖採用強加密與雙向認證，仍難完全免疫 DoS 攻擊。
- 核心網安全：服務節點間通訊依賴 MAPSec、IPsec，但具體部署取決於運營商策略，物理與遠程訪問防護參差不齊。
- 互聯網互聯風險：核心網連接互聯網引入 DDoS、短信垃圾等威脅；PSTN 網關基於 SS7 明文協議，缺乏認證機制。
- 終端設備漏洞：早期 MiFi GPS 可被惡意網站啟動，新版已修復，但固件漏洞持續存在。
二、最終用戶必做的 12 項防護清單
- ✅ 及時更新 3G/4G/5G 設備固件/軟體
- ✅ 啟用主機防火牆並正確配置規則
- ✅ 安裝並開啟防毒/反惡意軟體
- ✅ 敏感操作（銀行、個資）啟用強密碼 + 多因子認證 (MFA)
- ✅ 開啟日誌與告警功能
- ✅ 無線熱點採用 WPA2-AES 加密
- ✅ 關閉 MiFi/熱點設備的 SSID 廣播與 DHCP 服務
- ✅ 監控熱點連接設備，僅允許白名單 MAC
- ✅ 單用戶場景將最大連接數設為 1
- ✅ 修改設備預設管理密碼
- ✅ 優先使用 USB Tethering 替代 Wi-Fi 熱點（避免空中截獲）
- ✅ USB 連接時自動關閉設備 Wi-Fi 功能
三、企業網管必知的「繞過網關」風險
員工筆記本插 3G/4G 網卡或開熱點，可同時連接企業內網與公網，繞過防火牆策略，導致：
- 訪問被封鎖的惡意網站/協議
- 內網敏感數據外洩通道
- 惡意代碼經公網側植入內網
對策：部署終端準入控制 (NAC)，檢測到蜂窩介面啟動時自動斷開有線/無線內網連接；推行 MDM 策略鎖定熱點功能。
四、運營商層面的改進趨勢
主流運營商已引入：
- 信令平面加密（Diameter over IPsec/TLS）
- 用戶平面 GTP-U 加密選項
- 核心網異常流量 AI 實時分析
- SS7 防火牆攔截跨網攻擊
但端到端安全仍不可完全託付運營商，「設備級防護」才是最後防線。