從單純資源共享到業務上雲，企業網路面臨病毒、駭客、內部洩密、合規稽核多重挑戰。實戰沉澱出的五大管理支柱：

一、統一作業系統、及時打補丁、定期掃描漏洞

• 統一 OS 版本（建議 Win 10/11 Enterprise LTSC / Windows Server 2019/2022），減少相容性測試成本。
• WSUS / SCCM / Intune 自動下發安全更新，關鍵補丁 72 小時內覆蓋率 100%。
• Nessus / OpenVAS / 360 漏洞掃描 每週全網掃描，高危漏洞 24 小時修補。
• 最小權限原則：標準用戶運行、UAC 最高級、本地管理員帳號禁用/重命名、強密碼策略（長度≥12、複雜度、90 天輪換）。

二、部署新一代防火牆（NGFW）構建邊界防禦

• 邊界防火牆：應用層識別（App-ID）、IPS 入侵防禦、SSL 解密檢測、威脅情報聯動封鎖惡意 IP/域名/C2。
• 內網微隔離：核心業務區（財務、ERP、資料庫）部署內部防火牆/安全群組，默認拒絕，最小授權放行。
• 隱藏對外真實 IP，阻斷掃描/暴力破解/漏洞利用。

三、企業級端點防護（EDR/XDR）+ 每日全網掃毒

• 部署具備 EDR 能力的殺毒（CrowdStrike、SentinelOne、火綜合企業版、深信服 EDR）。
• 病毒庫每日多次更新，排程：每日快速掃描 + 每週深度掃描 + 即時防護常駐。
• 針對蠕蟲/勒索軟體：啟用「反勒索誘餌」、「記憶體保護」、「攻擊面縮減 (ASR)」規則。

四、制定嚴格網路管理制度、落實責任制

• 縱向：「誰主管、誰負責」—— IT 總監負全網安全、網管組負技術實施、部門主管負本部門合規。
• 橫向：「誰使用、誰負責」—— 每台電腦指定責任人，資產變更登記、離職收回帳號權限。
• 關鍵系統分級授權：財務軟體（用友/金蝶）僅授權財務專員存取相關模組，其他模組不可見。
• 違規處罰條例明確：私接無線路由、外發敏感檔、繞過代理上網、安裝盜版軟體 → 記過/扣款/移交法務。

五、部署內網行為管理（上網行為審計）與流量分析（NDR）

• 上網行為管理：實名認證上網、URL 分類過濾（封鎖博彩/色情/代理/下載）、應用識別封鎖 P2P/影音/遊戲、郵件/IM 內容審計（DLP 防洩密）、操作日誌留存 ≥ 180 天。
• 流量分析（NDR）：鏡像核心交換機流量，AI 引擎偵測異常流量（C2 通訊、橫向移動、數據外洩、掃描探測），秒級告警、自動阻斷。
• 共享資源定期掃描：開放共用、弱密碼共用、敏感檔案暴露 → 自動糾正/告警。

資料保護與監控補充

• 核心資料專人專備份（3-2-1 原則：3 份副本、2 種介質、1 份異地離線）。
• 機房環境監控（溫濕/水浸/門禁/視訊）、設備配置變更審計（NetBox/Ansible/GitOps）。
• 郵件/郵件網關：反垃圾郵件、反釣魚、敏感詞攔截、加密傳輸 (TLS/S/MIME)。

網路安全非一次專案，而是持續運營體系。五大支柱缺一不可，缺口即風險入口。