惡意軟體攻擊 90% 以上源自網路。網路防護層是「護城河」，必須在功能需求與安全限制間找到平衡點。本文依循微軟深度防禦模型，詳細說明外圍網路、內部網路、無線/VPN、入侵偵測、應用層過濾五大面向的配置要點與物理安全配合措施。

一、 網路架構：多層區域劃分 (零信任微隔離前奏)

• 外圍網路 (DMZ/邊界)：面向 Internet 的公開服務 (Web、Mail、DNS、VPN 閘道、ADFS/WAP)。
• 內部網路區域劃分：
  • 管理網段 (跳板機、堡壘機、監控、AD、PKI、SCCM/Intune)
  • 應用伺服器區 (Web/App/API 叢集)
  • 資料庫/儲存區 (SQL、NoSQL、備份、NAS/SAN)
  • 開發/測試區 (CI/CD、Git、Jenkins、K8s Master/Worker)
  • 用戶終端區 (VLAN 按樓層/部門/職能劃分)
  • OT/IoT 區 (工控、攝影機、門禁、智慧建築) — 嚴格單向/白名單通訊。
• 無線網路 (WLAN)：企業 WLAN (802.1X EAP-TLS/PEAP、機器/使用者雙認證、VLAN 動態指派)、訪客 WLAN (Captive Portal、隔離 VLAN、頻寬限制、無內網路由)、IoT WLAN (PSK/證書、獨立 VLAN、無管理介面存取)。
• VPN/遠端存取：零信任取代全隧道 (見文章 133722)，若仍用 VPN：強制 MFA、端點合規檢查、分流隧道關閉、最小權限 ACL。

二、 邊界防病毒/惡意軟體配置

• 郵件閘道：多引擎掃毒 + 沙箱 (附件/URL 動態分析) + DMARC/DKIM/SPF 強制 + DLP (敏感資料外洩阻擋) + URL 重寫點擊時防護。
• Web Proxy / 安全 Web 閘道 (SWG)：URL 分類封鎖 (惡意/釣魚/C2/駭客工具/成人/賭博/影子 IT)、SSL 檢測 (中間人解密、憑證釘選例外)、檔案類型/大小限制、主動掃描下載檔案、CASB 整合 (Office 365/Google Workspace/Salesforce/Box/Slack 可見性與控制)。
• DNS 安全：RPZ (Response Policy Zone) 封鎖惡意域名、DNS over HTTPS/TLS (DoH/DoT) 統一轉發至安全 DNS (Quad9, Cloudflare 1.1.1.2, Cisco Umbrella)、DNSSEC 驗證、DNS 流量分析 (DGA 偵測、隧道偵測)。
• 檔案傳輸/協議檢查：FTP/SFTP/FTPS/SCP/RSYNC 透過 Proxy/防火牆應用層檢查 (ALF) 解析指令/檔案內容，阻擋惡意檔案上傳/下載。

三、 網路入侵偵測系統 (NIDS/NIPS) 部署與運營

• 部署點：Internet 入口 (TAP/SPAN)、核心交換器彙聚鏈路、區域間連結 (DMZ↔內網、管理↔生產)、資料中心東西向流量 (SPAN/ERSPAN/vTap)。
• 模式：NIPS 串聯關鍵斷點 (邊界、資料庫前端) 自動阻斷；NIDS 旁路監控 高流量/加密區段 (避免延遲/單點故障)。
• 規則集：ET Pro/Proofpoint/VRT (商業)、Emerging Threats Open (開源)、自定義規則 (內部威脅情報、業務異常行為)。
• 關鍵流程：告警 → 豐富化 (威脅情報/資產/漏洞) → 分級 (P1-P4) → 自動響應 (封鎖 IP/隔離主機/截斷連線/更新 WAF 規則) / 人工研判 → 關單/複盤/規則優化。無響應流程的 NIDS = 事後審計工具。
• 工具：Suricata (多執行緒、檔案提取、EVE JSON)、Zeek (Bro) (協議分析、異常檢測、長連線追蹤)、Snort 3、商用 (Palo Alto, FortiGate, Cisco FirePOWER, Hillstone, NSFocus, Venustech)。

四、 應用層過濾 (ALF) / 下一代防火牆應用識別

傳統封包過濾僅看 IP/埠/協議，ALF 在 OSI 第 7 層解析應用協議內容：

• HTTP/HTTPS：URL/Host/URI 參數/Header/Body/JSON/XML 內容檢查 → 阻擋 SQLi、XSS、命令注入、路徑遍歷、敏感資料外洩、惡意檔案上傳、C2 通訊特徵 (JA3、SNI、Certificate Transparency)。
• DNS：查詢類型/域名/回應記錄檢查 → 阻擋 DGA、DNS 隧道、惡意域名、資料外洩 (TXT/NULL 記錄攜帶資料)。
• SMTP/IMAP/POP3：指令/郵件標頭/內容/附件掃描 → 阻擋垃圾郵件、釣魚、惡意附件、Open Relay 利用。
• SMB/RPC/WinRM/SSH/RDP：協議語意分析 → 識別 Pass-the-Hash、橫向移動、暴力破解、異常管理操作 (建立服務、修改登錄檔、排程任務)。
• 資料庫協議 (TDS, MySQL Protocol, PostgreSQL Protocol, Oracle TNS)：SQL 語句解析 → 阻擋 SQLi、大量導出、權限提升、敏感欄位存取。

SSL/TLS 解密是 ALF 生效前提：部署專用解密設備/功能 (NGFW、SSL Visibility、F5 SSL Orchestrator)、憑證釘選例外清單、隱私合規排除 (銀行/醫療/政府網站)、效能規劃 (解密佔 CPU 30-50%)。

五、 物理安全：防護鏈條的物理基石

• 機房/機櫃：電子門禁 (雙因子)、視訊監控 (保留 90 天)、環境監控 (溫濕度/漏水/煙霧/門磁)、UPS/發電機/配電冗餘 (N+1/2N)、機櫃鎖、資產標籤/防拆標籤。
• 纜線管理：標籤兩端、顏色區分 (管理/業務/儲存/備份)、光纖/銅纜分離走線、防竊聽 (光纖加密/量子金鑰分發 QKD 試點)。
• 媒介管控：USB 埠物理鎖/BIOS 關閉、光碟機移除、列印/掃描/傳真輸出水印/稽核、媒介銷毀 (碎紙/消磁/物理粉碎/熔化) 紀錄雙人見證。
• 人員管制：背景查核、最小權限、訪客陪同、攜入/攜出設備登記、離職即時收回權限/實體憑證/鑰匙。
• 備援場地：熱/溫/冷備援站點、RTO/RPO 定義、切換演練 (每半年)、資料複寫 (同步/非同步/快照/備份)。

六、 結語

網路防護層不是買幾台設備串起來，而是架構設計、配置硬化、規則調優、日誌分析、威脅情報融合、自動化響應、物理配合、持續演練的系統工程。外圍擋洪水、內部分段防橫移、應用層看內容、物理守根基，四位一體，才能在惡意軟體攻擊常態化時代，守住企業數據資產生命線。