虛擬化帶來的新安全挑戰

伺服器虛擬化勢不可擋，但若忽略虛擬機與實體伺服器的本質差異，恐為入侵者打開便利之門。專家警告：虛擬化技術本身存在漏洞（VMware、AMD 產品曾曝光），駭客可利用虛擬化隱藏惡意程式蹤跡。新世代資料中心必須對每個虛擬裝置、系統、網段實施最佳實踐管理：黃金映像標準化、虛擬防火牆強制策略、邏輯/物理隔離（Web 與 DB 分離）、調整 IDS/IPS 監控虛擬機流量。

虛擬防火牆誕生的三大驅動力

1. 虛擬系統內部防護：大量應用部署於虛擬環境，需對應用間流量進行存取控制與監控。
2. 多租戶服務需求：IDC/MSSP 需為不同客戶提供獨立防火牆並統一集中管理。
3. 成本考量：實體防火牆採購與維護成本高，虛擬化可分攤硬體資源。

虛擬 vs 傳統防火牆

傳統防火牆是實體設備；虛擬防火牆在實體內劃分多個邏輯獨立的防火牆實例。虛擬防火牆甚至優於傳統：如 StoneGate 可監控虛擬系統內應用間流量並實施存取控制，實體防火牆難以見微知著。

部署位置三大選項

1. 核心交換機與主伺服器群之間。
2. 實體網路與虛擬網路邊界。
3. 兩個虛擬網路之間（如 DMZ 與內網）。

硬體虛擬防火牆 vs 軟體虛擬防火牆

維度	硬體虛擬防火牆	軟體虛擬防火牆
架構	單一實體設備邏輯分割多實例，各擁獨立資源、管理員、策略、認證庫	以軟體形式運行於虛擬化平台（VMware、VM Workstation、ESX）
資源隔離	強：某實例抵禦攻擊耗盡資源，不影響其他實例	視宿主硬體（CPU、RAM、磁碟）而定，需預留足夠資源
彈性	受限於實體設備規格	高：可隨虛擬機遷移、快照、備份，適合動態雲環境
適用場景	大型企業/電信級核心邊界、高效能需求	中小企業、雲租戶、開發測試環境、分散式邊緣節點

選型建議

• 核心邊界、高效能、合規要求嚴格 → 硬體虛擬防火牆。
• 雲原生、多租戶、DevOps 整合、成本敏感 → 軟體虛擬防火牆。
• 無論軟硬，均需納入統一管理平台，實現策略一致性與可視化稽核。