防火牆不是萬能盾：正確認知與科學部署，才能真正屏蔽外界攻擊

防火牆做什麼？

像盾牌一樣過濾進出電腦/網路的資料流：阻擋惡意軟體、非必要流量、特定區域連線；允許授權、必要的通訊。對「永遠在線」的寬帶/ADSL 用戶極其重要。

兩大類型：硬體 vs 軟體

維度	硬體防火牆 (網路防火牆/路由器整合)	軟體防火牆 (主機防火牆)
部署位置	電腦/網路與 MODEM 之間 (邊界)	安裝於單台電腦內部 (端點)
保護範圍	整個網段多台電腦	單機
優勢	獨立作業系統、專用硬體、不佔用主機資源、提供額外防線	成本低(甚至免費)、針對單機精細控制、適合行動裝置
劣勢	成本較高(現有 < $100 產品)、無法檢測主機內部產生的惡意流量	與被保護資料同機、惡意流量已進入主機才攔截、防禦深度較淺

結論： 選哪種不如「一定要部署」重要。單機建議「硬體邊界 + 軟體端點」雙層防護。

如何選擇配置？

• 商用產品出廠預設為「最廣泛接受的安全模式」，需閱讀文件確認是否符合需求。
• 廠商技支/官網、ISP 支援、US-CERT 等警訊常提供針對性配置建議 (如針對特定蠕蟲封鎖埠口)。
• 定期審核規則集：刪除過時/過寬規則、最小權限原則、預設拒絕。

認知邊界：防火牆「防不了」什麼？

• 用戶主動執行的受感染程式 (如郵件附件雙擊執行的病毒)。
• 加密流量內部的惡意內容 (除非部署 SSL 檢測)。
• 內部威脅 (內網橫向移動、USB 傳播、內部人員洩密)。
• 零日漏洞利用 (特徵庫尚無覆蓋)。

最佳實踐

防火牆 + 反病毒/反間諜軟體 + 系統/應用及時修補 + 最小權限原則 + 安全上網習慣 = 纵深防禦。防火牆是必要但不充分條件，切勿產生「裝了防火牆就萬無一失」的虛假安全感。