網路安全實用指南

當我們談論真正的網路安全時，一切都可以歸結為三個核心概念，即業界所熟知的 CIA Triad（CIA 三要素）：機密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。這不僅僅是理論，它是一個實用的框架，有助於在保護資料的關鍵需求與確保資料準確且可存取的同樣關鍵需求之間取得平衡。如果其中任何一個支柱動搖，整個安全架構就會面臨風險。

了解網路安全的基礎

要建立一個真正能抵禦攻擊的防禦系統，您首先必須掌握定義安全網路的原則。在深入研究複雜的工具和策略之前，從根本上理解 什麼是網路安全 是至關重要的第一步。這些原則，即 CIA Triad，是您將要實施的每一項安全措施的基石。

這就像是負責遞送關鍵業務合約的安全快遞服務。三要素中的每個部分都扮演著獨特且至關重要的角色。只要其中一個環節出錯，整個遞送過程就會變得不可信。

機密性：保護秘密安全

機密性完全是為了確保數據只能由預期查看的人員看到。在我們的快遞比喻中，這就是密封、不透明的信封，可阻止除收件人以外的任何人閱讀內部的合約。

在網路世界中，我們主要透過加密來實現這一點。當您的資料在網路中傳輸時，加密會將其混淆為完全無法閱讀的格式。任何在沒有正確解密金鑰的情況下攔截資料的人，只會看到一堆毫無意義的字元。這正是保護密碼、信用卡號和個人資料等敏感資訊免受窺探的方法。

完整性：確保數據未被更改

完整性是確保您接收到的資訊與發送時完全相同的保證，過程中沒有任何偷偷摸摸的修改。對於我們的信使來說，這就是信封上防篡改的封條。如果封條被破壞，收件人會立即知道內容可能已被動過，且不值得信任。

此原則對於維護數據的可靠性絕對至關重要。網路安全措施（如加密雜湊和數位簽章）充當了這種數位印章，驗證數據在送達時與發送時完全一致。這能阻止攻擊者執行更改付款金額或修改傳送到關鍵系統的指令等操作。如需更深入的瞭解，我們自己的 數據與安全概述 詳細探索了這些流程。

CIA 三要素不僅僅是教科書上的模型；它是一個評估風險的實用框架。每一個安全決策 - 從選擇加密標準到設定防火牆規則 - 都應該衡量其對機密性、完整性和可用性的影響。

可用性：在您需要時隨時就緒

最後，可用性是授權使用者在需要時隨時可以存取網路及其資源的保證。如果快遞服務無法按時送達包裹，那麼它就毫無用處。如果它總是遲到或貨車壞了，該服務就失效了。

在網路中，諸如阻斷服務（DoS）攻擊之類的威脅旨在摧毀這一支柱。它們透過向系統灌入大量垃圾流量使其癱瘓，從而無法回應合法使用者。建立強大的網路安全意味著建立具有備份、備援和主動監控功能的彈性系統，以確保服務在受到攻擊時仍能保持在線並正常運作。

每位 IT 管理員都應該知道的常見網路威脅

理解安全理論是一回事，但在現實世界中了解您面臨的威脅又是另一回事。您的網路面臨的威脅不僅僅是抽象的概念；它們是攻擊者用來中斷您的服務、竊取敏感數據並危及整個組織的積極、演變中的策略。

對於旅宿業、零售業或醫療保健業的企業而言，風險更被放大。當您擁有面向公眾的 WiFi，同時又在運行處理敏感內部數據的系統時，一旦發生資料外洩，後果可能是災難性的，會導致巨大的財務損失並徹底摧毀客戶的信任。

讓我們來詳細剖析您需要特別留意的一些最常見攻擊類型。

中間人攻擊

想像兩個人正在私下傳遞紙條。現在，想像有人坐在他們中間，偷偷攔截每張紙條。他們可以閱讀、修改紙條，然後在雙方都不知道此人存在的情況下傳遞過去。這就是中間人（MITM）攻擊的本質。

在網路環境中，攻擊者會將自己置於使用者與合法服務之間 - 例如，連線到您飯店 WiFi 的訪客。從該位置，他們可以竊聽所有通訊，擷取從登入憑證到付款詳細資料的所有內容。這在未加密或設定不良的公共 WiFi 網路上尤其危險，因為使用者此時最容易受到攻擊。

惡意存取點

惡意存取點（Rogue AP）是為了冒充合法存取點而設置的惡意無線熱點。可以把它想像成一個外觀與真實、值得信賴的品牌一模一樣的假店面。飯店住客可能會看到兩個 WiFi 網路："GrandHotel_GuestWiFi" 和 "GrandHotel_Guest_WiFi"。一個是真實的，另一個則是攻擊者設下的陷阱。

如果訪客連接到流氓存取點，攻擊者將獲得對其流量的完全控制。他們可以發起中間人攻擊，將使用者重新導向到網路釣魚網站以竊取憑證，甚至在他們的裝置上植入惡意軟體。這是一種簡單但極其有效的策略，專門利用毫無防備的使用者。

一個安全的網路絕對不應該讓用戶猜測。自動進行安全連線的技術（如 OpenRoaming）消除了用戶意外選擇惡意網路的風險，因為裝置會自動且安全地連線，無需用戶進行任何操作。

這些漏洞的影響規模非常巨大。英國網路犯罪統計數據突顯了其財務影響，報告指出因網路犯罪造成的財務損失達 16.3 億英鎊。在資訊與通訊等產業的企業中，有 43% 遭遇過資安外洩。這些中斷情況包括 7% 的企業暫時失去網路存取權，以及 6% 的企業網站關閉。這些不僅僅是數字，更代表了阻斷服務（Denial-of-Service）等攻擊所帶來的實際後果。您可以 閱讀更多關於最新英國網路犯罪趨勢的資訊，並瞭解這些威脅現今如何影響企業。

橫向移動及其危險性

一旦攻擊者在您的網路中站穩腳跟 - 例如藉由用惡意 AP 欺騙一名使用者 - 他們的工作才剛剛開始。最初的入侵很少是最終目標。相反地，他們會開始一個稱為橫向移動（Lateral Movement）的過程。

這相當於竊賊穿過一扇未鎖的窗戶，然後悄悄地在各個房間之間移動尋找保險箱。攻擊者在內部探索網路，尋找更有價值的目標，例如存有客戶資料的伺服器、付款系統或管理帳戶。這種隱秘的導航方式就是導致輕微入侵演變成全面災難的原因。

阻斷服務攻擊

阻斷服務（DoS）攻擊有一個更直接、更具破壞性的目標：使您的網路或服務完全無法使用。想像一下，一家繁忙商店的單一入口被人群完全堵住，導致任何真正的顧客都無法進入。這就是 DoS 攻擊。

在 WiFi 領域中，一種常見的變體是去驗證攻擊（deauthentication attack）。攻擊者向網路發送大量偽造的指令，強制斷開所有人的 WiFi 連線，進而有效地關閉網路。對於飯店、商店或活動場地而言，這可能會使營運陷入停頓，阻礙銷售點（POS）交易、顧客服務和內部溝通。這直接損害了可用性（availability） - CIA 三要素的第三大支柱 - 並造成即時的財務和營運損失。

為了幫助您理解這些概念，以下簡要介紹常見的威脅以及它們如何影響企業，特別是提供面向公眾的 WiFi 的企業。

常見網路威脅及其影響

如您所見，方法雖然各有不同，但最終目標都是利用漏洞來獲取攻擊者的利益。了解要防範什麼，是建立具備韌性且安全網路的第一個關鍵步驟。

現代網路防禦的架構方法

瞭解威脅是一回事；建立一個能主動阻止威脅的網路則是另一回事。多年來，網路安全遵循著一個簡單的 "城堡與護城河" 模型：在周邊建立一面堅固的牆，並假設內部的所有事物都是安全的。在當今內外部都可能發起複雜攻擊的世界中，這種觀念已經危險地過時了。

現代防禦完全在於更智慧、更具動態性的策略。這些不僅是您購買的工具，更是建立兼具彈性與智慧網路的藍圖。我們不建單一的高牆，而是建立一系列內部防禦，質疑每一次連接，並使用最新標準從一開始就將安全深植其中。

使用網路分段建立數位牆

現代網路的核心策略之一是網路分段 (Network Segmentation)。將您的企業想像成一棟擁有不同部門的大樓，您不會把伺服器房的鑰匙交給前台接待人員，對吧？分段技術將這種常識性的邏輯應用於您的網路，為不同的使用者和設備建立隔離的區域。

這是透過將較大的網路劃分為較小的、獨立的子網路來實現的。每個分段都有其專屬的存取規則，在它們之間有效建立起數位牆。對於飯店而言，這是不可或缺的：顧客 WiFi 網路必須與執行付款終端或員工系統的網路完全隔離。

為什麼這如此重要？因為它能控制攻擊的波及範圍。如果訪客網路上的某台裝置遭到入侵，網路分段可以阻止攻擊者進行橫向移動來竊取關鍵的企業數據。這起入侵事件會被防火牆限制在自己的小區域內，從而大幅減少潛在的損害。

Zero Trust 是一種策略性思維，而不是單一產品。 這是對舊有「信任但驗證」模式的根本性轉變。新規則很簡單：「絕不信任，始終驗證」。每一次的存取請求，都必須進行身份驗證與授權。

擁抱零信任模型

在分段概念的基礎上，Zero Trust 安全模型將此原則發揮到極致。它的運作基於一個強大的假設：威脅可能存在於任何地方 - 無論是在您網路的外部還是內部。正因如此，無論使用者或設備從何處進行連接，都無法獲得免審查的通行證。

每一次存取資源的嘗試都必須經過嚴格驗證。想像它就像一個高安全防護設施，即使您已經身處內部，每次經過每一扇門時都必須出示有效的憑證。這種持續的驗證程序意味著，即使攻擊者成功入侵了一個帳戶或裝置，他們四處移動的能力也會受到嚴格限制。他們無法直接溜到下一個伺服器，因為每一步都需要他們根本沒有的新驗證。

此地圖突出了這些現代架構方法旨在擊敗的一些關鍵網路威脅。

它展示了中間人攻擊、惡意存取點（Rogue Access Point）和阻斷服務（Denial-of-Service）等威脅如何直接損害網路的完整性與可用性，進一步印證了為什麼我們需要主動的縱深防禦策略。

使用 WPA3 與 OpenRoaming 升級無線網絡安全

對於任何提供 WiFi 的企業來說，您使用的具體安全標準至關重要。像 WPA2 這樣的舊協定多年來一直是主力，但它們具有攻擊者正在積極利用的已知漏洞。最新標準 WPA3 帶來了巨大的安全升級。

WPA3 強化了加密，使其更難被破解，並能防禦駭客試圖猜測密碼的常見離線「字典」攻擊。至關重要的是，它還能確保在開放的公共網路上，每位用戶的流量都是單獨加密的。這可以防止坐在隔壁桌的人窺探他們的活動。

這種無縫、安全連接的概念透過 Passpoint 等技術和 OpenRoaming 等計劃得以完善。它們將整個連接過程自動化，利用個人現有的身份（例如其行動電信業者或公司登入資訊）安全地上網，使用者無需進行任何操作。

這為網路安全帶來了三贏的局面：

• 消除惡意 AP 風險：使用者不需要從清單中挑選網路名稱，因此不會被騙去連接到惡意的 "Evil Twin" 熱點。
• 從一開始就加密：連接從第一個封包開始就是安全的，消除了傳統開放網路中常見的主要漏洞。
• 無摩擦體驗：它擺脫了笨重的登入頁面和共享密碼，這不僅是安全上的噩夢，也是極差的使用者體驗。

透過將網路分割、Zero Trust 哲學和現代無線標準相結合，任何組織都可以構建多層防禦，更有效地阻止當今的威脅。這創造了一個不僅在設計上安全，而且更智慧、隨時能滿足現代業務需求的網路。

實作基於身份的存取以實現終極安全性

真正的網路安全始於顛覆一個老問題。數十年來，IT 管理員一直在問：「這個裝置被允許做什麼？」但現代的 Zero Trust 思維方式提出了一個更聰明的問題：「這個使用者是誰，他們被授權存取什麼？」

這種簡單的轉變是基於身分識別之存取控制的基礎。這告別了多年來一直是安全漏洞的共享密碼和預共用金鑰（PSK）。共享密碼就像是把一把鑰匙留在整個辦公室的門墊下 - 一旦被發現，您就完全沒有安全可言。基於身分識別的存取將這種模式徹底淘汰。

相反地，每個使用者和裝置都會獲得自己專屬、無法偽造的數位護照。這不僅僅是一個密碼；這是一個可驗證的身分識別，可以證明他們是誰，並根據他們的角色授予精確、受限的存取權限。

使用身份提供者自動化員工存取

對於您的員工，得益於與成熟身分識別提供商（IdP）的整合，將這種現代的網路安全方法引進企業是出乎意料地簡單。這些服務很可能正是您的組織每天都在依賴的服務。

• Microsoft Entra ID（前身為 Azure AD）
• Google Workspace
• Okta

當您將網路存取平台連接到這些目錄時，保護員工連線的整個過程幾乎變得自動化。不再需要手動建立帳戶或提供共用的 WiFi 密碼。系統只會向每位員工的裝置核發唯一的數位憑證。

此憑證就像是他們的安全護照。當員工靠近辦公室網路時，他們的裝置會出示此憑證，並立即透過目錄進行驗證並獲得存取權限。無需記住、輸入密碼，更不用擔心密碼被盜。如果有人離職了？撤銷其存取權限非常簡單，只需在 IdP 中更新其狀態，其數位護照就會立即失效。

為了更深入了解其運作方式，您可以閱讀我們關於 基於身份的 WiFi 安全性 的詳細指南。

無需密碼即可保障訪客存取安全

這種身分優先的思維不僅適用於員工。對於飯店、商店或場館的訪客而言，要求他們應付各種密碼既不安全，體驗也很糟糕。讓我們面對現實吧：人們的安全習慣通常不佳，當他們連接到企業網路時，會帶來巨大的風險。

最近的一項調查發現，英國有高達 47% 的寬頻家庭從未更改過其預設的路由器設定。更糟糕的是，69% 的人承認他們從未更改過 WiFi 密碼。當人們離開家時，這些習慣並不會奇蹟般地改善，這突顯了為什麼不依賴用戶管理密碼的系統如此關鍵。

這就是 OpenRoaming 等技術完全改變訪客存取遊戲規則的地方。它為大眾提供了類似的免密碼、基於身分的連線。

OpenRoaming 利用訪客現有的受信任身份 - 例如其行動電話供應商或社群登入 - 來自動且安全地連接到 WiFi 網路。整個過程流暢無縫、從第一個封包開始就進行加密，並完全將使用者排除在安全疑慮之外。

透過信賴的第三方驗證用戶，您的網路可以授予安全存取權限，而完全不需要共享密碼或繁瑣的 Captive Portal。這證明了堅不可摧的安全防護與完全無摩擦的用戶體驗絕對可以並行不悖。這是公共網路存取的未來 - 安全、簡單且圍繞著身分識別構建。

實用的部署與監控策略

將安全理論轉化為真正起作用的現實防禦需要一個清晰、可執行的計劃。強大的安全防護並不是僅靠安裝新產品就能實現的；它是透過深思熟慮的部署建立起來的，並透過勤勉、持續的監控來維持。這就是我們所討論的架構藍圖在您的網路上變成切實可行之現實的地方。

第一步是進行策略性部署，以快速且高效地堵住安全漏洞。這完全取決於圍繞幾個關鍵營運支柱所進行的仔細規劃。

規劃您的部署

有效的部署始終始於規劃您現有的環境。將新的安全解決方案與您已有的基礎架構進行整合至關重要，而不是與之衝突。現代平台正是為此而建，旨在與 Meraki、Aruba 和 UniFi 等領先的硬體廠商相容，以確保更順暢的部署流程。

從一開始需要解決的幾個關鍵事項：

• 網路分段計劃：確立您將如何隔離不同類型的流量。您需要定義客用 WiFi、員工存取、POS 銷售系統以及關鍵後端伺服器之間的清晰界限。
• 身分目錄整合：將您的存取控制平台與您現有的身分提供者（例如 Entra ID 或 Google Workspace）進行連結。這樣可以自動化員工入職或離職時授予與撤銷存取的整個流程。
• 硬體相容性檢查：反覆確認您選擇的解決方案與您目前的交換器、無線基地台和防火牆相容。這有助於您避免在安裝過程中出現任何令人頭痛的相容性問題。

穩健的網路管理是良好安全的基石。瞭解基本知識（例如 重設 Cisco 交換器 的步驟）對於在發生問題時維護網路完整性至關重要。

持續監控與事件回應

一旦您的安全網路啟動並執行，工作重點就會從部署轉向警惕。網路安全絕非「設定後即可置之不理」的工作。 持續監控完全是為了密切注意您的網路是否有異常跡象，並在發現問題的瞬間制定明確的因應計劃。

這個過程將安全防護從理論上的演練，轉化為活生生且主動的防禦態勢。它涉及收集與分析網路數據，以找出可能是攻擊先兆的異常情況。

沒有計畫的監控只是在收集數據。正式的事件回應計畫能將這些數據轉化為果斷的行動，概述您的團隊從偵測到威脅到最終解決所將採取的確切步驟。

一個有效的監控策略需要密切注意特定的危險訊號。這些指標通常是安全漏洞最早的跡象，讓您有機會在造成實際損害之前做出回應。例如，主動式 DNS 過濾在此處是一個極其強大的防禦層。您可以在我們的指南中了解更多關於其運作方式的資訊，該指南解釋了為什麼 主動式 DNS 過濾是您對抗現代威脅的最佳防禦。

您的團隊應該主動尋找：

• 異常流量模式：流向或流自特定裝置或外部位置的數據流量突然出現無法解釋的激增，可能是資料外洩或惡意軟體活動的明顯跡象。
• 登入失敗次數激增：針對單一帳戶或系統的大量失敗驗證嘗試，通常意味著暴力破解攻擊正在進行中。
• 連線至可疑目的地：流向已知惡意 IP 位址或網域的連線流量，強烈顯示您網路上的某個裝置已遭到入侵。
• 偵測到未經授權的裝置：任何出現在安全網路分段中的全新、未知裝置都必須立即進行調查。無一例外。

透過將規劃完善的部署與嚴謹的監控及回應策略相結合，您便能建立一個活生生的安全框架，使其能夠適應並應對不斷變化的威脅形勢所帶來的任何挑戰。

將您的安全網路轉化為企業資產

將頂級網路安全僅視為另一項開銷是一個很容易犯的錯誤。我們通常將其視為防禦性成本 - 預防災難的必要惡行。但這種看法錯失了巨大的機會。當您以正確的方式建置網路時，特別是使用基於身分的平台，它就不再是成本中心，而是開始成為真正推動成長的策略資產。

箇中妙處在於您在安全登入過程中收集的第一手數據。每次客戶或訪客連接到您的 WiFi，您都會與他們建立直接、基於同意的關係。這遠不止是提供網際網路連線；這是一個對話的開始。

從成本中心到增長引擎

這正是最有趣的地方。當您將豐富的身份與行為數據連結到客戶關係管理 (CRM) 和行銷平台時，就能開始以過去根本無法實現的方式來打造個人化的客戶旅程。對於餐旅業、零售業和大型場館的企業而言，這是一項顛覆性的變革。

• 個人化優惠：飯店可以在常客辦理入住時，立即為其送上歡迎訊息以及其最喜愛酒吧飲品的優惠券。
• 更深度的洞察：零售中心可以分析人流量模式，了解哪些入口和商店在不同時段最為繁忙，進而協助他們最佳化從商店佈局到員工排班的所有事務。
• 提升忠誠度：咖啡廳可以在顧客每次登入 WiFi 時，自動將忠誠度點數累計到顧客的帳戶中，為他們提供再次光顧的強力誘因。

投資於現代、基於身分識別的網路平台不僅僅是一項安全措施。在一個充滿威脅和激烈競爭的世界中，這是一項能帶來明確回報的戰略性商業決策。

證明投資報酬率

這種方法將網路安全從支出清單上的項目，轉變為對您底線可衡量的貢獻。這不僅僅是理論，數據也支持了這一點。例如，英國的網絡安全產業創造了 132 億英鎊 的總增加價值，隨著更多企業對廣泛的漏洞做出反應，未來的成長空間巨大。您可以 進一步了解英國的網絡安全行業分析，以查看市場的完整規模。這不僅僅與 IT 相關，這是一項核心業務功能。

這是一個真實世界的範例：一家大型購物中心利用其 WiFi 分析發現，連接到網路的訪客停留時間延長了 20%，且每次造訪的花費更多。這是一個強大的洞察。透過利用該數據進行精準行銷，他們直接提升了營收。這證明了在 security in networking 進行正確的投資能帶來數倍的回報，在初始設定完成後很久，仍能建立一個更智慧、更具盈利能力的企業。

為您解答網路安全問題

當您開始加強網路安全時，不免會出現一些實際的問題。以下是我們從 IT 管理員和經理在剛開始時最常聽到的問題，這也強化了我們所涵蓋的一些核心觀念。

提高我們訪客 WiFi 安全的第一步是什麼？

淘汰開放、無密碼的網路和不安全的共用密碼。說真的，您可以採取的最關鍵第一步就是轉向基於身分識別的系統。這項單一的改變能立即修補一些最大的安全漏洞。

它會立即將您的網路從匿名的自由放任狀態，轉變為每個連線都與唯一識別碼綁定的環境。這為所有其他現代安全措施奠定了基礎，從監控與控制到適當的網路分段。您實際上是從用戶的第一次連線開始，就與他們建立安全的數位關係。

目標是消除匿名性。無論是透過收集電子郵件的安全入口網站，還是像 OpenRoaming 這樣無縫的技術，將每一次連線與可驗證的身分識別綁定，是您可以做出最有效率、最具影響力的改變。

零信任在實際的 WiFi 環境中如何運作？

在 WiFi 環境中，Zero Trust 非常簡單：預設不信任任何人與任何事物，無論他們身處網路的哪個位置。每一次的連線請求都必須進行驗證。這為任何試圖獲取未經授權存取的人創造了一個更嚴苛的環境。

對於您的員工而言，這可能意味著使用身分識別提供者（例如 Entra ID）向每個裝置發行專屬憑證，僅授予他們執行工作絕對需要的特定資源存取權限。對於訪客，像 OpenRoaming 這樣的系統從一開始就對連線進行加密，而網路分割則將他們與您的企業資源完全隔離。

轉換到安全的身份辨識平台很困難嗎？

這比您想像的要簡單得多。現代雲端平台專為快速部署而建，旨在與您現有的主要品牌（如 Cisco Meraki、Aruba 和 Ruckus）網路硬體無縫整合。

該過程通常涉及設定平台以與您目前的 WiFi 基礎設施和身分識別提供者進行同步。過去需要花費數月、複雜的專案，現在只需幾週即可啟動並執行。這為您提供了通往企業級安全的快速通道，而無需處理傳統地端解決方案的繁瑣問題，使強大的安全性成為任何規模組織的務實目標。

準備好將過時的共用密碼替換為安全、基於身分識別的網路平台了嗎？了解 Purple 如何提供兼具無摩擦使用者體驗的零信任安全。 探索 Purple 平台。