在網路邊緣阻擋惡意軟體與網路釣魚

您好，歡迎收看本次的 Purple 技術簡報。我是您的主持人，今天我們將深入探討場域營運商的一項關鍵架構決策：在網路邊緣阻擋惡意軟體與網路釣魚。我們的對象是負責管理飯店、連鎖零售、體育場館和公共部門場域網路的 IT 經理、網路架構師、CTO 以及營運總監。如果您管理過顧客 WiFi 或大型公共網路，您一定深知未管理裝置所帶來的頭痛問題。您無法在顧客的智慧型手機上安裝端點代理程式，更無法控制他們點擊哪些連結。 那麼，解決方案是什麼？就是網路邊緣防護。藉由將安全執行點移至閘道，您可以在威脅到達裝置之前就將其阻擋。讓我們來剖析一下技術架構，首先從 DNS 過濾開始。 當裝置連線到您的網路並嘗試存取惡意網域（例如隱藏在簡訊中的網路釣魚連結）時，DNS 查詢會首先到達您的邊緣閘道。邊緣閘道不會解析該 IP 位址並放行流量，而是會對照即時威脅情資來源檢查該網域。如果該網域被標記為惡意，DNS 請求就會被沉降（sinkhole）處理。在下載任何一個位元組的惡意軟體之前，連線就已經被中斷。這是主動防範，而非被動因應。 讓我們來看一個真實世界的場景。想像一家提供免費顧客 WiFi 的大型連鎖零售商。在節慶檔期，人潮湧現，每天都有數千台未管理的裝置進行連線。一波針對該地區、模仿熱門物流服務的定向網路釣魚活動來襲。在沒有邊緣防護的情況下，顧客點擊了該連結，其裝置在您的網路上遭到入侵，突然間您的 IP 信譽一落千丈，或者更糟的是，駭客企圖對您的 POS VLAN 進行橫向移動。 有了網路邊緣防護，在該顧客點擊惡意連結的瞬間，DNS 查詢就會被攔截。邊緣閘道會發現該網域是在三小時前才註冊，且已被威脅情資標記。連線隨即被阻擋，顧客會看到安全的阻擋頁面，而您的網路依然安全無虞。完全不需要安裝端點代理程式。 這種架構也簡化了合規流程。無論您是需要符合零售業的 PCI-DSS、歐洲的 GDPR，還是英國公共 WiFi 網路的 IWF 合規要求，邊緣過濾都能提供稽核所需的集中式記錄與執行能力。您將擁有完整的 DNS 查詢與已阻擋威脅的稽核軌跡。 現在，我們來探討導入實作。最常見的陷阱是過度阻擋，這會產生客服工單並讓顧客感到挫折。關鍵在於細粒度的原則執行。如果您的行銷團隊經常快速建立臨時的活動網站，您絕對不會希望對所有新註冊的網域進行一刀切的全面阻擋。 您需要採取分層防禦的方法。第 1 層是上游威脅情資 - 阻擋已知的惡意行為者、傀儡網路（Botnet）命令與控制伺服器以及惡意軟體散佈點。第 2 層是基於類別的內容過濾，以確保符合當地法規。第 3 層是存取控制，根據使用者角色套用不同的原則。訪客會套用限制性的原則，而使用企業 SSID 的場域員工則會套用不同的原則。 那加密 DNS 呢？像 DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 這類的協定，如果沒有妥善處理，可能會繞過傳統的邊緣過濾。您的邊緣架構必須考慮到這一點，方法可以是阻擋已知的公共 DoH 解析器以強制回復到您的安全 DNS，或者對託管設備實施 SSL 檢查（儘管後者對訪客網路而言並不可行）。對於訪客 WiFi，強制流量通過您的安全 DNS 並阻擋其他連接埠是標準的做法。 接下來，讓我們針對常見的客戶問題進行快速問答。 問題 1：邊緣過濾會增加延遲嗎？ 回答：微乎其微。強大的邊緣閘道會快取 DNS 回應，並使用 Anycast 路由傳送到最近的威脅情資節點。增加的延遲通常只有個位數毫秒，使用者完全無法察覺。 問題 2：這對 ROI（投資報酬率）有何影響？ 回答：ROI 是透過減少資安事件和簡化管理來衡量的。您省去了 BYOD（攜帶自有設備）裝置上終端安全防護的單一設備授權成本。您還能大幅減少技術支援人員花在調查受駭裝置或處理黑名單 IP 位址的時間。 問題 3：這能保護 IoT 設備嗎？ 回答：可以。這是一個巨大的優勢。飯店客房內的智慧電視、零售店的數位看板或 POS 終端機通常無法運行終端代理程式（Endpoint Agent）。邊緣防護會自動覆蓋它們，因為它們所有的流量都必須通過閘道。 總結來說，僅靠終端防護對於現代場域網路而言是不足夠的。您需要為所有流量建立單一的執行點。網路邊緣防護具有主動性、高性價比，且涵蓋了每台託管或未託管的裝置。它是安全訪客 WiFi 和場域網路的架構標準。 感謝您收聽本次技術簡報。請務必查看完整的參考指南，以獲取詳細的架構圖、實施步驟，以及有關 WiFi 分析和特定產業部署的進一步閱讀。請保持安全。