降低外部網路攻擊面的七種簡易方式

漏洞揭露的數量快速的增加，這表示威脅攻擊的技術正在不斷地演進，而這些攻擊可能會降低許多安全界限。更糟糕的是，安全團隊被要求迅速做出反應，企業決策者對任何不足之處幾乎沒有容忍度。

安全營運團隊是否有機會跟上現代安全技術的腳步？毫無疑問的，營運團隊需於滿足企業特殊營運要求的安全策略，再來是安全政策的審查，其中重要的是實施最小權限原則，能夠在達到目標之前減輕威脅行為的影響。

1. 停止訪問網路防火牆的管理頁面

當在安全界限之外，請禁止訪問網路防火牆的管理頁面。確保在網路防火牆中正確配置嚴格的訪問控制規則。仔細檢查活動訪問控制政策。禁止使用 HTTP、HTTPS、PING、SSH、SSL VPN 和 TELNET 等協議訪問網路防火牆頁面。 或者，可以部署雲端管理防火牆，其中沒有對防火牆設備的直接管理訪問權限，並保持漏洞關閉。

2. 嚴格執行訪問控制政策

如果確實需要允許訪問網路防火牆的管理頁面，將會強制執行控制政策，以減少攻擊面。改變 HTTPS 預設值 443 至任意的埠口，例如：17445。使用國家/地區限制來阻止大多數不需要的訪問意圖。僅允許來自信任端的訪問。這可以藉由配置 ACL 或防火牆規則來完成，僅允許某些合法IP位址。

對管理帳戶實施嚴格的密碼政策。例如使用最少 12 個字元，大小寫組合，數字及特殊字元，和每個月更改密碼。且密碼無法被重覆使用。採取強制執行雙重身份驗證來管理登錄防火牆網頁。

3. 停止將公司網路/資源曝露在網路上

在網路防火牆上設定 NAT 埠口轉發是有風險的。部署 VPN 可使員工在家或在旅途中工作時必須要訪問 NAS、網路攝影機或印表機等內部資源。

4. 強烈建議企業使用 SSLVPN 替代方案

從頂級品牌的 SSLVPN 產品中發現了大量漏洞。然而有更好的選項來保護遠端網路對公司內部的訪問。IKEv2 plus 身份驗證（例如 MSCHAPv2）是 SSLVPN 的更好替代方案。

5. 部署高級資安防火牆的多層次防禦

目的是阻止網路攻擊鏈，且減輕威脅媒介。啟用 IP 信譽和 IPS：這些技術能幫助偵測埠口掃描、阻斷服務攻擊、漏洞利用和暴力攻擊。啟用威脅過濾器、反惡意軟體：這些技術有助於阻止後門/惡意軟體的下載，阻止對中繼站連線，預防目標進一步受到攻擊。採用沙箱技術和安全事件分析報告執行主動警報、追踪和管理威脅媒介。

6. 定期備份設定

建立備份設定能夠在網路損壞時隨時恢復防火牆設定。為了確保高安全性，備份設定在保存到資料庫之前大多是加密的。

7. 關注供應商的資安通告

供應商通常會向客戶提供建議，以因應當前網路威脅危機直接或間接導致的潛在網路攻擊。因此，保持通知、警惕並隨時更新軟體以降低安全風險是極具重要的。