一台失陷,不該變成全面失陷:用 Akamai Guardicore 阻斷東西向橫向移動
真正的破壞,發生在內網
多數資安事件的第一步,是釣魚信、VPN 或系統漏洞、供應鏈,或一組弱密碼。攻擊者取得單一主機的權限後,會植入後門、竊取憑證,接著掃描網段、列舉 AD,尋找高價值目標。之後他們利用 RDP、SMB、WinRM、SSH 與被竊取的憑證,一台接一台擴散,最後才是勒索加密、資料外洩與核心系統停擺。
邊界防護的任務,是擋住第一步。但只要有一台主機被突破,內網若是扁平的,後面幾乎沒有阻礙。真正決定「一台失陷」會不會演變成「全面失陷」的,是內部的東西向管控。
為什麼 VLAN 與防火牆不夠
許多企業已經用 VLAN 和防火牆做網路分區,但它們在東西向防護上有四個先天限制。
第一,同一個 VLAN 內的主機走 L2,流量不會經過防火牆。駭客拿下一台機器,就能直接掃描並連線同網段的所有主機。
第二,防火牆只看得到經過它的流量。要讓所有東西向流量都繞送到防火牆,得大改網路架構,還要承擔效能瓶頸與單點故障的風險。
第三,傳統規則綁的是 IP 與網段,顆粒度太粗。管理者只能設定「網段 A 可以連網段 B 的某個 Port」,分不出是哪個程序、哪位使用者在連線。
第四,規則難以維護。應用系統增加後,規則數量暴增,每次變更都需要維護窗口,最後常變成「先開寬一點」,隔離形同虛設。
Guardicore 補上的是哪一層
Akamai Guardicore 把管控點放在每一台主機或工作負載上,由 Host 端的 Agent 執行政策,而不是靠網路邊界。這帶來幾個差異。
在可視化上,它會自動繪製應用依賴關係圖,讓管理者看見誰連誰、透過哪個程序連線,不必再靠 NetFlow 或防火牆 log 猜測。
在顆粒度上,政策可以細到程序、使用者、服務與 Port,甚至到 L7。例如可以規定「只有 sqlservr.exe 可以接受來自 AP 伺服器的 1433 連線」,即使攻擊者取得同網段的主機,也無法用其他程序連進去。同一個 VLAN 內的主機,同樣可以互相隔離。
在政策模型上,它採用標籤(Label)而不是 IP。工作負載搬移或擴充時,政策會自動跟隨,地端、私有雲、公有雲、容器與 Bare metal 也能用同一套政策管理。
在威脅偵測上,它具備入侵偵測、欺敵誘餌與快速隔離能力。攻擊者一碰到誘餌就能告警,受感染的主機也能被快速隔離。
導入方式也比較單純:不需要改動網路架構,也不需要重新配置 IP。無法安裝 Agent 的設備,可以透過交換器、雲端 flow log 或虛擬化平台整合,取得無 Agent 的可視性與管控。實際支援範圍請以官方文件為準。
要提醒的是,這是分層補強,不是取代。VLAN 與防火牆仍負責邊界與大範圍分區,Guardicore 補的是內部細粒度的管控。
金融業:替核心系統建立保護圈
金融機構的風險集中在核心資產:核心帳務、交易資料庫與 AD 一旦被橫向滲透,衝擊是全面性的。同時,地端、私有雲、公有雲與容器往往各有一套規則,難以一致管理與稽核。攻擊者也常藉由管理協定與外部維運帳號,在內網逐台擴散。
合規是另一個推力。金管會的金融資安韌性政策方向,強調內部縱深防禦與事件應變能力;PCI DSS 等標準要求網路分段,而且必須能證明隔離有效;稽核人員需要可視化、可追溯的分段證據。實際條文與適用範圍,仍應依最新法規與內稽內控要求確認。
在做法上,可以用 Guardicore 為核心系統建立「保護圈」(Ring-fencing)。辦公終端要連進核心系統的 RDP、SMB、WinRM 等橫向連線一律封鎖;交易 AP 伺服器只能以指定的程序與 Port 連線;維運跳板機則限定來源、帳號與時段。
具體的政策可以從關鍵資產開始:
- 核心銀行與交易系統:只放行指定的 AP 程序與 Port,其餘預設拒絕。
- 資料庫:只有指定程序能接受 AP 連線,管理連線限定由跳板機發起。
- AD 與身分伺服器:限縮可連入的來源,封鎖非必要的管理協定。
- RDP、SMB、WinRM、SSH:全域預設封鎖,僅白名單放行,直接切斷勒索軟體的擴散路徑。
- 跨環境部署:以標籤統一政策,不分地端或雲端。
導入上建議「先看見,再隔離」。第一階段先在關鍵主機部署 Agent,繪製真實的流量關係;第二階段用觀察模式,讓規則只告警不阻擋,確認不影響正常交易與批次作業;第三階段由核心資產與管理協定開始,分批強制執行;第四階段則持續檢視政策,並產出可供稽核的隔離證據。
製造業廠區:產線不能停,也不能被一台電腦拖垮
製造業面對的是另一種壓力。廠區網路常常很扁平,辦公網與產線、產線內部都在同一個大網段,一台失陷,全廠暴露。停產的作業系統或被廠商鎖定的設備,難以修補,也很難安裝防護軟體。設備商的 VPN 與遠端桌面直通產線,常是被忽略的入口。更重要的是,勒索軟體一旦擴散到 MES 或 SCADA,就是停線,所以任何防護方案都不能影響生產。
因此廠區的做法,是依層級把網路切開。辦公 IT 區進入產線的路徑,只放行必要的應用。IT/OT 交界區的廠商遠端維護,要限定來源、目標與時段。製造營運區的 MES、SCADA、Historian 與工程師站,在 Windows 或 Linux 伺服器上部署 Agent,做程序級管控。現場控制區的 PLC、HMI、機台與老舊設備,無法安裝 Agent 的部分,可以透過交換器或流量整合取得可視性,實際效果依環境評估。
政策範例如下:
- MES 與 SCADA 伺服器:只允許已知的應用與工程師站連入,辦公網的勒索軟體就無法直達產線系統。
- PLC、HMI 等產線設備:僅放行指定的控制協定與來源,單台機台被感染,不會擴散到整條產線。
- 設備廠商遠端維護:限定來源、目標與時段,用完即關,降低供應商通道成為入口的風險。
- 工程師站與跳板機:限縮可管理的對象與協定,縮小高權限帳號的可及範圍。
- 疑似受感染的主機:快速隔離單一主機,不必整段斷網,縮短應變時間。
導入的原則是低干擾。第一步只看不擋,先繪製流量與依賴關係圖,找出產線真實的通訊;第二步圈出 MES、SCADA 與工程師站,其餘預設拒絕;第三步管控維護通道;第四步才逐步擴大到產線與老舊設備。整個過程不改網路架構、不重新配 IP,規則先以告警驗證,Agent 配合歲修或維護窗口分批部署,老舊系統則先做相容性評估。
兩種情境的差異
兩個產業用的是同一套平台,但切入點不同。金融業的首要保護對象是核心系統、資料庫與 AD,主要驅動力是法規遵循與稽核證據,切入點是核心資產保護圈加上管理協定封鎖,部署重點在 Agent 覆蓋率與混合雲的統一政策。製造業的首要保護對象是 MES、SCADA、工程師站與產線設備,主要驅動力是產線不中斷與供應鏈客戶的資安要求,切入點是觀察模式加上維護通道管控,部署重點則是老舊系統相容性與無 Agent 設備。
下一步:先讓流量現形
無論哪個產業,都建議從 PoC 開始:先選定一組核心資產或一條代表性產線,在不改動架構的前提下部署並可視化,看清內網真實的連線關係,再提出風險報告與分階段的政策建議。搭配弱點掃描與滲透測試,還能進一步驗證微隔離的成效。
