外掛式資安服務與資安閘道器的位置差異

工程師思路系列・事出必有因

企業訂閱電信業者的資安外掛服務（例如中華電信資安艦隊），是好消息。對供應鏈資安查核而言，這是一項具體的邊界防護佐證。但外掛服務擺在業者端，和擺在公司內網入口的設備，看到的東西並不一樣。這篇文章用「位置」來說明兩者的差異與搭配。

圖：兩類佐證各自回答不同的查核問題。本圖為架構說明，不構成任何合規認證。

外掛式服務（中華電信資安艦隊這類）的優點與位置界線

優點：不必自行維護設備，且在網路業者端先行攔阻已知威脅，減少帶威脅的流量進入公司。

服務範圍界線則是位置：設備位於業者端，看到的是企業防火牆送出的連線，通常以單一公網位址呈現。若某條連線有疑慮，較難進一步指出是公司內部哪一台電腦或設備發起的。

簡單地說
資安艦隊這類服務，在外面把火勢擋下來，但看不出是公司內網哪一台設備一再點火。

圖解：方案擺放位置不同，帶來不同效果

圖：兩種方案擺放位置不同，看到的內容也不同。下方示意圖再把位址轉換（NAT）的邊界標出來。

位址轉換前：公網側						位址轉換後：內網側
網際網路	→	中華電信資安艦隊外部邊界防護	→	防火牆路由器／閘道	⇢	Pico-UTM 100 內部行為可視	→	主交換器	→	內網設備電腦・伺服器・AP
					NAT 邊界
資安艦隊的觀察範圍進出口流量，通常以單一公網位址呈現						Pico-UTM 100 的觀察範圍名稱解析與對外連線，可對應到個別設備

資安艦隊在位址轉換之前，Pico-UTM 100 在位址轉換之後。放在防火牆之後，才有機會分辨每一台設備。

資安閘道器補上的位置

資安閘道器（Pico-UTM 100）串接在防火牆與主交換器之間，是全公司設備對外連線的必經位置：

防火牆 → Pico-UTM 100 → 主交換器 → 全公司電腦與設備（內部網路）

內部網路這一區是日常行為與異常最常出現的地方，也是需要公司與維運方持續跟進改善的地方，但是並不在外掛式服務（資安艦隊這類）的服務範圍內。

內網常見的兩類弱點

1	使用者端的資安風險意識。同仁一時閃神點到釣魚連結，或安裝來路不明的軟體，是資安事件最常見的起點之一。
2	老舊設備的系統漏洞。作業系統修補不及，或原廠已停止更新。新電腦也許擋得住內網突發的威脅，但這幾台已無法抵禦，就成為整個內網最弱的入侵點，逐步累積成破口。

資安閘道器（Pico-UTM 100）能持續觀察這些設備的對外連線與名稱解析，在破口的裂痕逐漸擴大時，較早看出跡象。

威脅一定來自外部網路嗎？

不一定。內網的老舊電腦與設備，一旦原廠停止提供安全更新，後續新發現的漏洞就再也補不了。外部的惡意程式一旦找到這些突破口，這些設備就可能成為內網威脅的起點，再從內部往其他電腦與設備擴散。

這時的行為發生在公司內部，需要在內網的位置才看得到。

資安閘道器（Pico-UTM 100）帶來的兩項好處

1	改善的時間窗口。日誌一出現，就能開始檢視並提醒，而不是事後才發現，留給改善與修正的時間更寬裕，也為同仁的資安意識訓練爭取時間。
2	全年無休的自動化檢視。不需要人工天天守著，就能較早發現內部漏洞與異常連線，有助於降低日後事件爆發時的損失。

對資訊端同仁與對主管，各有什麼好處

對資訊端同仁	對主管與經理
‧ 減少人工翻找日誌的時間，由系統先彙整。 ‧ 異常可以直接對應到設備，排查範圍從全公司縮小到單一台設備，準確度更高；出現異常的老舊設備，可優先排入更新或汰換評估。 ‧ 分析與提醒可以由專業人員協助，不增加原有的人力負擔。（也可以自行提交給 AI 助理分析，或者採購日後的原廠分析選項，都是簡便有效的方式。）	‧ 早期發現、早期處理，有助於降低事件造成的停工、資料損失與查核風險。 ‧ 有每週的紀錄與處理紀錄，可作為供應鏈資安查核的佐證。 ‧ 不需要額外增加內部人力。

對資訊端同仁

對主管與經理

‧ 減少人工翻找日誌的時間，由系統先彙整。
‧ 異常可以直接對應到設備，排查範圍從全公司縮小到單一台設備，準確度更高；出現異常的老舊設備，可優先排入更新或汰換評估。
‧ 分析與提醒可以由專業人員協助，不增加原有的人力負擔。（也可以自行提交給 AI 助理分析，或者採購日後的原廠分析選項，都是簡便有效的方式。）

‧ 早期發現、早期處理，有助於降低事件造成的停工、資料損失與查核風險。
‧ 有每週的紀錄與處理紀錄，可作為供應鏈資安查核的佐證。
‧ 不需要額外增加內部人力。

已導入企業的做法

在已導入的企業，我們在初期會協助下載與彙整日誌，再進行分析。實務上已累積不少設備異常連線，以及雙向的疑似入侵行為的觀察紀錄。日誌一出現，就能盡快提醒業主或公司內的資訊窗口留意，並說明建議的處理方向。

日誌傳送與分析的範圍，會事前與企業確認。（也可以自行將日誌交給 AI 助理分析，原廠日後也會有選購的分析服務，以上都是不錯的選項。）

兩者的分工

類別	可以說明的事
外部邊界防護（資安艦隊這類）	邊界有管理、有定期報表。
內部行為可視（Pico-UTM 100 這類）	內部有監看、有紀錄可追溯。

範圍說明
中華電信資安艦隊有多種版本，部分版本會另外在企業現場放置設備。本文以不放置現場設備的純外掛版本為例，實際內容與設備位置，請以所訂閱版本的服務說明為準。本文為架構說明，不構成任何合規認證。

兩類佐證各自對應不同的查核項目，互補而非取代。

資安艦隊在外面把火勢擋下來，資安閘道器在裡面看清楚是哪一台設備一再點火。兩個位置都有人守，才算把門內門外都顧到。

作者為 Pico-UTM 100 之經銷與導入服務提供者。文中提及之中華電信、資安艦隊、Pico-UTM 為各所屬公司之名稱或商標。

Mr. τ　風雲網通系統

#資安閘道器#Pico-UTM#資安艦隊#供應鏈資安#內網可視