網路防護的基本觀念為何？
網路防護的基本觀念對網路及網路資安都非常重要，必須落實到所有網路當中，包括：家庭網路、企業網路與網際網路。有效的網路防護需完整涵蓋有線及無線網路，並使用防火牆、惡意程式防護軟體、入侵偵測、存取控管等等來加以保護。
網路防護的基本觀念
網路防護是一個複雜的議題，牽涉到許多不同技術以及各種可能相當複雜的組態設定。
首先，網路本身所適用的防護，以及與網路相連的端點或主機系統所適用的防護有所差別。網路與端點皆適用的防護技術包括存取控管與加密，但除此之外，網路本身可採用的防護技術還有網路分割與邊界防護。
網路防護與端點防護的差異
網路防護只是資安整體的一環，而且通常人們的認知都只侷限於那些保護網路本身的裝置。防火牆是一種可安裝在網路設備 (如路由器或交換器) 旁邊的獨立裝置，也可以是路由器和/或交換器本身內建的一項軟體。防火牆、入侵偵測 (IDS)、入侵防護 (IPS)、虛擬私人網路 (VPN) 裝置、資料外洩防護 (DLP) 系統等等，都是屬於安裝在網路上的防護。
網路存在的目的就是為了連接不同系統，有了網路，您才能夠瀏覽 Amazon 或者在線上購物。而網路所連接的終端系統也需要受到保護，這就是所謂的端點防護。端點裝置除了包括筆記型電腦、平板、手機之外，物聯網 (IoT) 裝置也算是端點裝置。
IoT 上的裝置有很多，例如：恆溫控制器、監視攝影機、冰箱、門禁系統、燈泡、水池幫浦、智慧羽絨被等等。這些裝置也同樣需要資安控管，但並非所有裝置都精密到足以內建主機防火牆或惡意程式防護代理程式。假使像智慧燈泡這樣的端點，那可能就得靠網路防護來提供保護。
存取控管
首先可以先從存取控管下手，企業一般稱之為身分與存取管理(IAM)。存取控管並非甚麼新的觀念，人類從六千多年前開始使用門鎖時，就有了建築物進出控管的觀念。今日，這樣的觀念已應用到網路、電腦、手機、應用程式、網站以及檔案的存取控管。
本上，存取控管可分成身分識別、認證、授權、責任歸屬 (簡稱 IAAA) 四大環節：
- 身分識別就是以某種方式表明使用者的姓名或身分，例如：使用者 ID 或電子郵件地址。
- 認證就是證明使用者確實是他所表明的身分，最常見的方式就是透過密碼。
- 授權是提供權限給使用者，或者拒絕存取。使用者有可能未通過授權，因此就無法取得權限；也有可能被授予讀取、寫入或完整控制的權限。
- 責任歸屬就是追蹤曾經發生過的活動，透過記錄檔來追蹤使用者曾經試圖存取或者曾經存取什麼。記錄檔也可能包含所有使用者做過的動作。
認證類型
在 IAAA 四大環節當中，認證或許是今日最重要的議題。密碼仍舊是目前大多數系統最普遍使用的認證方式。但是密碼通常不太安全，因為容易被破解。
只要密碼夠短，駭客就能輕易猜到，駭客可嘗試所有可能的組合來暴力破解密碼。駭客也可使用一個密碼破解程式來產生出雜湊值相同的密碼。
今日用來認證的憑證大致有三種，也就是：
- 您所知道的東西：一串記憶在您腦海中的字元和數字的組合 (也就是密碼)。今天，密碼也可以儲存在密碼管理軟體內。
- 您所擁有的東西：一個您在認證時需要用到的裝置或裝置上的軟體，例如實體的 RSA 金鑰，或是智慧型手機上的 Google Authenticator 驗證軟體。
- 代表您的東西：您的某種特質。例如生物特徵，包括身體特徵 (如指紋) 或行為特徵 (如聲紋)。
雙重認證 (2FA) 是您的最佳選擇，雙重認證有時也稱為多重認證 (MFA)。我們強烈建議您的個人帳號都應該採用雙重認證，例如 Amazon 或 Facebook 帳號。
使用一些像 Google Authenticator 這樣的免費軟體，遠比經由手機簡訊 (SMS) 接收認證碼來得更好。美國國家標準與技術局 (U.S. National Institute of Standards and Technology，簡稱 NIST) 不建議使用手機簡訊來認證。
此外，我們也建議辦公室應使用雙重認證，不過這要看公司的政策或管理階層的決定。而且牽涉到諸多因素，例如：資產設備、資料類型、相關風險，以及漏洞。
網路分段
網路分段可控管不同網路之間的資料流通，進而提升安全。網路分段通常是利用虛擬區域網路 (VLAN) 來達成。虛擬區域網路有很多種衍生版本，如：私人虛擬區域網路 (PVLAN)、虛擬延伸區域網路 (VXLAN) 等等。VLAN 存在於 OSI 網路模型的第 2 層，也就是資料連結層。大多數的網路系統管理員會將一個 IP 子網路 (subnet) 對應到一個 VLAN。
路由器會依據組態設定來決定不同的 VLAN 之間是否能夠互相通訊。所以，路由器的組態設定對網路的控管相當重要。
雲端提供了另一種稱為虛擬私有雲 (VPC) 的選擇。VPC 的流量進出控管同樣也是透過組態設定來達成。
了解企業工作負載有哪些需求，是 VLAN 與 VPC 組態設定以及存取控管設定的重要基礎。
邊界防禦
邊界防禦是建立在一個基本假設上，也就是：內部/信任網路與外部/非信任網路之間應該要有一到明確的界線。這是一個從網路與資料中心位於同一棟建築物內的時代所留下來的傳統網路設計。在這個組態下，內部與外部的網路是透過路由器來連接。路由器提供了基本的存取控管清單 (ACL) 來控制流量的進出。
您也可以在網路的邊界添加防火牆、IDS 及 IPS 等安全防護。 如需更多相關資訊，請參閱「網路防護的措施」一節。
加密
加密是確保機敏資料及通訊不會遭人窺探的必要手段。加密可保護的範圍非常廣，例如：您電腦硬碟的檔案、網路銀行的連線階段、雲端儲存的資料、機敏電子郵件，以及許許多多其他應用。除此之外，加密也可提供資料一致性的驗證，以及資料來源的認證。
加密基本上分成兩大類型：對稱式與非對稱式加密。
- 對稱式加密採用單一金鑰，這把金鑰既用於加密，也用於解密。所以這把金鑰必須與通訊的對方分享才能進行加密通訊。對稱式加密常見的演算法包括：Advanced Encryption Standard (AES)、Blowfish、Triple-DES (Data Encryption Standard) 等等。
- 非對稱式加密採用兩把不同的金鑰，一把是公開金鑰，一把是私密金鑰，兩把配成一對。這一對金鑰屬於某個使用者或服務所有：例如某個網站伺服器。一把金鑰用來加密，另一把用來解密。
- 使用公開金鑰來將資料加密，可確保資料的機密性。這是因為唯有持有私密金鑰的人才能解開資料。
- 使用私密金鑰來將資料加密，可證明資料來源的真實性。當資料可以用公開金鑰成功解開時，意味著將資料加密的人必定是持有私密金鑰的人。公開金鑰的確是任何人都能公開取得。
第三個議題是雜湊值。儘管這並非加密，但仍有必要將它納入網路防護的探討當中。雜湊值是利用某種雜湊演算法對一段訊息進行運算之後所產生出的一個數值，該數值是從組成該訊息的所有位元產生而來。這些位元可以是資料、語音或視訊。產生雜湊值時並不會改變資料的內容，不像加密會將資料轉換成一種無法讀取的狀態。
產生雜湊碼的用意是為了證明訊息沒有遭到篡改，進而確保資料的一致性，也就是與原始內容一致。單獨使用雜湊值，可以確保資料沒有意外遭到變更。
如果用非對稱式私密金鑰來將雜湊值加密，那可確保資料沒有被駭客惡意篡改。除非私密金鑰外洩，否則資料不可能遭到惡意修改。
只要金鑰沒有外洩，就代表產生雜湊值的人，必定是持有私密金鑰的人。此金鑰可以是對稱式金鑰 (有時也稱為私密金鑰) 或是非對稱式私密金鑰。
無線網路防護
想要保護經由無線網路傳輸的資料、語音或視訊，不是一件容易的事。因為無線傳輸會釋放出訊號，因此駭客只要在訊號的範圍內就可能攔截到傳輸的資料。雖然目前無線傳輸已經有一些加密標準，但絕大部分都或多或少有些問題。
目前的無線加密標準有：WEP、WPA、WPA2 以及最新的 WPA3。
- Wired Equivalent Privacy (WEP) 採用 RC4 對稱式演算法來將無線傳輸加密。但很快就被駭客所破解，現在甚至還出現了一個非常好用的駭客工具叫做「WEP Crack」，專門用來破解 WEP。
- Wi-Fi Protected Access (WPA) 是為了取代 WEP 而生，但仍沿用 RC4 演算法。因此駭客只要對 WEP Crack 做些修改就能用來破解 WPA。
- WPA2 是 WPA 的第二版，共有兩種選擇：
- 第一種是 WPA2-Personal，它使用了單一共享金鑰 (有時亦稱為安全金鑰)。這基本上是在設定無線連線裝置 (如筆電和手機) 時所輸入的 WPA 無線基地台密碼。駭客在 2017 年首次發現了一個名為「Key Reinstallation AttaCK (KRACK)」的漏洞。
- 第二種是 WPA2-Enterprise，它透過一台集中的 Remote Authentication Dial-In User Service (RADIUS) 伺服器來認證使用者，藉此增加一道安全防護。此外，也採用 Extensible Authentication Protocol (EAP) 延伸式認證協定在本地端無線連線上傳輸認證資訊。RADIUS 與 EAP 加起來，就是所謂的 IEEE 802.1x 標準。
- WPA3 同樣也有兩種選擇：
- WPA3-Personal 採用 128 位元加密金鑰來提升使用者的防護等級。如此可讓密碼的認證更加安全，就算使用者的密碼太過簡單而有安全疑慮也無妨。這是因為 WPA3-Personal 採用 Simultaneous Authentication of Equals (SAE) 對等實體同時驗證來取代 WPA2-Personal 使用的單一共享金鑰。
- WPA3-Enterprise[SM2] [TA(3] [SM4] 採用 192 位元加密金鑰來提供更好的安全性。這是 WPA2 的進一步強化，能讓整個企業套用一致的資安設定。
防護認證
網路防護非常複雜，這是一場永無止境、與駭客鬥智的戰爭。如需更多相關資訊，請參閱「網路防護的措施」一節。
取得防護認證絕對是件好事，不論是 CompTIA Security+ 認證或是 System Security Certified Practitioner ((ISC)2® SSCP) 認證都是不錯的開始。Certified Information System Security Professional ((ISC)2® CISSP) 是一種比較偏向進階管理階層的認證 (仍需一點點的技術背景)。此外，您也可以參加一些廠商自行舉辦的測驗，例如：AWS、GCP 或 Azure 的雲端測驗。