什麼是防火牆

防火牆是一種安全屏障，可控制受信任與不受信任網路之間的流量。簡單來說，它決定哪些內容可以進入、哪些內容可以離開，以及哪些內容應該被封鎖。

了解防火牆最簡單的方式，是把它想成建築物入口處的保全櫃台。不是每個人都能直接走進去。警衛會檢查來訪者是誰、要去哪裡，以及是否獲准進入。防火牆對網路流量做的事情也類似。它會檢查在裝置、網路、應用程式與網際網路之間傳輸的資料。

NIST 將 防火牆 定義為依據安全政策限制網路之間存取的閘道或系統。Microsoft 在其關於 什麼是防火牆 的指南中，將防火牆說明為控制哪些內容可通過網路連接埠、哪些不可通過的機制。

防火牆的功能

防火牆有助於控制網路存取。它無法讓系統達到完全安全，但可透過依規則篩選流量來降低暴露風險。

防火牆可以：

• 封鎖不需要的傳入連線
• 允許受信任的傳出流量
• 依 IP 位址、連接埠、通訊協定或應用程式限制流量
• 將受信任的內部網路與公共網際網路分隔開來
• 記錄可疑或遭封鎖的活動
• 協助落實公司安全政策

對家庭使用者而言，防火牆可能內建於路由器和電腦中。對企業而言，防火牆可能部署在網路邊界、雲端環境內、部門之間，或個別裝置上。

防火牆的運作方式

網路流量會以小型資料單位傳輸。防火牆會檢視該流量並將其與規則比對。如果流量符合允許規則，就可以通過。如果符合封鎖規則，或不符合政策，防火牆就會拒絕它。

規則可依據下列細節建立：

• 來源 IP 位址
• 目的地 IP 位址
• 連接埠號碼
• 通訊協定
• 應用程式
• 使用者身分
• 連線狀態
• 安全風險

Cisco 將 防火牆 描述為一種監控傳入和傳出流量，並根據安全規則允許或封鎖流量的工具。這種以規則為基礎的判斷是核心概念。

傳入與傳出流量

傳入流量是進入裝置或網路的流量。例如，網際網路上的某人嘗試連線至公司伺服器時，傳送的就是傳入流量。

傳出流量是離開裝置或網路的流量。例如，筆記型電腦開啟網站時會傳送傳出流量。

許多個人防火牆預設會封鎖大部分未經請求的傳入流量。這很重要，因為大多數筆記型電腦和家用裝置不需要讓網際網路上的陌生人直接連線。傳出規則也很重要，尤其對企業而言，因為惡意軟體感染裝置後可能嘗試連線到遠端伺服器。

防火牆規則

防火牆規則是告訴防火牆應允許或封鎖哪些內容的指令。

簡單的規則可能會寫成：

• 允許透過 HTTPS 瀏覽網頁
• 封鎖未知的傳入流量
• 允許來自核准伺服器的電子郵件流量
• 封鎖來自可疑 IP 位址的流量
• 僅允許企業應用程式連線至特定伺服器

良好的防火牆規則應具體明確。允許所有內容的規則沒有用處。封鎖過多內容的規則可能會中斷正常工作。實務目標是在允許必要流量的同時，減少不必要的暴露風險。

NIST 的 防火牆與防火牆政策指南 更詳細地說明了防火牆政策、設定、測試、部署與管理。

常見的防火牆類型

此表格經過簡化，但可提供基本概念。某些現代防火牆會結合其中數種方法。

硬體防火牆與軟體防火牆

硬體防火牆是實體裝置，通常位於私人網路與網際網路之間。許多家用路由器都包含基本的防火牆功能。企業可能使用專用防火牆設備來保護辦公室網路、資料中心或分公司據點。

軟體防火牆會在裝置上執行，例如筆記型電腦、桌上型電腦或伺服器。Microsoft 的 Windows 防火牆概觀 將 Windows Firewall 描述為一種主機型防火牆，可篩選進入和離開裝置的流量。

在許多架構中，兩者都會使用。路由器或網路防火牆保護較廣泛的網路，而裝置防火牆則保護個別電腦。

網路防火牆與主機型防火牆

網路防火牆保護網路邊界。它可能位於辦公室網路與網際網路之間、兩個內部網路區段之間，或公司網路與雲端環境之間。

主機型防火牆保護單一裝置。它控制可進入或離開該特定電腦或伺服器的流量。

兩者都很有用。網路防火牆可以在不需要的連線到達內部系統前，阻止大量連線。若裝置移至另一個網路、連線至公共 Wi-Fi，或需要自身保護，主機型防火牆仍然很重要。

防火牆可防護的威脅

防火牆可降低許多常見風險。它可以封鎖不需要的存取嘗試、限制暴露的服務、限制可疑流量，並協助防止未授權連線。

對企業而言，防火牆也支援網路分段。這表示將網路的不同部分隔離，讓某個區域的問題不會自動擴散到其他所有地方。CISA 在其 強化可視性與加固指南 中，討論了將防火牆功能和網路分段作為更廣泛縱深防禦方法的一部分，用於加固通訊基礎架構。

防火牆若結合高強度密碼、更新、端點防護、備份、身分控制與使用者訓練，會特別有效。

防火牆無法做到的事

防火牆很重要，但它不是魔法。

防火牆可能無法阻止：

• 網路釣魚電子郵件
• 弱密碼
• 遭竊的登入憑證
• 藏在允許流量中的惡意軟體
• 不安全的下載內容
• 透過已核准應用程式進行的攻擊
• 人為錯誤
• 設定不當的雲端服務

例如，若使用者登入假的登入頁面並洩露密碼，防火牆可能無法防止帳戶遭到濫用。若防火牆規則過於寬鬆，危險流量可能因政策本身薄弱而被允許通過。

這就是為什麼防火牆是資安的一部分，而不是全部。

個人使用防火牆的原因

個人使用防火牆來減少對個人裝置和家用網路的不需要存取。連上公共 Wi-Fi 的筆記型電腦不應對該網路上的每一台其他裝置開放。

個人防火牆有助於控制哪些應用程式可以通訊，以及其他裝置能否連線。Microsoft 的 防火牆與網路保護 指南說明了 Windows Security 中私人與公用網路設定檔的差異。

對大多數人而言，正確做法很簡單：除非有特定且可信任的理由需要變更，否則請保持防火牆開啟。

企業使用防火牆的原因

企業使用防火牆是因為它們有更多系統、更多使用者、更多資料，也面臨更多風險。公司可能需要保護客戶記錄、內部工具、付款系統、雲端工作負載、員工裝置與遠端存取。

企業防火牆可協助：

• 控制對內部系統的存取
• 將訪客 Wi-Fi 與公司裝置分隔開來
• 保護伺服器免受不需要的流量影響
• 支援法規遵循要求
• 監控可疑活動
• 在單一系統遭入侵時限制損害

防火牆對遠端與混合辦公也很重要。員工可能從許多地點連線，而流量可能經過雲端服務、VPN 和 SaaS 平台。

在簡報中說明防火牆概念

如果您需要在簡報中說明防火牆，請避免一開始就提供過多技術細節。先從目的開始：防火牆會根據規則控制流量。

簡單的簡報架構可以是：

1. 防火牆解決什麼問題

2. 防火牆的功能

3. 流量規則如何運作

4. 傳入與傳出流量

5. 硬體與軟體防火牆

6. 常見的防火牆類型

7. 防火牆可與不可防護的威脅

8. 為何對個人與企業都很重要

盡可能使用圖表。展示受信任網路、網際網路，以及兩者之間的防火牆。接著展示允許與封鎖的流量。視覺化流程比一長串連接埠和通訊協定更容易理解。

結論

防火牆是資安的基本建構要素之一。它控制網路流量、封鎖不需要的存取，並協助在受信任與不受信任的區域之間落實安全規則。

需要記住的重點是，防火牆是一種篩選器，而非完整的安全系統。它在經過審慎設定並結合其他防護措施時效果最佳，例如更新、身分安全、端點防護、備份、監控與使用者資安意識。

對個人而言，保持防火牆開啟是降低風險的簡單方法。對企業而言，防火牆設計與政策可決定網路、雲端系統與使用者之間的通訊安全程度。

常見問題（FAQ）

問：簡單來說，什麼是防火牆？

答：防火牆是一種控制網路流量的安全屏障。它會依據規則決定哪些內容可以進入或離開裝置或網路。

問：防火牆是硬體還是軟體？

答：兩者皆可。硬體防火牆是實體裝置，例如路由器或防火牆設備。軟體防火牆則在電腦、伺服器或端點裝置上執行。

問：防火牆能阻止所有駭客嗎？

答：不能。防火牆有助於封鎖不需要的流量並降低暴露風險，但無法阻止所有威脅。網路釣魚、遭竊密碼、不安全下載內容與設定錯誤的應用程式仍可能造成風險。

問：我應該保持防火牆開啟嗎？

答：是的，在大多數情況下都應如此。家庭使用者與企業通常應保持防火牆啟用，且僅在了解安全影響時才變更設定。

按一下這裡，使用 Pi 將本文轉換為簡報。