什麼是防火牆即服務（FWaaS）？

什麼是防火牆即服務（FWaaS）？

防火牆即服務（FWaaS）是一種由雲端交付的網路安全模型，可檢查流量、強制執行政策，並從供應商營運的基礎架構阻止攻擊，且路徑中無需部署任何內部部署設備。您的政策存在於單一控制平面中，而分散式強制執行點會在使用者與工作負載連線的任何位置套用這些政策。

攻擊者不必突破邊界，他們可以直接登入穿越。CISA 與 FBI 在 聯合網路存取指引中指出如 Volt Typhoon 等入侵事件，其中行為者使用有效憑證混入正常流量，並敦促組織轉向遠離廣泛的遠端存取。

如果您的使用者在未接觸企業網路的情況下存取 SaaS 應用程式，那麼您的設備將不再位於您需負責之流量的路徑上。

防火牆即服務與資安的關聯

FWaaS 改變了強制執行發生的位置以及由誰維護。檢查從網路邊界移至雲端邊緣，因此遠端工作者開啟 SaaS 應用程式時，即使該工作階段從未穿越企業網路，也會套用相同的政策。政策撰寫也與政策強制執行分離：您只需在中央主控台撰寫一次規則，供應商便會將其分發，從而終結使分公司防火牆設定偏離總部的組態漂移。

威脅情報也遵循相同路徑。由供應商推送的簽章或指標會立即到達每個強制執行點，無需安排逐站更新時段，也不會遺漏任何站點。 硬體防火牆部署 在這三個位置都會留下缺口。越多流量已經繞過企業網路，這個缺口就越大。

防火牆即服務的核心元件

防火牆服務由檢查引擎、分散式強制執行點、中央政策平面、威脅情報饋送，以及記錄層所構成。一旦您知道特定問題屬於其中哪一項，疑難排解與供應商比較都會更快。

1. 雲端原生檢查引擎

檢查引擎會在應用程式層讀取流量，並套用深度封包檢測、封包承載內容的 TLS 解密，以及入侵防護。 NIST SP 800-215 將這三項能力列為次世代防火牆的功能，並將以雲端服務形式交付（FWaaS）列為其部署選項之一。由於防火牆即服務引擎運行於具彈性的雲端運算上，檢查深度不會受限於您三年前購買之設備中的矽晶片能力。

2. 分散式強制執行點

供應商在各地理區域營運強制執行點，而每個工作階段都會先路由至最近的節點進行檢查，再到達其目的地。這種地理分布消除了流量繞回問題，不會再出現新加坡的使用者為了存取距離辦公桌僅數英里的應用程式，卻必須等待位於俄亥俄州的設備處理。

3. 集中式政策管理

政策存在於單一控制平面中，並將規則推送至每個強制執行點。撰寫政策與強制執行政策不再是同一項工作。單次更新可在數分鐘內傳播，且無需任何工程師逐一操作數十台設備來讓分支組態與標準保持一致。

4. 威脅情報整合

防火牆服務平台會擷取來自政府機構、產業共享團體與供應商研究團隊的饋送，然後自動更新每個強制執行點。您的團隊不再需要維護饋送訂閱與安排簽章推送。新的指標會在第一次推送時套用至所有位置。

5. 記錄與分析基礎架構

來自每個強制執行點的記錄會彙整至中央儲存體，以供調查、合規報告，以及與其餘遙測資料進行關聯。請將記錄保留期間、匯出格式與查詢效能視為採購需求：它們決定 FWaaS 記錄會成為可用的 網路安全 證據，還是僅僅變成一筆儲存費用。

建立於開放式綱要上的平台，例如 SentinelOne 的 Singularity Data Lake，可將這些記錄與端點及身分遙測資料一併保存。如此一來，單一查詢即可涵蓋網路事件及其周邊的端點活動。

防火牆即服務的運作方式

FWaaS 會在網路層攔截流量、於雲端邊緣進行檢查，並在工作階段到達目的地之前套用您的政策。每個連線都會依序經過攔截、身分評估、政策比對、檢查與動作：

1. 流量攔截。 使用者的裝置會透過代理程式型路由、以 DNS 為基礎的重新導向，或來自站點的 IPsec 通道連至強制執行基礎架構。沒有任何流量會繞過檢查。
2. 身分評估。在套用任何政策之前，強制執行點會解析使用者、裝置狀態、位置，以及所請求的應用程式。
3. 政策比對。 系統會根據您的中央政策集檢查工作階段：應用程式控制、URL 類別、合規要求，以及威脅防護規則，從最具體的比對到最一般的比對。
4. 深度封包檢測。 FWaaS 會解密 TLS 工作階段、分析應用程式層內容，並套用入侵防護簽章，以取得第 7 層可視性。
5. 動作與記錄。 FWaaS 會根據檢查結果允許、封鎖、重新導向或隔離工作階段，並寫入包含身分、應用程式、動作與相符規則的記錄項目。

身分評估、政策比對與檢查會在每個工作階段重複進行。強制執行點容量與政策衛生決定了這種重複究竟能保護任何事物，還是只會增加跳點。

FWaaS 的核心能力與檢查方法

以下能力彼此幾乎沒有重疊。這在採購時很重要：供應商省略的能力會成為您涵蓋範圍中的缺口，而不是同一種防護的較薄版本。

• 應用程式控制與 URL 篩選： 第 7 層檢查會依據行為模式而非連接埠號碼識別應用程式。即使 Salesforce 與個人 Dropbox 帳戶都使用連接埠 443 上的 HTTPS，您仍可允許 Salesforce 同時封鎖個人 Dropbox 帳戶。
• 入侵防護與偵測： 基於特徵碼的偵測會比對已知的攻擊模式。行為分析則可識別異常情況，指出可能存在零時差漏洞利用或進階持續性威脅。
• TLS/SSL 解密： FWaaS 會終止 TLS 連線、檢查解密後的內容，然後重新加密再傳輸。這可攔截隱藏在加密中的威脅，而這類流量如今已占網頁流量的大多數。
• DNS 安全性： DNS 篩選會在連線建立前封鎖惡意網域，防止惡意軟體命令與控制通訊以及網路釣魚嘗試。
• 反惡意軟體與沙箱： 檔案檢查會分析下載內容中的惡意軟體特徵碼。可疑檔案會在隔離的沙箱環境中執行，以進行行為分析。

混合與多雲部署中的 FWaaS

大多數組織同時執行地端基礎架構、超過一家雲端供應商，以及一長串 SaaS 應用程式，而防火牆服務則以一套政策涵蓋這三者。供應商會在主要雲端區域內設置強制執行點，因此在 多雲環境 之間的流量可直接接受檢查，而無需繞回您的資料中心。地端整合通常透過 IPsec 通道或從站點連到最近強制執行點的專用線路進行。

困難之處在於驗證您所撰寫的政策是否就是實際被強制執行的政策。跨區域的分散式管理會降低對任何單一強制執行點實際規則集的可視性，而設定錯誤仍是防火牆失效最常見的原因。

Firewall as a Service 如何改變網路強制執行

您撰寫的規則，不論是在設備上或雲端服務中，看起來都大致相同。改變的是規則下游的一切：強制執行在哪裡運作、背後有多少運算資源支撐，以及由誰負責修補。

對每個工作階段進行解密、檢查並重新加密需要大量運算資源，而設備會碰到上限，迫使您在檢查涵蓋率與吞吐量之間做出取捨。雲端防火牆可依需求擴充這些運算資源。執行完整解密的團隊通常會最先採用雲端模式。

Firewall as a Service 與 SASE 架構

Firewall as a service 提供 SASE 架構中的網路強制執行層。 CISA 與 FBI 指引 將 SASE 描述為一種雲端架構，結合五項能力：軟體定義廣域網路、Secure Web Gateway、Cloud Access Security Broker、Zero Trust Network Access，以及防火牆；而在 SASE 部署中，防火牆是以雲端服務形式運作。該架構中的安全性部分稱為 security service edge，而同一份指引也將 FWaaS 列為其四項安全能力之一。

這兩個數量相差一項，而該項目就是 SD-WAN。SD-WAN 是網路能力，不是安全能力，因此從五項中移除後，剩下的四項安全能力便構成 security service edge。FWaaS 與下列元件共用控制平面：

• SD-WAN，用於跨站點的流量路由與 WAN 效能。
• Secure Web Gateway，用於網頁存取控制、威脅防護與資料外洩防護。
• Cloud Access Security Broker，用於掌握並控制 SaaS 應用程式的使用情況。
• Zero Trust Network Access，用於根據已驗證的身分與裝置狀態做出應用程式層級的存取決策。

該共用控制平面可讓 SASE 安全性原則保持一致。單一主控台涵蓋 Web、應用程式與網路流量，而規則不會像分離的原則集那樣隨時間推移而逐漸分歧。單一主控台也意味著，當稽核人員詢問某個特定工作階段套用了哪項控制時，只有一個答案。更廣泛的 SASE 安全性框架將相同邏輯延伸至身分與應用程式存取。

Firewall as a Service 的主要優勢

FWaaS 可消除硬體管理負擔、在流量尖峰期間自動擴展、以天而非數週完成部署，並具備聯邦安全框架驗證。

1. 降低營運複雜性： 您可免除逐一設備管理。您不必個別設定 50 個分公司防火牆，而是只需設定一次原則。雲端式基礎架構已成為主流的 SOC 結構，多數組織都整合了自動化回應機制。
2. 彈性擴展： 硬體設備在流量尖峰期間會失效，因為處理容量是固定的。FWaaS 會透過自動新增運算資源進行水平擴展。雲端原生架構能更有效處理 TLS/SSL 解密等高運算需求作業，因為供應商會在各區域維持額外容量。
3. 快速部署： 開設新的分公司傳統上需要採購硬體、運送、安裝與設定。FWaaS 只需要使用者驗證認證與原則指派。根據 Gartner 的 Magic Quadrant 分析，FWaaS 的採用率將從 2020 年不到 5%，轉變為到 2026 年占新分散式分公司防火牆部署超過 30%。
4. 政府框架認可： 來自 CISA、FBI、GCSB、CERT-NZ 與 CCCS 的多機構指引明確將 FWaaS 列為核心 SSE 安全能力之一，與 Zero Trust Network Access、Cloud Secure Web Gateway 及 Cloud Access Security Broker 並列。NIST SP 800-215 提供對 SASE 框架的聯邦驗證，並將 FWaaS 視為核心元件。

這些營運優勢讓 FWaaS 對分散式組織極具吸引力，但雲端原生架構也帶來了傳統防火牆不會面臨的新複雜性。

Firewall as a Service 的挑戰與限制

集中式強制執行也會集中失敗，因此一條錯誤規則現在會立即影響所有人。在他人的基礎架構上執行檢查，也會讓延遲、司法管轄權與可用性落在您的控制之外。

• 設定複雜性。 集中式原則管理原本是優勢，但當錯誤規則在幾分鐘內傳播到全球時就不再如此。API 驅動的自動化擴大了出錯空間，而一條有缺陷的規則可能同時影響每位使用者。您需要自動化原則驗證，以及可鏡像正式環境的非正式環境。
• 即時應用程式的延遲。 透過雲端強制執行點進行路由，會為每個工作階段增加數毫秒。大多數商業應用程式不會察覺。但即時語音、交易平台與營運技術環境會察覺，而其中微小的增加就會造成功能退化。
• 針對特殊合規需求的粒度有限。 標準化雲端平台以自訂能力換取規模。對於在 PCI DSS、HIPAA 或 CMMC 下具有細緻分段需求的組織而言，往往會發現防火牆服務若沒有補充工具，無法滿足每一項控制要求。
• 資料駐留複雜性。 檢查會在強制執行點所在位置處理資料。若最近的強制執行點位於 GDPR、CCPA 或產業法規要求的邊界之外，您可能會在不合規的司法管轄區處理受監管資料。部署前請先驗證強制執行點的地理位置。
• 對供應商基礎架構的依賴。 您的強制執行可用性就是供應商的可用性。請將 SLA、備援架構與已公布的歷史正常運作時間納入供應商評選的一部分，並了解在區域性故障期間您的安全態勢會是什麼樣子。
• 對非網路攻擊的盲點。 FWaaS 會檢查流量。它無法阻止惡意軟體在 endpoint security 控制之外執行、無法阻止持有有效認證的攻擊者，或無法阻止對雲端工作負載的執行階段攻擊。在 2020 年 SolarWinds 入侵事件中， MITRE ATT&CK documented 使用 SolarWinds 自有程式碼簽署憑證簽署的後門、設定為與受害者環境內合法主機名稱相符的命令與控制主機名稱，以及取自受害者本國的 VPN 基礎架構。這些都不會在網路檢查中顯得異常。判斷一個有效簽署的二進位檔在執行後做了什麼，是執行層的工作，而像 Singularity Endpoint 這樣的工具正是位於這一層。

這些項目各自帶來多少成本，取決於供應商的程度高於架構本身。這使整份清單都成為供應商評選議程的一部分。

常見的 Firewall as a Service 錯誤

組織在 FWaaS 上失敗的原因包括部署未經測試的設定、根據行銷宣稱選擇供應商、略過法務審查、低估整合複雜性，以及將網路安全視為完整防護。以下是五個常見的關鍵錯誤：

1. 未經設定測試即部署： 組織直接將原則部署到正式環境，而未在非正式環境中驗證。單一設定錯誤會同時傳播到所有強制執行點。
2. 根據行銷宣稱進行選擇： 採購團隊根據規格將供應商列入候選名單，而不是要求使用公認方法的最新獨立測試結果。
3. 採購期間略過法務審查： 組織在合規稽核期間才發現 GDPR 或 CCPA 違規，因為他們在部署前未驗證供應商的資料處理與儲存位置。
4. 低估整合需求： 團隊假設供應商對整合複雜性的預估是準確的，之後卻在採購後發現與 SIEM 平台、身分提供者及端點防護存在不相容問題。
5. 取代完整安全堆疊： 組織將 FWaaS 視為全面性防護，但它僅處理網路層級威脅，導致端點入侵與基於身分的攻擊無法獲得防禦。

避免這些錯誤需要審慎的採購與部署實務，在承諾採用前先驗證能力。

Firewall as a Service 最佳實務

防火牆服務中的大多數營運問題，始於某個沒有人測試過的政策變更，或某個沒有人查看的日誌。以下實務可因應這些問題：

• 執行自動化政策驗證工作流程，在每次規則變更傳播到正式環境的強制執行點之前，先於預備環境中進行測試。
• 依排程稽核規則集，找出未使用、被遮蔽及相互矛盾的規則。規則蔓延會悄悄地將乾淨的政策轉變為不可預測的政策。
• 記錄強制執行點位置、日誌儲存地理位置與資料處理位置，並在評估期間完成法務審查，而不是在合約簽署後才進行。
• 將 FWaaS 日誌連接到您的 SIEM 平台，讓網路事件可與端點及身分訊號建立關聯。
• 將 FWaaS 視為分層架構中的一項網路層控制。將其與端點安全、 身分與存取管理以及雲端工作負載防護搭配使用，以涵蓋網路檢查無法看見的攻擊面。

將每個項目都納入作業手冊，並指定具名負責團隊，因為未指派的驗證工作流程會在一季內失效。

使用 SentinelOne 強化網路安全

FWaaS 可保護網路路徑。最具破壞性的攻擊會在其範圍之外運作，使用可正確驗證的憑證、以有效憑證簽署的程式碼，以及從未經過強制執行點路由的工作負載。要涵蓋這些風險，需要端點、身分與雲端防護基於相同資料協同運作。

SentinelOne 的 Singularity Platform可在防火牆服務無法觸及的攻擊面上套用自主 AI 防護。 Singularity Endpoint使用行為式 AI，在執行層阻止勒索軟體、無檔案攻擊與零時差漏洞利用；這正是通過檢查的酬載最終會依其行為接受判定的時點。 Singularity Identity可透過 Active Directory 找出憑證濫用、不可能旅行與橫向移動，而這些活動在防火牆服務看來只是合法的已驗證工作階段。 Singularity Cloud Security為工作負載、容器與 Kubernetes 環境增加執行階段防護；在這些環境中，從受害端點移動而來的攻擊者甚至完全不會穿越任何強制執行點。

關聯分析能將這些訊號轉化為調查。 Singularity AI SIEM將 FWaaS 日誌與端點、身分及雲端遙測一併匯入單一 PB 級資料湖，而 Purple AI則透過自然語言查詢與自主調查處理這些資料，無需手動蒐集資料，即可從單一可疑網路事件重建攻擊鏈。根據 IDC Purple AI study，客戶識別威脅的速度提升了 63%，並將修復時間縮短了 55%。

SentinelOne 也在 Latio's security operations evaluation中獲評為 SOC 平台領導者；這是該公司首次針對涵蓋 EDR、XDR、SIEM、SOAR 與 MDR 能力的 SOC 平台所做的評估。 

向 SentinelOne 申請示範，了解防火牆服務留下的防護缺口。

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo