什麼是防火牆？定義、類型與運作方式

防火牆是重要的安全裝置，會根據預先定義的安全規則監控並控制傳入與傳出的網路流量。我們的指南將探討不同類型的防火牆，包括封包過濾、狀態檢測，以及應用程式層級防火牆，並說明它們在保護網路免於未經授權存取方面的角色。

了解設定與管理防火牆的最佳實務，以確保強健的網路安全。隨時掌握防火牆技術的最新趨勢，以及它們如何協助保護您組織的數位資產。

防火牆有哪些不同類型？

防火牆有數種不同類型，可依其形式或功能加以定義。以下我們將先概述防火牆的基本形式因素，再說明其功能。

防火牆的形式因素包括以下幾種：

• 獨立式防火牆 – 一種可過濾進出私人網路之網際網路流量的設備。這類專用裝置常見於較大型企業，通常不會出現在家庭網際網路配置之類的環境中。
• 內建路由器防火牆 – 家用與小型企業環境中常用的網際網路路由器通常會內建防火牆功能。這有助於讓小型網路在幾乎不需使用者費心的情況下維持安全，但相較於專用解決方案，提供的控制能力較有限。
• 雲端原生防火牆 – 在雲端環境中運作，保護虛擬化基礎架構；而這類架構並不適合採用傳統防火牆將一個網路與另一個網路隔離的典範。
• 主機型防火牆 – 主機型防火牆在個別運算裝置上運作以管制流量，若獨立式或路由器防火牆已啟用，則可提供第二道防線。Windows 和 MacOS 等作業系統通常會預先安裝防火牆，但可能需要手動啟用。

防火牆的功能類型包括以下幾種：

• 靜態封包過濾防火牆 (又稱無狀態檢測防火牆) – 根據來源與目的地檢查在網路上傳送的所有個別封包。過濾會依據 IP 位址、連接埠號碼，以及所使用的通訊協定來執行。規則（稱為存取控制清單）由系統管理員設定，並可視需要修改。不會追蹤或考量先前的連線與資料內容脈絡，因此可提供快速但相對較不精細的過濾方法。
• 狀態檢測防火牆 – 與靜態封包過濾防火牆類似，狀態檢測防火牆會檢查傳輸所使用的 IP 位址、連接埠號碼，以及通訊協定。然而，狀態檢測方法還會在狀態表中追蹤過往連線。這使其能夠結合系統管理員設定的一般規則，根據先前良好或有問題的連線進行動態過濾。
• 代理防火牆 – 一種代理伺服器，作為私人網路與網際網路之間連線的中介。資料會先由代理伺服器過濾後再傳遞出去。作為早期的資料保護形式，代理防火牆至今仍很常見。
• 次世代防火牆 (NGFW) – NGFW 系統包含進階防火牆防護功能，包括以情報為基礎的存取控制、整合式入侵防護系統、應用程式感知等。

需要防火牆嗎？

是的，您需要防火牆。幾乎任何連接到網際網路的運算裝置都需要防火牆。您很可能已經在電腦與開放網際網路之間部署了防火牆。

家用路由器通常預設會啟用防火牆，而您的 ISP 也可能使用雲端式防火牆解決方案，以避免將惡意流量傳送到您的系統。在主機層級，Windows 和 MacOS 都提供防火牆，雖然預設可能未啟用。企業通常會使用啟用防火牆的路由器或獨立設備，您可能已從無法造訪 Facebook 或其他被視為無生產力的服務這類情況中注意到這一點。

若沒有這種基本的資料保護，您的裝置，包括 IoT (Internet of Things) 裝置與網路設備，將更容易受到外部世界威脅的影響。雖然防火牆有時可能較為限制，甚至可能影響效能，但這類過濾裝置仍值得這樣的取捨。

防火牆能保護系統免受網路威脅嗎？

雖然防火牆是協助保護網路、雲端基礎架構或個別主機（即電腦）免於入侵的良好方式，但它無法消除所有威脅。請注意，如此處所述，網路攻擊可能以多種形式出現，遠不僅止於從開放網際網路滲透網路。

社交工程與帳號入侵可能讓入侵者取得登入您網路所需的憑證，進而安裝惡意軟體，並在內部造成嚴重破壞。漏洞利用可讓攻擊者利用未知或未修補的弱點發動攻擊，而阻斷服務攻擊則只是以大量流量淹沒網路，使其大致上無法使用。即使已正確設定並維護防火牆，我們仍需持續保持警戒，以進行威脅緩解與回應。

防火牆可限制存取無生產力與露骨內容網站

在本文脈絡中，我們主要是在討論防火牆如何因應來自惡意行為者與資料來源的滲透，作為網路安全中的第一道防線。然而，防火牆也會以家長監護的形式部署於家庭與學校環境中，防止兒童瀏覽露骨內容。

在企業環境中，工作場所可限制員工在工作電腦上使用哪些網站，以嘗試提升生產力並抑制多餘的資料使用。當然，在智慧型手機普及的時代，員工通常可以繞過這類生產力限制。至少這不會拖累公司頻寬，儘管這通常不是非常大的問題。

在這種情境下使用代理伺服器，多少帶有一點諷刺意味，因為這代表實作一種可作為防火牆類型的技術，來擊敗另一個防火牆。網際網路技術，無論是合法、犯罪，或介於兩者之間的用途，考量到有多少設備與程式設計是拼湊起來以極高傳輸速度將資料傳送至極遠距離，它的運作表現其實好得令人驚訝。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論 | 防火牆是網路安全中的良好第一步

防火牆在運算領域擁有悠久歷史，三十多年來一直維持網路安全。然而，關於防火牆是否仍然有用的討論至今仍在持續。畢竟，直接從網際網路攻擊網路邊界，遠非網路攻擊唯一的威脅向量。

實際上，路由器的安全性可能被攻破，但這項基本防護對於抵禦許多威脅仍然有用。整體網路安全所需的不僅僅是防火牆。只要具備適當的團隊與工具，網路安全威脅就能被擊敗，但網路防禦者必須始終保持警覺。