堡壘機系統概述

堡壘機是網路與目標主機之間的連線通道。對內部主機連線，需經由堡壘機平台登入存取

• 單一進入：堡壘機連線入口

• 身份驗證：每位用戶需建立一組個人使用的帳號登入，禁使用共用帳號

• 操作追蹤：完整記錄登入時間、登入日期、來源以及目標主機與操作指令

• 權限分級：授予最小必要的主機存取權限

連線方法

依照使用者網路位置不同，連線至堡壘機分別有：

連線方式	連線路徑
內部連線	使用者 -> 堡壘機 (MFA 驗證) -> 目標主機
外部連線	使用者 -> VPN -> 堡壘機 (MFA 驗證) -> 目標主機

禁止使用者端對目標主機進行直連

訪問權限策略原則

為有效管理高風險端口，存取控制策略須遵循以下原則：

1. 遵循最小權限原則，僅開放必要服務及端口，細粒度管控防火牆存取控制規則。開 通網路權限時，必須明確指定來源 IP、目標 IP 及端口，原則上禁止在目標 IP 和端 口設定中使用 Any 選項；

2. 應用系統應使用網域名稱和加密通訊協定對外提供服務，禁止直接使用 IP 和未加密通 訊協議提供服務。例如使用網域名稱和 HTTPS 443 協議，而非 IP 和 HTTP 80 協定提供 服務；

3. 使用維運堡壘機，對遠端管理和維運相關協定連接埠（例如 SSH/RDP/資料庫/NoSQL） 進行集中統一管理，實現細粒度使用者授權、維運作業審計、以及 MFA 和 SSO；

4. 跨廠區禁止開通 135/137/138/139/445 高危險埠。 AD 網域控制站之間通信，僅允許 開通點到點防火牆規則（即明確指定來源 IP 和目的 IP 及端口，禁止使用 IP 位址段或IP 子網路作為來源 IP 或目的 IP）；

5. 伺服器之間通信，僅允許開通點到點防火牆規則（即明確指定來源 IP 和目的 IP 及端口，禁止使用 IP 位址段或 IP 子網路作為來源 IP 或目的 IP）；

6. 防火牆網路存取權限開通須經過來源 IP 和目標 IP 所在單位或資安部門審核