GDMME 白皮書
看清風險 讓防護與管理有據可依
企業需要的不只是更多告警 而是知道哪些事項值得處理、由誰跟進 以及完成後如何核對 GDMME 的管理理念 是把防火牆管理、集中監察與客戶報告連成一條清楚的工作線 讓日常防護與事故復原都有依據
先確認範圍 再安排工作；保留結果 讓下一步有據可依
看清風險 減少管理負擔
把分散的連線、事件及待辦事項整理成可理解的資訊 讓負責人把時間放在需要處理的工作 以下整理 GDMME 的管理方向與核對重點
單台防火牆管理介面已有實作；集中監察目前為本機示範 資料均為模擬 尚未接駁真實設備
小螢幕可在表內左右捲動
| 管理重點 | 對客戶的用途 | 核對重點 |
|---|---|---|
| 日常防火牆管理 | 集中日常操作與事件 | 按部署設備及紀錄覆蓋範圍驗收 讓日常檢查有清楚依據 |
| 可疑連線線索整理 | 釐清值得跟進的線索 | 連同連線背景與名單比對閱讀；查詢結果不代表已確認攻擊 |
| 多設備與站點監察 | 減少分散檢查與重複跟進 | 核對設備狀況、事件優先次序、重複告警及未收到的資料 |
| 客戶專屬報告 | 覆核結果與待辦事項 | 讓客戶看清自己的狀況、負責人及下一步 |
由設備紀錄 走到清楚報告
GDMME 防火牆處理單部設備的日常操作與事件資訊；集中監察把多個設備及站點放在同一個工作視野；客戶報告則整理需要知道的風險、處理結果與下一步
- GDMME 防火牆整理單部設備的操作與事件日常設備管理
- 集中監察彙整設備、站點與待辦事項減少分散檢查
- 客戶報告看清結果、責任與下一步支援覆核與跟進
監察與報告先行 設備變更由獲授權人員另行確認 集中監察初期不包括批次修改規則、更新或重啟設備
客戶專屬報告 知道重點與下一步
報告讓客戶了解自己的設備與站點：發現甚麼、如何處理、哪些事項尚待確認 以及由誰跟進 內容以閱讀及覆核為主 管理操作另設權限
- 看清事件
- 列明資料來自哪裡、涵蓋甚麼時間 以及如何計數；分開告警、阻擋紀錄及已確認的攻擊結果
- 看清缺口
- 顯示最後更新時間、未收到的資料及監察範圍 避免把「在線」或「沒有告警」當成安全結論
- 看清責任
- 列出待辦事項、負責人與覆核安排；每位客戶只可讀取獲授權的自身資料
處理結果要看得懂
- 紅 · 已阻擋
- 綠 · 已通過
- 琥珀 · 未確定
文字與紀錄須配合顏色 「通過」表示該次連線或動作獲准 不是對整個環境的安全判定
客戶專屬報告在完成登入、資料權限及結果核對等驗證後開放
反勒索防護 兼顧預防與復原
防護要減少入侵與擴散機會 也要為業務受影響時做好準備 網絡、設備、帳戶、備份及事故處理需要互相配合 並有清楚負責人
網絡連線
分隔不同工作區域 限制遠端接入 保留業務真正需要的連線 減少問題向其他系統擴散的機會
工作設備
持續更新系統與應用程式 配合設備防護及程式使用限制 並核對哪些設備已納入管理
帳戶權限
按工作需要授予權限 為重要登入增加身份核實 分開管理與日常帳戶 及時處理人員離職與權限變更
可用備份
備份與日常帳戶及網絡適當分隔 保留過往版本並防止任意刪改；企業帳戶無法登入時仍須有獨立復原途徑 並定期測試
事故與復原
先約定聯絡人及處理次序；發生問題時協調隔離、保存證據 再按業務需要確認復原範圍與結果
結果可核對 責任才清楚
以下是建議的驗收問題 按你的環境與服務範圍確認需要的紀錄 列明負責人、檢查日期及仍需處理的事項
小螢幕可在表內左右捲動
| 需要確認的事情 | 客戶應能核對的結果 |
|---|---|
| 告警是否有處理結果？ | 保留事件與實際動作紀錄 分清只發出通知、已放行、已阻擋及尚未確認 |
| 重要工作是否仍能進行？ | 測試業務需要的連線及應被拒絕的連線 記錄結果並由業務負責人確認 |
| 資料是否只讓合適的人看到？ | 核對登入與權限 測試未獲授權的人不能讀取其他客戶的資料或執行管理操作 |
| 啟用防護後會否影響工作？ | 在約定設備、功能及負載下量度速度、延遲與連線穩定性；設備標示的連接速度不能代替實測 |
| 報告是否夠新、夠完整？ | 列明更新時間、紀錄保留期、未收到的資料及涵蓋範圍 避免用舊資料判斷現況 |
| 變更出問題時怎樣回復？ | 保留設定備份、回復測試與更新安排 列明設備停止支援後的處理責任 |
| 資料如何保留與處理？ | 確認資料保存位置、保留期、使用授權 以及服務交接時的資料處理安排 |
| 備份是否真的能復原？ | 保留完整性與復原測試結果 由業務確認可接受的資料損失與復原時間 |
按驗證結果 逐步落實
先把範圍與責任說清楚 再驗證設備、資料與報告 每一步保留結果 作為下一步的依據
- 確認範圍
01 · 明確需要與責任
列出設備、站點、重要工作、負責人及需要的報告
- 核對設備
02 · 驗證防護與營運
核對事件、處理結果、工作影響及回復方法 保留測試紀錄
- 核對資料
03 · 建立可靠監察
驗證接入與資料權限 確認更新時間、資料缺口及告警整理方式
- 覆核報告
04 · 支援持續跟進
確認客戶只看到自身獲授權資料 報告能說清結果、責任與下一步 再按驗證結果確認開放範圍
客戶常見問題
GDMME 希望幫客戶解決甚麼管理問題？
把設備、事件與待辦事項整理得更清楚 協助負責人辨別優先次序 並以紀錄核對跟進結果 工作範圍與責任按每次委託確認
設備防護和備份是否全部包含？
防護工具、備份平台、使用授權及實施工作須逐項確認 本文的防護與驗收建議 不代表全部項目已包含在每個服務方案
看到告警 是否代表已阻擋？
告警可能只代表系統發出通知 是否阻擋 須看該次事件的實際處理紀錄；沒有紀錄時應標示未確定
告警數量等於成功攻擊次數？
不是 告警可能重複或誤判 須連同資料來源、時間範圍及處理結果閱讀 才能釐清需要跟進的事項
在線、綠色或沒有告警 代表安全嗎？
不能單憑這些狀態判斷安全 綠色通過只描述該次動作 沒有告警也可能涉及資料缺口；報告須列明覆蓋與更新時間
網絡位置能判斷攻擊者身分？
不能 中繼服務或被入侵設備可能遮蔽來源 地理位置只是線索 不能單憑它確認身分或國籍
是否保證防止勒索軟件或成功復原？
防護需要設備、帳戶、網絡、備份與事故處理配合 不能保證阻止所有威脅或解密 復原測試有助確認準備程度；恢復成功仍不能排除資料曾被外洩