1. 內外部應用物理/邏輯隔離
對外服務 (官網、API 閘道) 與內部系統 (ERP、CRM、資料庫管理介面) **部署於不同伺服器/區域網段**。若資源受限，至少啟用容器/虛擬機網路隔離 (Security Group、NSX 微分段)、應用層 WAF 區分策略，防止外網跳板攻入核心資產。
2. 獨立開發/測試環境，嚴禁生產機調試
- 開發者在專屬 Dev/Test 叢集編碼、單元測試、壓測。
- 引入 CI/CD 流水線 (GitLab CI/Jenkins/Azure DevOps) 自動化建置、掃描、部署至 Stage 環境驗收。
- 生產環境**唯讀**，僅透過管道發布經簽核的制品，杜絕手動修改、熱修補。
3. 完整審計日誌與異地不可竄改儲存
- 啟用 IIS/Apache/Nginx 存取日誌、錯誤日誌、模組日誌 (ModSecurity、AppLocker)。
- 日誌即時轉發至集中式日誌平台 (ELK/Graylog/Splunk) + 簽名/區塊鏈存證，防止駭客刪改。
- 保留期 ≥ 1 年 (合規要求)，定期離線備份。
4. 開發者安全編碼持續訓練
- OWASP Top 10、CWE Top 25 季度輪訓。
- 實戰演練：SQLi、XSS、CSRF、SSRF、反序列化、邏輯漏洞靶場練習。
- 代碼審查清單化：參數化查詢、輸出編碼、最小權限、錯誤處理不洩露堆疊。
5. 自動化修補管理 (OS + Middleware + Framework)
- 訂閱 CVE/NVD/廠商安全公告 RSS，建立資產清單 (CMDB) 自動比對。
- WSUS / Red Hat Satellite / Ansible / SCCM 統一下發，測試驗證後滾動更新。
- 零日漏洞 24 小時內完成緩解措施 (WAF 規則、防火牆封鎖、功能降級) 並排程根治。
6. 上線前應用層掃描與運行時防護
- SAST (SonarQube/Checkmarx/Fortify) 靜態掃描整合於 PR Gate。
- DAST (OWASP ZAP/Burp Suite Enterprise) 對 Stage 環境動態掃描。
- IAST/RASP (Contrast/Seeker/OpenRASP) 運行時偵測記憶體注入、異常反序列化、JNDI 注入等 0-day 攻擊。
總結
安全非產品而是**流程**。將上述六大基石內化為「基礎設施即代碼」(IaC) 與「政策即代碼」(PaC)，納入 CI/CD 與日常運維閉環，才能在持續交付節奏下守住防線。
