解決方案輔助說明文件

企業端點的防護需求

企業內部端點裝置的數量龐大，平台及版本也常不同，遠離企業防火牆保護的行動裝置，更是與日俱增。所以要維持一個穩健的端點安全防護環境，相當費力（像是作業系統、應用程式的修補程式有無更新至最新版、病毒定義檔是否有更新、是否安裝了非必要的軟體……）。

端點更是攻擊者虎視眈眈的主要目標，因為端點能連接至企業內部重要系統、存取寶貴的資料。就防護機制而言，也只有端點特有的環境與條件，才能完全符合惡意程式被觸發的條件，再加上「人」的無心或有意的人性漏洞，才能觸發所有惡意程式。

根據 Verizon 資料外洩調查報告顯示，23% 的員工可能打開網路釣魚電子郵件，11% 的員工會打開來自未知人員的附件。同時資料外洩調查報告，也顯示，在整年度的所有網路間諜活動中，惡意軟體被利用率高達 90%，不管是經由電子郵件、網頁順道下載、直接或遠端安裝。

所以，企業部署了防火牆、入侵預防、網頁安全與過濾、郵件安全與過濾、垃圾郵件防護，還是無法完全根除端點上的威脅。利用惡意程式的網路釣魚、網頁攻擊、隨身碟交互感染等基於人性的社交工程攻擊，除了務實地持續進行教育訓練與考核外，端點防護作為資安的最後關卡，更是至關重要。

三種端點安全方案

賽門鐵克的「端點安全軟體」有三個版本，可以滿足不同預算、環境與情境以及最高等級的端點安全要求：

端點防護的應用與經驗

全世界有超過 1 億 7 千 5 百萬個端點受到賽門鐵克的端點安全方案所保護，在台灣更是許多與先進國家有業務往來及技術合作被供應鏈或產業生態系指定安裝的端點安全解決方案的首選，賽門鐵克在資安領域，超過 35 年的經驗與卓越商譽，是企業資訊安全的代名詞。以下列出在台灣，您也可以輕鬆取得與全世界頂尖企業一樣的三種端點防護方案：SEP／SESE／SESC。

SEP 端點防護

在台灣大家熟悉的賽門鐵克端點防護：SEP（Symantec Endpoint Protection），算是最必要的基本防護，它的中央管理主控台（SEPM）是安裝在地端自建的 Windows 伺服主機，可以支援 Windows／Macintosh／Linux 三種用戶端平台，如果無法或不想自建管理主控台的，也可考慮採用以下的 SESE，因為它擁有 SEP 的所有功能，還能使用原廠雲端的中央管理主控台（Cloud SEPM），也比 SEP 多支援 Android／iOS 等主流行動平台。

SESE 集中管理與安全政策

近年來，由於行動裝置及遠端辦公越來越多，所以 Android／iOS 的安全需求也跟 Windows 平台要求一樣高，所以就有了 SESE（Symantec Endpoint Security Enterprise）——賽門鐵克端點安全企業版，這個料號同時支援地端／原廠雲端的中央管理主控台（SEPM），也比 SEP 多支援 Android／iOS 等主流行動平台。

不管地端自建還是原廠隨時可用的雲端管理主控台，就企業的管理方便性及整體安全性的掌控／可視性而言，它是非常重要的。透過 SEPM 不只可以集中更新版本／病毒定義檔，更重要的是可以依不同群組強制不同的安全政策、也可以透過儀表板就能馬上了解所有端點安全態勢，作為調整整體安全政策的實用快速參考。

SESC 偵測、回應與 AD 防護

SESC（Symantec Endpoint Security Complete）——賽門鐵克端點安全完整版——它有 SEP 及 SESE 的所有功能。另還包含 EDR（端點偵測與回應）以及 AD 防護的功能。

近期頻傳的大企業遭受加密勒索或索贖款不成將公告其機敏資料的商業集團式或國家支持的駭客組織，讓許多人有一種防不勝防的無力感，其實是大部分的單位，只專注在預防上，所以被入侵之後，完全束手無策，也沒有機制可以查找可疑或非法的行為，這種被入侵之後的初期的預警機制、中期的肆無忌憚的橫向移動的攔截甚至是對外的惡意連線行為的阻止，如果能透過 EDR 及 AD 防護是非常有成效的，也能讓安全人員快速釐清事件的始末，不再是海底撈針。

EDR 透過專利的雲端沙箱及大數據的交叉比對、關聯分析的類 SIEM 機制，可以具備比 SEP／SESE 更高的偵測力，另外可以發現及掌控企業內部更完整的安全態勢。

AD 防護是利用每台用戶端的欺敵／誘餌／混淆技術，讓所有的用戶端一起協防 AD 核心架構，對於 AD 被第一時間入侵後的橫向移動行為的發現非常厲害。

SESC（Symantec Endpoint Security Complete）——賽門鐵克端點安全完整版——完整版就是包括整個攻擊鏈的生命週期所需的對應防護功能都有的意思。不管從 NIST 所規範的五階段的框架，還是拆解洛克西德馬丁公司所註冊的網路攻擊鏈七步驟，SESC 總能在攻擊前、攻擊中、入侵中以及入侵後提供最佳的預防、保護以及回應。

端點、郵件與網頁的協同防護

完善的資安防護機制必須透過電子郵件、網頁以及端點這三個控制點的分工與協同運作，以該控制點最有利的防護技術與管理機制來降低威脅的探勘、攻擊以及入侵，並能隨時監控內部是否已被入侵及埋伏甚至橫向移動以及資料的外洩，採用 Symantec 完整解決方案，可以非常容易達成資安目標。

現在大家都有在端點安裝防毒軟體或更強大的端點安全系統，但上報的資安事件還是層出不窮，連人才濟濟、資源豐富的大企業也不例外。

Symantec 在端點、電子郵件以及網頁防護，皆有最完整的防護機制，同時也能在這三個控制點，透過 AI 為後盾的關聯分析與情資交叉比對的協同運作，能在第一時間就發現目標式攻擊，更能發現入侵後的初期入侵跡象、中期橫向移動以及後期的資料外洩及更大的危害，都能有效偵測。

在 2019/11，博通併購賽門鐵克後，進一步加大對 RD 的資源投入，同時也大大降低交易複雜性，將料號精簡為功能多合一、實體與虛擬、地端與雲端等符合全功能多情境——並以極具競爭力的價格來提供，讓顧客更喜歡、更容易使用／採購賽門鐵克。

郵件威脅與防護需求

根據統計，招致企業感染病毒等惡意程式（會衍生更嚴重的資安損害）的主要來源為：電子郵件、網頁瀏覽以及隨身碟之類的行動儲存媒體（佔 98% 的約共有 50 幾種），其中電子郵件約佔了整體的 70% 以上，電子郵件中的附件以及連結是引發感染惡意程式最主要的感染途徑，攻擊者很容易透過社交工程的手法，誘導受害者開啟惡意的附件及連結，特別是現在的攻擊者多為商業型營利的駭客組織或國家級資助的專業網軍，所以使用傳統的防護機制，往往看似風平浪靜，但只要一出事，總是迅雷不及掩耳般地造成山崩地裂的大災難。

其實是針對性的攻擊，在埋伏一段時間後，只要時機成熟，就可在很短的時間，遍地開花，讓企業瞬間束手無策舉白旗。

三種郵件安全方案

賽門鐵克郵件安全解決方案總共有三種：

• 第一種：Microsoft Exchange Server 防護（SMSMSE：Symantec Mail Security for Microsoft Exchange Server）
• 第二種：安全郵件閘道（SMG：Symantec Messaging Gateway）
• 第三種：郵件安全雲端服務（Email Security.Cloud Service）

Microsoft Exchange Server 防護｜SMSMSE

是安裝在 Microsoft Exchange Server 本機上的防護軟體，它是屬於應用程式（Application）層級的防護，有別於作業系統層級的防護（像 SEP 就是），所謂應用程式層級就是它能與 Exchange 完美協同運作，能看得懂 Exchange 郵箱的內容，有辦法快速精準判斷是否安全或不正常。所有品牌的端點防護都一樣，都是作業系統層級的，沒有辦法完全看得懂應用層級的內容，對郵件主機應用程式的防護幫助不大。

Symantec Messaging Gateway 安全郵件閘道｜SMG

安全郵件閘道，基本上它就是一台快速的、專用於郵件安全檢查或內容過濾的郵件遞交伺服主機（同時支援實體與虛擬環境），能在您的 Exchange 或其他自建或雲端郵件主機收信之前先行過濾（內送），也可以在寄出之前幫忙檢查是否（外寄）郵件違反安全政策。SMG 原生的 DNA 強項就是採用 BrightMail 的專利技術，輕鬆就能達到：垃圾郵件的偵測率高達 99%，而誤攔率低於百萬分之一，而被最多 ISP 廠商選為過濾垃圾郵件的合作對象。

而 Symantec 的惡意程式及進階威脅（APT）的防禦能力，更是業界翹楚。特別是 Symantec 併購許多特定安全領域的龍頭公司，像是 PGP 加密、BlueCoat 網頁安全代理及分類／過濾、FireGlass 是作安全遠端瀏覽的威脅隔離技術的，Norman 的沙箱及多重掃描引擎……，這些最佳的安全功能，都可以與 SMG 作緊密的整合。

網頁與郵件的威脅來源

根據統計，招致企業感染病毒等惡意程式（會衍生更嚴重的資安損害）的主要來源為：電子郵件、網頁瀏覽以及隨身碟之類的行動儲存媒體（佔 98% 的約有 50 幾種），其中電子郵件約佔了整體的 70% 以上，電子郵件中的附件以及連結是引發感染惡意程式最主要的感染途徑，攻擊者很容易透過社交工程的手法，誘導受害者開啟惡意的附件及連結，特別是現在的攻擊者多為商業型營利的駭客組織或國家級資助的專業網軍，所以使用傳統的防護機制，往往看似風平浪靜，但只要一出事，總是迅雷不及掩耳般地造成山崩地裂的大災難。

其實是針對性的攻擊，在埋伏一段時間後，只要時機成熟，就可在很短的時間，遍地開花，讓企業瞬間束手無策舉白旗。

您知道嗎？電子郵件中的附件以及連結是引發感染惡意程式最主要的感染途徑，特別是連結的部分，由於最終的連結目的地網址是可以隨時變動及偽裝的，所以它就是一串隨時變動可以規避傳統電子郵件防護機制的變數，也是很容易讓人信以為真的騙術，這也是一般郵件防護解決方案捉襟見肘最力不從心的死穴。

網頁瀏覽與上網管理

如果您是 IT 安全人員，您一定常常聽到終端使用者向您回報：「我只是瀏覽網頁，什麼事都沒做，然後電腦就變成這樣了！」終端使用者的確什麼都沒做，但全世界的網站有一半以上是從來不曾針對安全性作修補的，很容易被駭入，成為惡意程式的更新及散播中心，更別說被駭客拿來專做壞事、存活不到 12 小時的幽靈網站，要追溯更是困難。

當我們瀏覽網頁的時候，更常因為瀏覽器版本太老舊破洞百出，成為通往網路煉獄的門戶、外掛程式常有漏洞或設定不周全，甚至被安裝了惡意程式下載器或資料竊取的外掛而不自知，所以終端使用者的電腦，即使沒有瀏覽網頁，其實已經是被操控的殭屍電腦，正在默默地犧牲自己的效能，為害企業也危害全世界。

企業開放上網並提供一個安全的上網環境，除了能滿足友善職場生態的趨勢，對於上網的工作效益提升更有期待，所以上網的管理與稽核以及網頁的分類與過濾，對現代企業而言，是一門顯學，也與電子郵件安全等同重要。

WPS 網頁防護套裝組合

賽門鐵克新推出的網頁及雲端安全／管理解決方案組合，可以完全解決上述的問題，更不止於解決這些問題，就叫作：WPS（Web Protection Suite）——網頁防護套裝組合——顧名思義就是物超所值並且可以自由搭配的多重組合。

WPS 就是這種概念：幾乎所有網頁／雲端應用的管理／防護最高階的功能都有了，不管地端自建、雲端服務或兩者的混合（目前企業多有上雲的需求，但時程跟急迫性都不一樣，WPS 就是滿足所有情境的方案，讓網頁／雲端應用安全配合上雲與否與時程），都是一個價格，同時地端／雲端安全政策也可以共通，以每人／每年的費用計價，沒有級數之分，以快速完成交易（目前的價位是以 2,000 人的價格為基準，所以相對很便宜），附上型錄說明（WPS），歡迎洽詢討論。

全代理技術與內容檢查

CacheFlow 一開始就是走全代理（Proxy）的技術，一直維持好幾年近 90% 以上的市佔率之後，還是不敵頻寬越來越便宜的現實，有好幾年幾乎快要撐不下去。好運總在堅持後來敲門，因為網頁進展到 Web 2.0 之後的豐富多元與互動性，讓網頁成為資安的大破口，也讓上網管理成為公司治理的顯學。

所以運用全代理的技術（Proxy），WebFilter 網頁分類及過濾系統於焉誕生，它運用了 WebPulse 的動態即時分類專利技術，讓 95% 的網頁絕對是即時有效正確的分類，剩餘的 4% 約在 30 分鐘後，也會經過自動化及專家驗證後被正確分類。更強的一點是同一個網頁，WebFilter 最多可以把同一個網頁，歸類到四種類別，讓網頁的控管更精準，更能發揮最大的效益。

因為全代理技術（Proxy），所以針對安全性的檢查，它比最新次世代防火牆可以更深入且完整地（不是分段的）偵測惡意內容，特別是在加密的網路流量的解析上，BlueCoat 就是翹楚。BlueCoat 定位成為內容分析的平台框架，把多廠商的最新安全檢查技術都納進來，滿足苛求的安全要求。

部署方式與授權

過往這些超強功能都是買了基本的快取服務功能之後，再依需求購買管理／安全選項。地端自建型的環境要先購買硬體裝置（SWG，後來也有推出 VA 版本），而地端自建與雲端服務的購買方式不同，政策也很難共用。更讓人卻步的是授權的購買是以連線數（Session）來計價，搞得買個授權，彷彿得先精通工程數學，或具備過人的數學天分。

現在採購方式比買手搖杯飲料還簡單——單一價格，以每人／每年為計價標準，沒有人數級距的不同單價，所有的功能全部讓您使用，而且非常的物超所值，因為計價基準就是幾乎以過往 2,000 人的級距去算，即便組織內只有 200 人，您只要買 200 套的授權，而幾乎享有過往 2,000 套的優惠級距。

三個控制點的協同防護

完善的資安防護機制必須透過電子郵件、網頁以及端點這三個控制點的分工與協同運作，以該控制點最有利的防護技術與管理機制來降低威脅的探勘、攻擊以及入侵，並能隨時監控內部是否已被入侵及埋伏甚至橫向移動以及資料的外洩，採用 Symantec 完整解決方案，可以非常容易達成資安目標。

現在大家都意識到在端點安裝防毒軟體或更強大的端點安全系統甚至 EDR 的重要性，如果能在更外層的網頁存取層，也導入 Symantec 完善的網頁安全防護／管理機制，其成效會更為明顯，也能大大提升端點的運行效率，提高員工工作效率，並為現有的電子郵件防護技術補上精準過濾偵測內嵌網頁連結的盲點偵測系統。

Symantec 在端點、電子郵件以及網頁防護，皆有最完整的防護機制，同時也能在這三個控制點，透過 AI 為後盾的關聯分析與情資交叉比對的協同運作，能在第一時間就發現目標式攻擊，更能發現入侵後的初期入侵跡象、中期橫向移動以及後期的資料外洩及更大的危害，都能有效偵測。

在 2019/11，博通併購賽門鐵克後，進一步加大對 RD 的資源投入，同時也大大降低交易複雜性，將料號精簡為功能多合一、實體與虛擬、地端與雲端等符合全功能多情境——WPS 以極具競爭力的價格來提供單一料號包含所有上網安全所需的所有防護功能，讓顧客更喜歡、更容易使用／採購賽門鐵克。