對台灣製造業、醫療院所與大型企業來說，設備原廠、系統整合商和維護承包商遠端連線，往往是維持產線與關鍵服務正常運作的必要條件。問題不在於要不要讓廠商連線，而在於連線之後，企業是否看得見對方實際接觸了哪些主機、使用哪些通訊協定，以及是否出現偏離正常工作的行為。
如果調查只依賴 VPN 登入紀錄，通常只能回答「誰在什麼時間連進來」，卻不一定能還原連線期間的網路活動。這正是網路偵測與回應（NDR）可以補上的可視性缺口。
VPN 日誌記錄了連線，不等於完整的活動稽核
GREYCORTEX 在 2026 年 3 月發布的遠端廠商存取文章指出，VPN 紀錄通常提供連線者與連線時間，但無法單靠這些紀錄說明後續存取行為。當設備異常、服務中斷或疑似資料外傳時，IT 團隊還需要知道廠商端點連到了哪些系統、使用哪些協定、資料傳輸方向與流量規模。
這個差異在 OT 環境尤其重要。維護人員可能需要登入工程工作站、歷史資料庫或管理伺服器，但若 VPN 只開放整個網段，實際可觸及的資源可能遠超過工作所需。若缺乏後續網路活動紀錄，事後調查就容易依賴人員回憶，而不是可驗證的證據。
OT 網路還要留意未經核准的替代連線
除了正式 VPN，維護廠商也可能為了方便，在現場接入 4G／5G 路由器或其他遠端連線設備。若這些設備未經核准，就可能繞過既有 VPN、身分驗證或網路分段政策，形成難以追蹤的外部入口。
工廠 OT 網路的通訊通常較固定，設備角色與彼此連線關係也相對穩定。因此，新設備突然出現在受監控網段，或既有設備開始連往陌生目的地、使用不尋常協定，都值得進一步確認。這些訊號不必然代表攻擊，但能協助團隊更早發現未授權設備、設定變更或維護流程偏差。
GREYCORTEX Mendel 能補上哪些網路可視性
依 GREYCORTEX 官方產品資料，Mendel 是 NDR 與網路流量分析平台，可視覺化連網設備之間的通訊，協助分析人員調查安全與營運事件。官方亦說明，Mendel 可被動監控網路流量，不需在每一台受監控設備安裝代理程式；在整合 Active Directory 或 LDAP 等身分來源後，可將觀察到的網路活動與特定使用者關聯。
對第三方維護情境而言，這類資料有助於還原遠端工作階段期間的通訊對象、協定與流量變化。Mendel 也提供新設備與異常通訊的可視性，並可與既有 SIEM、防火牆及 NAC 等安全基礎設施整合。實際能觀察到的細節，仍取決於封包鏡像或網路感測器部署位置、流量可見範圍、加密狀態及已啟用的整合方式；不應將產品能力理解為能在所有網路條件下讀取每一項操作內容。
台灣企業導入前，先確認五個設計問題
- 盤點所有遠端維護路徑：列出 VPN、跳板主機、廠商專線、4G／5G 路由器與臨時維護設備，並標示負責廠商、系統範圍、核准人與有效期限。
- 確認感測器部署點：涵蓋廠商入口、IT／OT 邊界、關鍵伺服器區與重要產線網段，確認東西向流量是否能被觀察；不要只監看對外網際網路出口。
- 建立身分對應：確認 VPN 帳號、AD／LDAP 帳號、廠商個人帳號與實際維護人員能否對應。共用帳號會降低事件追溯能力，應優先改善。
- 定義保存與調查需求：依稽核、事故調查及儲存成本設定歷史資料保存時間，並確認時間同步、日誌匯出、權限分工與證據保全流程。
- 預先設計回應流程：定義發現陌生設備或異常通訊後，由誰確認、通知廠商、暫停帳號或隔離網段。OT 隔離可能影響生產，必須納入現場營運與安全團隊共同審核。
PoC 不要只看儀表板，應模擬真實維護情境
建議選擇一個非關鍵產線或測試網段，安排核准的廠商 VPN 維護作業，檢查平台能否將連線活動與使用者、設備及通訊對象關聯；再加入一台未登錄設備或模擬異常目的地連線，觀察告警、調查脈絡與匯出證據是否符合團隊需求。測試也應包含正常維護流量，評估誤報如何調整，以及事件能否串接現有 SIEM、工單或防火牆流程。
對台灣企業而言，GREYCORTEX Mendel 可列入需要 IT／OT 網路可視性、第三方維護稽核與異常通訊調查的評估名單。採購前仍應確認實際部署架構、支援的網路設備與協定、資料保存方式、繁體中文與在地服務安排，以及是否符合組織對資料處理位置的要求。遠端維護本身不必然是風險；真正的治理重點，是讓每一次連線都有明確授權、可追溯的活動紀錄，以及經營運團隊核准的回應方式。