資通網路與安全考古題｜歷屆國考試題彙整

請詳細說明木馬程式（Trojan Horse）的特性及常見的感染途徑，並說明若 網通設備遭受植入木馬程式，將可能造成那些資安威脅？（25 分）

一網管工程師在為一棟新大樓建置網路架構，大樓內部有一個對外提供 服務的學術網站伺服器機房。請回答以下問題：（每小題10 分，共30 分） 新大樓的路由器與學校機房之間接了兩條實體線路（一條主線、一條 備援線）。若網管工程師放棄手動寫靜態路由，改為啟用OSPF 動態路 由協定。當某天主線路不小心被挖斷時，大樓的網路流量會發生什麼 變化？請從動態路由協定的特點與選路依據來合理解釋。 學校將大樓的「學術網頁伺服器」放在防火牆的DMZ（Demilitarized Zone），而不是直接接在外網或安全的內網。當外網的使用者想要連進 來瀏覽網頁時，防火牆的安全策略（Security Policy）應該要如何放行？ 請寫出必須設定的三個關鍵要素。 為了防止學生在教學實驗室連上惡意詐騙網站，網管工程師架設了一 台Proxy 伺服器，「代表學生（客戶端）」向外網發送請求並進行安全 檢查。請問這台架設在學生前端、幫忙過濾外網網頁的設備，屬於「正 向代理（Forward Proxy）」還是「反向代理（Reverse Proxy）」？請詳 述兩者的本質區別。

請詳細說明負載平衡（Load Balancing）技術的運作原理，並說明在網路系 統上架設負載平衡伺服器的好處。（25 分）

在數位經濟與雲端運算高度發展的時代，個人資料（Personal Data）已成 為組織核心的資訊資產，同時也是資安防範與法律合規的重中之重。依 據我國個人資料保護法與歐盟一般資料保護規則（GDPR）之法理精神， 企業在處理個人隱私時，必須將安全防護思維融入資料的完整生命週期 中。為了在「數據分析利用」與「隱私保護」之間取得平衡，企業常採 用「去識別化」（De-identification）技術。去識別化技術又包含「匿名化」 （Anonymization）及「擬匿名化」（Pseudonymization）技術。請回答以 下問題：（每小題10 分，共30 分） 請解釋何謂「匿名化」（Anonymization）。 請解釋何謂「擬匿名化」（Pseudonymization）。 請舉一個例子說明「匿名化」及「擬匿名化」兩者之差異。

許多家電、汽車、工業製造等物聯網設備（Internet of Things），有嵌入無 線感測器（Sensors）並具備連網功能，請詳細說明實務上有那些作法可用 於保護這些物聯網設備的連網安全性。（25 分）

當代組織面臨的營運威脅日益複雜，從勒索軟體癱瘓機房到新興供應鏈 中斷風險，皆可能對組織造成無法估計的損失。營運持續管理（Business Continuity Management, BCM）已成為企業與政府機構建構「數位韌性」 的核心管理機制，旨在確保關鍵商務功能在遭受重大衝擊時仍能維持底 線運作。組織在建構完整的BCM 計畫前，必須透過「風險評估（Risk Assessment, RA）」來掌握潛在威脅。請詳細列舉出風險評估流程中的五 個核心執行步驟，並逐一扼要闡述各步驟的主要工作目標為何？（10 分）

請舉出至少兩種針對域名系統（Domain Name System，簡稱DNS）的資安 攻擊類型，並詳細說明防制這些潛在資安攻擊的作法。（25 分）

某公司使用一套由外部廠商提供的遠端管理工具，該工具平時用於協助 資訊人員更新軟體、派送設定檔與維護內部主機。某次例行更新後，多 台內部主機開始出現異常連線行為，但使用者並未點擊可疑郵件，也未 下載未知檔案。初步調查發現，異常程式是透過該遠端管理工具的正常 更新流程被派送到主機上，因此在部分紀錄中顯示為「合法更新」。請回 答下列問題：（每小題15 分，共30 分） 此事件中，攻擊者為何不一定需要直接攻擊公司內部系統，也能使內 部主機執行惡意程式？請分析其可能涉及的攻擊方法，並說明此類攻 擊與一般使用者自行下載惡意程式有何不同。 若公司只檢查「員工是否點擊可疑郵件」或「主機是否存在未修補弱 點」，為何可能無法發現此類攻擊的真正原因？請說明應如何從第三 方風險管理、更新驗證與內部監控三個面向降低風險。

近年來金融科技發展迅速，民眾可以使用多元化電子支付平台外，還有數 位銀行、數位券等便民服務。民眾可透過銀行官網進入網路銀行（web） 或是行動網路銀行（App）形式，使用金融服務。說明上述兩種方式（web 和App）使用方式之相似與差異性，使用者在使用這兩種方式所需注意的 安全性之相似與差異性。（25 分）

請說明軟體定義網路（Software-Defined Networking, SDN）的三層基本 架構與核心理念，並分析其對傳統網路管理與資安策略帶來的影響。（25 分）

網路威脅持續演進，Open Web Application Security Project（簡稱OWASP）， 針對不同的軟體安全問題提出分析報告。針對物聯網設備，OWASP 提出 IoT Top 10 Vulnerabilities，統計與分析物聯網設備常見的弱點。請舉例說 明兩項常見的物聯網弱點，並提出防範措施。（25 分）

企業常透過網路位址轉譯（Network Address Translation, NAT）技術來節 省公有IP 位址，然而在進行內部服務外部化（例如公開Web、Mail、 VPN 等伺服器）時，NAT 設計可能帶來一些限制或挑戰，請說明兩項限 制或挑戰並提出對應的兩種解決方法。（25 分）

說明Internet 通訊協定疊（protocol stack），並分別說明各層提供的服務。 除最底的第一層外，其他每一層請列舉一個通訊協定。（25 分）

請說明社交工程攻擊與技術性攻擊（如惡意程式、SQLInjection）在手法 與防禦策略上的差異，並分析企業若僅依賴技術防禦可能面臨的風險。 （25 分）

企業官網採用HTTPS 通訊協定，確保資料的隱私性。請說明在使用 SSL/TLS 通訊協定進行資料傳輸時，如何確保資料的安全性？並說明對稱 和非對稱式加密演算法在此過程中的角色與功能。（25 分）

企業在面對重大資安事件（如勒索病毒入侵或大規模資料外洩）時，若 無有效的資安事件應變計畫，可能產生那些影響？請舉例說明，並提出 具體改善建議。（25 分）

針對資安攻擊與防禦，請回答下列問題： 請說明防火牆（Firewall）與入侵防禦系統（Intrusion Prevention Systems, IPS）如何進行合作以防禦阻斷服務攻擊（Denial-of-Service, DoS）。若二者的合作仍無法完全防禦阻斷服務攻擊，請說明其可能 之原因。（15 分） 請說明何謂分散式阻斷服務攻擊（Distributed Denial-of-Service, DDoS）； 並說明系統管理者應如何加強防範分散式阻斷服務攻擊的事件發生。 （10 分）

惡意攻擊常態化的網路資訊環境，於資安事件發生時，可快速偵測威脅 並作出應變措施。 何謂端點偵測與回應（Endpoint Detection and Response, EDR），及託 管偵測與回應（Managed Detection and Response, MDR）機制。（10 分） 請分別說明EDR 及MDR 在偵測方面及回應方面有那些活動。（15 分）

請回答下列負載平衡（Load Balancing ）與網路架構（Network Architecture）的問題： 在實現負載平衡過程中，請說明循環法（Round Robin）和加權循環法 （Weighted Round Robin）的差異。（15 分） 請說明當使用者請求頻繁切換至不同的伺服器時，可能會遇到的問 題；並說明透過會話黏著（Session Stickiness）解決此問題的可行方法。 （10 分）

防火牆用以保障內部網路避免受攻擊，目前常被應用的有WAF（Web Application Firewall）及次世代防火牆（Next-Generation Firewall, NGFW）， 試問： WAF 的防禦機制為何？（10 分） 次世代防火牆的防禦機制為何？（10 分） 當內容傳遞網路CDN（Content Delivery Network）與WAF 架設在一 起時，其效益為何？（5 分）

針對SQL 注入攻擊（SQL Injection），請回答下列問題： 請說明何謂SQL 注入攻擊；並說明此攻擊的常見實務案例。（15 分） 請說明使用預備語句（Prepared Statements）可以有效防止SQL 注入 攻擊的原因以及其運作原理。（10 分）

隨著網路興起及資通技術發展，資安風險評估已經是機關資安管理的重 要環節，機關在事前、事中及事後等三階段可導入那些資安控制措施， 才能降低風險，提升資安防護水平。（25 分）

零信任（Zero Trust）架構被視為現代網路安全的新標準，它強調「永不 信任，始終驗證」的安全策略。請說明在實施零信任架構時企業可能面 臨的挑戰，以及相應的解決方案。（25 分）

資通安全責任等級分級辦法中，針對各資通安全責任等級之資通 系統防護基準於營運持續計畫構面包含系統備份及系統備援兩項 措施，請依據系統防護需求分級要求，說明： 系統備份應辦事項。（15 分） 系統備援應辦事項。（10 分）

對於TCP/IP 網路的各項運營管理工作，IP 表頭（IP Header）內各項欄 位的識別是很重要的基礎知識，請詳細說明下列IP Header 欄位的用途： （每小題4 分，共20 分） Total length Identification number Fragmentation offset Time-to-live Protocol

請回答下列資訊安全三大元素的相關問題：（每小題15分，共30分） 請說明機密性，並說明如何應用非對稱式密碼學達成。 請說明完整性，並說明其主要演算法暨應注意事項。

5G 行動網路日益普及，且除了5G 公共服務外還提供5G 企業專用網路。 請問：（每小題10 分，共20 分） 相較於4G，5G 行動網路的特點有那些？請詳細說明之。 企業採用5G 行動專網帶來的安全風險有那些？請條列並說明之。

請回答下列分散式阻斷服務相關問題：（每小題10分，共20分） 請說明分散式阻斷服務的原理與難以防守之原因。 請列舉五項分散式阻斷服務的防護策略。

DNS（Domain Name Service）是重要的網路服務，請回答下列有關DNS 問題： 何謂Zone file？請說明其用途及內容。（5 分） 請說明迭代式DNS 查詢（iterative DNS query）的工作原理。（10 分） 當SOC（Security Operation Center）對受管理組織下某台主機發出「DNS Open Resolver 弱點」的告警訊息時，代表後者可能存在的資安危害為 何？請說明之。（5 分）

110年至113年的國家資安發展方案為建構主動防禦基礎網路，打造堅韌安 全之智慧國家，請回答下列問題：（每小題10分，共20分） 請舉例說明何謂數位韌性？ 請說明主動式防禦知識庫，並對策略之運用機會舉例。

零信任架構（Zero Trust Architecture, ZTA）是目前政府大力推動的資訊 安全架構：（每小題10 分，共20 分） 請詳細說明ZTA 的概念和推動ZTA 的動機。 實現ZTA 的核心機制有那些？請條列並說明之。

請回答下列資訊安全的相關問題：（每小題15分，共30分） 請說明ISO 27001資訊安全管理系統，並列舉出相關內外部風險。 請列舉五項通過ISO 27001資訊安全管理系統驗證的效益。

防火牆（Firewall）是當今企業常見的安全防護設備，請問： 企業常用防火牆隔離出一個網段，稱為DMZ（Demilitarized Zone）， 請詳細說明其用意為何。（5 分） WAF（Web Application Firewall）和傳統的封包過濾式防火牆（Packet filtered Firewall）有何不同？請詳細說明。（10 分） 防火牆常根據從外部收到的IOC（Indicator of Compromise）來做規則 調整，請問IOC 的意義為何？（5 分）

關於TCP/IP 協定，請問： TCP（Transmission Control Protocol）和UDP（User Datagram Protocol） 都位於傳輸層，請說明這兩個協定各自有何特色？（10 分） 請詳細說明何謂TCP 三方握手（3-way handshaking）協定？（5 分） 為何TCP 三方握手協定會造成癱瘓服務（Denialof Service）攻擊？（5 分）

交換器（Switch）和路由器（Router）是現代公司常見的網路設備，請回 答下列問題： 請從用途及特性詳細說明這兩種設備的區別。（15 分） RSTP（Rapid Spanning Tree Protocol）是用在交換器還是路由器上的協 定？回答時需說明正確的理由才予以計分。（5 分）

NAT（Network Address Translation）是許多現代網路設備內建的功能，請問： NAT 的功用及原理為何？又使用NAT 有何缺點？請說明之。（15 分） 許多公司使用NAT 的目的是降低網路遭受攻擊的風險，請說明其理由。 （5 分）

在網路駭客行為難以完全禁絕的情況下，現代企業需採用各種網路安全 設備來提供防護，其中入侵偵測系統（IDS）和防火牆（Firewall）就是 常見設備，請問： 入侵偵測系統和防火牆在功能上和部署位置上有何區別？請詳細說 明之。（15 分） 入侵偵測系統可以分為主機型以及網路型，請說明這兩種類型的差別。 （5 分）

在網路運作中，代理伺服器（Proxy server）常扮演重要角色，請回答下 列問題：（每小題10 分，共20 分） 代理伺服器的功用及運作原理為何？請說明之。 何謂反向代理伺服器（Reverseproxyserver）？請說明其功用及運作原理。