109 一般警察特考二等 刑事警察人員數位鑑識組 網路與資訊安全(包括資訊安全技術與應用、資安事件處理) 考古題詳解

核心觀念

本題考查公開金鑰密碼學如何同時提供機密性、完整性與來源鑑別。張三與李四各自持有一組金鑰：公開金鑰可公開提供，私密金鑰則由本人保管。

• 機密性：只有李四能讀取訊息，使用李四的公開金鑰加密，再由李四以其私密金鑰解密。
• 完整性：接收方能確認訊息傳送途中未遭竄改，使用雜湊函數搭配數位簽章驗證。
• 鑑別性：李四能確認訊息來自張三，張三以自己的私密金鑰產生數位簽章，李四以張三的公開金鑰驗證。

其中，數位簽章提供來源鑑別與完整性驗證；公開金鑰加密則提供機密性。兩者用途不同，不能只靠一種操作就同時達成全部目的。

解題方法與處理程序

設張三欲傳送的原始訊息為 $M$，雜湊函數為 $H$。

一、張三產生數位簽章

1. 張三對訊息計算摘要： $h = H(M)$
2. 張三使用自己的私密金鑰 $SK_A$，對摘要產生數位簽章： $S = \operatorname{Sign}_{SK_A}(h)$

簽章實際採用的演算法會依數位簽章機制而異；重點是只有持有張三私密金鑰的人能產生可由張三公開金鑰驗證的簽章。

二、張三加密訊息與簽章後傳送

張三將原始訊息 $M$ 與簽章 $S$ 一併使用李四的公開金鑰 $PK_B$ 加密：

$C = \operatorname{Enc}_{PK_B}(M \parallel S)$

再將密文 $C$ 傳送給李四。此處 $A$ 代表張三、$B$ 代表李四，$\parallel$ 表示資料串接。

實務上，大量資料通常採用混合式加密：張三先產生一次性或工作階段對稱金鑰，以對稱式加密保護訊息與簽章，再以李四的公開金鑰加密該對稱金鑰。這樣兼具對稱式加密的效率與公開金鑰加密的金鑰交換便利性。

三、李四解密並驗證簽章

核心觀念

入侵防禦系統（IPS）會監控系統或網路活動，辨識攻擊行為，並採取主動阻擋措施。此題考查三種 IPS 的部署位置、監控範圍與防護對象：

• HIPS（主機端入侵防禦系統）：安裝在單一主機上，保護該主機及其作業系統、程序與檔案。
• NIPS（網路端入侵防禦系統）：部署在網路傳輸路徑上，檢查經過的網路封包，保護網段或多部主機。
• AIPS（應用端入侵防禦系統）：針對特定應用程式或應用服務進行檢查，防禦應用層攻擊。

解題方法

依「防護位置 → 觀察內容 → 可採取的防禦措施」逐一說明。IPS 的關鍵是具有防禦能力，因此除了告警與記錄，也要交代如何阻止或限制攻擊；再以部署位置區分三種類型。

三種類型的主要功能

一、主機端入侵防禦系統（HIPS）

HIPS 安裝於伺服器、工作站等端點，在主機本機監控系統活動，主要功能包括：

• 監控程序啟動、系統呼叫、登入行為、檔案及登錄設定異動。
• 偵測惡意程式、未授權的系統變更、可疑程序行為及主機漏洞遭利用等情形。
• 依安全政策阻止可疑程序執行、限制程序權限、阻擋未授權檔案或設定變更，並留下事件紀錄或發出告警。

HIPS 能掌握主機內部的活動，即使網路封包已通過網路邊界設備，仍可在端點辨識並阻止異常行為；防護範圍則以安裝該系統的主機為主。

二、網路端入侵防禦系統（NIPS）

NIPS 部署於網路關鍵節點，通常以**串接（inline）**方式置於網路傳輸路徑上，檢查進出網段的流量，主要功能包括：

核心觀念

本題考查 NFC 通訊架構及其安全風險。NFC 是近距離無線通訊技術，常見於行動付款、門禁與裝置配對。通訊距離短可降低遠距離竊聽的機會，但不代表資料天然具備機密性、完整性或來源驗證；安全性仍取決於通訊協定、裝置實作及付款系統的驗證機制。

解題方法

以 NFC 通訊流程及其安全目標切入，分別檢視資料在傳送時是否遭竊聽或竄改、通訊雙方是否遭冒充，以及交易是否遭重送或被轉接。作答時列出四種彼此可區別的風險，並簡要說明攻擊方式與影響，即符合題意。

安全議題

1. 竊聽與資料外洩 攻擊者在通訊範圍內使用接收設備監聽 NFC 傳輸，取得未妥善加密的資料，例如識別資訊或交易內容。NFC 距離短並非安全加密機制，不能單靠近距離特性保護資料。

2. 資料竄改與中間人攻擊 攻擊者介入通訊鏈路，修改傳輸內容，或在雙方之間轉送、操控訊息。

核心觀念

本題考查資安事件應變中的**封鎖（Containment）**階段。封鎖的目標有兩個：一是限制攻擊者繼續入侵、控制或擴散；二是在可行範圍內維持重要系統與服務運作。封鎖不是立即全面關機或刪除資料，而是依事件範圍、系統重要性及證據保全需求，選擇影響最小且有效的隔離措施。

本題未要求特定法條；作答應以資安事件處理流程與營運持續原則說明。

解題方法

依「確認範圍、阻斷攻擊路徑、維持必要服務、持續監控與調整」的順序作答。需同時說明隔離手段與服務持續措施，避免只寫封鎖攻擊，卻忽略營運影響；也要避免只強調服務不中斷，卻未阻斷攻擊者的控制管道。

封鎖階段的步驟及動作

一、確認事件範圍並保存必要資訊

先由資安、網路及系統管理人員確認受影響的主機、帳號、網段、應用服務與資料，辨識攻擊者使用的來源位址、連線埠、網域、惡意程式、帳號憑證及橫向移動路徑。同步保存防火牆、伺服器、端點偵測、身分驗證及網路流量等紀錄；必要時保存記憶體、磁碟映像或相關證據。

此步驟可讓封鎖措施鎖定實際受害範圍，避免誤封正常業務流量，也避免因急於清除而破壞後續調查所需資料。

二、阻斷攻擊者的外部連線與控制管道

在防火牆、網路閘道、入侵防禦系統或端點防護設備中，封鎖已確認的惡意來源位址、網域、連線埠及命令與控制（C2）通訊；必要時限制對外連線，並停用遭濫用的遠端存取服務或通訊協定。

封鎖規則應依已確認的指標與業務需求設定，並檢查規則是否實際生效。不可只封鎖單一來源位址就認定事件已受控，仍須觀察是否有其他來源、備援通道或替代帳號持續活動。

三、隔離受害主機或網段，防止橫向移動

將受感染或高度疑似受感染的端點移至隔離網段，或透過交換器、無線網路、端點防護平台限制其網路存取；必要時切斷該主機對內部伺服器、共享資料夾、管理介面與其他端點的連線。若感染範圍集中於特定網段，可先隔離該網段，並保留其他未受影響網段的正常服務。

隔離時應以阻斷攻擊者擴散為原則，同時避免將整個組織網路一律斷線。對關鍵設備或無法立即停機的系統，應採取更細緻的存取控制與流量限制。

四、控制遭入侵的帳號與權限