114 一般警察特考二等 刑事警察人員類別數位鑑識組 網路與資訊安全(包括資訊安全技術與應用、資安事件處理) 考古題詳解

核心觀念

本題考查的是資料「儲存中」（data at rest）時，應保護哪些資安性質，以及如何用技術和管理措施達成。基本架構是資安的 CIA 三要素：

• 機密性（Confidentiality）：只有經授權者能讀取資料，避免資料遭竊取或洩漏。
• 完整性（Integrity）：資料未遭未授權或未察覺的新增、刪除、修改，且能發現異常變動。
• 可用性（Availability）：授權者在需要時能取得資料，避免因故障、攻擊或災害而無法使用。

儲存安全也常納入真實性、可稽核性與可復原性：須能確認資料來源及操作紀錄，並在資料毀損或服務中斷後恢復資料。儲存資料的副本、備份及移除資料時，同樣須納入保護。

解題方法

依 CIA 三要素逐項說明需求與對應技術，再補充儲存環境特有的存取管理、備份復原及安全刪除。作答時應把「要保護什麼」和「採用什麼技術」配對，避免只列出加密、備份等工具，卻沒有說明它們解決的安全需求。

一、機密性

需求： 防止未授權者讀取儲存媒體、檔案或資料庫中的內容；保護範圍也包括備份檔、可攜式媒體及雲端副本。

可用技術：

• 存取控制與身分驗證： 以帳號、角色權限（RBAC）、最小權限原則及多因素驗證（MFA）限制存取；透過檔案權限、資料庫權限或儲存設備存取政策落實。
• 靜態資料加密： 使用全磁碟加密、檔案或資料庫加密、儲存設備加密，或對備份加密。加密可降低媒體遺失或遭未授權複製時的洩漏風險。
• 金鑰管理： 妥善產生、保存、輪替及撤銷金鑰，並限制可解密者。加密金鑰若與資料一同暴露，保護效果會大幅降低。
• 實體與環境防護： 管制機房、伺服器及備份媒體的實體接觸，避免透過搬走或直接操作設備取得資料。

二、完整性

需求： 防止資料被未授權修改，並能偵測資料遭竄改、毀損或錯誤覆寫。

可用技術：

• 雜湊與完整性驗證： 對檔案或資料區塊計算雜湊值，並在後續比對，以偵測內容是否改變。若須防範攻擊者同時偽造資料與雜湊值，應以受保護的金鑰搭配 HMAC，或使用數位簽章。
• 數位簽章： 可驗證簽署者身分及簽署後內容是否遭變更；驗證公鑰及憑證也須可靠管理。

核心觀念

本題比較三種防火牆的檢查層次、判斷依據、連線追蹤方式及安全性與效能取捨。可由封包過濾、狀態檢視、應用代理的發展順序作答：檢查範圍由網路層與傳輸層，擴展至連線狀態，再深入應用層內容。

防火牆依管理者設定的規則，允許或阻擋網路流量。規則常使用來源與目的 IP 位址、通訊協定、埠號、連線狀態及應用程式內容等條件。

解題方法

依序說明各類防火牆的運作方式與判斷資訊，再比較其能辨識的威脅、效能負擔及部署特性。作答時要指出：狀態檢視並非只看封包標頭，而會追蹤連線；應用代理則代表內外部端點中介通訊，能依應用層規則檢查資料。

一、封包過濾防火牆

封包過濾防火牆逐一檢查封包標頭，依預設規則決定放行或丟棄。常用條件包括：

• 來源與目的 IP 位址
• IP 通訊協定，例如 TCP、UDP、ICMP
• TCP／UDP 來源埠與目的埠
• TCP 旗標等封包標頭欄位

例如，可設定只允許外部連線至公開伺服器的 TCP 443 埠，其餘流量一律阻擋。這類防火牆通常不記錄一整條連線的狀態，也不檢查應用程式資料內容，因此規則簡單、處理速度快、資源需求低。

其限制是判斷依據主要來自封包標頭，難以辨別封包是否屬於已建立連線，也無法直接判定合法埠號上承載的應用內容是否惡意。若規則過於寬鬆，攻擊流量可能利用被允許的協定或埠號通過。

二、狀態檢視防火牆

狀態檢視防火牆（stateful inspection firewall）除檢查封包標頭外，也追蹤通訊工作階段的狀態，並以連線狀態表記錄連線資訊，例如端點位址、埠號、協定及目前狀態。

收到封包時，防火牆會判斷它是否符合已建立或允許的連線狀態。以 TCP 為例，對外連線建立後，防火牆可允許相符的回應封包返回；未對應到既有連線、且不符合允許規則的外部封包則可被阻擋。這比單純按照每個封包的來源與目的埠判斷，更能防止偽造或未經請求的連線流量。

狀態檢視能掌握連線層級的脈絡，但通常不會完整解析應用程式語意或檢查所有應用層內容。

核心觀念

本題考查無線網路的縱深防禦：透過身分驗證、資料加密、網路隔離、設備管理與持續監控，降低未授權連線、資料遭竊聽或竄改，以及內網遭入侵的風險。無線訊號會延伸至辦公室外，僅靠隱藏網路名稱或設定一組共用密碼，不能充分保障安全。

解題方法

作答時可依「身分、傳輸、存取、設備、監控」五個面向，各提出一項具體措施，並說明它防範的風險。題目沒有指定設備廠牌或特定部署環境，以下以一般機關內部無線網路為前提。

五項安全措施及目的

1. 採用 WPA3 或 WPA2-AES 加密，並停用過時加密方式 使用 WPA3；設備不支援時採 WPA2-AES，避免使用 WEP、TKIP 等弱加密方式。此措施可降低無線傳輸遭竊聽、破解或竄改的風險。

2. 採用企業級身分驗證，搭配 802.1X 與 RADIUS 以個人帳號或憑證驗證使用者，並依需要搭配憑證或多因素驗證；避免全體人員共用同一組無線密碼。此措施可辨識連線者、撤銷離職或遭停用帳號的存取權，並保留較清楚的連線紀錄。

3. 區隔內部、訪客與設備網路，設定最小權限存取 以不同 SSID、VLAN 或防火牆規則分隔員工、訪客及物聯網設備網路，僅開放各類使用者所需的服務。

核心觀念

本題考查資安事件發生後的完整應變流程：保存跡證、即時通報、控制損害與復原、調查根因、提出改善報告並追蹤改善。處理時須兼顧兩項目的：一是儘速阻止攻擊擴大、維持必要服務；二是保全足以還原事件經過的證據，避免因不當操作破壞調查基礎。

法源以命題當年（民國 114 年）法規為準，主要包括《資通安全管理法》第 17 條、第 24 條、《資通安全事件通報及應變辦法》，以及《資通安全管理法施行細則》第 12 條；跡證保存與作業細節則可參照《各機關資通安全事件通報及應變處理作業程序》。現行法規名稱及部分規定後續已有修正，作答仍以命題當年版本為準。

解題方法

依事件處理時間順序作答，並把各階段的「要做什麼、何時完成、留下什麼紀錄」交代清楚。先說明跡證保存，再說明通報時限，接著分述損害控制與復原、調查處理，最後列出改善報告的法定內容與追蹤要求。這樣能同時涵蓋技術作業與法規要求。

執行要項

一、資料與跡證保存

1. 平時保存日誌：依機關資通安全責任等級及適用規定，保存資通系統與資安防護設備的日誌，並建議定期備份至不同實體系統，避免攻擊者刪除或竄改原始紀錄後，無從追查。
2. 事件發生後先保全證據：保存系統日誌、網路流量紀錄、告警資訊、電子郵件、使用者與管理者操作紀錄、受害設備及儲存媒體等。記錄取得時間、取得人、保存位置與移交情形；對數位證據宜製作唯讀或位元對位元映像，計算雜湊值並保存，以利確認完整性。
3. 避免先清除再調查：原則上先隔離受害設備或網段、限制連線與權限、關閉受影響服務，降低攻擊擴散；同時盡量保留原始設備及紀錄。設備關機、重開機、重灌或清除惡意程式可能改變揮發性或磁碟資料，應依事件情況衡量並留下處置紀錄。
4. 依備援情形復原：沒有備援時，先備份受害系統儲存媒介或虛擬機映像，再以乾淨媒體重建；有備援時，可先切換服務至備援系統，並保留受害系統，待完成根因分析或完整備份後再重建。備援設備也受害時，應以維持最低限度服務並保留跡證為原則。

二、事件通報

1. 知悉事件即判斷並通報：確認是否屬資通安全事件，初步評估影響範圍、損害程度與機關因應能力，依規定判定事件等級；資訊尚未完整時，先依程序通報已知事實，再持續補充或更新，不應等到調查完成才通報。
2. 依對象與期限辦理：公務機關知悉事件後，應於一小時內依主管機關指定方式及對象通報。特定非公務機關則依規定向中央目的事業主管機關通報。通報內容應包括知悉時間、事件概況、受影響系統與服務、初步影響及已採取的應變措施；後續發現新資訊時應更新通報。