109 一般警察特考三等 警察資訊管理人員 網路安全與資訊倫理 考古題詳解

核心觀念

本題考查資訊安全管理系統（ISMS）的資訊安全三要素，亦稱 CIA 三元組：機密性（Confidentiality）、完整性（Integrity）及可用性（Availability）。ISMS 依風險評估結果，透過管理措施與技術控制，降低資訊資產遭未授權存取、竄改、破壞或服務中斷的風險。

資訊資產包含資料、系統、設備、網路及相關服務。三項特性分別回答三個問題：

• **機密性：**只有經授權者能否取得資訊？
• **完整性：**資訊是否正確、完整，且未遭未授權變更？
• **可用性：**經授權者是否能在需要時使用資訊或服務？

解題方法

依 CIA 三要素逐一說明「定義」及「達成方法」，並將控制措施對應至其主要保護目標。作答時可採「特性意義 → 常見威脅 → 技術與管理方法」的順序，避免只列工具名稱而未說明用途。

一、機密性（Confidentiality）

**定義：**確保資訊僅能由經授權的個人、程序或系統存取，避免資訊洩漏或遭未授權揭露。例如，未獲授權者不能讀取員工個資或警政資料。

可行技術與方法：

• **身分驗證與存取控制：**以帳號密碼、多因素驗證、角色或權限管理，確認使用者身分並限制可讀取的資料範圍。
• **加密：**傳輸時使用 TLS 等加密機制；儲存時加密檔案、資料庫或儲存媒體，降低資料遭截取或設備遺失後外洩的風險。
• **最小權限與職務區隔：**只授予完成工作所需的權限，並避免單一人員掌握所有敏感操作。
• **資料分級與防護：**依敏感程度分類，採取相應的存取限制、遮罩、去識別化及防止資料外洩措施。
• **實體與人員管理：**管制機房及設備的進出，並透過保密規範、教育訓練及離職權限回收降低洩漏風險。

二、完整性（Integrity）

**定義：**確保資訊及其處理結果正確、完整且一致，並能防止或發現未授權的新增、刪除或修改。完整性也包括能確認資料變更是否由授權者執行。

可行技術與方法：

• **雜湊與訊息驗證碼：**以雜湊值或 HMAC 檢查資料是否遭竄改；重新計算的結果與原紀錄不符時，即可發現變更。
• **數位簽章：**驗證資料來源及內容完整性，並提供來源不可否認性的證據。
• **權限控管與變更管理：**限制誰可修改資料或系統設定，並要求變更經核准、測試及記錄。
• **輸入驗證與錯誤檢查：**檢查資料格式、範圍與邏輯關係，避免錯誤或惡意輸入造成資料異常。

核心觀念

SMTP 負責將電子郵件由寄件端傳送至郵件伺服器，並在郵件伺服器之間轉遞。傳統 SMTP 的設計以「可互通、可傳遞」為主，並未內建完整的身分驗證、加密與防竄改機制。因此，應分別從身分鑑別、機密性、完整性三個資安目標分析其弱點與補強方式。

這是資訊安全基本三要素在電子郵件傳輸上的應用：

• 身分鑑別：確認登入者或郵件來源是否為其所宣稱的身分。
• 機密性：避免未授權者讀取郵件內容。
• 完整性：確認郵件內容在傳送途中未遭竄改，且能辨識竄改情形。

本題不涉及特定法條；作答重點在 SMTP 協定本身的限制，以及傳輸層與端對端安全機制的差異。

解題方法

依題目列出的三個安全面向逐項作答。每一項先指出傳統 SMTP 的弱點，再說明相對應的修補方式。須注意，伺服器間傳輸加密不等於端對端加密；若要保護郵件內容，使郵件服務提供者或轉遞伺服器也無法讀取，須採用端對端加密。

身分鑑別

弱點

傳統 SMTP 通訊中，寄件者欄位（如 MAIL FROM）及郵件標頭中的寄件者資訊，原則上可由寄件者自行填寫，缺乏足以證明寄件者身分的機制。因此，攻擊者可能偽造寄件地址或冒用網域，進行垃圾郵件、網路釣魚或商務郵件詐騙。

此外，若使用者登入郵件伺服器時未啟用安全傳輸，帳號密碼可能遭竊聽；即使 SMTP 伺服器要求登入，也不能只憑「有帳密驗證」就認定整封郵件確由標示的寄件者寄出。

修補方式

1. 啟用 SMTP AUTH：寄件者向郵件伺服器提交帳號憑證，伺服器驗證通過後才允許代為寄信。應搭配 TLS 保護認證資料，避免帳密在傳輸途中被竊聽。
2. 採用 SPF、DKIM、DMARC 等網域郵件驗證機制：

• SPF：由網域管理者宣告哪些郵件伺服器有權代表該網域寄信。
• DKIM：寄件端以網域私鑰為郵件加上數位簽章，收件端以公開金鑰驗證簽章。
• DMARC：要求收件端依據 SPF、DKIM 與網域對齊結果採取處置，並提供回報機制。

這些機制可降低網域冒用，但不等同於驗證郵件撰寫者的真實身分，也無法單獨證明內容一定出自特定自然人。

信件機密性

弱點

傳統 SMTP 未加密時，郵件內容、標頭及認證資訊可能以明文傳送。攻擊者若能監聽傳輸路徑，便可能讀取信件內容及附件。

修補方式

核心觀念

本題考查 Windows 系統管理者能否運用內建命令列工具，檢視程序與服務、檔案、網路連線、排程工作、帳號及事件日誌，並從異常名稱、路徑、權限、連線對象、執行時間或事件紀錄中找出可疑活動。重點不是單純背指令，而是把不同系統資料交叉比對，辨識未授權的程序、持續性機制或異常存取行為。

解題方法

依題目所列的檢查範圍，選出五個 Windows 常用指令，並為每個指令說明：

1. 可檢視的系統資訊。
2. 可供判斷的異常跡象。
3. 發現異常後可進一步比對的資料。

指令可在命令提示字元或 PowerShell 執行；部分資訊須以系統管理員權限執行才能完整顯示。下列五個指令涵蓋程序與服務、檔案、網路使用量、排程工作、帳號及日誌。

指令與異常判讀

1. 檢視程序：tasklist /v

tasklist 列出目前執行中的程序；/v 顯示詳細資訊，例如工作階段、狀態及視窗標題。可留意：

• 不熟悉或名稱刻意仿冒系統程序的項目，例如將字母、數字混用的名稱。
• 不合理的使用者、工作階段或視窗標題。
• 看似正常的程序名稱，卻搭配異常的執行路徑或網路連線。

tasklist 不會完整呈現程序的執行檔路徑；判讀時應搭配檔案檢查或服務資訊確認，不能只憑程序名稱認定為惡意程式。

2. 檢視服務：sc query state= all

sc query 查詢服務狀態；state= all 可列出執行中與已停止的服務。可留意：

• 名稱或描述與主機用途不符的服務。
• 不明服務長期執行，或在異常時點突然啟動。
• 可疑服務與陌生程序、帳號或執行檔之間的關聯。

服務名稱本身不足以判斷真偽，應進一步核對服務設定的執行檔路徑、服務帳號及啟動類型；具體查詢可使用 sc qc <服務名稱>。

3. 檢視檔案：dir /a /s <目錄>

dir 列出檔案與目錄；/a 顯示包含隱藏項目在內的檔案，/s 遞迴列出子目錄內容。可留意：

• 系統或使用者目錄中不明的隱藏檔、可執行檔或腳本。
• 檔名偽裝成文件、檔案位置與用途不相稱，或近期新增的可疑檔案。
• 檔案時間與服務建立、排程執行或異常登入時間互相吻合。

dir 可呈現檔名、位置及時間等線索，但不能單憑檔案存在或時間戳記判定惡意，應再確認檔案內容、來源及相關程序。

4. 檢視網路使用情形：netstat -ano

核心觀念

本題考《警察偵查犯罪手冊》所列「電腦犯罪案件電腦鑑識應注意事項」，重點是確保電子證據的完整性、可還原性與證據力：先保全資料，再以備份資料進行非破壞性鑑識，並針對刪除、格式化、隱藏或加密的資料進行復原與解析。

**法規時點：以命題當年（民國 109 年）法規為準。**本題應依當時手冊內容作答；手冊後續曾修正相關規定，現行法規用語與條次可能不同。

解題方法

依手冊「電腦犯罪案件電腦鑑識應注意事項」逐款整理，依序掌握「特殊案件送鑑、事前備份、鑑識方式、資料復原、密碼解密」五個環節。這是依規範條列作答的申論題，不需套用計算公式，也沒有選項分析。

作答要點

1. 重大特殊案件得送專責單位鑑識 電腦證物遭毀損、刪除、格式化，或因加密而無法解讀時，重大特殊案件得將證物送刑事警察局科技犯罪防制中心鑑識解析。

2. 鑑識前先備份資料 鑑識前應先備份重要資料，以完整保存證據；必要時得將資料全部備份。

3. 原則上分析備份資料 電腦鑑識應在備份資料上執行非破壞性鑑識；必要時，才得對原始資料進行鑑識解析。如此可降低分析過程改變原始證據的風險。

4. 還原已刪除或格式化的資料 電腦資料、檔案或證據已遭刪除或格式化時，應還原相關資料、檔案或證據。

核心觀念

本題考《中華民國刑法》分則第三十六章「妨害電腦使用罪」，條文範圍為第 358 條至第 363 條。命題重點是辨認各罪所保護的電腦系統安全與電磁紀錄法益，並依行為類型區分：

此外，第 361 條規定侵害公務機關電腦的加重處罰；第 362 條處罰製作並供犯罪使用的專用電腦程式；第 363 條規定部分罪名須告訴乃論。

**以下以命題當年（民國 109 年）法規為準。**妨害電腦使用罪章相關條文於民國 108 年修正後，民國 109 年適用的條文內容與現行條文相同，沒有後續重要修正。

解題方法

答題時依「入侵、處理資料、干擾系統、加重與工具、訴追方式」的順序整理第 358 條至第 363 條。逐條說明行為要件、是否要求損害結果，以及法定刑，即可完整回答「罪的內容有哪些」。

各條犯罪內容

一、第 358 條：無故入侵他人電腦或相關設備

行為人「無故」以輸入他人帳號密碼、破解使用電腦的保護措施，或利用電腦系統漏洞等方式，入侵他人電腦或其相關設備，即成立本罪。

本罪重點在於未經正當理由入侵，不以另有資料遭竊、刪除或系統受損為必要。法定刑為三年以下有期徒刑、拘役，或科或併科新臺幣三十萬元以下罰金。

二、第 359 條：無故取得、刪除或變更電磁紀錄

行為人無故取得、刪除或變更他人電腦或相關設備內的電磁紀錄，並且致生損害於公眾或他人，才成立本罪。

「取得」涉及資料機密性；「刪除、變更」涉及資料完整性。與第 358 條不同，本條明文要求有損害結果。法定刑為五年以下有期徒刑、拘役，或科或併科新臺幣六十萬元以下罰金。

三、第 360 條：無故干擾他人電腦或相關設備

行為人無故以電腦程式或其他電磁方式干擾他人電腦或相關設備，並致生損害於公眾或他人，成立本罪。此罪主要保護系統的可用性，例如以程式或大量電磁訊號造成系統無法正常使用。