115 移民特考三等 移民行政類科資訊組 資通訊及網路安全 考古題詳解
第 一 題25 分
在常見漏洞評分系統（Common Vulnerability Scoring System, CVSS）的評分機制中，基本指標組（Base Metric Group）最主要考量哪兩個面向？
如果一個漏洞的 CVSS 分數很高，但具該漏洞的系統是建置在實體隔離（Air-gapped）的內網環境，應該如何調整對其修補優先順序的判斷並說明原因？
登入後即可作答並保存紀錄。
核心觀念
CVSS 基本指標組（Base Metric Group）評估的是漏洞本身、相對不隨時間與部署環境改變的嚴重性，主要分成兩個面向：
- 可利用性（Exploitability）：攻擊者利用漏洞的難易程度與所需條件，例如攻擊途徑、攻擊複雜度、所需權限及使用者互動。
- 影響（Impact）：漏洞成功遭利用後，對機密性、完整性及可用性造成的損害；不同版本的 CVSS 對影響範圍與受影響系統也有不同指標設計。
因此，基本分數描述的是漏洞在合理最壞情況下的技術嚴重性，不等同於特定機關環境中的實際風險或修補順位。
解題方法
先辨認題目問的是 CVSS 基本指標組，據此回答「可利用性」與「影響」兩個面向。接著，將「實體隔離內網」視為環境條件，評估它如何改變攻擊者接觸漏洞的機會，再據此調整修補工作的優先次序。
CVSS 基本分數不會因為某一部署環境採取實體隔離就自動改變。以 CVSS v3.1 而言，環境指標可用來反映特定環境中的緩解措施與系統重要性；CVSS v4.0 也提供環境指標組，讓使用者依部署情況補充評估。
第 二 題25 分
請比較「熱備援」（Hot Site）與「冷備援」（Cold Site）在復原策略上的差異，舉出一個適合使用「冷備援」的業務並說明原因。
登入後即可作答並保存紀錄。
核心觀念
本題考查災難復原與營運持續規劃中，備援站點的復原策略。**熱備援（Hot Site）與冷備援（Cold Site）**的主要差異，在於備援環境平時的建置與運作程度，以及災害發生後恢復服務所需的時間與成本。
評估備援策略時，常用兩項指標：
- 復原時間目標（RTO）：系統或業務中斷後，必須在多久內恢復。
- 復原點目標（RPO）：災害發生時，資料最多可回溯到多久以前；反映可接受的資料損失量。
解題方法
比較兩種備援站點時，可從「平時準備程度、資料與設備狀態、災後復原速度、建置與維運成本」逐項說明，再依業務的中斷容忍度選擇適合的方案。
| 比較面向 | 熱備援（Hot Site） | 冷備援（Cold Site） |
|---|---|---|
| 平時準備程度 | 已建置完整設備、網路及系統，通常持續運作或維持可快速啟用的狀態 | 提供場地、基本設施或部分基礎環境，主要設備、系統與資料尚未完成部署或同步 |
| 資料狀態 | 通常透過即時或頻繁複寫，使備援資料接近最新 | 通常需在災後重新安裝、還原備份或載入資料 |
| 災後復原速度 | 快，切換或啟用後即可恢復服務，RTO 較短；資料複寫頻率高時，RPO 也較短 | 慢，須先取得設備、安裝設定系統、還原資料並測試，RTO 較長；RPO 取決於備份頻率 |
第 三 題25 分
在資訊系統開發過程，有靜態應用程式安全測試（Static Application Security Testing）與動態應用程式安全測試（Dynamic Application Security Testing）兩種測試。請比較兩者的技術原理，並說明為什麼在資訊安全檢測流程中，兩者應互補使用，不可互相取代？
登入後即可作答並保存紀錄。
核心觀念
本題考查靜態應用程式安全測試（Static Application Security Testing，SAST）與動態應用程式安全測試（Dynamic Application Security Testing，DAST）的測試對象、運作原理、可發現的弱點，以及兩者為何必須互補。兩者都是應用程式安全檢測方法，主要差別在於：SAST 檢查程式碼與程式結構；DAST 則從外部對實際運作中的應用程式進行測試。
解題方法
比較時可從「是否執行程式」、「測試所需資訊」、「弱點觀察方式」三個角度切入：
| 比較面向 | SAST 靜態測試 | DAST 動態測試 |
|---|---|---|
| 測試對象 | 原始碼、位元組碼或其他可分析的程式表示 | 已部署並運作中的應用程式 |
| 是否執行程式 | 否，分析程式碼及其控制流程、資料流 | 是，透過請求與回應觀察實際行為 |
| 測試方式 | 掃描程式碼，追蹤輸入資料如何流向敏感操作，並檢查安全規則 | 模擬外部使用者或攻擊者送出測試輸入，檢視應用程式回應及可觀察行為 |
| 常見檢查範圍 | 不安全函式、輸入驗證不足、輸出編碼缺漏、硬編碼密碼、危險資料流等 | 注入弱點、驗證與授權問題、錯誤設定、資訊洩漏，以及部署環境中的弱點等 |
| 常見限制 | 可能產生誤報；不易掌握實際部署設定、執行環境或完整執行期行為 | 無法直接檢視未被測試路徑的程式碼；結果受測試案例、權限及環境設定影響 |
SAST 典型的資料流分析會將外部輸入視為「來源」（source），將 SQL 執行、命令執行、檔案存取等敏感操作視為「匯點」（sink），再檢查兩者之間是否有適當的驗證、編碼或參數化處理。若不可信輸入能在未經適當處理下抵達危險匯點，便可能形成弱點路徑。
DAST 則從系統外部發送請求，藉由回應、錯誤訊息、狀態碼及其他可觀察結果，判斷運作中的應用程式是否呈現可被利用的弱點。
第 四 題25 分
請列舉說明五項社交工程攻擊技術，並分述防範之道。
登入後即可作答並保存紀錄。
核心觀念
社交工程（Social Engineering）是攻擊者利用人的信任、好奇、恐懼、急迫感或服從心理，誘使對方洩漏資訊、執行操作或讓出實體進入權限，進而危害資訊系統。攻擊重點在操弄人的判斷與行為，常搭配電子郵件、電話、簡訊、社群媒體或面對面接觸。
本題要求列舉五項攻擊技術並說明防範方式。可依「接觸管道與操弄手法」作答，涵蓋電子訊息、身分偽裝、誘餌、利益交換及實體進入等類型。
五項攻擊技術與防範方式
一、網路釣魚（Phishing）
攻擊者假冒銀行、政府機關、同事或常用服務，以電子郵件、簡訊或社群訊息散布偽造連結、附件或登入頁面，誘騙被害人輸入帳密、驗證碼，或開啟惡意程式。針對特定個人或機關量身設計的攻擊，稱為魚叉式網路釣魚（Spear Phishing）。
防範方式：
- 核對寄件者完整地址、網址網域及訊息內容，不因熟悉的名稱或標誌就認定真實。
- 不從可疑訊息點擊連結或開啟附件；應自行輸入官方網址，或以已知管道向寄件者確認。
- 不透過訊息提供密碼、驗證碼或機敏資料；啟用多因素驗證，並採用較能抵抗釣魚的驗證方式。
- 機關應部署郵件過濾、惡意網址阻擋及附件檢查機制，並建立通報流程。
二、假借身分與情境（Pretexting／Impersonation）
攻擊者編造可信情境，冒充主管、資訊人員、承包商、同仁或公務機關人員，以「帳號異常」「緊急交辦」等理由要求提供資料、重設密碼、匯款或開放系統權限。攻擊者也可能先蒐集公開資訊，使說詞更具可信度。
防範方式：
- 對涉及帳號、權限、個資或機敏資料的要求，依正式程序確認身分及授權。
- 使用組織通訊錄或已知電話回撥確認，不使用對方提供的聯絡方式作為唯一查證途徑。
- 落實最小權限、職務分工及敏感操作的雙人覆核；不得因對方職稱或急迫語氣省略程序。
- 控制社群媒體與公開資訊揭露，降低攻擊者蒐集組織人員、職掌及作業流程的機會。
三、誘餌攻擊（Baiting）
攻擊者以免費軟體、獎品、好奇內容或「重要檔案」吸引目標下載檔案、點擊連結，或使用遭植入惡意程式的 USB 隨身碟。攻擊者也可能將 USB 裝置放在辦公場所，誘使人員插入公務電腦。
防範方式：
- 不使用來源不明的 USB、外接儲存裝置或下載檔案；拾獲裝置應交由資訊單位處理。
- 以端點防護、惡意程式掃描及應用程式控管降低執行風險。
- 依機關政策限制或停用未授權的可攜式媒體，並落實資料加密及設備管理。
- 對「免費、限時、立即領取」等誘因保持警覺，不因好奇或利益而繞過安全程序。
四、利益交換（Quid Pro Quo）
攻擊者承諾提供好處或協助，交換帳密、驗證碼、資料或系統存取權。例如冒充技術支援，聲稱要修復電腦問題，要求使用者安裝遠端控制程式或提供登入資訊。
防範方式：
- 不以提供密碼、驗證碼或未授權存取作為交換條件。
- 透過組織公告的服務台、維運窗口或正式工單確認支援人員與處理事項。
- 遠端維護須經授權，使用核准工具並保留紀錄；完成後應撤除臨時權限。
- 資訊人員應明確宣導：合法支援流程不會要求使用者交出個人密碼或驗證碼。