108 調查局特考三等 資訊科學組 資訊安全實務 考古題詳解

核心觀念

系統稽核紀錄（audit log）是系統對重要事件留下的可追溯紀錄，用來回答「何人在何時、透過何種方式，對何項資源做了什麼事，以及結果如何」。稽核紀錄的價值取決於三件事：內容足以辨識事件、紀錄可供分析、紀錄本身受到保護。

本題考查稽核紀錄的內容、分析目的與保護措施。題目未指定特定法規或稽核標準，因此以資訊安全實務中的通用控制原則作答。涉及法規時，以命題當年（民國 108 年）法規為準；本題無須援引特定法條。

解題方法

依序從「記什麼、為何分析、如何保護」三個面向作答：

1. 紀錄內容：列出足以辨認事件主體、時間、行為、對象及結果的欄位。
2. 分析目的：說明如何用紀錄發現異常、調查事件、追究責任及改善控制。
3. 保護方式：從機密性、完整性、可用性及保存管理提出措施。

稽核紀錄應包含的項目

稽核紀錄至少應包含下列資訊，並依系統性質與風險調整詳細程度：

• 事件發生時間：日期、時間與時區；系統應校時，使不同設備的紀錄可以比對。
• 事件主體：使用者帳號、系統帳號、程序或服務識別碼；必要時記錄其角色或權限。
• 事件種類：例如登入與登出、權限變更、設定變更、資料存取、檔案異動、系統啟停及安全告警。
• 事件對象：被存取或變更的系統、資料、檔案、資源或帳號。
• 事件內容與來源：執行的操作、來源 IP 或設備、連線方式，以及適用時的目的端資訊。
• 事件結果：成功或失敗、錯誤原因、回應狀態，及適當的處理結果。
• 紀錄來源與識別資訊：產生紀錄的主機、應用程式或設備，以及事件或紀錄識別碼，便於彙整與追查。

紀錄內容應足以支援調查，但應避免記錄密碼、完整驗證憑證等敏感資料，以免稽核紀錄本身成為外洩來源。

稽核紀錄分析的目的

1. 偵測異常與未授權行為：找出多次登入失敗、異常時段登入、權限濫用、未授權存取或可疑資料異動。
2. 支援事件調查與重建：依時間、帳號、來源與操作內容還原事件發生順序，確認影響範圍及可能原因。
3. 建立責任歸屬與問責依據：釐清特定操作由何帳號或系統執行，支援內部調查及稽核查核。

核心觀念

本題考查兩種反向連線 Shell 的連線方向、監聽端位置與防禦方式。Shell 是作業系統提供命令列操作的介面；攻擊者若讓目標主機上的惡意程式取得 Shell，便可在該程式的執行權限範圍內下達命令。實際危害取決於程式所使用的帳號權限、主機設定及可存取的資源。

• Bind Shell（綁定式 Shell）：惡意程式在受害主機開啟並監聽一個網路連接埠。攻擊者連線至該連接埠，取得命令列互動。
• Reverse Shell（反向 Shell）：惡意程式在受害主機主動向攻擊者控制的主機建立連線，再透過該連線提供命令列互動。

兩者的關鍵差異是由誰發起連線：Bind Shell 由攻擊者連入受害主機；Reverse Shell 由受害主機連出攻擊者主機。

解題方法

作答時先說明兩種 Shell 的連線流程，再依流程指出防禦著力點：

1. Bind Shell 會在受害主機形成可被連入的監聽服務，防禦重點是減少未授權的監聽服務及入站連線。
2. Reverse Shell 使用受害主機的對外連線建立控制通道，防禦重點是限制不必要的出站連線，並偵測可疑的程序與網路行為。
3. 兩者都可能由惡意檔案或遭利用的服務植入，因此須同時處理漏洞、執行權限、端點偵測與事件應變；只封鎖某一方向的連線並不足以完整防護。

Bind Shell 與 Reverse Shell 說明

Bind Shell：攻擊者連入受害主機

惡意程式在受害主機上啟動 Shell，並將其與某個監聽連接埠關聯。攻擊者從外部連到該連接埠後，即可與 Shell 互動。

連線方向可概括為：

攻擊者 → 受害主機的監聽連接埠 → Shell

若防火牆允許該連接埠的未授權入站連線，且主機上存在並執行 Bind Shell，攻擊者便有機會取得命令列操作能力。即使外部防火牆阻擋連線，若攻擊者已在內部網路，或其他網路路徑可達，仍可能構成風險。

Reverse Shell：受害主機連出攻擊者主機

惡意程式在受害主機上執行後，主動連線至攻擊者控制的主機。攻擊者在其端等待連線，連線建立後即可透過通道與受害主機上的 Shell 互動。

連線方向可概括為：

受害主機 → 攻擊者控制的主機

Reverse Shell 常被用來避開僅限制外部連入的防火牆規則：許多網路會允許內部主機向外建立連線，而防火牆若未限制或檢查出站流量，該連線便可能成為遠端控制通道。不過，是否能成功仍取決於網路政策、主機防護及連線目的地等條件。

防止 Bind Shell 與 Reverse Shell 攻擊

1. 降低惡意程式植入與執行機會

核心觀念

錯誤行為入侵偵測（Misuse Intrusion Detection），又稱濫用式入侵偵測或特徵式入侵偵測，是依據已知攻擊的特徵、模式或規則，判斷系統活動是否符合已知入侵行為的偵測方法。

本題考查入侵偵測系統（IDS）的偵測思維：錯誤行為偵測關注的是「活動是否符合已知攻擊模式」，與異常行為偵測以「活動是否偏離正常行為基準」為判斷核心不同。

解題方法

作答時可依「建立攻擊特徵 → 蒐集活動資料 → 比對規則 → 判定並告警」說明其運作方式：

1. 建立攻擊特徵或規則：安全人員依已知攻擊事件，整理可辨識的特徵，例如特定封包內容、連線序列、系統呼叫組合、檔案變更，或已知漏洞的利用模式，形成特徵資料庫或偵測規則。
2. 蒐集並整理活動資料：IDS 監看網路流量、主機紀錄檔或系統活動，擷取可供分析的資料。
3. 比對已知特徵：將觀察到的活動與攻擊特徵資料庫比對；符合某項特徵或規則時，即判定為疑似已知攻擊。
4. 告警或採取回應：依系統設定記錄事件、通知管理者，或進一步觸發阻擋等處置。

例如，若規則描述某種已知的惡意封包特徵，網路型 IDS 便可檢查流量是否符合該特徵；符合時產生告警。

特性與限制

核心觀念

這題考查密碼的安全儲存與帳號復原設計。網站能寄出會員「原本的密碼」，表示系統保存了可還原為明文的密碼資料；這違反密碼儲存的基本原則。密碼資料庫若遭竊，攻擊者便可能直接取得使用者密碼，並嘗試登入其他使用相同密碼的服務。

密碼不應以明文或可逆加密方式保存，而應使用專為密碼設計的雜湊函數搭配每筆帳號獨立的隨機鹽值（salt）儲存。雜湊是單向計算，驗證時將使用者輸入的密碼以相同參數計算，再與資料庫中的雜湊值比對。

解題方法

可從「寄出原密碼代表什麼」切入，再分別說明其風險及改善方式：

1. 判斷儲存方式：網站能還原並寄出原密碼，代表密碼以明文儲存，或使用可解密的加密方式儲存。即使採用可逆加密，系統仍保有解密能力；金鑰或資料庫一旦遭取得，密碼仍可能外洩。
2. 列出影響：除了網站本身帳號遭冒用，使用者重複使用密碼時，其他網站帳號也可能受到連帶攻擊。郵件也可能被轉寄、遭入侵或經由未加密通道攔截。
3. 提出分層改善：修正密碼儲存、重設流程、郵件通知及其他帳號安全措施。

安全問題與改善措施

一、密碼以明文或可逆方式保存

問題： 明文密碼可被具有資料庫讀取權限的人員或入侵者直接取得。若採可逆加密，解密金鑰遭竊或應用程式存在解密漏洞時，密碼同樣會暴露。若使用者在多個網站重複使用密碼，外洩結果可能擴大至其他服務。

改善：

• 不保存明文密碼，也不以可逆加密作為密碼儲存方式。
• 使用適合密碼驗證的慢速雜湊演算法，例如 Argon2id、bcrypt、scrypt 或 PBKDF2，並採用適當的工作因子。
• 每個帳號使用獨立、隨機且足夠長的 salt，與密碼雜湊值一併保存。salt 不必保密，其用途是避免相同密碼產生相同雜湊值，並降低預先計算彩虹表攻擊的效益。
• 視系統需求加入伺服器端秘密值（pepper），並將其與資料庫分開保護。

二、忘記密碼流程設計不當