109 調查局特考三等 資訊科學組 資訊安全實務 考古題詳解

核心觀念

本題考查關鍵基礎設施的領域資安聯防，重點是 ISAC 如何把個別機構掌握的資安情資轉化為可供同領域及跨領域使用的防禦能力。

ISAC（Information Sharing and Analysis Center，資訊分享與分析中心）是特定產業或領域進行資安情資蒐集、分析、交換與發布的協作機制。參與者通常包括目的事業主管機關、關鍵基礎設施提供者及相關資安單位。分享內容可包括威脅、漏洞、攻擊手法、惡意程式指標、資安事件及防護建議。

以命題當年（民國 109 年）法規及制度為準。當時我國資通安全治理已透過資通安全管理法建立法制基礎，並以國家層級及各關鍵基礎設施領域的聯防機制，推動情資整合、分享、事件通報與應處。

解題方法

作答可分成「為何建置」及「不同領域如何協同」兩部分。前者說明 ISAC 的功能與效益；後者交代領域內的情資流動，以及金融、電信等領域之間如何透過國家層級機制串接。這樣可以完整回答題目中的「主要目的」與「協同運作關係」。

一、建置 ISAC 的主要目的

1. 集中蒐集與分析情資 各機構將分散的威脅、漏洞與事件資訊彙整分析，辨識共同攻擊手法、受影響系統及潛在風險，提升單一機構難以達成的整體觀測能力。

2. 加速預警與應變 發現新興威脅或重大事件時，透過快速分享與發布警訊，使其他會員能及早修補漏洞、調整偵測規則或採取隔離措施，縮短攻擊發現與防護處置的時間。

3. 強化領域內聯防與韌性 金融、電信等關鍵基礎設施彼此高度依賴，單一機構受害可能造成服務中斷或擴大影響。ISAC 促進會員共同防護，降低事件對關鍵服務持續運作的衝擊。

4. 建立政府與民間的協作管道 主管機關能透過 ISAC 與業者交換情資、掌握領域風險並協調應處；業者也能取得主管機關或其他會員提供的警訊與防護建議。

二、不同領域 ISAC 的協同運作關係

ISAC 的運作可理解為「領域內分享、國家層級整合、再回饋各領域」：

核心觀念

本題考《資通安全管理法》及《資通安全管理法施行細則》對資通安全事件調查、處理及改善報告的法定內容。以命題當年（民國 109 年）法規為準，公務機關發生資通安全事件後，應向受通報機關提出調查、處理及改善報告；報告內容依當時《資通安全管理法施行細則》第 8 條規定辦理。

解題方法

抓住「事件時間、影響損害、控制復原、調查處理、根因、預防改善、追蹤成效」七個面向，逐項作答。這七項依序涵蓋事件的時間軸、損害狀況、應變經過、原因分析，以及後續改善措施與追蹤安排。

應包括的重要事項

依民國 109 年《資通安全管理法施行細則》第 8 條，報告應包括：

1. 事件及處置時間：事件發生或機關知悉其發生的時間，以及完成損害控制或復原作業的時間。
2. 影響範圍及損害評估：說明受影響的系統、業務、資料或服務範圍，並評估造成的損害。
3. 損害控制及復原歷程：記載如何控制事件造成的損害，以及採取哪些措施使系統或服務恢復。

核心觀念

單向雜湊函數（One-Way Hash Function）將任意長度的輸入資料映射成固定長度的摘要值。若雜湊函數記為 $H$，輸入訊息為 $M$，則摘要為：

單向雜湊函數常用於驗證資料完整性、保護密碼，以及作為數位簽章等密碼機制的基礎。它不使用金鑰；若要以金鑰驗證訊息來源，通常應採用訊息鑑別碼（MAC），例如 HMAC，而非單靠一般雜湊值。

安全的密碼學雜湊函數通常需具備下列特性：

1. 可處理任意長度輸入：輸入可以是短字串，也可以是大型檔案。
2. 固定長度輸出：不論輸入多長，輸出摘要長度固定。
3. 計算效率高：給定 $M$，可有效計算 $H(M)$。
4. 原像抵抗（Preimage Resistance）：給定摘要 $h$，難以找出任何 $M$ 使 $H(M)=h$。
5. 第二原像抵抗（Second-Preimage Resistance）：給定訊息 $M_1$，難以找出不同訊息 $M_2$，使 $H(M_1)=H(M_2)$。
6. 碰撞抵抗（Collision Resistance）：難以找出任意兩個不同訊息 $M_1,M_2$，使 $H(M_1)=H(M_2)$。
7. 雪崩效應：輸入略有變動，輸出摘要應有大量位元改變，避免摘要透露輸入變化模式。

前三項是基本功能特性；原像、第二原像及碰撞抵抗則是主要安全性要求。若摘要長度為 $n$ 位元，理想情況下，原像搜尋約需 $2^n$ 次嘗試，而碰撞搜尋因生日悖論約需 $2^{n/2}$ 次嘗試。因此，碰撞抵抗所需的安全強度通常低於原像抵抗。

解題方法

本題要求「學理特性」及「三種實務應用與其安全需求」，可依序作答：

1. 先定義雜湊函數及輸入、輸出關係。
2. 分別說明原像抵抗、第二原像抵抗與碰撞抵抗，避免將三者混為一談。
3. 列出三種應用，逐一指出雜湊函數如何參與，以及它實際滿足哪一項安全需求。
4. 說明雜湊值本身不能證明來源真實，也不能單獨保護低熵密碼。

實務應用與安全需求

一、檔案完整性驗證

發布者公開檔案 $M$ 的雜湊值 $H(M)$；接收者下載後自行計算 $H(M')$，並比較兩者。

核心觀念

本題考查揮發性數位證據的即時擷取與證據保全。揮發性資料通常存在於執行中的系統，關機、重新開機或系統狀態改變後，可能消失或遭改寫；因此必須在不當然破壞證據的前提下，及時擷取並完整記錄操作過程。

法規依據以命題當年（民國 109 年）法規為準。刑事訴訟法第 122 條、第 128 條及第 133 條涉及搜索、搜索票與扣押；第 158 條之 4則是違法取證證據能力的判斷規定。法定程序、搜索與扣押範圍，以及證據來源和保管流程，都應清楚記錄。技術上的完整性驗證則以雜湊值等方式輔助，不能取代合法程序。

解題方法

可依「先確認合法範圍，再依揮發程度即時擷取，最後固定證據並記錄保管流程」作答。揮發性資料的價值會隨時間及操作改變，因此原則上優先取得最容易消失的資料；實際擷取順序仍須依設備狀況、調查目的及現場風險調整。

證據保全步驟

1. 確認法律依據與搜索範圍 確認搜索票、扣押依據或其他合法授權，並核對對象、處所、設備與資料範圍。記錄執行時間、地點、執行人員、在場人及依據；避免超出授權範圍搜尋或擷取。

2. 維持現場並記錄原始狀態 對設備、螢幕畫面、連接線、周邊設備及現場配置拍照或錄影。記錄設備識別資訊、電源與網路狀態、畫面內容、系統日期時間及時區。先不要關機、重新開機或任意操作，避免使記憶體內容、登入狀態及連線資訊消失或改變。

3. 評估並按揮發程度擷取資料 依設備狀態與蒐證目的安排順序。可優先擷取暫存器與快取等處理器狀態，再取得記憶體內容、執行中程序、登入使用者、開啟檔案、網路連線與路由資訊、系統時間及相關暫存資料。

核心觀念

網站日誌檔（Web Log Files）是網站伺服器依設定記錄的事件資料，用來還原用戶端與網站之間的請求與回應。常見格式包括 Common Log Format（CLF）、Combined Log Format，以及 IIS 等伺服器使用的 W3C Extended Log Format。實際欄位會依伺服器軟體與管理者設定而異。

本題重點是掌握兩件事：日誌記錄哪些資料，以及如何將這些資料用於維運與資安分析。這是技術實務題，沒有特定法條或計算公式需要套用。

解題方法

可依「誰在何時，從哪裡提出什麼請求，伺服器如何回應」整理主要紀錄內容，再逐項說明其實務用途：

• 時間與來源：請求發生時間、用戶端 IP 位址、主機名稱，必要時也記錄代理伺服器資訊。
• 請求內容：HTTP 方法（如 GET、POST）、要求的 URI 或資源、通訊協定版本，以及查詢字串。
• 回應結果：HTTP 狀態碼、回應內容大小，以及部分格式中的傳輸時間或處理時間。
• 用戶端特徵：HTTP Referer（來源頁面）與 User-Agent（瀏覽器、作業系統或爬蟲資訊）；這些欄位通常出現在 Combined Log Format。
• 身分與應用資訊：部分日誌會記錄登入帳號、虛擬主機名稱、工作階段識別碼，或應用程式自訂欄位。是否記錄取決於系統設定；密碼、權杖等敏感資料不應直接寫入日誌。

例如，一筆 Combined Log Format 紀錄可能包含用戶端 IP、時間、GET /index.html、狀態碼 200、回應大小、Referer 與 User-Agent。管理者可據此知道請求來源、存取資源及伺服器回應結果。

實務用途