112 調查局特考三等 資訊科學組 資訊安全實務 考古題詳解

核心觀念

本題考查「政府機關（構）資安事件數位證據保全標準作業程序」中，電腦設備或儲存媒體蒐集的現場處置方式。作業目標是保全數位證物原始狀態，留下可供查核的蒐集紀錄，並維持證據完整性與一致性。

數位證物包括電腦、周邊設備、數位儲存媒體、網路連線設備、監視錄影系統及其他可儲存數位資料的裝置。蒐集時應分辨設備能否關機、是否需要拆卸儲存媒體，以及伺服器能否中斷服務，再依情況採取相應作法。

解題方法

依作業程序的情境分流作答：可關機的一般電腦設備、另有外接儲存媒體、無法中斷服務的伺服器。最後補上設備資料記錄與工作表填寫，便能完整涵蓋蒐集流程。

蒐集作法

1. 系統可以關機：原則上封緘完整電腦設備 將完整電腦設備封緘，交由上級機關或鑑識單位進行後續處理。這樣可保存設備與內部儲存媒體的原始狀態。

2. 確有拆卸內部儲存媒體必要：全程記錄並封緘 若必須拆卸、取出設備內的儲存媒體，記錄人員須對拆卸及取出過程全程錄影；取出的儲存媒體應封緘，並視需要送交上級機關或鑑識單位。

核心觀念

本題在考 IDPS 常見的三種偵測技術，以及它們在判斷準確性、攻擊涵蓋能力、運算成本與維護方式上的差異。三種技術為：

1. 特徵式偵測（Signature-based detection）：比對封包、事件或程式行為是否符合已知攻擊特徵。
2. 異常式偵測（Anomaly-based detection）：建立正常行為基準，將偏離基準的活動判定為異常。
3. 狀態協定分析（Stateful protocol analysis）：依協定標準與通訊狀態追蹤連線，檢查協定訊息是否符合預期。

IDPS 可能僅告警，也可能主動阻擋；本題比較的是其偵測技術，不涉及部署位置或阻擋模式。

解題方法

先依偵測依據區分三種技術：比對已知特徵、比對正常基準、檢查協定狀態與規範。再從題目指定的五個面向逐一比較：

核心觀念

零信任（Zero Trust）是因應雲端服務、遠距辦公及行動裝置普及，使傳統內外網邊界逐漸模糊而發展的安全架構。其核心精神是「永不預設信任，持續驗證」：不因使用者位於內網、曾經登入成功，或使用組織設備，就自動信任其後續存取。

零信任以受保護的資源為中心。使用者每次要求存取資源時，都要依其身分、設備狀態及當下情境，重新判斷是否授權，並只提供完成該次任務所需的權限。

解題方法

本題分成兩部分作答：

1. 先列出零信任的三大核心機制：身分鑑別、設備鑑別、信任推斷。
2. 再列出組織應考量的六項原則，說明資源範圍、通訊安全、逐次授權、動態政策、資產狀態監控，以及嚴格驗證與授權。

答題時宜補充「每次存取、每項資源、動態判斷」等關鍵語句，並指出零信任不以內外網位置作為信任依據。

一、零信任的三大核心機制

1. 身分鑑別 確認提出存取要求者的身分，並透過多因子驗證、憑證或硬體安全金鑰等方式提高鑑別強度。身分鑑別聲明也須安全地傳送給受存取的系統，確保資訊的完整性與可信度。

2. 設備鑑別 確認存取設備是否為已註冊、受管理的設備，並檢查設備安全狀態，例如作業系統是否更新、防毒或端點防護是否正常、設備是否符合組織安全設定。設備不符政策時，可限制或拒絕其存取。

3. 信任推斷 根據身分與設備鑑別結果，以及來源位置、登入時間、設備健康狀態、使用者行為等情境資料，動態評估存取風險，再決定是否允許、限制或拒絕存取。信任推斷可採風險等級或信任分數等方式實作。

二、組織應考量的六項零信任原則

1. 所有資料與計算服務均視為資源 資料、應用程式、伺服器及雲端服務等，皆應納入保護範圍；不能因資源位於組織內部，就認定其可信或不需保護。

核心觀念

Diffie–Hellman（DH）金鑰交換中，雙方以公開底數 $g$ 和各自的秘密參數 $X_A$、$X_B$ 計算公開參數：

標準 DH 會在選定的模數下運算；本題明確說明未做模數運算，因此直接由公開參數的整數次方求秘密參數，再計算共同密鑰。

解題方法

已知公開底數 $g=3$。

張三的公開參數為 $Y_A=27$，因此：

底數相同，指數相等，所以：

李四的公開參數為 $Y_B=243$，因此：

所以：

雙方各自以收到的公開參數，搭配自己的秘密參數計算共同密鑰：