114 調查局特考三等 資訊科學組 資訊安全實務 考古題詳解

（一）駭客入侵事件應優先分析的三項證據類型

核心觀念

數位鑑識要從證據中重建「誰在何時、透過何種方式、對系統做了什麼」。分析時應兼顧易失性、事件時間軸與行為痕跡，並保存證據完整性、來源及取得過程，以利後續驗證。鑑識證據沒有固定的三項清單，應依事件環境與調查目的選取；本題可從下列三類著手。

解題方法與優先分析項目

1. 系統與安全日誌 分析作業系統、安全性、應用程式、防火牆、入侵偵測或防毒軟體等日誌。可用來查找登入成功與失敗、帳號或權限變更、服務啟停、程式執行、網路連線及安全警示等紀錄。 比對多個來源的時間戳記與事件內容，可建立入侵時間軸，辨識可疑帳號、來源位址與後續操作。分析時須留意日誌可能遭刪除、竄改，且不同系統的時鐘可能不一致。

2. 檔案系統與儲存媒體資料 檢視使用者目錄、暫存目錄、下載資料夾、啟動項目及重要系統目錄中的可疑檔案；亦應分析已刪除檔案、檔案時間戳記、檔案系統中繼資料與磁碟未配置空間。這些資料可能揭露惡意程式、工具、設定檔、竊取資料、持久化機制或檔案遭修改的時間。 檔案時間戳記可協助排序事件，但不能單獨視為可信的建立或修改時間，因為時間可能被修改，且複製、解壓縮等操作也會影響時間資訊。

3. 網路活動與連線紀錄 檢視防火牆、代理伺服器、路由器、入侵偵測系統及端點上的網路連線紀錄；若有封包擷取資料，也應一併分析。重點包括連線時間、來源與目的端位址及連接埠、通訊協定、傳輸量，以及 DNS 查詢等資訊。 這類證據可協助辨認外部控制端、資料外傳、橫向移動或連線掃描行為；應與主機日誌和檔案資料交叉比對，避免僅憑單一連線紀錄就認定入侵者身分或行為。

解題技巧

核心觀念

本題考查惡意程式防護的「多層次防禦」（Defense in Depth）：在不同位置與階段部署互補的安全控制，使單一措施失效時，仍有其他措施降低感染、執行、擴散與損害的風險。題目要求列舉三個與惡意程式防護相關的層次，並說明只依賴端點防毒軟體的不足。

解題方法

依惡意程式攻擊的路徑，從「進入組織、到達端點、執行後造成影響」逐層說明防護措施。每一層都交代防護位置、主要作用與可防範的情境，再說明不同措施如何互補。題目沒有要求特定的三層分類，答案以網路、端點及應用程式與使用者層次作為一組完整例子。

三項惡意程式防護層次

一、網路與邊界層

在網際網路出口、電子郵件閘道及內部網路區段部署防護，例如防火牆、入侵防禦系統（IPS）、郵件過濾、網頁過濾及 DNS 過濾。

此層可阻擋已知惡意來源、含惡意附件或連結的郵件、惡意網站連線，以及惡意程式與命令控制伺服器（C2）的通訊。透過網路分區與存取控制，也能限制感染端點向其他主機擴散。其限制是加密流量、合法雲端服務遭濫用或新型攻擊可能繞過特徵式判斷。

二、端點與主機層

在個人電腦、伺服器及行動裝置部署防毒或端點偵測與回應（EDR），並搭配作業系統與應用程式修補、最小權限、應用程式白名單、主機防火牆及裝置控管。

此層可掃描檔案與程序、偵測可疑行為、隔離受感染端點，並降低漏洞遭利用或惡意程式取得高權限的機會。端點控制能處理已進入內網或透過行動裝置、遠端連線進入的威脅，補足邊界設備的盲點。

三、應用程式與使用者層

透過安全開發與應用程式控管，降低惡意程式利用軟體漏洞或不安全功能執行的機會，例如程式碼簽章、應用程式白名單、瀏覽器與巨集安全設定、輸入驗證及弱點修補。另以資安教育訓練提升使用者辨識釣魚郵件、可疑附件與社交工程的能力。

核心觀念

本題考查防火牆的存取控制、網路分段的隔離效果，以及遭遇惡意掃描時如何透過規則與網路架構降低風險。

**防火牆（Firewall）**是依據預先設定的安全政策，檢查網路流量並決定允許、拒絕或記錄連線的設備或軟體。規則常依來源與目的 IP、通訊埠、通訊協定、連線狀態及應用程式等條件比對。採用「預設拒絕、例外允許」原則，可避免未明確授權的連線通過。

**分段隔離（Segmentation）**是將網路切分為不同安全區域，例如以 VLAN、子網路、路由器、內部防火牆或存取控制清單（ACL）隔開部門、伺服器區、管理區與訪客網路。分段後，區域間流量可以經由政策控管，而非預設彼此互通。

兩者相輔相成：分段建立安全邊界，防火牆則在邊界上執行流量控管。若只有分段但區域間全部放行，隔離效果有限；若防火牆未依必要性設定規則，也難以落實最小權限。

解題方法

作答可分成「部署效益」與「遭掃描時的防護作法」兩部分，先說明防火牆與分段各自降低的風險，再依惡意掃描的流量方向調整規則及區域邊界。

一、部署防火牆與分段隔離的好處

1. 控管網路存取：防火牆可限制來源、目的、服務及連線方向，只允許業務所需的流量，降低未授權存取與攻擊面。
2. 限制攻擊擴散：網路分段可阻止或減少攻擊者在內部橫向移動；某一部門或主機遭入侵時，其他區域不會因此自動暴露。
3. 保護重要資產：可將資料庫、身分驗證系統、備份設備及管理介面置於受控區域，僅開放必要的來源與服務。
4. 提升監控與稽核能力：防火牆可記錄允許與拒絕的連線，協助辨識掃描來源、受掃描主機、嘗試存取的服務與發生時間。
5. 支援不同安全需求：一般使用者、伺服器、訪客、測試環境及管理網路可套用不同政策，避免低信任區域直接連至高敏感區域。
6. 降低故障與事件影響範圍：分段可限制廣播流量及部分網路事件的影響，使事故較容易定位與控制。

二、部門頻遭惡意掃描時的防護方法

1. 確認掃描方向與範圍：檢視防火牆及端點紀錄，判斷掃描是來自外部、其他內部網段，或受感染的部門設備；確認來源位址、目的主機、連接埠、頻率及時間。同步檢查是否有成功連線，不能只把掃描告警視為已遭入侵。
2. 收緊該部門的邊界規則：

• 若掃描來自外部，於邊界防火牆拒絕非必要的入站連線；僅對外公開經核准的服務，並限制可連入的來源及目的連接埠。
• 若掃描來自其他內部網段，在部門網段入口或內部防火牆設定拒絕規則，限制不必要的跨網段連線。

核心觀念

本題考查進階持續性攻擊（Advanced Persistent Threat, APT）的攻擊特徵，以及機構如何整合多種網路安全監控來源，及早發現攻擊鏈。APT 的「進階」指攻擊者具備較強的技術與資源，能採用多種攻擊手法；「持續」指攻擊者會長期維持或反覆嘗試對目標系統的存取；「威脅」則指出其具有明確目的與持續造成損害的能力。APT 常見於有組織的犯罪團體或具資源的攻擊者，可能以竊取敏感資料、智慧財產、機密資訊或破壞關鍵服務為目標。

以上為常見差異，不代表每一種傳統駭客行為都缺乏隱匿性，也不代表 APT 必然使用零時差漏洞。判斷重點是其目標導向、長期潛伏、持續控制及多階段行動等整體特徵。

解題方法

作答可分成兩部分：先從「目標、目的、時間、手法、隱匿」比較 APT 與傳統攻擊，再以「集中蒐集、關聯分析、持續應變」說明監控整合。監控應涵蓋網路流量、端點、身分驗證、郵件、DNS 與對外連線等資料；單看一台設備的一筆告警，通常不足以辨識跨階段的 APT 行為。

整合網路安全監控機制舉例