114 調查局特考三等 資訊科學組 資通網路 考古題詳解

核心觀念

本題考查分散式阻斷服務（Distributed Denial of Service, DDoS）的成因，以及如何結合內容傳遞網路（Content Delivery Network, CDN）與自動擴縮（auto-scaling）維持服務可用性。

DDoS 是攻擊者控制大量遭入侵的裝置，或利用可被放大的網路服務，同時向目標送出大量流量或請求，使目標的頻寬、連線數、運算資源或應用程式處理能力耗盡，合法使用者因而無法取得服務。與單一來源的 DoS 相比，DDoS 的流量來自多個來源，較難單靠封鎖單一 IP 位址防禦。

常見攻擊可分為三類：

• 流量耗盡型：大量封包占滿網路頻寬。
• 協定耗盡型：利用 TCP、DNS 等協定特性消耗連線或網路設備狀態資源。
• 應用層耗盡型：大量送出看似正常、但處理成本高的 HTTP／HTTPS 請求，耗盡伺服器或資料庫資源。

解題方法

本題要求說明「如何運用 CDN 和 auto-scaling 管控攻擊」，作答時應分別交代兩者負責的工作，再說明如何配合。CDN 主要協助吸收、分散與過濾流量；auto-scaling 則依負載增加或縮減雲端運算資源。兩者能降低服務中斷風險，但擴充資源本身不等於阻止攻擊。

一、運用 CDN 分散與過濾攻擊流量

CDN 在全球或多個區域設置邊緣節點，將使用者請求導向適當節點。金融新創公司可採取下列措施：

1. 將可快取內容放在 CDN 靜態檔案、圖片、前端程式與其他適合快取的內容由邊緣節點回應，減少請求回源站，也降低雲端主機與頻寬的負擔。

2. 利用邊緣節點分散流量 攻擊流量先到 CDN 節點，由其分散承接，再將必要的請求轉送至原始伺服器，避免所有流量直接集中於單一服務入口。

3. 啟用流量清洗與請求限制 配合 CDN 或雲端服務提供的 DDoS 防護、Web Application Firewall（WAF）、速率限制、機器人辨識及異常流量偵測，阻擋明顯惡意或超出合理頻率的請求。

4. 保護原始伺服器 限制原始伺服器只接受 CDN 或指定防護服務轉送的流量，避免攻擊者繞過 CDN，直接攻擊原始伺服器。須同步設定 DNS、來源 IP 白名單與存取控制。

CDN 對快取命中率高的內容特別有效；若攻擊大量使用不快取的動態請求，或請求本身看似合法，仍須搭配 WAF、速率限制及應用程式端防護。

核心觀念

本題考查身分與存取管理（Identity and Access Management，IAM）的安全措施，以及角色型存取控制（Role-based Access Control，RBAC）的運作方式。

IAM 是管理數位身分及其存取權限的整體制度與流程，涵蓋身分建立與驗證、授權、帳號生命週期管理、權限審查及存取紀錄等。RBAC 則是一種授權模型：先把權限配置給角色，再依工作職責將使用者配置到適當角色。

題目未涉及法條或計算公式，解答以身分驗證、最小權限及職務分離等資安原則說明。

解題方法

先處理「憑證遭竊」造成的風險：攻擊者取得員工帳密後，可能冒用身分登入系統。因此，防護不能只依賴密碼，還要分別強化驗證、授權、帳號管理、監控及事件應變。接著說明 RBAC 如何把職務需求轉成可管理、可審查的權限配置，最後比較 RBAC 與 IAM 的範圍。

一、強化 IAM，降低憑證遭竊的影響

1. 採用多因子驗證（MFA） 登入時要求兩種以上不同類型的驗證因素，例如密碼搭配安全金鑰或驗證器。高風險及管理者帳號應使用抗網路釣魚的驗證方式；避免只依賴容易遭攔截或轉移的簡訊驗證碼。

2. 落實帳密安全管理 使用唯一且足夠強度的密碼，避免跨系統重複使用；透過密碼管理工具保存密碼，禁止明文傳遞或寫在不安全的位置。系統應限制暴力猜測登入，並檢查常見或已外洩的密碼。

3. 依風險調整登入驗證 依登入位置、裝置、時間、網路環境及使用行為判斷風險。出現異常登入時，可要求額外驗證、限制存取，或暫停帳號並通知管理者。

4. 遵守最小權限原則 使用者只取得完成工作所需的系統、資料與操作權限。一般帳號與管理者帳號分開，管理工作使用專用管理帳號，並在完成任務後停止使用提升權限。

5. 管理帳號及權限生命週期 新進、調職、離職時，應依職務建立、調整或停用帳號及權限。定期檢查閒置帳號、共用帳號、服務帳號及過期權限，移除不再需要的存取權。

6. 強化工作階段與存取監控 設定閒置逾時、自動登出及重要操作的重新驗證。記錄登入、權限變更、敏感資料存取及管理者操作，並對異常行為發出警示。

7. 建立憑證外洩應變流程 發現憑證遭竊時，立即停用或重設憑證，撤銷工作階段與存取權杖，檢查相關帳號的登入紀錄及操作紀錄，並確認是否有其他帳號或系統受到影響。不能只更換密碼而保留已登入的工作階段。

二、如何運用 RBAC

核心觀念

本題考查以 ICMP 診斷 IP 網路連線的兩項常用工具，以及 IP 封包標頭中 TTL（Time To Live，存活時間） 欄位如何限制封包在網路中的轉送範圍。

• ping：送出 ICMP Echo Request，等待目的主機回覆 ICMP Echo Reply，用來確認目的端是否可達，並觀察往返時間及封包遺失情形。
• traceroute：利用逐步增加 IP 封包的 TTL，找出封包從來源端到目的端經過的路由器（跳點），協助定位路徑上可能發生的連線問題。
• TTL：IP 封包每經過一個路由器便會遞減；降至 0 時，路由器會丟棄封包，通常並回傳 ICMP Time Exceeded 訊息。它可避免封包因路由迴圈而無限在網路中傳送。

解題方法

作答時分別說明兩個指令的目的、探測方式及可取得的資訊，再說明 TTL 如何使 traceroute 逐跳揭露路徑。

ping 主要測試「目的端能否回應」：若收到 Echo Reply，代表探測封包至少能往返目的端；回覆中的時間可用來觀察往返延遲，連續探測的遺失情形可反映連線穩定度。

traceroute 主要測試「封包沿途經過哪些路由器，以及在哪一段未能繼續前進」。它先送出 TTL 為 1 的探測封包，第一個路由器將 TTL 遞減至 0 後丟棄封包並回傳 ICMP Time Exceeded；接著以 TTL 為 2、3 等數值重複探測，依序取得各跳點的回覆。當探測封包抵達目的端時，會收到目的端的回應，表示追蹤到終點。常見實作會使用 UDP 探測封包或 ICMP 探測封包，回覆型態依作業系統與實作方式而異。

ping 與 traceroute 的功能與差異

核心觀念

本題考查 IPv4 分片（fragmentation）、片段偏移量的計算，以及路徑 MTU 探索（Path MTU Discovery, PMTUD）。

MTU 是單一鏈路可承載的最大 IP 封包長度，包含 IP 標頭與資料。IPv4 分片時，每個片段都要有自己的 IP 標頭；除最後一個片段外，各片段的資料長度必須是 8 bytes 的倍數，因為 IPv4 片段偏移量以 8 bytes 為單位。

解題方法

原始訊息大小為 $1600$ bytes，視為 IP 資料部分；IP 標頭為 $40$ bytes，MTU 為 $1000$ bytes。

每個片段最多可承載的資料量為：

$960$ 是 $8$ 的倍數，因此可直接作為非末片的資料長度。將 $1600$ bytes 分成每片最多 $960$ bytes：

• 第一片：資料 $960$ bytes，總長度 $960+40=1000$ bytes。
• 第二片：剩餘資料 $1600-960=640$ bytes，總長度 $640+40=680$ bytes。

因此共產生 2 個片段。第一片的片段偏移量為 $0$；第二片的偏移量為：