108 司法特考三等 檢察事務官電子資訊組 資通安全 考古題詳解

核心觀念

本題評量應試者對於資通安全基礎核心領域的專有名詞定義、技術特性及其在司法與鑑識實務中的應用掌握度。考點涵蓋五大領域：

1. 電磁紀錄（Electromagnetic Recording）：涉及刑法法定名詞與數位鑑識（Digital Forensics）對數位證據載體之界定。以命題當年（民國 108 年）法規為準，依中華民國刑法第 10 條第 6 項之定義，現行法亦維持相同規範。
2. 完整性（Integrity）：資安核心「CIA 三要素」（Confidentiality, Integrity, Availability）之基礎概念與保證機制。
3. 零知識滲透測試（Zero-Knowledge Penetration Test）：主動式防禦評估技術中的「黑箱測試」（Black-Box Testing）原理與應用場景。
4. 雜湊值（Hash Value）：密碼學單向雜湊函數（Cryptographic Hash Function）之數學特性與數位證據同一性比對。
5. 存取控制串列（Access Control List, ACL）：作業系統客體存取控制（DAC 模型）與網路封包過濾（Packet Filtering）之授權控制機制。

---

解題方法

國家考試（特別是檢察事務官電子資訊組）之名詞解釋題，切忌僅以一句白話帶過。作答結構應遵循「三段論式架構」：

1. 精準定義：給予符合國際資安標準（如 ISO/IEC 27000、NIST SP 800 系列）或我國法律規定的正式定義。
2. 技術特性與原理：條列該技術的運作邏輯、核心屬性或數學特性。
3. 實務與防禦／鑑識應用：說明其在檢察實務、數位證據保全或企業防護架構中的實體用途，展現專業深度。

---

【答案】

(一) Electromagnetic Recording（電磁紀錄）

1. 法定定義： 以命題當年（民國 108 年）法規為準，依中華民國刑法第 10 條第 6 項規定：「稱電磁紀錄者，謂以電子、磁性、光學或其他相類之方式所製成，而供電腦處理之紀錄。」（現行法亦同）。
2. 技術與鑑識意涵：

• 指儲存於硬碟、固態硬碟（SSD）、隨身碟、磁帶、光碟、記憶體（RAM）或雲端伺服器中之二進位數位資料（0 與 1）。
• 鑑識特性：具備「無形性」、「易變性（Volatility）」與「易竄改且不留痕跡」之特性。
• 實務應用：在偵查與司法審判中，電磁紀錄屬於數位證據。為使其具備證據能力與證明力，扣押及採證時必須落實嚴格的「數位證據監管鏈（Chain of Custody, CoC）」，並透過防寫設備（Write Blocker）產出映像檔，配合雜湊值比對以確保其未被更動。

---

(二) Integrity（完整性）

1. 基本定義： 資通安全「CIA 三要素」（機密性、完整性、可用性）之一。指確保資訊系統及其所處理、傳輸或儲存的資料，在其全生命週期中未遭受未經授權之新增、修改、刪除、偽造或破壞，確保資料與系統之精確性（Accuracy）與真實性（Authenticity）。
2. 核心範疇：

• 資料完整性（Data Integrity）：內容未被非法更動。
• 系統完整性（System Integrity）：系統依預期邏輯運作，無非授權的程式碼植入或組態竄改。

3. 實現技術與防護機制：

• 密碼學機制：單向密碼雜湊函數（如 SHA-256）、訊息鑑別碼（MAC / HMAC）、數位簽章（Digital Signature）。
• 系統機制：存取控制（Access Control）、稽核日誌（Audit Logs）、檔案完整性監控（File Integrity Monitoring, FIM）、版本控制與容錯同位檢查（Parity / CRC）。

---

(三) Zero-Knowledge Penetration Test（零知識滲透測試）

1. 基本定義： 又稱黑箱滲透測試（Black-Box Penetration Testing）。指測試人員（資安專家或道德駭客）在執行測試前，未取得受測目標組織任何先驗內部資訊（如原始碼、網路拓撲、伺服器組態、防火牆規則、認證帳密或架構圖）。
2. 運作特性：

• 外部視角：完全模擬外部真實惡意攻擊者（External Adversary）在網際網路上的攻擊手法。

核心觀念

本題評量重點為「入侵偵測與防禦系統（IDS/IDPS）」之核心偵測技術與日誌稽核架構，命題依據為美國國家標準暨技術研究院（NIST）所發布的 NIST SP 800-94（Guide to Intrusion Detection and Prevention Systems）。

1. 偵測機制之比較：考生須掌握特徵比對（Signature-based）、異常偵測（Anomaly-based）、有狀態協定分析（Stateful Protocol Analysis）與混合式（Hybrid）四種技術之「比對基準（Baseline/Signatures）」、「運作流程」及「偽陽性（False Positive, FP）／偽陰性（False Negative, FN）特性」。
2. 網路型入侵防禦系統（NIDPS）事件日誌欄位：考查資安事件調查、SIEM 關聯分析及數位鑑識所需之標準日誌紀錄內容（包含通訊端點、時間戳記、協定特徵、觸發特徵碼與處置動作等）。

---

解題方法

1. 第 (一) 小題（15分）：

• 採結構化答題，每種方法依「定義原理」、「運作流程／機制」及「技術特性（優缺點／FP與FN評估）」三要素分別論述，展現層次分明的理論基礎。
• 特別釐清「有狀態協定分析」與一般「狀態檢查防火牆」之差異（前者深度解析協定規範 RFC 與狀態機），並說明「混合式偵測」如何結合前述技術達成互補。

2. 第 (二) 小題（10分）：

• 避免雜亂羅列單一欄位，應將 NIDPS 記錄內容依「事件時間與來源標識」、「網路通訊與連線屬性」、「威脅特徵與偵測細節」、「系統防護處置與取證資料」四個維度歸納條列，答出具代表性且符合 NIST 規範之核心欄位，以獲取滿分。

---

解題技巧

1. 記憶口訣與評分熱點：

• 特徵式：看「已知惡意」（低 FP、高 FN、不防 Zero-day）。
• 異常式：看「偏離正常」（防 Zero-day、高 FP、需學習期 Baseline）。
• 有狀態協定分析：看「違反標準 RFC 與狀態機」（比對協定規範模型，資源消耗大）。
• 混合式：採「多層協同／管線化架構」（結合特徵的高精準度與異常的新穎偵測力）。

2. 答題版面配置：申論題 25 分約占考試時間 25~30 分鐘，第 (一) 題分配約 1.5 頁，第 (二) 題約 0.8 頁，字跡端正、重點名詞輔以標準英文標籤，為獲取高分的關鍵。

---

【答案】

(一) IDS/IDPS 四種偵測資安事件方法的運作方式

1. 特徵比對偵測法（Signature-based Detection）

• 運作方式： 系統將監控到的網路封包、系統呼叫或檔案內容，與資料庫中預先定義的「已知威脅特徵碼（Signatures）」進行比對（如特定字串、位元組序列、惡意軟體雜湊值、攻擊腳本模式等）。若發現符合特定特徵，即判定為惡意攻擊並觸發警訊或阻斷。
• 技術特性：
• 優點：針對已知攻擊的偵測速度快、準確率高，偽陽性率（False Positive Rate）極低。
• 限制：完全無法防範零時差攻擊（Zero-day Attacks）或經過多型（Polymorphic）、變形（Metamorphic）混淆的攻擊手法；特徵庫需高度依賴廠商持續且即時的更新。

2. 異常行為偵測法（Anomaly-based Detection）

• 運作方式： 系統在一段「學習期（Training Phase）」內收集正常網路流量或使用者行為數據，利用統計分析、機器學習或啟發式演算法建立「正常行為基準線（Baseline Profile）」。在實際運作時，持續監控當前活動並與基準線比較，一旦偏差值超過預設門檻（Threshold），即判定為異常資安事件。
• 技術特性：
• 優點：具備發現未知威脅、新興變種攻擊及零時差漏洞利用的能力。
• 限制：正常業務模式變更（如促銷活動造成流量激增）易造成誤報，偽陽性率（False Positive Rate）較高；若學習期間系統已潛伏惡意行為，基準線將遭到污染（Poisoning），導致漏報（False Negative）。

3. 有狀態協定分析偵測法（Stateful Protocol Analysis Detection）

• 運作方式：

核心觀念

本題整合了「國際資安風險管理標準（NIST SP 800-30）」與「我國資通安全法規（資通安全管理法）」兩大考試重點，核心涵蓋：

1. NIST SP 800-30 風險評估概念：風險本質為威脅與弱點結合後產生之負面後果，數學概念常表示為可能性與衝擊的函數： $\text{Risk} = f(\text{Likelihood}, \text{Impact})$ 其中發生可能性（Likelihood）取決於威脅來源的能力動機與弱點被觸發的難易度，衝擊（Impact）則衡量事件對組織造成的實質損害程度。
2. 資通安全管理法用詞定義：以民國 108 年命題時適用之法規（民國 107 年 6 月 6 日公布、108 年 1 月 1 日施行之《資通安全管理法》）第 3 條為基準，考查資安基本要素（CIA 三要素與防護行為態樣）與國家防護核心（關鍵基礎設施之主客體定義）。

---

解題方法

1. 第 (一) 子題（中譯與意涵說明）： 拆解原文句型主幹：「Risk is a function of A and B」。A 為特定威脅來源利用潛在弱點的可能性（likelihood），B 為該負面事件對組織所產生的衝擊（resulting impact）。翻譯需兼顧專業術語（threat-source、vulnerability、adverse event）與資訊安全語境之通順性。
2. 第 (二) 子題（專有名詞定義）： 依據 NIST SP 800-30 及資安通用定義，定義 Vulnerability（著重於系統程序、設計、實作或內控之「缺陷／漏洞」）與 Impact（著重於安全性受損後對組織業務、資產或個人所造成之「損害程度／負面效應」）。
3. 第 (三) 子題（法定名詞默寫）： 本題以命題當年（民國 108 年）法規為準，嚴格依據《資通安全管理法》第 3 條條文作答，抓牢法律構成要件的關鍵字詞，切忌隨意以口語替代法定文字。（備註：現行法目前尚維持此法定用詞架構）。

---

解題技巧

1. 風險函數的記憶架構： 風險評估永遠圍繞「威脅（Threat）」、「弱點（Vulnerability）」、「資產與衝擊（Asset & Impact）」展開。在 NIST 體系中，威脅來源觸發弱點決定「發生機率」，損害資產價值決定「衝擊大小」。
2. 法規背誦口訣化：

核心觀念

本題橫跨「資訊安全（資訊隱藏與鑑識）」與「法律實務（中華民國刑法妨害電腦使用罪章）」兩大範疇，為檢察事務官電子資訊組之典型跨領域實務題型。

1. 資訊隱藏（Information Hiding / Steganography）：

• 核心在於「隱匿機密訊息的存在性」（Hiding the existence of communication），與密碼學（Cryptography，僅隱匿訊息的「內容與意義」）形成互補。

2. 常見隱藏與反隱藏機制：

• 隱藏技術涵蓋：空間域（LSB）、頻域轉換（DCT/DWT）、檔案格式尾端附加（End of File / Append Injection）、檔案系統縫隙（Slack Space / ADS）。
• 反隱藏（Steganalysis）涵蓋：統計特徵檢驗（Chi-Square、RS 分析）、檔案結構完整性檢驗（標頭/標尾比對）、主動破壞（Re-encoding/Sanitization）。

3. 刑法適用（以命題當年民國 108 年法規為準）：

• 刑法第三十六章（妨害電腦使用罪）第 358 條至第 363 條。
• 重點條文辨析：第 358 條（無故入侵電腦）、第 359 條（破壞電磁紀錄）、第 360 條（干擾電腦系統）。本題侵害客體為「電磁紀錄」，且造成「被害人無法正常使用」，核心在於第 359 條之「變更」行為與「致生損害」之構成要件該當。

---

解題方法

1. 第 (一) 子題：採「對比法」與「目的／手段法」切入。指出資訊隱藏之定義，並明確對比「密碼學（隱藏意義）」與「隱寫術（隱藏存在）」，突顯其載體（Carrier / Cover Media）之不可辨識性。
2. 第 (二) 子題：挑選最經典且具代表性的三種技術，分層次列出（位元層／訊號層、檔案格式層、作業系統／檔案系統層），避免技術類型過度集中。
3. 第 (三) 子題：針對資料隱藏留下的「統計異常」與「結構異常」，具體列舉隱寫分析（Steganalysis）與結構檢視技術。
4. 第 (四) 子題：運用法學三段論法解題：

• 大前提：引述刑法第 359 條條文內容與構成要件（主觀要件、客觀要件：無故、行為態樣、客體、結果）。
• 小前提：將嫌疑犯「利用資訊隱藏技術」與「被害人無法正常使用電磁紀錄」涵攝至法條要件（該當「無故變更電磁紀錄」及「致生損害於他人」）。
• 結論：明確得出觸犯刑法第 359 條「破壞電磁紀錄罪」。

---

解題技巧與常見陷阱

1. 定義陷阱（密碼學 vs. 資訊隱藏）：

• 切忌將資訊隱藏寫成「加密技術」。加密後的密文通常呈現隨機亂碼，極易引發第三方懷疑；資訊隱藏則是讓傳遞的載體看起來完全正常，第三方完全察覺不到秘密通訊的存在。

2. 法條適用陷阱（第 359 條 vs. 第 360 條）：

• 考生易混淆第 359 條（破壞電磁紀錄罪）與第 360 條（干擾電腦系統及相關設備罪）。
• 判斷竅門：檢視侵害客體與損害結果。若題目強調「無法正常使用電腦、癱瘓伺服器、耗盡頻寬（DDoS）」，主文適用第 360 條；若題目明定「致生被害人無法正常使用電磁紀錄」，客體為檔案、資料本身之存取功能受損，一律優先適用第 359 條。

3. 法規基準提醒：

• 本題法律適用以命題當年（民國 108 年）法規為準。現行法於民國 112 年雖有針對國安與關鍵基礎設施加重處罰之修正，並增訂第 362 條之 1，但第 359 條基本構成要件與罪名維持不變。

---

【答案】

(一) 資料（或資訊）隱藏之定義

資料（或資訊）隱藏（Information Hiding / Steganography），係指將機密或特定資料，透過特定演算法嵌入（Embed）或隱匿於一般且不具可疑性的數位載體（Cover Media，如圖像、音訊、視訊、網路封包或檔案結構）中。

其核心目的在於​「隱匿機密訊息的存在性」，使未授權的第三方或監聽者在觀察該載體時，無法察覺到其內部隱含了其他機密資訊，進而達成隱蔽通訊（Covert Communication）、數位版權標記（浮水印）或防止資料遭未授權分析之效果。此技術與密碼學（Cryptography）僅隱藏內容意義（密文仍明顯為亂碼）之本質有所區隔。

---

(二) 三種資料（或資訊）隱藏技術

1. 最低有效位元替換法（Least Significant Bit, LSB Substitution）：

• 原理：屬於空間域（Spatial Domain）隱寫術。將載體（如點陣圖 BMP、無失真音訊 WAV）中每個像素或取樣點的最低有效位元（LSB），依序替換為機密資料之二進位位元。