109 司法特考三等 檢察事務官電子資訊組 資通安全 考古題詳解

核心觀念

本題考查 SQL Injection 的兩種攻擊型態，以及參數化查詢如何避免使用者輸入改變 SQL 指令的結構。重點在於分辨攻擊者如何利用輸入影響查詢，以及防禦措施如何將「指令」與「資料」分開處理。

（一）顛覆邏輯與盲目注入

1. 顛覆邏輯（Subverting Logic）

顛覆邏輯是指攻擊者在原有 SQL 條件中注入特定語法，使查詢邏輯被改變，進而繞過驗證或擴大查詢結果。常見方式是加入恆真條件，讓原本必須符合的條件失去限制效果。

例如，應用程式以字串串接方式組成登入查詢：

SELECT * FROM Users
WHERE username = '<使用者輸入>'
 AND password = '<密碼輸入>';

若程式未妥善處理輸入，攻擊者可在輸入中插入引號、邏輯運算子及 SQL 註解符號，改變 WHERE 條件的意義。若注入後的條件包含恆真式，查詢便可能在不符合原帳密條件時仍傳回資料。

此手法的核心是：輸入內容被資料庫解析成 SQL 語法，並改變原查詢的邏輯。

2. 盲目注入（Blind Injection）

盲目注入是指攻擊者無法直接從應用程式回應中取得查詢結果或資料庫錯誤訊息，但仍能透過觀察回應差異，逐步推論資料庫內容或查詢結果的攻擊方式。

常見判斷依據包括：

• 布林型盲目注入（Boolean-based Blind Injection）：注入條件後，比較條件成立與不成立時，網頁內容、狀態碼、資料筆數或其他可觀察行為是否不同。例如，以某字元比較條件判斷資料內容，再依頁面回應推知條件真假。
• 時間型盲目注入（Time-based Blind Injection）：讓資料庫在特定條件成立時延遲回應，再由回應時間推論條件真假。

盲目注入的核心是：**攻擊者不直接看到資料，而是利用回應內容或時間差作為推論資訊。**因此，即使系統隱藏錯誤訊息或查詢結果，仍不代表不存在 SQL Injection 風險。

（二）參數化查詢的防禦原理

核心觀念

本題考查 SSL/TLS 的安全服務與握手機制、SSL VPN 和 IPsec VPN 的架構差異，以及加密流量帶給資安管理的可視性與檢測挑戰。SSL 是早期安全傳輸協定；現今網站實際上使用其後繼標準 TLS。SSL/TLS 可在應用層與傳輸層之間提供機密性、完整性及伺服器身分驗證，並可選擇使用用戶端憑證進行雙向驗證。

解題方法

依序從「SSL 如何建立安全通道」、「SSL VPN 與 IPsec VPN 的部署及適用範圍」、「加密普及後管理端看不到什麼」切入。說明握手時，依建立連線、協商參數、驗證身分、建立金鑰、切換至加密傳輸的順序作答；比較 VPN 時，著重網路層與應用層的差別。

（一）SSL 的工作原理

SSL/TLS 主要透過握手協定建立安全連線，再以記錄協定保護後續資料。

1. Client Hello：提出安全能力

用戶端送出 Client Hello，包含支援的 TLS 版本、密碼套件、隨機數，以及其他協商參數。密碼套件會指定金鑰交換、身分驗證、對稱式加密及完整性保護等演算法。

2. Server Hello：選定協商參數

伺服器回覆 Server Hello，選定版本與密碼套件，並提供伺服器端隨機數。伺服器通常也會送出數位憑證，供用戶端驗證伺服器身分；若採用需要伺服器簽章的金鑰交換方式，伺服器會對相關握手資料簽章，以證明握手參數未遭竄改，且由憑證所示的伺服器持有對應私鑰。

3. 驗證憑證與建立共用金鑰

用戶端驗證伺服器憑證的簽發鏈、有效期限及連線網域名稱等資訊。通過驗證後，雙方依協商方式建立共用祕密：

• 傳統 RSA 金鑰交換：用戶端產生預主祕密，使用伺服器憑證中的公開金鑰加密後傳送；伺服器以私鑰解密。此方式本身不具前向保密性。
• Diffie–Hellman 金鑰交換：雙方交換金鑰交換參數並各自計算相同的共用祕密；使用臨時金鑰的 DHE 或 ECDHE 可提供前向保密性，即伺服器長期私鑰日後外洩，也不會因此直接解密過去已擷取的連線內容。

雙方再將共用祕密與握手隨機數等資料導出工作階段金鑰，供後續加解密及完整性驗證使用。若設定用戶端憑證驗證，伺服器也會要求並驗證用戶端憑證。

4. 完成握手，保護應用資料

雙方確認握手內容一致並完成握手後，透過 SSL/TLS 記錄協定傳送應用資料。資料會使用協商出的對稱式工作階段金鑰加密，並以訊息驗證碼（MAC）或 AEAD 機制保護完整性。採用 AEAD 時，加密與完整性保護由同一加密模式提供。

5. 提供的安全服務與限制

SSL/TLS 的加密可防止傳輸內容遭竊聽；完整性保護可偵測傳輸資料遭竄改；憑證驗證可協助確認連線對象身分。然而，它不能保證端點本身安全，也不能阻止使用者連到仿冒網站、伺服器遭入侵，或應用程式存在漏洞。憑證驗證不完整、弱演算法或設定錯誤，也會削弱安全性。

（二）SSL VPN 的意義及與 IPsec VPN 的比較

SSL VPN 的定義

SSL VPN 是利用 SSL/TLS 建立加密通道，讓遠端使用者安全存取企業內部資源的 VPN 技術。常見部署方式包括瀏覽器直接存取入口網站，以及安裝用戶端程式或代理程式後，存取較廣泛的應用服務。其存取範圍可設定為特定網站、應用程式或內部網路資源。

優缺點比較

核心觀念

本題考查資料外洩防護的基本概念、常見實作技術，以及 DLP 與 DRM 的保護方式差異。作答時可先依資料狀態分成「使用中、傳輸中、靜態儲存」，再依此說明 DLP 如何辨識敏感資料、套用政策並採取防護措施。

DLP（Data Loss Prevention，亦稱 Data Leak Prevention）是以組織的資料安全政策為基礎，辨識、監控並保護敏感資料，降低資料遭未授權存取、複製、傳送或揭露的風險。它通常透過內容檢查與情境分析，判斷資料內容、使用者、裝置、傳輸管道、目的地及操作行為，再依政策記錄、警示、阻擋、隔離或加密。

DLP 的保護範圍涵蓋三種資料狀態：

• 使用中（data in use）：資料正在端點上被檢視、編輯、複製、列印或寫入外接媒體。
• 傳輸中（data in motion）：資料透過電子郵件、網頁上傳、網路傳輸或其他通訊管道移動。
• 靜態儲存（data at rest）：資料存放於個人電腦、檔案伺服器、資料庫或雲端儲存空間。

DLP 的目的不只在事後發現外洩，而是依政策在資料離開控制範圍或遭不當使用前，偵測並採取防護。

解題方法

回答第二小題時，依「部署位置」分類，再補充「如何辨識內容」及「如何執行政策」。這樣可分別交代 DLP 在端點、網路與儲存環境中的防護方式，也能涵蓋其技術核心。

（一）DLP 的意義

DLP 是組織用來管理敏感資料流動與使用行為的技術及管理機制。其典型流程如下：

1. 辨識資料：依關鍵字、規則、格式、標籤或文件特徵找出敏感資料。
2. 分析情境：比對使用者身分、裝置、資料目的地、操作方式及傳輸管道。
3. 套用政策：判斷該操作是否符合組織規定。
4. 採取措施：依政策進行監控、記錄、警示、阻擋、隔離、加密或要求使用者補充理由。

例如，若員工將含有個人資料的檔案寄往組織外部信箱，DLP 可檢查附件內容及收件者，並依政策阻止寄送或要求主管核准。

（二）實現 DLP 的技術

1. 端點 DLP

在個人電腦、筆記型電腦或伺服器安裝代理程式，監控資料在端點上的使用行為，例如複製貼上、列印、螢幕擷取、寫入 USB 儲存裝置、燒錄光碟、使用剪貼簿或上傳檔案。

端點 DLP 可依資料敏感程度及使用者權限，阻擋操作、限制外接媒體、要求加密，或留下稽核紀錄。它適合控管資料在本機的使用與複製。

2. 網路 DLP

在網路出口、郵件閘道、代理伺服器或網路設備部署 DLP，檢查傳輸中的資料，例如電子郵件附件、網頁表單、檔案上傳及網路傳輸內容。

網路 DLP 可依內容與目的地採取告警、阻擋、隔離、加密或要求主管審核。若傳輸內容已加密，系統可能無法直接檢查其內容，因此須搭配解密檢查、端點控管或其他政策機制。

3. 儲存或探索型 DLP

掃描檔案伺服器、資料庫、雲端儲存及端點磁碟中的靜態資料，找出存放位置不當、權限過寬或未受適當保護的敏感資料。依結果可移動檔案、調整存取權限、加密、標記或通知資料管理者。

這類技術重點在於盤點「敏感資料存在哪裡」及「誰能存取」，可降低資料長期暴露的風險。

4. 內容辨識與分類技術

DLP 必須先判斷資料是否敏感，常用方法包括：

• 關鍵字與規則比對：搜尋特定詞彙、欄位名稱或資料格式。
• 正規表示式與校驗規則：辨識身分證字號、信用卡號等具固定格式的資料，並可搭配校驗碼降低誤判。
• 字典與資料模式比對：比對個資、機密等詞彙清單或特定資料結構。
• 文件指紋（document fingerprinting）：將已知機密文件建立特徵，辨識原始文件或經部分修改的內容。

核心觀念

數位鑑識（Digital Forensics）是運用科學方法與專業程序，對數位資料進行識別、蒐集、保存、檢驗、分析及報告，以重建事件經過、確認相關事實，並使結果能供調查、訴訟或資安事件應變使用的過程。

數位證據可能存在於電腦、手機、伺服器、網路設備、雲端服務或各種儲存媒體。由於數位資料容易被修改、刪除或覆寫，鑑識工作的核心是：在取得與分析證據的過程中，維持資料的完整性、來源可追溯性與分析結果的可信度。

解題方法：按證據生命週期整理原則

作答時可依「取得前、取得時、分析時、報告時」分述原則，並交代每項原則如何維護證據價值。

1. 合法授權與適當範圍 鑑識人員應依合法授權執行搜索、扣押或資料取得，並遵守授權範圍及相關程序。超出授權範圍取得資料，可能影響證據的合法性與可採性。

2. 保全原始證據、避免變更 應盡量避免直接操作原始媒體；需要檢視儲存媒體時，宜使用寫入阻斷器製作鑑識映像檔，再對映像檔進行分析。若系統仍在運作，應先評估揮發性資料（如記憶體、連線狀態）流失的風險，依程序採取必要的蒐集措施。

3. 完整性驗證 蒐集前後及分析前後，應以雜湊值（如 SHA-256）驗證資料是否一致。若原始媒體與鑑識映像檔的雜湊值相同，可支持映像檔未遭變更；雜湊值本身不能證明資料內容真實，只能協助驗證資料是否一致。

4. 證物保管鏈（Chain of Custody）連續完整 應記錄證物的識別資訊、取得時間與地點、取得人、移交人、保管位置、存取及分析紀錄。每次交接均須可追溯，避免證物來源或保管過程產生疑義。

5. 使用經驗證且適當的工具與方法 鑑識工具及程序應適合案件資料型態，並確認其功能與限制。重要結果可使用不同工具或方法交叉比對，降低工具錯誤、設定不當或分析者偏誤造成的影響。

6. 可重複與可驗證 應保存工具版本、操作步驟、參數、時間及分析紀錄，使其他具資格的人員能依相同程序檢視或驗證結果。結論應由可觀察的證據與分析方法支持。