112 地方特考三等 資訊處理類科 資通網路與安全 考古題詳解

核心觀念

本題考查 IPv4 標頭欄位的功能，重點在封包長度、分片重組，以及封包轉送時的生命週期管理。IPv4 標頭長度至少為 20 位元組；題目所列欄位的用途如下。

解題方法

依欄位在網路傳輸中的工作分類說明：

• 封包大小：Total Length
• 分片與重組：Identification Number、Fragmentation Offset
• 轉送管理：Time-to-Live
• 上層協定識別：Protocol

（一）Total Length（總長度）

此欄位記錄整個 IPv4 封包的長度，包含 IP 標頭與資料內容，以位元組為單位。欄位長度為 16 位元，因此封包最大長度為 $2^{16}-1=65,535$ 位元組。

接收端可依此欄位判斷封包範圍；若封包經過分片，各分片都有自己的 Total Length，分別表示該分片的標頭與資料總長度。

（二）Identification Number（識別碼）

此欄位用來標示原始 IP 封包。若一個封包被分成多個分片，這些分片會帶有相同的來源位址、目的位址、Protocol 與 Identification Number，接收端據此判定它們屬於同一個原始封包，並進行重組。

Identification Number 本身不足以決定分片順序，還須搭配 Fragmentation Offset 與旗標欄位判斷。

（三）Fragmentation Offset（分片位移）

此欄位表示該分片的資料內容，在原始封包資料中的起始位置。欄位以 8 位元組為單位，因此實際位移量為：

核心觀念

本題分成兩部分：第一部分比較 5G 與 4G 的網路能力及架構；第二部分分析企業導入 5G 行動專網後，因設備、軟體、雲端化與網路互連所增加的資安風險。作答時宜先說明 5G 的主要服務類型，再整理其技術特點；安全風險則由「端點、無線接取、核心網路、管理與供應鏈」逐層分析。

解題方法

（一）相較於 4G，5G 行動網路的特點

1. 更高速的行動寬頻（eMBB） 5G 的增強型行動寬頻（enhanced Mobile Broadband, eMBB）可提供較高傳輸速率與較大網路容量，適用於高畫質影音、沉浸式應用及大量資料傳輸。速率提升來自更寬頻譜、較高頻段、Massive MIMO 及波束成形等技術。

2. 更低延遲與高可靠度（URLLC） 超可靠低延遲通訊（Ultra-Reliable Low-Latency Communications, URLLC）以降低傳輸延遲並提升通訊可靠度為目標，適用於工業控制、遠端操控、智慧電網等需要即時反應的情境。實際效能仍受網路部署、距離、負載與應用設計影響，不能只因採用 5G 就假設所有服務都能達到極低延遲。

3. 支援大量物聯網裝置（mMTC） 大規模機器型通訊（massive Machine-Type Communications, mMTC）支援大量低功耗、低資料量裝置同時連線，例如感測器、智慧電表及工廠設備。相較於以行動寬頻為主的 4G，5G 更能配合密集物聯網部署。

4. 採用新無線技術與多元頻段 5G 新無線電（New Radio, NR）使用不同頻段，包含較低頻段及毫米波等高頻段。高頻段可提供較大頻寬，但傳播距離較短、穿透能力較弱，通常需要較密集的基地臺及更完善的回傳網路。Massive MIMO 與波束成形可提升頻譜使用效率及訊號傳輸能力。

5. 網路切片與服務差異化 網路切片（network slicing）可在共用實體網路上建立邏輯隔離的網路切片，依不同服務設定頻寬、延遲、可靠度及存取政策。企業可依需求使用專屬切片或專用網路，但切片的隔離與服務品質仍仰賴正確設定及營運管理。

6. 核心網路雲端化與服務化 5G 核心網路採服務化架構（Service-Based Architecture, SBA），並可透過網路功能虛擬化與雲端平台部署網路功能。這讓網路服務更容易彈性擴充、更新與自動化管理，但也增加對軟體、虛擬化平台及雲端環境安全的依賴。

7. 支援行動邊緣運算與企業專網 5G 可搭配多接取邊緣運算（Multi-access Edge Computing, MEC），將運算與資料處理部署在接近使用者或設備的位置，以降低傳輸延遲並減少資料回傳核心網路的需求。企業專網則可提供企業場域內的專用無線連線與管理能力，常見部署方式包括獨立非公共網路（SNPN）及與公共網路整合的非公共網路（PNI-NPN）。

（二）企業採用 5G 行動專網的安全風險

1. 攻擊面擴大 5G 專網會連接大量終端、感測器、工業設備、基地臺及網路功能。

核心觀念

本題考查 DNS 的權威資料管理、名稱解析流程，以及遞迴解析器開放給不特定來源使用時的資安風險。

• Zone file（區域檔）：DNS 權威伺服器用來保存並發布一個 DNS 區域資料的設定檔，內容由資源紀錄（Resource Record, RR）組成。
• 迭代式查詢（iterative DNS query）：DNS 伺服器若無法直接回答，就回覆目前所知的下一個查詢方向；提出查詢的一方再自行向下一台 DNS 伺服器查詢。
• Open Resolver（開放解析器）：未適當限制來源，允許外部主機使用其遞迴解析服務的 DNS 解析器。

（一）Zone file：用途及內容（5 分）

Zone file 是描述特定 DNS 區域（zone）中網域名稱與其 DNS 資料的檔案，通常由該區域的權威 DNS 伺服器載入。它的用途是讓權威伺服器能回答該區域內名稱的查詢，並提供區域管理、資料更新及區域傳送所需的紀錄。

Zone file 主要包含下列資料：

• SOA（Start of Authority）紀錄：標示區域的起始權威資訊，包含主要名稱伺服器、管理者電子郵件欄位、序號，以及重新整理、重試、過期與負快取等計時參數。
• NS（Name Server）紀錄：指定負責該區域的名稱伺服器。
• 各類資源紀錄：例如 A／AAAA 將主機名稱對應至 IPv4／IPv6 位址；CNAME 指定別名；MX 指定郵件伺服器；TXT 儲存文字資料；PTR 用於反向解析。

資源紀錄通常包含名稱、TTL、類別、紀錄型別及紀錄資料。例如 www.example.com. IN A 192.0.2.10 表示該名稱對應至一個 IPv4 位址。

（二）迭代式 DNS 查詢的工作原理（10 分）

迭代式查詢的關鍵是：被詢問的 DNS 伺服器提供它所知道的答案或轉介資訊，查詢端再依序詢問下一台伺服器。被詢問的伺服器不會代替查詢端一路遞迴查到底。

以用戶端查詢 www.example.com 為例：

1. 向本地 DNS 解析器提出查詢：用戶端先詢問本地解析器。實際網路環境中，用戶端通常要求本地解析器進行遞迴解析；本地解析器接著以迭代方式向其他 DNS 伺服器查詢。
2. 查詢根 DNS 伺服器：若解析器沒有快取答案，便詢問根伺服器。

核心觀念

零信任架構（Zero Trust Architecture, ZTA）的核心原則是「不因網路位置而預設信任，任何存取都必須經過驗證與授權」。傳統網路常以內部網路作為信任邊界，認為內網使用者或設備較可信；ZTA 則不以內網、外網或 VPN 連線作為信任的充分條件。

每次存取都應依據使用者身分、設備狀態、存取的資源、情境與風險等資訊進行判斷，並遵守最小權限原則。授權不是永久有效的通行證，系統應持續取得狀態與活動資訊，必要時重新驗證、調整權限或中止連線。

推動動機

1. 傳統網路邊界逐漸失效：雲端服務、遠距辦公、行動裝置及跨機關協作，使使用者和資料不再集中於單一內部網路，單靠防火牆或 VPN 難以界定可信任範圍。
2. 降低帳號遭竊後的危害：攻擊者取得帳號或進入內網後，傳統架構可能讓其進一步存取其他系統；逐次驗證與最小權限可限制可存取的資源。
3. 限制攻擊者橫向移動：以資源為單位進行控管及網路分段，能降低攻擊者從一台設備擴散至其他主機或重要系統的機會。
4. 因應多元設備與存取情境：除確認使用者身分，也可評估設備是否符合安全要求、連線位置、行為及風險，降低不安全設備造成的威脅。
5. 強化敏感資料與關鍵服務的保護：將存取控制細化到應用程式、服務或資料層級，避免「已連上內網」就能廣泛存取資源。
6. 提升偵測與應變能力：集中分析身分、設備、網路及系統事件，可及早發現異常存取，並撤銷權限或隔離設備。

（二）實現 ZTA 的核心機制

解題方法

可從「誰在存取、使用什麼設備、要存取什麼、如何決定權限、如何持續監控」五個面向整理核心機制。這樣能涵蓋 ZTA 的政策判斷、執行與持續驗證，而不會只把零信任簡化成多因素驗證或網路分段。

核心機制

1. 身分驗證與身分治理 驗證使用者、管理者、服務帳號或應用程式的身分，並透過身分治理管理帳號生命週期及角色權限。多因素驗證（MFA）可降低單一密碼外洩造成的風險。

2. 設備識別與安全狀態評估 確認存取設備的身分與安全狀態，例如作業系統和修補程式是否符合要求、端點防護是否正常、設備是否受組織管理。未達政策要求的設備可被拒絕、限制存取或要求修復。

3. 以資源為中心的細緻存取控制 將受保護對象視為具體資源，例如應用程式、服務、資料庫或資料，而非只保護整個內部網路。系統依身分、設備、資源敏感度及連線情境決定是否允許存取。

核心觀念

本題考查防火牆的網路區隔、不同防火牆的檢查層次，以及資安事件情資中 IOC 的意義。三小題都要說明「保護什麼、如何判斷、能做到什麼」，不可只列名詞定義。

（一）DMZ 的用途

DMZ（Demilitarized Zone，非軍事區）是介於外部網路（如網際網路）與企業內部網路之間的隔離網段，常放置必須對外提供服務的主機，例如網站、郵件、DNS 或代理伺服器。

其用意如下：

1. 隔離對外服務與內部網路：外部使用者可依政策連線至 DMZ 的指定服務，但不能因此直接進入內部網路。
2. 限制入侵的擴散範圍：若 DMZ 主機遭入侵，攻擊者仍須突破 DMZ 與內網之間的防護規則，才能進一步接觸內部系統。
3. 集中控管網路流量：防火牆可分別設定網際網路至 DMZ、DMZ 至內網、內網至外部的允許與拒絕規則，落實最小權限原則。
4. 降低內部資訊暴露：對外服務由 DMZ 主機承接，避免內部伺服器直接暴露於網際網路。

DMZ 不是完全可信或完全不可信的網段，而是依安全政策加以限制的緩衝區。部署 DMZ 也不代表其中主機遭入侵後，內網就必然安全；仍須搭配嚴格的存取控制、主機加固與監控。

（二）WAF 與封包過濾式防火牆的差異

解題切入點是比較兩者的檢查層次、判斷依據與防護對象。