114 地方特考四等 資訊處理類科 資通網路與安全概要 考古題詳解

核心觀念

軟體定義網路（Software-Defined Networking, SDN）的核心，是將控制平面與資料平面分離：控制器集中掌握網路拓樸與流量狀態，再透過程式化介面下達轉送規則；交換器等網路設備則依規則轉送封包。SDN 讓管理者能集中設定政策，並快速調整網路流量與存取控制。

在企業資訊安全架構中，SDN 可把安全政策直接落實到網路流量路徑上，常見應用包括：

• 網路分段與微分段：依使用者、設備、應用程式或資料敏感度限制彼此連線，降低橫向移動風險。
• 集中式存取控制：根據身分、裝置狀態或連線情境，動態允許、限制或拒絕流量。
• 威脅偵測與自動隔離：整合入侵偵測／防禦系統（IDS/IPS）、端點偵測與應變（EDR）或威脅情資，發現異常後即時調整流量規則。
• 流量導引與安全服務鏈：將特定流量導向防火牆、沙箱或深度封包檢測設備檢查。
• 集中監控與稽核：由控制器彙整網路狀態及政策設定，提升事件調查與政策一致性。

解題方法

本題要求說明「應用場景」並舉出「兩個實際案例」，因此作答時先交代 SDN 的控制平面與資料平面分離及集中控制，再說明企業安全可如何利用集中控制執行政策。兩個案例宜各自呈現安全情境、SDN 的處置方式、防護能力提升及可能成效，才能完整回應題意。

應用案例一：勒索軟體感染後的快速隔離

企業端點偵測與應變系統發現某台員工電腦出現大量檔案加密或異常連線行為，便將該端點的識別資訊傳送給 SDN 控制器。控制器隨即更新交換器的流量規則，限制該端點與其他使用者網段、檔案伺服器及備份系統的通訊，只保留必要的管理與鑑識連線。

核心觀念

本題考查網路位址轉譯（Network Address Translation, NAT）的運作方式、常見類型，以及 NAT 在 IPv4 位址耗盡時的功能與限制。NAT 會在封包經過路由器或防火牆時，改寫封包的 IP 位址；部分類型也會改寫傳輸層埠號，並維護轉譯狀態，讓回程封包能送回正確的內部主機。

IPv4 位址長度為 32 位元，位址空間有限。NAT 可讓多部使用私有 IPv4 位址的設備共用一個或少數幾個公用 IPv4 位址，延緩公用位址需求，但不會增加 IPv4 位址總量，也不是 IPv6 的替代品。

解題方法

依序說明「封包如何轉譯」、「有哪些轉譯類型」、「NAT 如何因應 IPv4 位址不足」，並補充 NAT 帶來的限制與長期對策，即可完整作答。

一、NAT 的運作原理

以內部主機 192.168.1.10 連線至外部伺服器為例：

1. 主機送出封包，來源 IP 為 192.168.1.10，目的 IP 為外部伺服器的公用位址。
2. 封包經過 NAT 路由器時，路由器查閱轉譯規則，將來源私有位址改成路由器的公用位址。
3. 若使用連接埠位址轉譯（PAT），路由器也會將來源埠改成可用的外部埠，並記錄轉譯對應，例如「內部 IP、內部埠、外部 IP、外部埠、協定」。
4. 外部伺服器回覆至公用位址與外部埠。路由器依據轉譯表還原目的 IP 與目的埠，再將封包轉送給原本的內部主機。

例如，NAT 可將多部內部主機的連線分別對應到同一個公用 IP 的不同埠號。IP 位址和埠號的改寫也須配合調整相關封包檢查碼；部分協定若在負載內容中攜帶 IP 或埠資訊，還需額外的應用層閘道或相關機制協助。

二、常見 NAT 類型

• 靜態 NAT：建立固定的一對一位址對應，常用於讓內部伺服器透過固定公用 IP 對外提供服務。它不會讓多部主機共用同一個公用 IP。
• 動態 NAT：從一組公用 IP 位址池中，按需分配位址給內部主機。可共用位址池，但同一時間可轉譯的主機數受公用位址數量限制。
• PAT／NAPT：又稱連接埠位址轉譯或 NAT Overload。

核心觀念

零信任架構的核心是「永不信任，始終驗證」：無論使用者身處內網或外網，每次存取都須依身分、裝置狀態、存取情境與資源敏感度進行驗證及授權。零信任不是單一產品，也不代表只要導入多因素驗證（MFA）就能消除內部威脅；它仰賴身分治理、最小權限、持續監控、分段隔離與事件應變等多層控制。

本題考查的是：零信任環境中，內部人員為何仍能濫權，以及如何從「降低取得權限的機會、限制權限造成的損害、及早發現並處置」三方面補強防禦。

解題方法

可依「濫用原因」與「對應控制」成對分析。原因涵蓋身分與授權缺失、政策或技術執行不足、監控與治理不周，以及人員本身的惡意或疏失；控制措施則要同時涵蓋預防、偵測與應變。這樣能避免只寫帳號驗證，卻漏掉已通過驗證的合法使用者仍可能超出工作所需存取資料的情況。

內部信任濫用的潛在原因

1. 權限過大或未及時回收：依職務授予大量權限，未落實最小權限；人員轉調、離職或專案結束後，舊權限仍保留。
2. 身分遭冒用或憑證遭竊：內部人員帳密遭釣魚、重複使用或竊取；若權限管理過度依賴單一帳號的驗證結果，攻擊者便能以合法身分存取資源。
3. 授權缺乏情境判斷：只確認「是誰」，沒有充分考量存取哪項資料、在何種裝置、何時、從何處，以及是否符合該人員的工作任務。
4. 職務分工與高權限管理不足：單一人員可自行提出、核准並執行敏感操作，或長期使用管理者帳號，造成權限濫用難以制衡。
5. 網路或系統區隔不足：內部網路過度平坦，取得一處存取權後即可橫向移動至其他系統或資料庫。
6. 監控、稽核與告警不足：未記錄或分析大量下載、非上班時間存取、短時間查詢異常資料等行為，或告警後無人處置。
7. 內部人員惡意或疏失：人員可能蓄意竊取或外洩資料，也可能因誤寄、錯誤設定或不安全的資料處理方式造成暴露。

有效控管機制

預防：限制可取得的權限

• 落實最小權限與預設拒絕，依角色、工作任務及資源敏感度授權；定期檢視權限，並在轉調、離職或任務結束時即時停用或回收。

核心觀念

異常偵測在入侵偵測系統（Intrusion Detection System, IDS）中，是以「建立正常行為基準，再找出偏離基準的活動」來判斷可疑事件。系統先蒐集網路流量或主機活動資料，例如連線頻率、封包大小、登入時間、服務使用情形與資源消耗量，建立正常流量模型；之後將新資料與模型比較，若偏離程度超過設定門檻，就將該活動標示為異常並發出警示。

異常不等於已確認的入侵。它表示活動與正常模式不同，仍須透過後續分析確認原因。

解題方法

本題可依序說明「偵測原理、兩項優點、誤判原因、降低誤判的對策」：

1. 建立正常行為基準：利用歷史資料或訓練資料，統計正常使用者、主機或網路的行為特徵。
2. 分析新活動：將即時流量或活動資料轉換為特徵，與正常模型比較。
3. 判斷是否異常：若差異或異常分數超過門檻，產生警示，供管理者調查。

常見方法包括統計分析、機器學習、行為分析及流量基線比對。答題時應交代模型如何由正常資料建立，以及偏離正常模式如何觸發警示。

兩個優點

1. 能偵測未知或新型攻擊：不必事先掌握每種攻擊的特徵或特徵碼；只要攻擊行為造成明顯偏離正常模式，就有機會被發現。
2. 可辨識偏離正常行為的內部威脅或濫用行為：例如帳號在非慣常時段大量存取資料，或主機突然出現異常連線與流量，有助於發現非典型的惡意活動。

誤判原因

異常偵測的誤判包括把正常活動判為異常（誤報），以及未能發現實際攻擊（漏報）。常見原因如下：

• 正常行為會變動：使用者工作習慣、網路流量、系統服務或業務需求改變，使舊模型無法代表目前的正常狀態。
• 模型或訓練資料不適切：資料不足、不具代表性，或訓練資料混入攻擊活動，會使正常基準失準。