107 國安局特考三等 資訊組(選試英文) 網路應用與安全 考古題詳解

核心觀念

本題旨在測驗資通安全與網路認證的核心基石——使用者身分鑑別（Entity Authentication）機制。在資訊安全標準（如 NIST SP 800-63、ISO/IEC 27001、RFC 4949）架構下，驗證使用者身分的依據主要分為三個根本維度：

1. 知識因素（Knowledge Factor / Something you know）：基於使用者腦中所記憶、知悉的秘密資訊。
2. 擁有因素（Possession Factor / Something you have）：基於使用者實體持有、控制的硬體載具或數位憑證。
3. 生物/特徵因素（Inherence Factor / Something you are）：基於使用者天生具備或後天形成的生理特徵或行為特徵。

題目的第三小題更進一步測驗「強身分認證（Strong Authentication）」的嚴謹定義，強調認證必須跨越兩個或兩個以上不同類別的因素（Multi-Factor Authentication, MFA），而非同一類別的多個步驟疊加。

---

解題方法

1. 第 (一) 小題破題切入： 依資安通則將身分認證因素明確分為「所知之物（Something you know）」、「所有之物（Something you have）」與「所具之物（Something you are）」。作答時須寫出中英文對照，並以一句精準文字定義該因素之本質。
2. 第 (二) 小題實例鋪陳： 針對三類因素分別舉出 2～3 個具代表性的資通訊應用實例，涵蓋一般網路登入、金融 ATM、政府公務認證與行動裝置解鎖等典型情境，展現對實務網路與系統安全的掌握度。
3. 第 (三) 小題深入論述：

• 核心定義：明確指出強身分認證通常等同於多因素認證（MFA, Multi-Factor Authentication），要求驗證機制必須結合至少兩種「不同類別」的因素。
• 成立要件與機制：強調獨立性（Mutual Independence），單一因素遭破解不得導致其餘因素被推導或危及。
• 防護效益：說明強認證如何有效抵禦憑證填充（Credential Stuffing）、暴力密碼破解、中途側錄（Sniffing）與社交工程釣魚攻擊。

---

解題技巧與常見陷阱

1. 辨析「多步驟認證（2-Step）」與「多因素認證（2-Factor）」：

• 常見陷阱：許多考生誤以為「輸入登入密碼」再「回答母親的姓氏等安全提示問題」，就是強身分認證。這兩者本質皆屬於「知識因素（Something you know）」，因此僅屬於「雙步驟單因素認證（Two-Step Single-Factor Authentication）」，絕非多因素或強身分認證。

2. 記憶口訣：

• 認證三要素牢記三字訣：「知（所知 / 記憶）、持（所持 / 載具）、具（所具 / 生理）」。

3. 評分拿高分關鍵：

• 在解釋強認證時，務必點出「因素獨立性」（Factors must be independent）。任一因素的洩漏，不應使攻擊者更容易破解另一個因素。

---

【答案】

(一) 三種主要認證因素

在資通安全鑑別架構中，三個主要認證因素（Authentication Factors）為：

1. 知識因素（Knowledge Factor / Something you know）： 指使用者知悉並記憶的秘密資訊。驗證系統透過比對使用者輸入的資訊與後端預先儲存的機密值（或雜湊值）是否相符來進行驗證。

核心觀念

本題評量考生對於「網路位址轉換（Network Address Translation, NAT）」之運作機制、在資訊安全體系中的效益與定位，以及網際網路工程任務組（IETF）於「RFC 1918」規範之私有 IP 位址分配標準。

1. NAT 運作機制與安全特性： NAT 最初旨在緩解 IPv4 位址耗盡問題，普遍實施於邊界路由器或防火牆。在實務上多採「網路位址埠號轉換（NAPT / PAT）」。由於外部封包進入內部必須依賴轉譯表（NAT Translation Table）中的動態對應紀錄，因此 NAT 具備了隱匿內部拓撲與單向連線建立控制的「非意圖性安全效益（Security Side-effect）」。
2. RFC 1918 私有位址空間（Private Address Space）： RFC 1918 規範了保留給企業內部專用、在公網（Public Internet）上不可繞送（Non-routable）的三段位址空間。熟記此三段位址的類別（Class）、網路遮罩（CIDR 前綴）及起訖範圍，是網路與資安類科的基本功。

---

解題方法

本題為標準的觀念簡答題，作答策略應力求「架構分明、專有名詞精準、條列清晰」：

• 子題 (一) 安全效益切入點：不可僅寫「隱藏 IP」一筆帶過，應由外而內、從「資訊隱匿」、「存取控制」到「集中管理」層次展開，並適度點出 NAT 的安全邊界（指出其非專業防火牆之限制，以展現資安思考的深度）：

1. 內部網路拓撲隱匿（Topology Hiding / Obfuscation）
2. 阻擋非預期之外部主動連線（Default Inbound Filtering）
3. 縮減受攻擊面（Attack Surface Reduction）
4. 流量集中化便於實施資安稽核與政策（Centralized Gateway Control）

• 子題 (二) 私有 IP 範圍切入點：採用階層化或表格化列舉，務必包含「Class 類別」、「起訖 IP 範圍」、「CIDR 前綴標記」與「連續網路區塊數量」，確保 10 分完整入袋。

---

選項分析

本題為申論問答題，非選擇題，無各選項分析。閱卷評分重點如下：

• 子題 (一)（10 分）：能否精確論述「阻擋外部未經請求的連線（Unsolicited Traffic）」與「狀態追蹤（Stateful Tracking）」之關聯；若僅籠統回答「有防護力」難以拿滿分。
• 子題 (二)（10 分）：起訖範圍必須完全正確。常見筆誤（如 Class B 寫成 172.16.0.0～172.32.255.255）將直接導致大幅失分。

---

解題技巧

1. Class B 範圍防呆技巧：

• 許多考生常將 Class B 誤記為 172.16.0.0/16。正確為 172.16.0.0/12。
• 計算檢核：前綴長度為 $12$，主機遮罩空間為 $32 - 12 = 20$ 位元。第二個八位元組（Octet）占用 $4$ 位元，代表連續 $2^4 = 16$ 個 Class B 網段。故第二碼為 $16$ 至 $16 + 16 - 1 = 31$，即 172.16.0.0 至 172.31.255.255。

2. 申論答題亮點： 在回答 (一) 時，提及「NAT 是依據狀態表（State Table）建立單向過濾機制」，並適度補述「NAT 不等於真正具備深層封包檢測（DPI）的防火牆」，能有效拉開與一般考生的分數差距。

---

【答案】

(一) 從網路安全角度，NAT 的好處

在網路架構中，NAT（特別是結合通訊埠轉換的 NAPT/PAT）在安全維度上具備以下效益：

1. 隱匿內部網路架構與真實 IP（Topology Hiding & Anonymity）：

核心觀念

本題評量網路安全防護架構中的核心機制——入侵偵測系統（Intrusion Detection System, IDS）。依據資料收集來源與部署架構，IDS 主要劃分為主機型（HIDS）與網路型（NIDS）。本題重點涵蓋：

1. 部署拓撲與架構定位：端點主機代理程式（Agent）與網路關鍵節點（Choke Point / SPAN / TAP）之部署差異。
2. 優劣勢多維度權衡：加密流量處理能力、主機效能耗損、全面視角（Holistic View）、單點失效防禦與維運成本。
3. 資料來源與特徵工程：系統呼叫（System Calls）、日誌（Audit Logs）、檔案完整性（FIM）對比未經處理的原始封包（Raw Packets）、協定標頭與網路流（Flow）。
4. 回應機制（Response Mechanisms）：被動回應（Passive Response，如警報、日誌記錄）與主動回應（Active Response，如 TCP RST、動態聯防阻擋、處理程序終止）。

---

解題方法

本題為典型國考 20 分標準申論題，建議配分比例採「時間與分數對稱原則」（20 分鐘內完成）：

1. 第 (一) 子題（12 分）：佔分最重，採「定義與部署位置說明」搭配「結構化對比表格」作答。表格從防護範圍、加密辨識、效能衝擊、可見度、維護成本等維度全面切入，能迅速展現架構邏輯。
2. 第 (二) 子題（3 分）：條列化呈現，精準寫出 HIDS 與 NIDS 所依據的底層資料來源，避免泛泛空談。
3. 第 (三) 子題（5 分）：將回應動作明確區分為「被動回應（Passive Response）」與「主動回應（Active Response）」兩大維度，展現對傳統純偵測（IDS）與入侵防禦聯防（IPS/Active IDS）之縱深理解。

---

選項分析

本題為申論題（問答題），非選擇題，故無特定選項需逐一辨析。作答重點在於專有名詞精準度（如 Promiscuous Mode、TCP RST、FIM、Syscall、TAP/SPAN 等）與條理分明。

---

解題技巧

1. 記憶口訣：

• HIDS：「深而窄」（深入單機作業系統內核、無視傳輸加密，但受限於單機視角且耗費主機資源）。
• NIDS：「廣而淺」（綜觀全網封包與異常流量、不耗主機資源，但盲區在於端對端加密與終端攻擊成效）。

2. 避開常見陷阱：

• 切勿將 NIDS 回應寫成「直接攔截封包」，因為純 IDS 屬於旁路（Out-of-band / Promiscuous mode）監控，其主動回應主要透過偽造「TCP RST」或「觸發防火牆聯防」，只有 Inline 部署的 IPS（Intrusion Prevention System）才能在線直接 Drop 封包。
• 務必提及「加密流量（HTTPS/TLS）」對 NIDS 的致命限制，這是近年各類資安考題必備的得分關鍵字。

---

【答案】

(一) HIDS 與 NIDS 之安裝位置及優缺點比較

1. 安裝位置說明

• 主機型入侵偵測系統（HIDS）：
• 安裝位置：直接安裝於受監控之**終端主機、關鍵伺服器（如 Web、資料庫、網域控制站 Domain Controller）**的作業系統內部，通常以背景常駐服務（Daemon / Service）或代理程式（Agent）的形式運行。
• 網路型入侵偵測系統（NIDS）：
• 安裝位置：部署於網路架構的關鍵瓶頸點（Choke Points）或網段分界處（例如外網防火牆與內部 DMZ 之間、內部核心交換器 Core Switch 旁）。通常透過交換器鏡像埠（SPAN / Port Mirroring）或實體分流器（Network TAP），以混雜模式（Promiscuous Mode）旁路監聽經過該網段之所有流量。

2. 優缺點綜合比較表

比較項目	主機型入侵偵測系統（HIDS）	網路型入侵偵測系統（NIDS）
優點	1. 不受網路加密影響：在資料解密後、應用程式處理時進行分析，可完整檢查 HTTPS/SSH 等加密內容。<br>2. 精確確認攻擊結果：可直接監控系統呼叫與處理程序狀態，精準得知惡意攻擊是否成功入侵主機。<br>3. 偵測本機特權行為：能有效監控本機未經授權的提權、使用者登入及本機檔案竄改（如 USB 植入木馬）。	1. 單點佈建、廣泛防禦：一台設備即可監控整個網段之所有主機，成本效益極高。<br>2. 不耗損主機效能：獨立硬體運算，完全不佔用伺服器或端點之 CPU、記憶體及 I/O。<br>3. 自身隱蔽性高：以旁路監聽模式運作（監聽介面不需指派 IP），不易被攻擊者探測或鎖定攻破。<br>4. 擅長巨觀網路威脅：能即時捕捉全網掃描（Port Scan）、網路型蠕蟲擴散與 DoS/DDoS 異常流量。
缺點	1. 消耗主機資源：監控與即時分析會佔用受保護主機的運算資源，甚至影響主要服務效能。

核心觀念

本題旨在測驗密碼學（Cryptography）的基礎理論與應用架構，涵蓋以下核心觀念：

1. 資訊安全服務（Security Services）：密碼系統如何滿足國際標準（如 ITU-T X.800）所定義的核心安全目標，包含機密性（Confidentiality）、完整性（Integrity）、鑑別性（Authentication）與不可否認性（Non-repudiation）。
2. 密碼系統的形式化架構（Formal Model of Cryptosystem）：古典與現代密碼學中，密碼系統的五元組 $(P, C, K, E, D)$ 定義及其各元件運作機制。
3. 對稱式與非對稱式密碼學之對比：單金鑰（Shared Secret Key）與公私金鑰對（Public-Private Key Pair）在計算複雜度、金鑰管理複雜度（$O(n^2)$ 與 $O(n)$）、傳輸通道需求以及數位簽章支援能力上的本質差異，以及兩者的代表性演算法（如 AES 與 RSA）。

---

解題方法

本題為國考典型「名詞定義與架構比較」申論題，配分為 5 分、5 分、10 分，解題切入點如下：

• 第(一)小題（用途與安全服務）：從密碼系統所能落實的安全服務切入，以資安四大支柱「機密性、完整性、鑑別性、不可否認性」分點條列，並具體說明各服務是透過何種密碼技術（如對稱加密、雜湊函數、數位簽章）達成。
• 第(二)小題（組成元件）：採用密碼學標準數學模型「五元組」形式化表述，分別界定明文、密文、金鑰、加密轉換與解密轉換，展現扎實的資安學理基礎。
• 第(三)小題（兩大密碼系統比較與實例）：從「運算效能」、「金鑰分發與儲存數量」、「安全性功能（如能否做數位簽章）」三個關鍵構面進行優缺點論述；輔以綜合比較表增強排版可讀性，最後各舉一個業界與標準規範中最具代表性的演算法（AES 與 RSA）並扼要說明其核心數學原理。

---

解題技巧

1. 配分與版面控制：

• 第(一)、(二)小題各 5 分，適合採條列式扼要精準作答（各約 6～8 行）。
• 第(三)小題佔 10 分，宜採「文字析述＋綜合對照表＋演算法說明」的三段式結構，版面豐富且重點一目了然。

2. 精準使用專業術語：

• 避免使用口語化詞彙。安全服務務必寫出規範名稱（如「不可否認性」而非「不能賴皮」；「鑑別性」而非「確認身分」），並附上英文對照。
• 金鑰管理數量之比較，直接列出數學複雜度公式：對稱式需 $\frac{n(n-1)}{2} \approx O(n^2)$ 把金鑰；非對稱式僅需 $2n \approx O(n)$ 把金鑰，為閱卷評分亮點。

3. 避開常見陷阱：

• 陷阱一：誤將「用途」僅回答「把資料加密防竊聽」。加密僅提供機密性，密碼系統衍生的雜湊、簽章技術更涵蓋完整性與鑑別性。
• 陷阱二：第(二)小題元件漏寫「金鑰空間」或「明文/密文空間」，僅回答「加密演算法與解密演算法」。

---

【答案】

(一) 密碼系統之用途（安全服務功能）

密碼系統（Cryptosystem）是資通安全的核心防禦技術，透過數學演算法將敏感資訊進行代換或置換轉換，主要提供以下四項核心安全服務功能：

1. 機密性（Confidentiality）： 確保資料在傳輸或儲存過程中，即使遭到未授權的第三方竊聽或截獲，未持有合法解密金鑰者亦無法解讀其內容。
2. 完整性（Integrity）： 確保訊息在傳輸途中未遭到未授權的竄改、偽造、置換或刪除。通常結合密碼雜湊函數（Hash Function）或訊息鑑別碼（MAC）進行驗證。
3. 鑑別性／認證（Authentication）： 確認通訊實體的真實身分（實體鑑別），以及驗證資料來源的真實性（資料來源鑑別），防止假冒者進行詐欺攻擊。
4. 不可否認性／抗抵賴性（Non-repudiation）： 透過非對稱式密碼技術的「數位簽章（Digital Signature）」，確保發送方無法否認其曾傳送特定訊息，接收方亦無法否認收到該訊息，提供具法律效力的稽核依據。

---

(二) 密碼系統之主要組成元件

在形式化密碼學定義中，一個完整的密碼系統通常表示為一個五元組 $(P, C, K, E, D)$：

1. 明文空間（Plaintext Space, $P$ 或 $M$）： 所有未經加密的原始資料、訊息或位元串流的集合。
2. 密文空間（Ciphertext Space, $C$）： 明文經過加密運算後所產生的混淆訊息集合。
3. 金鑰空間（Key Space, $K$）： 加密與解密過程中所有可能使用的金鑰集合。

核心觀念

本題評量重點在於勒索軟體（Ransomware）之攻擊生命週期、滲透傳播技術及縱深防禦（Defense-in-Depth）架構。

1. 勒索軟體本質與型態：

• 加密型（Crypto-Ransomware）：利用非對稱金鑰（如 RSA-2048/4096）加密對稱金鑰（如 AES-256），再以對稱金鑰快速加密受害主機資料庫與檔案，具不可逆性。
• 鎖定型（Locker-Ransomware）：鎖定作業系統介面（如覆寫 Master Boot Record, MBR 或鎖死桌面使用者介面），阻止使用者登入操作。

2. 傳播向量（Attack Vectors）：勒索軟體仰賴社交工程、網路邊界脆弱點、軟體系統漏洞與供應鏈弱點等多面向途徑入侵內部網路。
3. 縱深防禦與資安治理：遵循「事前預防（Prevent）、事中偵測（Detect）、事後復原（Recover）」之資安控制措施，核心包含資料備份的「3-2-1 原則」、網路分段（Network Segmentation）及最小權限原則（Principle of Least Privilege, PoLP）。

---

解題方法

本題配分為 20 分（兩子題各 10 分），屬於經典的「情境分析與防護對策」申論題，作答切入點如下：

1. 子題(一) 傳播途徑：

• 採用多維度傳播向量分類法，避免僅列舉單一管道。
• 從「人（社交工程）」、「系統/協定（漏洞利用）」、「網路/網站（水坑與掛馬）」、「橫向/介質（內部擴散與供應鏈）」四個維度逐一深入技術細節，展現專業度。

2. 子題(二) 防護對策：

• 採用**縱深防禦架構（技術面、管理面、資料復原面）**切入。
• 強調具體的防禦技術名詞（如 3-2-1 備份、離線備份/Air-gap、修補管理、MFA、EDR、網路微切分），取代空泛的宣導口號。

---

選項分析

本題為專業申論題，非選擇題，故無個別選項之正誤分析。評分焦點在於答題架構的層次感、技術名詞之精確度，以及防護建議是否符合資安實務標準規範。

---

解題技巧

1. 專有名詞加分法：作答時帶出代表性攻擊技術與防禦標準，如「釣魚郵件（Phishing）」、「遠端桌面協定（RDP, TCP 3389）」、「伺服器訊息區塊（SMB, TCP 445）」、「3-2-1 備份原則」、「端點偵測與回應（EDR）」。
2. 避開常見陷阱：

• 陷阱一：只寫個人防毒層級，未提及企業/機關級防禦（如網路分段、權限控管、金鑰管理）。
• 陷阱二：防護措施僅寫「定期備份」，未強調「離線備份（Air-Gapped Backup）」或「不可變唯讀備份（Immutable Backup）」；勒索軟體常會優先抹除或加密連網的 NAS 與本機陰影複製（VSS, Volume Shadow Copy）。

---

【答案】

(一) 勒索軟體的可能傳播途徑

勒索軟體的傳播主要結合外部滲透技術與內部橫向擴散機制，常見途徑如下：

1. 社交工程與釣魚郵件（Phishing Emails）：

• 攻擊者偽裝為合法公務機構、金融業者或合作夥伴，寄送含有惡意附檔（如 .docm 啟用巨集檔案、壓縮檔 .zip/.rar 內夾帶 .exe/.js，或偽裝之 PDF 漏洞利用檔）。受害者一旦點擊執行，即從遠端 C2（Command and Control）伺服器下載並植入勒索酬載。
• 郵件內嵌釣魚連結，誘騙受害者點擊並導向惡意伺服器進行下載。

2. 遠端存取服務暴力破解與外洩憑證利用：

• 企業或機關直接將遠端桌面協定（RDP, Port 3389）、虛擬私人網路（VPN）或 SSH 管理介面暴露於網際網路。
• 攻擊者透過字典檔暴力破解弱密碼、或利用暗網外洩的使用者帳密直接登入主機，手動部署勒索軟體並停用防毒保護。

3. 網路服務與作業系統漏洞利用（Vulnerability Exploits）：

• 透過未修補之作業系統與服務漏洞進行網路自動化傳播（具備蠕蟲特性）。
• 例如利用 Windows SMB（Server Message Block, Port 445）協定漏洞（如 EternalBlue 漏洞，促成 WannaCry 疫情）或 Web 伺服器軟體漏洞（如 Apache Struts、WebLogic），遠端注入並執行惡意