109 國安局特考三等 資訊組(選試英文) 網路應用與安全 考古題詳解

核心觀念

本題考查勒索軟體（Ransomware）的定義、攻擊造成的影響，以及攻擊者如何滲透組織內部網路。勒索軟體是一種惡意程式，常以加密受害者的檔案或系統、阻止正常存取為手段，再要求支付贖金以換取解密工具或恢復服務。部分攻擊也會先竊取資料，再以公開資料相威脅，形成「加密勒索」與「資料外洩勒索」並行的雙重勒索。

題幹所述「產線停擺」及「手機 App 更新無法同步」，顯示攻擊影響可能不限於個人電腦，也波及企業的伺服器、內部網路或支援營運的資訊系統，造成營運中斷。

解題方法

作答宜分成兩部分：

1. 說明攻擊本質與影響：指出勒索軟體如何限制資料或系統的可用性，以及贖金要求。
2. 依攻擊鏈說明滲透手法：從初始入侵、取得內網立足點、擴大權限與橫向移動，寫到加密或破壞營運。這樣可清楚呈現攻擊者如何由單一入口擴大到企業系統。

勒索軟體的滲透手法

一、取得初始存取權

攻擊者常透過以下途徑進入企業環境：

• 釣魚郵件：寄送偽裝成帳單、履歷或公文的郵件，誘使員工開啟惡意附件、啟用巨集，或點擊連結下載惡意程式。
• 竊取或猜測帳密：利用弱密碼、重複使用的密碼、外洩帳密，或暴力破解遠端桌面服務（RDP）、VPN 等遠端登入入口。
• 利用未修補漏洞：攻擊對外服務、作業系統或應用程式中的已知漏洞，直接執行未經授權的程式。
• 供應鏈或第三方入口：入侵具有連線權限的廠商、維護帳號或軟體更新管道，再藉其存取受害組織。

二、建立立足點並規避偵測

核心觀念

本題考查資訊科技（IT）與營運科技（OT）在系統目的、運作環境、安全優先順序及可用防護方式上的差異。IT 主要處理資訊的儲存、傳輸與運算；OT 則監控或控制實體設備與製程，例如產線機台、控制器及監控系統。OT 資安不能只看是否能阻擋惡意程式，還必須確保製程持續、安全且可預測地運作。

這類題目沒有特定法條或公式，作答重點是從系統安全角度，說明 IT 資安產品的防護假設為何不一定適用於 OT。

解題方法

可依「系統特性 → IT 防護措施的限制 → OT 所需安全作法」作答。先比較 IT 與 OT 的運作需求，再說明一般 IT 產品在 OT 環境中可能造成的問題，最後指出 OT 必須採取符合製程特性的防護設計。

一、系統目的與安全優先順序不同

一般 IT 系統以資料機密性、完整性與可用性為主要考量，常以機密性優先。OT 系統直接影響實體製程與設備，通常優先確保人員與設備安全、製程可用性及穩定性。若 IT 防護產品為了掃描、更新或隔離威脅而使控制系統停機，可能造成產線中斷，甚至引發設備或製程安全事故。

二、可容許的停機與變更程度不同

IT 系統通常可以安排重開機、修補程式或更換設備；OT 設備則可能必須長時間連續運作，停機需配合產線排程，且不能任意中斷。部分控制設備使用舊版作業系統或專用軟體，更新前須經過相容性測試與製程驗證。直接套用 IT 常見的自動修補、重新啟動或設備隔離機制，可能使控制服務中斷。

三、設備生命週期與相容性不同

OT 設備的使用年限往往較長，包含專用控制器、嵌入式系統與舊型工作站。這些設備可能無法安裝一般端點防護軟體，也可能不支援現代作業系統或安全代理程式。

核心觀念

本題在比較三種常見資安檢測：源碼檢測、弱點掃描與滲透測試。三者的主要差異在於檢測對象、執行方式及能回答的問題：

源碼檢測通常屬於白箱分析，不必等系統正式上線；弱點掃描通常以自動化檢查為主，適合快速盤點；滲透測試則是以攻擊者角度驗證實際風險，通常需要較多專業判斷與測試時間。

解題方法

作答時可依「檢測什麼、怎麼檢測、何時導入」三個面向逐一比較，並指出三者互補，不能互相取代。

一、源碼檢測

源碼檢測直接分析原始碼，常見作法包括靜態應用程式安全測試（SAST）及人工程式碼審查。工具可檢查輸入驗證不足、SQL Injection 風險、不安全的密碼處理、硬編碼憑證、錯誤的權限檢查等問題。

優點是能在程式尚未部署時找出程式邏輯或實作層面的弱點，修正成本通常較低；也能指出弱點所在的程式碼位置。限制是可能產生誤報，且通常無法完整掌握執行環境、部署設定與執行時行為；若沒有原始碼，也不易直接進行。

導入時機：

• 需求與設計階段：先納入安全設計與安全編碼規範。
• 開發階段：每次重要變更或提交程式碼時進行自動檢測。
• 發布前：對主要功能或高風險程式碼進行檢查，確認重大問題已修正。

二、弱點掃描

弱點掃描通常由工具主動探測目標，或檢查資產清單、版本資訊與組態，將結果與已知弱點資料比對。檢查範圍可包含缺少安全更新的作業系統、過時服務版本、不安全的網路服務、錯誤設定及常見應用程式弱點。

優點是速度快、適合大量資產定期盤點，也適合持續追蹤修補情形。限制是結果主要反映工具規則與已知弱點，可能出現誤報或漏報；

核心觀念

本題考查關鍵資訊基礎設施防護（CIIP）的資安聯防架構，以及 CERT、ISAC、SOC 如何分工合作。三者不是彼此取代的單位，而是分別負責事件應變、情資分享分析、持續監控，共同形成預防、偵測、通報、應處與改善的循環。

民國 109 年時，行政院已推動國家、關鍵基礎設施領域、關鍵基礎設施提供者等層級的聯防機制，並以領域 CERT、ISAC、SOC 實務建置指引作為建置與維運參考。指引屬作業參考，領域主管機關可依產業特性調整；各提供者仍須依資通安全管理法及相關規定辦理資安維護、事件通報等責任。

解題方法

作答時先分辨三者的「工作重心」，再說明它們如何串成聯防流程：

1. SOC 負責看見事件：持續監控系統、網路與資安日誌，分析異常並提出告警。
2. ISAC 負責讓資訊流通並形成共識：彙整會員及跨單位威脅資訊，分析後分享預警、弱點與防護建議。
3. CERT 負責協助處理事件：受理通報、研判事件、協調應變與復原，並將事件經驗回饋給相關單位。

因此，可用「監控偵測 → 情資彙整分享 → 事件通報與應變 → 經驗回饋改善」說明運作關係，並從時效、品質、覆蓋率、應變能力、服務韌性及持續改善等面向評估成效。

三者任務與分工

一、CERT：資安事件應變與協調

CERT（Computer Emergency Response Team，電腦緊急應變團隊）是事件發生時的應變協調核心，任務包括：

• 建立資安事件受理、通報、分級、研判、處置及結案程序。
• 協助受影響單位進行事件分析、遏止擴散、清除威脅、系統復原及事後檢討。
• 發布事件警訊、技術通報及處置建議，協調領域內相關單位共同應處。
• 連結領域主管機關、提供者及國家層級應變單位，必要時協助跨領域或跨組織事件處理。
• 彙整事件處理經驗，提出改善措施，降低相同事件再次發生的機率。

CERT 的重點是事件處理與協調；它不是單純的監控設備，也不只是接收通報的窗口。

二、ISAC：資安資訊分享與分析

ISAC（Information Sharing and Analysis Center，資安資訊分享與分析中心）是領域內的情資交換與分析平台，任務包括：

• 建立會員及相關機關間的情資分享機制、聯絡管道與作業規範。
• 蒐集、彙整與分析威脅情資，例如攻擊手法、惡意程式指標、漏洞資訊、攻擊來源及影響範圍。
• 將分析結果轉化為預警、威脅趨勢、弱點風險及防護建議，提供會員採取措施。
• 促進領域內橫向交流，以及領域與國家層級間的縱向情資交換。
• 透過分享事件經驗與防護資訊，協助會員及早辨識共同威脅。

ISAC 的重點是情資的彙整、分析與分享。分享內容應兼顧時效、可信度、可操作性及適當的保密管理。

三、SOC：持續監控、偵測與分析

SOC（Security Operations Center，資訊安全監控中心）是日常資安監控與初步分析的作業中心，任務包括：

• 持續收集系統、網路、資安設備及應用服務的監控資料。
• 透過事件管理平台及分析流程，關聯不同來源資料，發現異常活動及疑似攻擊。
• 進行告警分級、初步研判、事件追蹤與必要的通報。
• 依權責協助執行阻擋、隔離或其他緊急處置，並將需進一步處理的事件交由 CERT 或相關權責單位。

核心觀念

本題考查 5G 網路中兩項常見技術的功能定位差異：

• 軟體定義網路（Software Defined Networking, SDN）：將網路的控制平面與資料轉送平面分離，讓控制邏輯由軟體集中管理，並透過可程式化介面設定網路設備的轉送行為。
• 網路功能虛擬化（Network Function Virtualization, NFV）：將原本由專用硬體設備提供的網路功能，改以軟體形式部署在通用運算、儲存與網路設備上，例如虛擬防火牆、虛擬路由器及虛擬負載平衡器。

簡言之，SDN 改變網路的控制與管理方式；NFV 改變網路功能的實作與部署方式。

解題方法

比較兩者時，可從「處理的對象」與「要解決的問題」切入：