110 高普考普通考試 資訊處理 資訊管理與資通安全概要 考古題詳解

核心觀念： 變臉詐騙是以商務電子郵件往來為目標的社交工程詐騙。攻擊者先蒐集組織、人員與交易資訊，再冒用或入侵主管、供應商、客戶等可信任對象的電子郵件帳號，藉由偽造付款通知、變更匯款帳戶或要求緊急付款，誘使被害人匯款或提供敏感資料。BEC 的重點在於利用身分假冒與信任關係，不一定會夾帶惡意程式或加密檔案。

常見手法包括：

• **仿冒寄件者：**註冊與公司或供應商相似的網域，讓郵件地址看似可信。
• **帳號遭入侵：**盜取電子郵件帳號後，接續原有郵件往來，要求變更收款帳戶。
• **冒充主管：**以急迫、保密等理由，要求員工立即匯款或提供帳密。
• **掌握交易時機：**利用採購、請款、交割等流程，將款項導向攻擊者控制的帳戶。

解題方法： 作答可依「定義與手法」及「預防措施」兩部分組織。預防措施要同時涵蓋人員辨識、付款流程、電子郵件防護與事件應變，才能降低單靠使用者判斷所造成的風險。

預防方式：

1. **建立付款與帳戶變更查證程序：**收到變更匯款帳戶或緊急付款要求時，應透過既有且獨立的聯絡方式回撥確認，不使用該封郵件提供的電話或連結。
2. **落實職務分工與雙重覆核：**付款、供應商資料異動及核准作業由不同人員負責；高額或異常交易須經第二人確認。
3. **加強電子郵件帳號安全：**使用多因素驗證、強密碼，限制登入權限，並定期檢查異常登入與郵件轉寄規則。
4. **部署郵件防護機制：**檢查寄件網域與郵件標頭，導入垃圾郵件及仿冒郵件過濾，並設定 SPF、DKIM、DMARC 等網域驗證機制。
5. **提升人員警覺：**定期宣導仿冒網域、異常語氣、要求保密或催促匯款等警訊，並建立可疑郵件通報管道。
6. **建立應變流程：**發現誤匯或帳號遭入侵時，立即聯絡金融機構嘗試止付，停用或重設受影響帳號，保留郵件與交易紀錄並通報相關單位。

解題技巧： 辨識 BEC 的關鍵是「冒用可信任的商務身分，操縱付款或資料流程」。答題時不要只寫防毒軟體；還要寫出獨立回撥查證、雙人覆核與帳號防護，因為詐騙可能只靠文字與身分假冒完成。

（二）勒索病毒（Ransomware）

核心觀念： OWASP Top 10 是開放式網路應用程式安全計畫（OWASP）整理的網頁應用程式常見且重要安全風險清單。它用來協助開發人員、系統管理者與組織辨識、理解及降低常見的應用程式安全風險，作為安全開發、程式碼檢查、測試、教育訓練與風險溝通的參考。

解題方法： 作答時掌握「風險整理、協助辨識、指引防護」三項功能即可。OWASP Top 10 是安全風險的分類與宣導工具，不是完整的安全檢查清單，也不是法律或認證標準；組織仍須依系統情境進行威脅分析、弱點評估與安全測試。

解題技巧： 不要只回答「列出十大弱點」。應補充它能協助軟體開發生命週期中的設計、開發、測試與維護工作，並用於提升開發者及組織的安全意識。

（二）Injection 弱點與影響

核心觀念： Injection（注入）弱點是指應用程式將未受適當驗證或處理的外部輸入，直接組合進直譯器或命令中執行，使輸入內容被當成指令或語法，而非單純資料。常見類型包括 SQL 注入、作業系統命令注入、LDAP 注入及跨站指令碼（XSS）等。

解題方法： 以「成因—攻擊方式—影響—防護」說明：

1. 成因： 程式把使用者輸入直接串接到 SQL、作業系統命令或其他直譯器語法中，沒有採用安全的參數化介面或適當的輸入處理。

核心觀念

本題考查系統委外開發時，機關如何在需求規格書（RFP）中預先訂定資安要求，並將安全責任納入採購、開發及驗收管理。依題意，應以行政院國家資通安全會報技術服務中心的「資通系統委外開發 RFP 資安需求範本」為答題依據，列舉並說明兩項「系統與服務獲得」階段的安全需求。

此處的「系統與服務獲得」著重於機關取得系統或服務前，將資安需求寫入採購文件、契約與驗收條件，確保受託廠商的交付成果符合機關要求。法規與範本內容以命題當年（民國 110 年）為準。

解題方法

先辨認題目指定的安全需求範疇是「系統與服務獲得」，再從 RFP 範本中挑選兩項具體要求，分別說明其目的及執行方式。作答時應呈現「需求內容」與「安全作用」，而非只列出項目名稱。

安全需求說明

一、委外廠商及其人員應遵守機關資安規範，並履行保密義務

機關應在 RFP 與契約中要求廠商及參與專案的人員遵守機關的資訊安全政策、作業規範及保密要求；必要時應簽署保密切結或相關文件。機關也應明定廠商人員接觸系統、資料及作業環境的權限與管理方式。

核心觀念

本題考查資料庫交易的 ACID 四大特性：原子性（Atomicity）、一致性（Consistency）、隔離性（Isolation）與持續性（Durability）。交易（Transaction）是資料庫中一組具有邏輯關聯的操作，應視為一個完整單位執行；若交易未能完成，資料庫須依規則回復，避免留下不正確或不完整的資料狀態。

解題方法

答題時依序寫出 ACID 四項特性，並說明每項要保障的結果。可用「全做或全不做、前後都合法、交易彼此隔開、提交後不消失」作為記憶主軸。

• 原子性（Atomicity）：交易中的操作不可只完成一部分；全部成功才提交，若中途發生錯誤，則回復已執行的變更，讓交易視同未發生。 例如轉帳時，扣款與入帳必須一起完成；若入帳失敗，扣款也要回復。

• 一致性（Consistency）：交易執行前後，資料庫都必須符合既定的完整性限制與規則。交易可以改變資料，但不能破壞資料庫的一致性。