114 高普考普通考試 資訊處理 資通網路與安全概要 考古題詳解
第 一 題25 分
企業導入雲端架構（如 AWS、Azure）後，其資安風險與傳統內部部署有何差異？請提出三項具體差異並建議對應的安全控管策略。
登入後即可作答並保存紀錄。
核心觀念
本題在考雲端環境相較於傳統內部部署的資安風險差異，以及如何依風險配置控制措施。關鍵觀念是共享責任模型：雲端服務商負責雲端基礎設施的安全，客戶則須依服務類型負責帳號與權限、資料、設定及工作負載等安全事項。採用雲端不代表資安責任全部移轉給服務商。
解題方法
可從「管理邊界、暴露面、資料與復原」三個面向作答。每一項先說明雲端相較內部部署的風險差異，再提出能直接降低該風險的控管策略。如此可避免只列出抽象威脅，卻未回答「差異」及「對應控管」兩部分。
三項差異與安全控管策略
一、責任邊界與設定管理方式不同
傳統內部部署通常由組織直接管理伺服器、網路設備、實體存取及系統設定；雲端則由服務商與客戶分工。客戶若誤設儲存空間公開權限、網路存取規則或身分權限，可能使資料或服務暴露在外。不同雲端服務模式的責任也不同：例如 IaaS 下，客戶仍須管理作業系統與部分網路設定；SaaS 下，服務商管理較多底層元件，但客戶仍須管理帳號、資料及服務設定。
**控管策略：**建立雲端資產清冊與責任矩陣，明確指定各項設定及維護責任；採用安全基準與設定檢查工具，持續偵測公開儲存空間、不必要的網路連線及過度授權；重要設定變更納入審核與稽核程序。
二、網路暴露與身分存取風險不同
內部系統常受企業內網邊界、專線或防火牆保護；雲端服務則容易透過網際網路存取，管理介面、API 與工作負載可能直接面對外部威脅。
第 二 題25 分
請以零信任理念說明企業如何強化遠端工作者的資安保護，並分析相對於虛擬私人網路（Virtual Private Network, VPN）的優勢與風險。
登入後即可作答並保存紀錄。
核心觀念
本題考查企業如何運用**零信任（Zero Trust）**保護遠端工作者，並比較零信任與傳統虛擬私人網路（VPN）的安全優勢與風險。零信任的核心原則是「永不信任、持續驗證」：不因使用者位於企業內網，或已連上 VPN，就直接授予廣泛存取權限；每次存取都應依使用者身分、裝置狀態、存取情境及資源敏感度進行驗證與授權。
本題為資安治理與技術應用題，無須套用特定法條或計算公式。
解題方法
作答可分成兩部分：先說明企業如何落實零信任，再分析相對於 VPN 的優勢及風險。舉措應涵蓋身分、裝置、存取權限、網路與監控，才能呈現完整的遠端工作防護架構。
一、以零信任強化遠端工作者保護
-
驗證使用者身分：採用多因素驗證（MFA），並整合單一登入（SSO）與身分及存取管理（IAM）。對高風險登入情境，例如異常地點、異常時間或不熟悉的裝置，要求額外驗證或拒絕存取。
-
檢查裝置安全狀態：納入端點偵測與回應（EDR）、行動裝置管理（MDM）及裝置健康檢查，確認作業系統已更新、端點防護正常、磁碟加密已啟用，且裝置符合企業安全政策。未符合條件的裝置應限制存取或先隔離修復。
-
落實最小權限與資源層級授權：依使用者職務及業務需要，僅開放特定應用程式、資料與操作權限，避免授予整個企業網路的廣泛存取。採用角色為基礎或屬性為基礎的存取控制，並定期檢視、撤銷不再需要的權限。
-
依情境持續評估存取：授權時納入使用者身分、裝置狀態、位置、時間、網路風險及資源敏感度；風險改變時重新驗證、降低權限或終止連線。驗證不應只發生在登入當下。
-
保護應用程式與資料：可透過零信任網路存取（ZTNA）讓使用者連線至被授權的特定應用，而非直接進入整個內網。對敏感資料另採加密、資料外洩防護（DLP）、下載或複製限制，以及適當的備份與復原措施。
-
持續記錄與監控：集中蒐集身分、端點、應用程式及網路紀錄，進行異常行為偵測與事件通報。發現帳號遭盜用、裝置感染或可疑資料存取時，應能快速撤銷權杖、停用帳號或隔離裝置。
二、零信任相對於 VPN 的優勢與風險
優勢：
第 三 題25 分
請比較 IP 位址、MAC 位址和主機名稱（Hostname）之間的關係與各自用途，並說明它們如何互補以實現網路通訊。
登入後即可作答並保存紀錄。
核心觀念
本題考查不同網路識別資訊的用途、所在層級與彼此轉換方式：
| 識別資訊 | 主要用途 | 所在層級與特性 |
|---|---|---|
| 主機名稱（Hostname） | 以人容易記憶的名稱識別主機或服務，例如 www.example.com | 應用層使用的名稱；可由 DNS 解析為 IP 位址 |
| IP 位址 | 在網際網路或 IP 網路中識別目的主機，並供路由器轉送封包 | 網路層的邏輯位址；可隨網路環境改變 |
| MAC 位址 | 在同一區域網路的鏈路上識別網路介面，讓資料框送達下一個節點 | 資料鏈結層的位址；通常由網路介面使用，主要在區域網路範圍內有效 |
Hostname、IP 位址與 MAC 位址分別解決「人如何辨識服務」、「網路如何跨網路找到目的地」和「區域網路如何把資料交給下一個節點」等問題。它們並非同一種位址，也不能互相取代。
解題方法
依照通訊流程說明三者如何銜接：
- 使用者指定主機名稱：例如輸入網站的網域名稱。Hostname 方便使用者辨識，但網路封包實際轉送時需要 IP 位址。
- 名稱解析：DNS 將主機名稱解析為 IP 位址；若有快取紀錄，主機可直接使用快取結果。
- IP 路由：來源主機依目的 IP 位址判斷資料是否在本地網路。若目的地位於其他網路，封包會送往預設閘道，由路由器依 IP 位址逐段轉送。
第 四 題25 分
請試述物聯網裝置在智慧城市中的應用情境，並說明這些裝置如何提升城市管理效率與居民生活品質。
登入後即可作答並保存紀錄。
核心觀念
物聯網（Internet of Things, IoT）是將感測器、控制器、通訊網路與軟體平台連結，使實體設備能蒐集資料、交換資訊，並依據分析結果進行監控或控制。智慧城市運用物聯網即時掌握交通、能源、環境及公共設施狀態，形成「感知、傳輸、分析、應用」的管理流程。
物聯網裝置的效益不只在於蒐集資料，還在於將資料轉化為管理行動：城市管理者可更快發現異常、調度資源，居民則能獲得更便利、安全且符合需求的公共服務。
解題方法
作答時可從「應用情境」與「帶來的效益」成對說明。每一項先指出裝置如何蒐集或傳送資料，再說明城市如何運用資料改善管理，最後連結居民生活品質。以下列舉常見情境：
- 智慧交通：道路感測器、攝影機及車流偵測裝置蒐集車速、流量與停車資訊，交通管理平台據此調整號誌、發布壅塞資訊，並引導車輛尋找空位。這能減少壅塞與通勤時間，也讓救護車、消防車等緊急車輛更快通行。
- 智慧環境監測：空氣品質、噪音、溫濕度及水質感測器持續回傳環境資料。管理單位可及早發現污染或異常變化，安排稽查與改善措施，居民也能掌握環境資訊，降低健康風險。
- 智慧能源與建築：智慧電表、照明控制器及建築管理系統監測用電與設備狀態，依人流、時段或能源需求調整照明、空調及供電。這可減少能源浪費、降低營運成本，並提升公共建築的舒適度。
- 智慧垃圾與公共設施：垃圾桶的容量感測器回報滿載程度，清運單位可依實際需求安排路線；公共設施上的感測裝置也能回報設備故障。