109 高普考高考三級 資訊處理 資訊管理與資通安全 考古題詳解

核心觀念

本題涉及法科技學與資訊安全的跨領域整合，主要測驗考生對「數位鑑識標準程序」以及「刑事訴訟法數位證據法則」的掌握度：

1. 數位鑑識（Digital Forensics）：依據國際標準（如 ISO/IEC 27037、NIST SP 800-86），將科學技術與法律程序結合，涵蓋「識別（Identification）」、「保全／收集（Preservation/Collection）」、「分析（Analysis）」與「呈現（Presentation）」四個階段。
2. 證據同一性（Identity / Authenticity）：指法庭上提出之待證物品／檔案，與最初自犯罪現場或標的設備扣押、提取之原始狀態完全一致，未受變更、偽造或篡改。其核心技術基石為「密碼學雜湊演算法（Cryptographic Hash Function）」與「監管鏈（Chain of Custody, CoC）」。
3. 證據能力（Admissibility）：以命題當年（民國 109 年）刑事訴訟法規為準，證據能力係指形式上得提出於法庭調查審酌之資格（嚴格證明法則之核心）。數位證據必須同時符合「合法取證（令狀原則、無違法搜索扣押）」與「具備真實性／同一性（未經污染篡改、監管鏈完整）」，方具證據能力。（註：現行法已於民國 113 年增訂特殊強制處分與科技偵查相關條文，但解題仍以命題當年法制與實務見解為準。）

---

解題方法

1. 子題(一) 切入點：採「法規＋技術標準」的定義切入。先給出數位鑑識的精確定義，再依循 ISO/IEC 27037 架構展開四大生命週期階段，並補充鑑識之最高指導原則（最小更動、程序合法、結果可再現），展現系統性架構。
2. 子題(二) 切入點：從「數位證據易脆性（Volatility）」說明證明同一性的必要性。接著從技術層面（數位指紋/雜湊值、映像檔鏡像製作、寫入阻斷）與管理層面（監管鏈 CoC）雙管齊下，詳細論述如何於實務上維持並驗證同一性。
3. 子題(三) 切入點：明確切分「法律合法性」與「技術真實性」兩大檢驗支柱。利用情境對比法，分別列出符合令狀原則與標準防寫/雜湊/監管程序的「具有證據能力」情境，以及違反法定搜索扣押程序或導致證據污染、斷鏈的「不具有證據能力」情境。

---

選項分析（情境要件辨析）

本題非客觀選擇題，針對第(三)小題所要求之情境，依證據法則要件剖析如下：

• 具備證據能力之情境要件：
• 程序要件（合法性）：符合法定取證程序，具備搜索扣押票，或符合刑事訴訟法第 130 條（附帶搜索）、第 131 條（逕行搜索）等法定例外，且受扣押人或見證人在場簽署。
• 技術要件（真實性）：取證全程使用防寫設備（Hardware/Software Write Blocker），以逐位元映像（Bit-stream Image）複製，產出檔案之雜湊值與原始媒體比對完全一致，且監管鏈無任何中斷。
• 不具備證據能力之情境要件：
• 程序要件違法（違法取證）：無令狀且無急迫例外事由而擅自開機、擷取檔案，違反令狀主義；依刑事訴訟法第 158 條之 4 權衡後，若侵害人權重大即排除其證據能力。
• 技術要件瑕疵（污染與斷鏈）：第一線人員直接於原始目標硬碟開機執行程式或開啟檔案，改變原始系統時間戳記（MACB）或修改檔案內容；或是無法產出一致之雜湊值、監管鏈遺漏致無法排除他人調包之疑慮。

---

解題技巧

1. 避免混淆「證據能力」與「證明力」：

• 「證據能力」是資格門檻（能否進法庭當證據）；「證明力」是心證價值（進法庭後法官信不信、可信度多高）。第(三)小題問的是「證據能力」，切忌回答「法官認為證明力不足」等字眼。

2. 記住數位鑑識黃金關鍵字：

• ISO/IEC 27037、Bit-stream image（逐位元鏡像複製）、Write Blocker（寫入阻斷器）、Hash Value（雜湊值如 SHA-256）、Chain of Custody（監管鏈）。

3. 踩分結構化：申論題 10分 應寫滿 3~4 個次標題；5分 題直接條列對比，切中要害不拖泥帶水。

---

【答案】

(一) 何謂數位鑑識？（10分）

數位鑑識（Digital Forensics），指依循嚴格的科學方法、標準作業程序與法律規範，針對數位裝置、儲存媒體或網路環境中之電子資料，進行收集、提取、保全、檢驗、分析並向法庭呈現之整個過程，其目的在於發現客觀事實，使所獲取之數位跡證具備法庭訴訟之可採信度。

核心觀念

本題旨在測驗考生在「資通安全防禦架構」與「資安事件應變」兩大核心主題的實務與學理掌握度：

1. 網路型入侵偵測系統（NIDS）本質與機制：涉及網路通訊協定分析、封包側錄方式（如混雜模式 Promiscuous Mode）、偵測原理（特徵比對 Signature-based 與異常偵測 Anomaly-based）。
2. 網路縱深防禦與架構拓撲：評量不同網路節點（邊界、DMZ、內部核心）旁路監聽（Out-of-band）的部署策略、流量鏡像（SPAN / Mirror Port）與分流器（TAP）運作，以及 NIDS 相較於 HIDS（主機型）與 IPS（入侵防禦系統）之優劣權衡。
3. 資安緊急應變（Incident Response）與擴散阻斷：以內部網路蠕蟲/惡意程式爆發為情境，結合 NIST SP 800-61（電腦安全事件處理指引）或《資通安全事件通報及應變辦法》（以命題當年民國 109 年法規為準）之應變生命週期，著重於「遏阻（Containment）」階段的爭分奪秒措施，包含網路微區段隔離、ACL 阻斷、主機實體隔離及緊急修補機制。

---

解題方法

1. 子題 (一) 採「定義＋技術架構＋偵測原理」三層次切入： 先給出一句話精準定義（旁路監聽、封包分析、發出警報），再闡明其不影響原有流量傳輸的被動性（Passive），最後點出特徵與異常兩種偵測方式，展現完整學理基礎。
2. 子題 (二) 採「拓撲示意圖＋運作機轉＋條列式優缺點」切入：

• 繪製清晰的網路架構圖，標註防火牆、內部交換器、DMZ 以及 NIDS 透過 TAP/SPAN 擷取封包的相對位置。
• 運作狀況區分為「流量擷取」、「解碼重組」、「比對引擎」、「警報輸出」四步驟。
• 優缺點採對稱式條列，針對主機負擔、監控廣度、加密限制（HTTPS）、漏報/誤報等核心痛點進行精準對比。

3. 子題 (三) 採「應變標準作業流程（SOP）」化解緊急情境： 針對「未更新主機快速擴散、與時間競爭」之情境，切忌漫無目的掃毒，必須以「阻斷擴散（遏阻）最優先，根除修補次之」為原則，依序開展：

• 黃金時間處置（第一時間遏阻）：網路層 ACL 封鎖傳播埠號、切斷受害網段/VLAN 隔離、交換器埠號關閉。
• 清查與防堵：阻斷外部 C&C 連線、識別受害 IP/MAC。
• 根除與修補：離線修補程式派送、惡意軟體清除。
• 復原與檢討：流量重驗後分批上線、實施弱點管理與架構改善。

---

選項分析

本題為高普考申論題（非選擇題），無選項可資分析。評分焦點在於作答架構是否條理分明、標號是否清晰、專有名詞是否精準，以及是否能展現符合業界實務與資安指引的標準處理流程。

---

解題技巧

1. 排版版面視覺化：第 (二) 小題題目註明「可以示意圖表示」，國考閱卷時圖文並茂的試卷極具吸睛與高分優勢。圖表力求方塊分明、箭頭流向清晰，並標記「SPAN / Mirror」等專業技術詞彙。
2. 避開常見陷阱：

• 切勿將 NIDS（偵測型）與 NIPS（防禦/串接型）混為一談。NIDS 運作於「旁路（Out-of-band）」，其本身原則上無法主動 Drop 封包，主要動作是發送告警（Alert）或發送 TCP Reset。
• 第 (三) 小題常有考生回答「立刻幫所有主機下載更新」，此為致命錯誤。未隔離前直接連網更新，會導致頻寬被惡意封包塞滿或下載過程中遭二次感染；正解必須是「先隔離阻斷，再行離線/受控修補」。

3. 引用標準架構拉高層次：解第 (三) 小題時，標註導入 NIST SP 800-61 或 ISO/IEC 27035 標準框架，可使答案更具權威感與說服力。

---

【答案】

(一) 網路型入侵偵測系統（NIDS）之定義

網路型入侵偵測系統（Network-based Intrusion Detection System, NIDS）是一種建置於網路重要節點之資安監控系統，其運作採用**旁路監聽（Out-of-band）**模式。

1. 核心功能：透過網路介面卡設定為混雜模式（Promiscuous Mode），即時擷取並分析流經該網段的網路封包（包含標頭 Header 與負載 Payload），用以識別未授權的存取、惡意攻擊行為或異常網路流量，並即時向管理者發出告警（Alert）或寫入事件日誌（Log）。
2. 偵測技術：

• 特徵偵測（Signature-based / Misuse Detection）：比對封包內容是否符合已知攻擊特徵碼（如已知的 Exploit、惡意字串），準確率高但無法防禦零時差（Zero-day）攻擊。
• 異常偵測（Anomaly-based Detection）：建立正常網路流量行為基準線（Baseline），當流量統計或通訊協定行為顯著偏離基準時觸發告警，具備發掘未知攻擊潛力，但誤報率（False Positive）較高。

---

(二) NIDS 之部署位置、運作狀況及優缺點

1. 部署位置與示意圖

NIDS 通常部署於網路流量匯流之關鍵瓶頸點，主要位置包含：

• 外部防火牆與內部網路之間：監控已穿透防火牆邊界防禦之威脅。
• 非軍事區（DMZ）旁：保護直接對外提供服務之伺服器群（Web, Mail, DNS）。
• 核心交換器（Core Switch）旁：監控內部各 VLAN 間之橫向移動（Lateral Movement）流量。

核心觀念

本題評量重點為網路應用程式安全中的**跨網站腳本攻擊（Cross-Site Scripting, XSS）**機制與分類。

1. XSS 的本質： XSS 屬於注入攻擊（Injection Attack）的一種（在 OWASP Top 10 中名列常客，如 2017 年列為 A7-Cross-Site Scripting，2021 年則歸入 A03-Injection）。其根本原因在於目標網站未對使用者輸入進行嚴謹的驗證或消毒（Sanitization），且在輸出至 HTML 頁面時未進行環境相符的編碼（Context-aware Output Encoding），導致惡意腳本（通常為 JavaScript）被注入至合法網頁中，並在受害者使用者的瀏覽器端被當成合法腳本執行。
2. 同源政策（Same-Origin Policy, SOP）之突破： 瀏覽器依據同源政策保護不同來源間的資料隔離。XSS 攻擊的危險之處在於：惡意腳本是在受害者瀏覽「目標網站」的上下文（Context）環境中執行，因此惡意程式碼具備該網域下受害者的權限，可存取受害者的 Session Cookie、認證 Token，甚至代表受害者發送未授權的 HTTP 請求。
3. 儲存型（Stored / Persistent）與反射型（Reflected / Non-persistent）的核心差異：

• 儲存型（又稱第二類 XSS, Type 2）：惡意代碼持久化存放在伺服器端的資料庫、檔案或快取中，任何瀏覽該資料的受害者都會被感染，影響層面廣、攻擊被動但持續。
• 反射型（又稱第一類 XSS, Type 1）：惡意代碼未儲存於伺服器，而是附帶在請求參數（如 URL 查詢字串）中，伺服器將其立即「反射」於回應頁面中；攻擊者必須透過社交工程誘騙特定受害者主動點擊惡意連結。

---

解題方法

本題為標準的 25 分申論題，答題架構應以「結構化、層次分明、圖文對照」切入：

1. 分項破題（定義與本質）：首先明確界定 Stored XSS 與 Reflected XSS 的學術與實務定義，點出惡意程式碼「存放處」與「傳播方式」的本質差異。
2. 三方關係互動架構圖（ASCII/文字示意圖）：題目明文提示「可以示意圖表示」，在國考評分標準中，繪出清晰的互動圖是取得 20 分以上高分的關鍵。將「攻擊者（Attacker）」、「目標網站（Website）」、「受害者（User）」繪製為三個主體，以箭頭與順序編號標明資料流向與動作。
3. 時序攻擊步驟（Step-by-Step）：依序敘述每一動作的因果關係，包含「注入／構造」、「傳遞／觸發」、「執行／外洩」三階段，展現完整的威脅建模（Threat Modeling）邏輯。

---

選項分析（申論評分構面分析）

本題非選擇題，依國家考試閱卷標準，將題目拆解為以下四大評分關鍵構面進行要件解析：

評分構面	儲存型 XSS（Stored XSS）	反射型 XSS（Reflected XSS）	閱卷重點檢視
持久性（Persistence）	具持久性：惡意腳本被長期儲存於目標伺服器端的資料庫、留言板、日誌或個人檔案中。	不具持久性：惡意腳本僅隨單次 HTTP 請求即時反射，未儲存在伺服器資料庫中。	必須明確寫出惡意程式碼是否寫入伺服器後端儲存媒介。
攻擊管道與觸發機制	攻擊者將 Payload 寫入網站公開區塊；受害者只要正常存取該頁面即自動觸發。	攻擊者構造夾帶 Payload 的惡意 URL，必須搭配社交工程（如釣魚信件）誘騙受害者點擊。	反射型必須提及「誘導點擊 URL / 社交工程」之必要性。
受害對象與廣泛度	一對多（大規模傳播）：凡是存取包含該內容之網頁的使用者皆會受害，威脅等級極高。	一對一（針對性攻擊）：僅點擊該惡意連結的使用者會受害，難以自動廣泛擴散。	需對比兩者影響範圍之差異。
執行上下文（Context）	受害者瀏覽器在目標網站的信任域（Domain）下執行該 JavaScript。	受害者瀏覽器在目標網站的信任域（Domain）下執行該 JavaScript。	兩者終端執行環境皆為「受害者瀏覽器」，切勿誤寫為「在伺服器端執行」。

---

解題技巧

1. 破除常見觀念陷阱：

• 陷阱一（執行位置錯誤）：許多考生誤以為「Stored XSS 是在伺服器端執行惡意程式」。切記：XSS 永遠是在「客戶端瀏覽器」中執行，儲存型只是惡意腳本「路過並停留在伺服器資料庫」，執行點依舊是用戶端。
• 陷阱二（忽略 DOM-based XSS 的邊界）：反射型 XSS 必定會經過目標伺服器處理並反射回傳；若惡意腳本完全未經過伺服器傳輸，純粹由用戶端 JavaScript 解析 URL Hash 觸發，則屬於 DOM-based XSS，作答時切勿將兩者混為一談。

2. 記憶口訣：

• 儲存型：「存入後台、埋伏等待、主動造訪、集體遭殃。」
• 反射型：「參數帶毒、釣魚誘騙、伺服器彈回、一人中標。」

3. 步驟描述的「黃金結尾」： 攻擊步驟不可只寫到「瀏覽器執行腳本」，務必交代攻擊目的，即「惡意腳本偷取 Cookie / 權限憑據，並秘密回傳至攻擊者主機」，如此攻擊鏈（Cyber Kill Chain）才算完整封閉。

---

【答案】

一、儲存型跨站攻擊（Stored XSS）與反射型跨站攻擊（Reflected XSS）之定義

1. 儲存型跨站攻擊（Stored Cross-Site Scripting, 又稱 Persistent XSS）： 指攻擊者將惡意腳本（如 JavaScript）輸入並永久儲存於目標網站的後端儲存媒介（例如資料庫、論壇留言板、用戶個人資料、評論區等）。當其他正常使用者（受害者）向該網站請求瀏覽包含該惡意資料的頁面時，伺服器未經適當過濾與編碼，直接將儲存的惡意代碼嵌入網頁 HTML 中回傳，致使受害者的瀏覽器在該網站的信任環境下解析並執行惡意腳本。

核心觀念

1. 專家系統（Expert System, ES）架構原則：屬於早期人工智慧中「符號學派（Symbolic AI）」與「規則基礎系統（Rule-Based System）」的典型應用。其系統架構最核心的設計理念為**「知識（Knowledge）」與「控制/推論（Control/Inference）」分離**，使領域知識可在不改寫推論邏輯程式碼的前提下獨立擴充與維護。
2. 專家系統六大核心元件：

• 知識庫（Knowledge Base）
• 推論引擎（Inference Engine）
• 工作記憶區 / 暫存資料庫（Working Memory / Blackboard）
• 知識獲取子系統（Knowledge Acquisition Subsystem）
• 解釋子系統（Explanation Subsystem）
• 使用者介面（User Interface）

3. 專家系統與人工智慧（Artificial Intelligence, AI）的關係：

• 範疇隸屬：專家系統為人工智慧的重要分支與子領域（$\text{ES} \subset \text{AI}$）。
• 技術典範：專家系統代表以知識工程、啟發式規則（Heuristics）與邏輯演繹為核心的「符號主義（Symbolism）」，有別於以資料驅動、統計歸納為核心的「連結主義（Connectionism，如機器學習、類神經網路）」。

---

解題方法

1. 第 (一) 子題（20分）解題切入點：

• 關係圖設計：採用「人員角色（領域專家、知識工程師、終端使用者）」與「核心子系統（6大元件）」相互呼應的資料流向圖。繪製時區分知識建立階段（輸入面）與問題求解階段（輸出面）。
• 元件功能陳述：按元件獨立條列，精確寫出英文名稱，並帶出關鍵機制（例如推論引擎的「前向/後向推論」；解釋子系統的「Why/How機制」；工作記憶區的「動態事實儲存」）。

2. 第 (二) 子題（5分）解題切入點：

• 從「層級歸屬（廣義與狹義）」、「技術典範（符號演繹 vs. 資料歸納）」與「歷史發展（第二次 AI 浪潮核心）」三個構面切入，論述完整且具廣度。

---

選項分析

本題為申論題，無選擇題選項。考生應注意各組常被混淆的概念界線：

• 知識庫 vs. 一般資料庫：資料庫儲存未經組織或關聯的客觀「資料/資訊（Data/Information）」；知識庫儲存具備專家智慧的「經驗規則、啟發式判斷（IF-THEN Rules）」與概念關聯。
• 工作記憶區 vs. 知識庫：知識庫儲存「靜態、持久性」的專業規則；工作記憶區儲存「當次會話、動態改變」的事實與中間推論狀態。
• 推論引擎 vs. 一般運算程式：推論引擎不直接計算數值，而是模擬人類思考邏輯，透過規則匹配（Pattern Matching）與衝突解決（Conflict Resolution）產生結論。

---

解題技巧

1. 圖形排版先行：申論題閱卷時間極短，先畫出清晰的方塊架構圖，閱卷老師一眼便能確認考生掌握了 6 大元件及其互動關聯，分數基本盤即穩固。
2. 記憶口訣與結構對稱：

• 知識維護端：領域專家／知識工程師 $\leftrightarrow$ 知識獲取子系統 $\rightarrow$ 知識庫。
• 系統核心處理端：知識庫 $\leftrightarrow$ 推論引擎 $\leftrightarrow$ 工作記憶區。
• 終端互動端：推論引擎 $\leftrightarrow$ 解釋子系統 $\leftrightarrow$ 使用者介面 $\leftrightarrow$ 終端使用者。

3. 關鍵得分詞彙：

• 解釋子系統：務必寫出回答使用者 "Why"（為何需要此輸入） 與 "How"（如何推導出此結論）。
• 推論引擎：務必寫出 前向推論（Forward Chaining，資料驅動） 與 後向推論（Backward Chaining，目標驅動）。

---

【答案】

(一) 專家系統 6 大構成部分之關係示意圖與功能說明

1. 專家系統 6 大組成部分之關係示意圖