111 高普考高考三級 資訊處理 資通網路與安全 考古題詳解

核心觀念

本題評量 OSI 傳輸層（Transport Layer）之兩大核心通訊協定（TCP 與 UDP）的設計架構差異、TCP 連線建立之「三方握手」（Three-way Handshake）機制運作細節，以及協定原生設計缺陷所衍生之資通安全威脅——SYN Flood 癱瘓服務（Denial of Service, DoS）攻擊原理。

1. 傳輸層協定特性：

• TCP（RFC 793）：連線導向（Connection-oriented）、具備可靠傳輸保障（Reliable）、循序傳送（In-order delivery）、流量控制（Flow Control, 基於 Sliding Window）與壅塞控制（Congestion Control）。
• UDP（RFC 768）：非連線導向（Connectionless）、盡力而為（Best-Effort Delivery）、無連線維護開銷（Header 僅 8 Bytes）、低延遲、不具備流量與壅塞控制機制。

2. TCP 三方握手機制：透過控制旗標（SYN、ACK）與序號（Sequence Number, SEQ；Acknowledgment Number, ACK）的雙向同步，在通訊兩端（Client 與 Server）各自確認傳送與接收通道均運作正常，並協商初始序號（ISN, Initial Sequence Number）。
3. DoS 攻擊原理：TCP 三方握手在設計上存在非對稱的狀態資源消耗特性。伺服器端收到 SYN 後必須分配核心記憶體維護傳輸控制塊（TCB, Transmission Control Block）並將連線置入「半開放連線佇列」（SYN Queue / Backlog），而攻擊者利用偽造來源 IP 發送大量惡意 SYN，使伺服器長期處於等待逾時的半開狀態，耗盡系統記憶體或佇列空間，達成癱瘓服務之目的。

---

解題方法

本題為標準的 20 分結構化申論題，作答策略採「條列分明、圖表輔助、機制環環相扣」之原則展開：

1. 子題 (一) 作答切入點（10 分）：

• 採「各自特性條列說明」結合「綜合對比彙整表」呈現。
• 評分點聚焦在：連線管理、可靠性機制、封包表頭開銷、傳輸控制能力、適用應用情境等五大構面。

2. 子題 (二) 作答切入點（5 分）：

• 採「時序互動流程圖」結合「文字分步解析」。
• 精確標註三個步驟中封包攜帶之控制旗標（Flags）、序號運算（$Seq=x$ 與 $Ack=x+1$），以及兩端的主機狀態（CLOSED $\rightarrow$ SYN_SENT / LISTEN $\rightarrow$ SYN_RCVD $\rightarrow$ ESTABLISHED）。

3. 子題 (三) 作答切入點（5 分）：

• 採「攻擊因果鏈推導」：攻擊手法（偽造 IP / 不回 ACK）$\rightarrow$ 伺服器狀態（SYN_RCVD / 進入 SYN Backlog）$\rightarrow$ 資源耗盡（半開佇列填滿、系統逾時重傳消耗 CPU/RAM）$\rightarrow$ 癱瘓結果（正常合法 SYN 封包被直接丟棄）。
• 補強防禦機制（如 SYN Cookie、縮短逾時時間），展現資安專業深度。

---

選項分析

本題為高考三級專業科目之申論題，非選擇題型，故無選項。各子題評分標準與作答論述要點剖析如下：

• 子題 (一) 分析：若僅回答「TCP 可靠、UDP 不可靠」，得分僅能達及格邊緣。必須深入點出 TCP 達成可靠的手段（ACK 確認、重傳、序號排列、滑動視窗流量控制）與 UDP 設計哲學（無連線開銷、即時性優先），並分別列舉典型協定（TCP: HTTP/HTTPS, FTP；UDP: DNS, VoIP, DHCP）以佐證論述。
• 子題 (二) 分析：必須明確回答「為何需要三次握手而非兩次」。兩次握手無法確認 Client 端的接收能力，亦無法防止網路中殘留的延遲舊連線請求（Old Duplicate SYN）導致 Server 誤開連線資源。
• 子題 (三) 分析：核心概念為「SYN Flood 攻擊」。論述焦點必須落在「伺服器端維護未完成連線佇列的資源有限性」，並明確點出連線停滯在 SYN_RCVD 狀態的根本原因。

---

解題技巧

1. 旗標與序號演算法速記：

• 第一步（Client $\rightarrow$ Server）：$\text{SYN}=1, Seq=x$。
• 第二步（Server $\rightarrow$ Client）：$\text{SYN}=1, \text{ACK}=1, Seq=y, Ack=x+1$。
• 第三步（Client $\rightarrow$ Server）：$\text{ACK}=1, Seq=x+1, Ack=y+1$。
• 關鍵規則：凡是消耗一個序號空間的控制封包（如帶有 SYN 或 FIN 旗標者），對方的確認號必須加 1（即 $Ack = \text{前一封包之 } Seq + 1$）。

2. SYN Flood 作答黃金關鍵字：

• 「IP 偽冒（IP Spoofing）」
• 「半開連線（Half-open Connection）」
• 「未完成連線佇列（SYN Backlog Queue）」
• 「等待逾時重傳（SYN-ACK Timeout / Retransmission）」
• 「拒絕服務（Denial of Service, DoS）」

---

【答案】

(一) TCP 與 UDP 協定之特色說明

TCP（傳輸控制協定）與 UDP（使用者資料包協定）同屬於 OSI 模型第四層（傳輸層），負責端對端（End-to-End）的行程間通訊（Process-to-Process Communication），兩者設計目標與特色如下：

1. TCP（Transmission Control Protocol）之特色

• 連線導向（Connection-Oriented）：在傳送應用層資料前，通訊雙方必須先透過三方握手（3-way handshake）建立邏輯連線；傳輸完畢後須以四方交握（4-way wave）正常釋放連線。
• 高可靠性與循序保證（Reliable & In-Order Delivery）：
• 利用位元組序號（Sequence Number）與確認應答（ACK）追蹤資料傳遞。
• 具備逾時重傳（Retransmission Timeout, RTO）機制，若未收到確認即自動重發遺失封包。
• 接收端利用序號重新組裝封包，消除重複並修正亂序。
• 流量控制（Flow Control）：採用「滑動視窗機制（Sliding Window）」，由接收端依據其緩衝區容量動態宣告接收視窗大小（Receiver Window, rwnd），防止接收端緩衝區溢位。
• 壅塞控制（Congestion Control）：內建慢啟動（Slow Start）、壅塞避免（Congestion Avoidance）、快速重傳（Fast Retransmit）與快速復原（Fast Recovery）機制，依網路壅塞程度動態調節壅塞視窗（Congestion Window, cwnd）。
• 標頭開銷較大：TCP 最小表頭長度為 20 Bytes，若包含選項欄位（Options）最大可達 60 Bytes。

核心觀念

本題評量應試者對區域網路（LAN）與互連網路（Internetwork）核心設備之運作架構、OSI 模型對應階層、網域切割能力，以及二層迴圈防護機制的掌握度。關鍵觀念涵蓋：

1. OSI 七層模型與 PDU：第 2 層資料鏈結層（Data Link Layer，訊框 Frame）與第 3 層網路層（Network Layer，封包 Packet）之封裝與轉送邏輯。
2. 網域隔離能力：碰撞網域（Collision Domain）與廣播網域（Broadcast Domain）的物理與邏輯邊界。
3. 轉送查表機制：基於 MAC 位址的硬體查表（CAM/ASIC）與基於 IP 位址的最長前綴匹配（LPM/路由表）。
4. 二層迴圈與防護機制（RSTP，IEEE 802.1w）：乙太網路訊框缺乏存活時間（TTL, Time-To-Live）欄位，冗餘連結引發的廣播風暴與 MAC 位址表震盪，需透過生成樹協定進行邏輯破圈與快速收斂。

---

解題方法

本題為標準的觀念比較與原理解析申論題，答題策略應採取結構化排版以爭取高分：

1. 第 (一) 子題（15 分）：

• 採「維度條列＋綜合對照表」並行呈現。
• 分別從「設備主要用途（Intra-network vs. Inter-network）」與「設備關鍵特性（運作階層、轉送依據、網域分割、硬體架構）」切入，命中評分標準中的核心關鍵字（如：MAC、IP、碰撞網域、廣播網域、ASIC）。

2. 第 (二) 子題（5 分）：

• 採「結論先行（開門見山指出設備名稱）」＋「兩大原理解析（協定運作層級、訊框無 TTL 結構缺陷）」之論證結構。
• 深入點出「為什麼二層交換器必須有 RSTP，而三層路由器不需要 RSTP」的本質差異。

---

解題技巧

1. 破題口訣與陷阱：

• 「二層隔碰撞，三層隔廣播」：交換器每個埠獨立一個碰撞網域，但全機預設共用一個廣播網域；路由器每個介面皆各自獨立碰撞網域與廣播網域。
• 「二層無 TTL，三層有 TTL」：這是說明為何 RSTP 用於交換器的核心死穴。乙太網路 Header 沒有 TTL，迴圈會造成無限轉送；IP Header 具備 TTL（IPv6 為 Hop Limit），可自我消滅失效封包，且路由協定（如 OSPF/BGP）具備自身的防迴圈演算法。

2. 答題版面配置： 申論題在比較兩項技術時，務必繪製清晰的 Markdown 表格，讓閱卷委員能於 10 秒內抓出評分指標。

---

【答案】

(一) 交換器（Switch）與路由器（Router）之用途及特性說明

交換器與路由器是建構現代企業網路的核心網通設備，兩者於網路體系結構中的定位、用途與運作特性有顯著差異，詳述如下：

1. 設備用途之區別

• 交換器（Switch，主要指 Layer 2 交換器）：
• 主要用途：用於同一個區域網路（LAN）或子網（Subnet）內部連接終端主機（如 PC、伺服器、印表機）。
• 核心功能：負責同網段內設備之間的高速微分割（Micro-segmentation）資料傳遞，提供點對點的專屬頻寬連線。
• 路由器（Router）：
• 主要用途：用於連接不同網路或不同 IP 子網（如介接不同 LAN、LAN 與 WAN，或跨網際網路連線）。
• 核心功能：負責異質網路間的路徑選擇（Path Determination）與跨網段封包轉送（Packet Forwarding）。

2. 設備特性之區別

• 運作之 OSI 階層與協定資料單元（PDU）：
• 交換器：運作於 OSI 第二層（資料鏈結層），處理的 PDU 為訊框（Frame）。
• 路由器：運作於 OSI 第三層（網路層），處理的 PDU 為封包（Packet）。
• 定址與轉送依據：
• 交換器：依據實體位址（MAC 位址）進行轉送。交換器藉由監聽訊框的「來源 MAC」建立 MAC 位址表（CAM 表），並依據「目的 MAC」進行過濾與轉送（Filtering & Forwarding）；

核心觀念

本題測驗「網際網路協定（IP）」與「網路安全防護架構」的核心機制，主要涵蓋以下重點：

1. RFC 1918（私有 IP 位址定義）：Class A（10.0.0.0/8）、Class B（172.16.0.0/12）、Class C（192.168.0.0/16）之不可路由特性。
2. RFC 3022（傳統 NAT/NAPT 機制）：靜態 NAT（Static NAT）、動態 NAT（Dynamic NAT）以及埠號位址轉換（Network Address Port Translation, NAPT / PAT）的運作原理。
3. OSI 模型與端對端原則（End-to-End Principle）：NAT 對傳輸層（L4）、網路層（L3）標頭的改寫，以及其對應用層負載（Payload）與安全性協定（如 IPsec AH/ESP）造成的破壞。
4. 網路拓撲隱匿（Topology Hiding）與單向存取控制：狀態檢查表（State Table）對外部主動連線的天然阻斷效果。

---

解題方法

本題為標準的兩段式問答題，切入策略如下：

1. 第 (一) 子題（15 分）：

• 採「三段式架構」作答：功用 $\rightarrow$ 原理 $\rightarrow$ 缺點。
• 功用：重點放在「緩解 IPv4 位址耗盡」與「網路管理便利性（免重新編址）」。
• 原理：說明閘道器如何改寫 IP 標頭與 Port 標頭，並維護轉換表（Translation Table / State Table）追蹤連線 Session。
• 缺點：從「破壞端對端連線」、「效能與單點故障」、「應用層協定相容性（需 ALG）」、「破壞端對端加密/完整性驗證（如 IPsec）」四個層面深入闡述。

2. 第 (二) 子題（5 分）：

• 從安全防禦角度，明確切入兩大防禦機制：「真實 IP / 拓撲隱匿（避免偵察掃描）」與「外對內未授權連線的天然阻斷（Stateful 阻擋）」。

---

選項分析

本題為申論問答題，非選擇題。各子題評分構面與得分要點剖析如下：

• 子題 (一) 評分要點（15 分）：
• 功用（4 分）：完整列出節省公共 IP、便於內部網路遷移重整等效益者給滿分。
• 原理（5 分）：清楚說明 L3/L4 標頭修改、校驗和（Checksum）重算、以及狀態轉換表（Mapping Table）的動態對應與查表轉發過程者給滿分。
• 缺點（6 分）：須至少列舉 3～4 項具體技術缺陷（如破壞端對端原則、應用層嵌入 IP 失敗、IPsec 相容性問題等），僅寫出「設備容易壞」等空泛描述不予計分。
• 子題 (二) 評分要點（5 分）：
• 須精確闡明「私有 IP 不可自網際網路直接路由」使外部無法直接探測，以及「連線表由內向外建立，外部主動封包因查無對應條目而遭丟棄」兩大核心理由。

---

解題技巧

1. 術語精確化：說明原理時，務必區分「一般 NAT（僅改 IP）」與「NAPT / PAT（IP 與 Port 同時改寫）」，現代實務多為 NAPT。
2. 實例強化說服力：提到應用層缺陷時，寫出 FTP（PORT/PASV 指令）、SIP/H.323 等具體協定，並點出「應用層閘道（Application Level Gateway, ALG）」名詞；提到安全協定時點出 IPsec AH（Authentication Header）雜湊驗證失敗，可顯著提升分數。
3. 邏輯層次分明：答題時善用編號與粗體小標，切忌寫成沒有段落的一整塊文字。

---

【答案】

(一) NAT 的功用、原理及使用缺點

1. NAT 的功用

• 緩解 IPv4 位址枯竭問題：允許多台內部主機使用 RFC 1918 定義的私有 IP 位址（如 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16），共享少數甚至單一公共 IP 位址（Public IP）連上網際網路，大幅節省公共位址資源。
• 簡化內部網路編址與管理：當企業更換網際網路服務供應商（ISP）而變更公共 IP 時，內部主機無須重新設定 IP 位址，降低網路維運成本。
• 伺服器負載平衡與靈活映射：透過靜態 NAT 或目的端 NAT（DNAT / 虛擬伺服器），可將特定公共服務埠號映射至內部不同實體伺服器，達成基礎的負載分散與內部架構解耦。

核心觀念

本題評量資通安全核心架構中的**縱深防禦（Defense-in-Depth）**設備機制與技術原理，主要涵蓋以下核心觀念：

1. 防火牆（Firewall）之存取控制機制：基於安全性原則（Security Policy），透過規則比對決定封包之允許（Permit/Allow）或拒絕（Deny/Block），屬於**主動式防禦（Active Defense）與串聯式（In-line）**部署。
2. 入侵偵測系統（Intrusion Detection System, IDS）之分析機制：透過特徵比對（Signature-based）或異常行為分析（Anomaly-based），針對深層封包內容（Deep Packet Inspection, DPI）進行比對，以產生告警（Alert）與紀錄（Log）為主，屬於**被動式防禦（Passive Defense）與旁路式（Out-of-band）**部署。
3. 主機型（HIDS）與網路型（NIDS）之架構差異：以「資料蒐集來源（Data Source）」與「監控視野（Visibility）」區分。HIDS 仰賴主機本機之系統日誌（Log）、檔案完整性檢測（FIM）與系統呼叫（System Call）；NIDS 仰賴網路側聽（Sniffing）鏡像流量（SPAN/TAP），監控跨網段通訊行為。

---

解題方法

本題為標準的資安技術比較型申論題，答題關鍵在於**「構面化」與「對比鮮明」**：

1. 第 (一) 小題（15 分）：

• 題幹要求「功能」與「部署位置」兩大面向，切忌將兩者混在一起散漫敘述。
• 必須採用「比較表格」搭配「重點論述」，從作用層級（OSI 模型）、防禦模式（主動阻斷 vs. 被動告警）、檢測深度（標頭 vs. 酬載 Payload）及流量走向（In-line vs. SPAN/TAP 旁路）精準切入。
• 須強調防火牆聚焦於「邊界門禁」，IDS 聚焦於「行為違規檢測」，二者為互補而非取代關係。

2. 第 (二) 小題（5 分）：

• 5 分題應求精準俐落。針對 HIDS 與 NIDS，自「部署位置」、「資料來源」、「優勢（如對加密流量之處理能力）」與「缺點（對系統負擔與全域可見性）」進行系統化比較。

---

選項分析（題型與得分構面分析）

本題為申論題，非選擇題。閱卷評分的主要構面與關鍵得分點如下：

1. 子題 (一) 的評分關鍵：

• 功能區別：是否清楚指出防火牆為「存取控制／主動阻斷／依據規則判斷 IP、Port、狀態」，而 IDS 為「威脅偵測／被動告警／依據特徵或行為分析 Payload 內容」。若誤將 IDS 寫成具備主動阻斷能力（混淆成 IPS），將導致重大扣分。
• 部署位置區別：是否精確說明防火牆位於「網路交界處（In-line 串接，如外網與 DMZ/LAN 之間）」，而 IDS 位於「交換器鏡像埠（SPAN/Mirror Port）或分流器（TAP）之旁路（Out-of-band）」。

2. 子題 (二) 的評分關鍵：

• 是否指出 HIDS 部署於單一終端或伺服器，分析 Log、Registry、檔案雜湊，能有效解讀本機已解密之應用層資料。
• 是否指出 NIDS 部署於網路節點，分析未解密網路封包，兼顧多台主機流量但面臨加密傳輸（HTTPS/TLS）即喪失深層可見度的關鍵痛點。

---

解題技巧與常見陷阱

1. 陷阱一：混淆 IDS 與 IPS 題目問的是「入侵偵測系統（IDS）」，而非「入侵防禦系統（IPS）」。IDS 的本質是偵測並產生告警（Detect & Alert），不直接中斷或丟棄連線封包；IPS 才是 In-line 部署並具有主動丟棄（Drop）惡意封包的能力。答題時務必強調 IDS 的「被動監聽／旁路」特性。
2. 陷阱二：忽略網路延遲與可用性（Availability）之影響 說明部署位置時，若能補充「防火牆採 In-line 若故障或效能不彰會成為網路瓶頸（Single Point of Failure），而 IDS 採旁路鏡像部署不影響網路吞吐量與延遲」，能大幅提升回答之深度與專業感。
3. 陷阱三：加密盲區的論述（HIDS vs. NIDS 的核心考點） 在比較 HIDS 與 NIDS 時，務必點出「現代網路普遍採用 TLS/HTTPS 加密」對兩者的不同影響：NIDS 看不到加密封包內容，而 HIDS 於作業系統端點運行，可在解密後檢視資料，此點為高分關鍵。

---

【答案】

(一) 入侵偵測系統與防火牆在功能與部署位置之區別

入侵偵測系統（IDS）與防火牆（Firewall）皆為現代企業落實縱深防禦之核心安全控制項，其在「功能」與「部署位置」之詳細區別如下：

1. 功能上的區別

• 防護性質與處置動作（主動阻斷 vs. 被動告警）：
• 防火牆：屬於主動式防禦設備。其核心任務為「存取控制（Access Control）」，透過預先定義的安全規則集（Security Rulebase）即時決定封包是否允許通過（Permit）或直接丟棄（Deny/Drop），阻斷未授權之通訊。
• 入侵偵測系統（IDS）：屬於被動式監控設備。其主要任務為「威脅識別與違規檢測」，只針對流量進行監聽與分析，一旦發現符合攻擊特徵（Signature）或異常行為（Anomaly）之流量，即刻發出警報（Alert）並寫入稽核日誌（Log），本身並不直接阻斷或修改傳輸中的封包。

核心觀念

本題評量應用層（Application Layer，OSI 第 7 層）中繼架構之運作機制與資通安全應用，重點在於區分「正向代理（Forward Proxy）」與「反向代理（Reverse Proxy）」的設計目標、代表對象、流量導向與安全防護效益：

1. 中繼轉送（Relay & Mediation）：中介節點終結原本的 TCP 連線，代為發起新連線，達成內外網實體隔離與協定解析。
2. 身分隱匿與拓撲隱蔽（Topology Hiding）：正向代理遮蔽發送端（Client）真實 IP；反向代理遮蔽接收端（Backend Server）真實架構。
3. 效能優化機制：快取（Caching）、內容壓縮、連線複用（Connection Pooling）與負載平衡（Load Balancing）。
4. 應用層資安控制：出境流量（Outbound）內容過濾與稽核；入境流量（Inbound）應用程式防火牆（WAF）與 SSL/TLS 卸載（Offloading）。

---

解題方法

本題為標準的申論題型（每小題 10 分，共 20 分），解題切入點採**「角色定位 $\to$ 運作原理（連線與資料流向）$\to$ 關鍵功用條列」**的三層架構作答：

• 第 (一) 小題：以「代表用戶端（Client）」為核心。先定義正向代理的位置（內部網路與網際網路邊界），以步驟化條列其連線中繼過程，再從「快取加速」、「連線過濾/存取控制」、「用戶隱私保護」及「稽核記錄」四個構面說明其功用。
• 第 (二) 小題：以「代表伺服端（Server）」為核心。先界定反向代理的定義（對外宣稱為服務提供者，對內轉發請求），接著解析其解析 DNS、接收請求、排程演算法轉發的運作流程，最後詳列「負載平衡」、「隱藏後端結構與資安防護」、「SSL/TLS 卸載」與「靜態快取」等功用，並以對照表整合兩者差異，提高作答鑑別度。

---

解題技巧

1. 核心口訣與辨析竅門：

• 正向代理（Forward Proxy）：「代表客戶走出去」，保護/控管內部 Client，對外部 Web Server 隱藏 Client 的真實 IP。
• 反向代理（Reverse Proxy）：「代表網站迎進來」，保護/負載內部 Web Farm，對外部 Client 隱藏後端伺服器的真實 IP 與架構。

2. 常見陷阱與扣分點：

• 混淆 Proxy 與 NAT：NAT（網路位址轉譯）工作在網路層與傳輸層（Layer 3/4），僅置換 IP/Port 標頭；Proxy 工作在應用層（Layer 7），能拆解、檢視並重組應用層封包（如 HTTP Header、Cookie、URL、內容過濾）。
• 忽略反向代理的透明性：在反向代理架構中，Client 端不需要在瀏覽器特別設定代理參數，其存取的目標 URL 就是反向代理對外公開的 FQDN/IP；而正向代理通常需要在 Client 系統或瀏覽器明確設定 Proxy 伺服器之 IP 與連接埠（或透過 PAC 檔）。

---

【答案】

(一) 代理伺服器的功用及運作原理

1. 運作原理

一般所稱之代理伺服器（Proxy Server）多指正向代理伺服器（Forward Proxy Server），其位於內部網路用戶端（Client）與外部網際網路（Internet）之間，代表用戶端發起網路連線與請求。其運作流程如下：

• 連線導引：內部用戶端於應用程式（如瀏覽器）設定代理伺服器之 IP 位址與連接埠（Port）。
• 請求攔截與解析：當用戶端發出連線請求（如 HTTP/HTTPS Request）時，請求直接送達代理伺服器。代理伺服器終結該 TCP 連線，並在應用層解析其請求標頭與目標位址。
• 快取檢查與轉送：代理伺服器先行檢查本地快取（Cache）。若無快取或快取過期，則代表該用戶端，使用代理伺服器自身的 IP 位址向目標伺服器發送請求。
• 回應中繼：目標伺服器處理完畢後將回應回傳給代理伺服器；代理伺服器儲存快取副本後，再將資料轉交予原始發起請求之用戶端。
• 對目標伺服器而言，該連線僅來自代理伺服器，用戶端的真實 IP 位址被完全遮蔽。

2. 主要功用

• 快取機制與節省頻寬（Caching）：代理伺服器可暫存經常被存取的靜態網頁物件或檔案。當其他使用者提出相同請求時直接由快取回應，降低對外連線頻寬消耗並提升回應速度。