113 高普考高考三級 資訊處理 資通網路與安全 考古題詳解

（一）核心觀念：EDR 與 MDR 的定義

這題考查端點防護技術與委外資安服務的差異。**EDR 著重於端點上的偵測與處置能力；MDR 則是由外部資安服務團隊運用資安工具，持續監控、分析威脅並協助或執行應變。**兩者可以搭配使用：EDR 提供端點遙測資料與處置功能，MDR 團隊則運用這些資料進行監控、調查與應變。

**端點偵測與回應（EDR）**是一種部署於個人電腦、伺服器等端點的資安技術或平台，持續蒐集端點活動資料，分析可疑行為、協助調查事件，並透過自動化或人工操作執行處置。端點活動例如程序執行、檔案異動、登入、登錄檔變更及網路連線。

**託管偵測與回應（MDR）**是一種由外部資安服務提供者交付的資安服務，結合監控與分析工具，以及資安專業人員的威脅分析、獵捕、調查及事件應變能力。服務範圍常包含端點，也可整合網路、雲端或其他安全設備的資料。委託組織仍需與服務提供者協調處置權限、通報方式及責任分工。

（二）解題方法：依「偵測」與「回應」分別比較

題目要求說明 EDR 與 MDR 在偵測面及回應面的活動。作答時先區分兩者定位：EDR 是以端點資料及端點處置為核心的技術平台；MDR 是由服務團隊執行持續監控、分析與應變的服務。再分別列出偵測及回應活動，即能完整對應題意。

核心觀念

本題比較兩種部署在不同網路層次的防護機制：

• WAF（Web Application Firewall，網頁應用程式防火牆）：主要檢查 HTTP／HTTPS 網頁應用程式流量，防範利用應用程式弱點發動的攻擊。
• NGFW（Next-Generation Firewall，次世代防火牆）：在傳統防火牆的網路連線控管上，加入應用程式辨識、入侵防禦與威脅偵測等能力。
• CDN（Content Delivery Network，內容傳遞網路）：透過分散式節點快取或傳遞內容，降低來源站負載並改善使用者存取效能。

答題時應分別說明各設備的檢查對象、判斷方式與防禦功能，再說明 CDN 與 WAF 結合後的安全及效能效益。

（一）WAF 的防禦機制

WAF 部署於網站與用戶端流量之間，針對 HTTP／HTTPS 請求進行應用層檢查。它依據安全規則、攻擊特徵或異常行為判斷請求是否惡意，並採取允許、記錄、警示或阻擋等處置。

主要防禦機制如下：

1. 檢查 HTTP／HTTPS 請求內容：分析網址、標頭、Cookie、查詢參數及表單資料等欄位，辨識不合理或含攻擊特徵的輸入。
2. 抵禦常見網頁攻擊：例如 SQL Injection、跨站腳本（XSS）、路徑遍歷、命令注入及惡意檔案上傳等。
3. 依規則過濾與控管流量：可依 IP 位址、網址、HTTP 方法、參數或地理來源等條件建立規則，阻擋不符合政策的請求。
4. 辨識異常行為：透過速率限制、請求頻率或行為模式分析，降低暴力破解、爬取及部分應用層阻斷服務攻擊的影響。
5. 虛擬修補：在網站程式尚未完成修補前，先以 WAF 規則攔截已知漏洞的攻擊流量，縮短暴露時間。

WAF 的重點是保護網頁應用程式層；它不能取代修補程式漏洞、身分驗證及安全開發等措施。

（二）次世代防火牆（NGFW）的防禦機制

NGFW 以傳統防火牆的封包過濾及狀態檢查為基礎，進一步辨識流量中的應用程式與威脅，並依安全政策進行整合式控管。常見機制如下：

1. 狀態式封包檢查：追蹤連線狀態，依來源、目的 IP、連接埠、通訊協定及連線狀態，允許或拒絕網路流量。
2. 應用程式辨識與控管：辨識實際使用的應用程式或服務，不只依連接埠判斷，並可依政策允許、限制或封鎖特定應用程式。

核心觀念

本題考查機關如何依資安風險管理的生命週期，配置事前、事中、事後的控制措施。作答時要把措施與目的連起來：事前降低事件發生機率，事中及早發現並控制損害，事後恢復服務並避免同類事件再發生。

以命題當年（民國 113 年）法規為準，《資通安全管理法施行細則》所定資通安全維護計畫，涵蓋資通安全風險管理、防護及控制措施，以及資安事件通報、應變、演練與持續精進等事項。《資通安全責任等級分級辦法》並要求各機關依資安責任等級及資通系統防護需求，採取相應控制措施。故應先辨識資產、威脅與弱點，再依風險高低選擇適當控制。

解題方法

依事件發展順序分類，並涵蓋治理管理、技術防護、人員管理與營運持續四個面向。每階段都應說明「採取什麼措施」及「降低哪一類風險」，避免只列防火牆、防毒等零散工具。

作答內容

一、事前：預防與風險降低

1. 建立治理及風險管理機制：訂定資安政策、明確分工與通報權責；盤點資訊、資通系統及相關資產，標示核心業務與重要系統；辨識威脅、弱點及可能衝擊，評估風險並訂定改善優先順序。
2. 落實身分與存取控制：採最小權限原則，依職務授予必要權限；使用強式密碼、多因子驗證，定期檢視帳號及權限，離職或職務異動時即時停用或調整帳號。
3. 強化系統與網路防護：定期修補作業系統、應用程式及設備弱點；部署防火牆、入侵防禦、惡意程式防護、郵件過濾等措施；依業務需求區隔網路、限制不必要服務與連線。
4. 保護資料及系統開發流程：依資料敏感度實施加密、存取限制與安全傳輸；系統開發及採購時納入安全需求，於測試及上線前執行弱點掃描或安全檢測，並落實變更管理。
5. 管理人員與委外風險：辦理資安教育訓練及社交工程宣導；委外契約明訂資安責任、保密要求、事件通報、稽核及資料返還或刪除等事項，並持續監督受託者。
6. 規劃備份與營運持續：定期備份重要資料與系統設定，保護備份免遭未授權存取或與主系統同時受損；建立復原程序並定期演練。

二、事中：監控、通報與事件應變

核心觀念

本題考《資通安全責任等級分級辦法》附表十「資通系統防護基準」中「營運持續計畫」構面的兩項控制措施：系統備份與系統備援。依附表九，資通系統防護需求等級分為「高」、「中」、「普」；各構面的等級依機密性、完整性、可用性及法律遵循性之最高防護需求決定。

本題以下列法規內容作答：以命題當年（民國 113 年）法規為準。後續法規已有修正，解題仍依命題年度規定。

解題方法

按「備份」與「備援」分開作答，再依防護需求等級由普至高整理控制措施。備份著重於資料與系統資訊的保存、還原及完整性驗證；備援著重於服務中斷後，在可容忍時間內恢復服務。

（一）系統備份應辦事項

普級

1. 訂定系統可容忍資料損失的時間要求。 機關應明確訂定系統發生故障或災害時，最多可接受損失多少時間內新增或異動的資料。
2. 執行系統源碼與資料備份。 備份範圍包括系統源碼及系統資料，以便發生事故時重建系統或還原資料。

中級：包含普級要求，並增加

1. 定期測試備份資訊。 驗證備份媒體是否可靠，並確認備份資訊完整，避免備份檔案損毀或無法使用時才發現問題。

高級：包含中級與普級要求，並增加

1. 將備份還原納入營運持續計畫測試。 除了確認備份存在，也要實際演練還原程序，確認備份可以支援系統復原。