114 高普考高考三級 資訊處理 資通網路與安全 考古題詳解
第 一 題25 分
請說明軟體定義網路（Software-Defined Networking, SDN）的三層基本架構與核心理念，並分析其對傳統網路管理與資安策略帶來的影響。
登入後即可作答並保存紀錄。
核心觀念
本題考查軟體定義網路（Software-Defined Networking, SDN）的三層基本架構、控制與轉送分離的核心理念，以及這種架構如何改變網路管理方式與資安策略。SDN 的重點是把網路設備的封包轉送功能，與決定封包如何轉送的控制功能分開，再由可程式化的控制器集中管理網路。
解題方法
可依序從「架構分層 → 控制與轉送分離 → 管理影響 → 資安影響」作答：
- 說明應用層、控制層與基礎設施層各自負責的工作。
- 指出層與層之間透過介面交換策略與狀態資訊。
- 將集中化管理的優勢與風險，分別連結到傳統網路管理及資安策略。
SDN 三層基本架構
| 層級 | 主要功能 | 說明 |
|---|---|---|
| 應用層（Application Layer） | 提出網路服務需求與策略 | 包含流量工程、負載平衡、存取控制、入侵偵測等應用。應用程式透過控制器的北向介面，描述網路「要達成什麼目標」。 |
| 控制層（Control Layer） | 集中掌握網路狀態並決定轉送策略 | 由一個或多個 SDN 控制器組成，接收應用層需求、蒐集網路狀態，再計算路徑、存取規則及流量政策。 |
| 基礎設施層（Infrastructure Layer） | 實際轉送封包 | 由交換器、路由器等網路設備組成，依控制器下發的流表或轉送規則處理封包。設備主要負責執行規則，控制決策則由控制層負責。 |
應用層與控制層通常透過**北向介面（northbound interface）溝通；控制層與基礎設施層則透過南向介面（southbound interface）**下發規則或取得設備狀態。OpenFlow 是常見的南向通訊協定範例，但 SDN 並不等同於 OpenFlow。
核心理念
SDN 的核心是控制平面（control plane）與資料平面（data plane）分離：
- 控制平面負責決策：例如路徑選擇、政策判斷與流量管理。
- 資料平面負責執行：依照控制器設定的規則轉送封包。
- 網路可程式化：管理者能以軟體或政策方式設定全網行為，控制器再將政策轉換成設備可執行的規則。
- 邏輯集中控制：網路管理視角集中於控制器，便於統一管理；實際部署可採分散式或多控制器設計，以提高擴充性與可用性。
「集中控制」指的是邏輯上集中管理，不代表所有網路設備必須連到單一台實體控制器，也不代表控制器必然沒有備援。
第 二 題25 分
企業常透過網路位址轉譯（Network Address Translation, NAT）技術來節省公有 IP 位址，然而在進行內部服務外部化（例如公開 Web、Mail、VPN 等伺服器）時，NAT 設計可能帶來一些限制或挑戰，請說明兩項限制或挑戰並提出對應的兩種解決方法。
登入後即可作答並保存紀錄。
核心觀念
NAT（Network Address Translation，網路位址轉譯）會改寫封包的來源或目的 IP 位址；若搭配連接埠轉譯（PAT），也會改寫 TCP／UDP 連接埠，讓多台內部主機共用公有 IP。NAT 有助於節省公有 IPv4 位址，但內外位址與連線狀態的轉換，會使外部主機不一定能直接連到內部服務，也可能影響依賴封包內嵌位址、端對端連線或特定協定的服務。
題目要做的是各舉出兩項 NAT 限制或挑戰，並各提出一種對應的解決方法。
解題方法與作答
限制一：外部連線無法直接找到內部伺服器
內部伺服器通常使用私有 IP 位址，不能直接在公用網路上路由。NAT 若只有由內部主機發起連線時才建立轉換紀錄，外部用戶端主動連線就沒有對應的轉換狀態，因此無法抵達內部 Web、Mail 或 VPN 伺服器。若多台內部伺服器共用同一個公有 IP，也會發生外部連線應轉送到哪台主機的問題。
解決方法：設定靜態 NAT 或連接埠轉送（Port Forwarding）。 將公有 IP（或公有 IP 上的特定連接埠）固定對應至內部伺服器的私有 IP 與服務連接埠。例如將公有 IP 的 TCP 443 轉送到內部 Web 伺服器的 TCP 443。若有多項服務，可用不同連接埠分別轉送，並搭配防火牆規則限制允許的來源與服務。
限制二：NAT 可能破壞端對端連線或應用層協定運作
第 三 題25 分
請說明社交工程攻擊與技術性攻擊（如惡意程式、SQL Injection）在手法與防禦策略上的差異，並分析企業若僅依賴技術防禦可能面臨的風險。
登入後即可作答並保存紀錄。
核心觀念
本題考查資安威脅的兩大類型：利用人的心理與信任關係的社交工程攻擊，以及利用軟體、系統或網路弱點的技術性攻擊。答題時應從攻擊目標、常見手法、防禦重點與單靠技術防禦的限制，逐項比較。
- 社交工程攻擊：攻擊者透過欺騙、誘導、冒充或施壓，使受害者洩露資料、執行操作，或授予不當存取權限。其主要攻擊面是人的判斷與行為。
- 技術性攻擊：攻擊者利用軟體漏洞、錯誤設定或不當輸入處理等弱點，直接攻擊資訊系統。例如惡意程式利用使用者執行檔案或系統漏洞感染設備；SQL Injection 則利用應用程式未妥善處理輸入，干擾資料庫查詢。
解題方法
採用「攻擊對象與手法 → 防禦策略 → 僅靠技術防禦的風險」三段式作答。先說明兩種攻擊的根本差異，再分別列出適合的防禦措施，最後指出兩者如何互相配合，說明為何單一技術防線不足。
| 比較面向 | 社交工程攻擊 | 技術性攻擊 |
|---|---|---|
| 主要利用的弱點 | 人的信任、疏忽、恐懼或急迫心理，以及流程管理缺失 | 軟體漏洞、系統設定弱點、輸入驗證或存取控制不足 |
| 常見手法 | 仿冒電子郵件或登入頁面的釣魚、冒充主管要求匯款、電話誘騙、誘使下載附件、尾隨進入管制區 | 惡意程式感染、漏洞利用、SQL Injection、暴力破解、未授權入侵 |
| 常見結果 | 洩漏帳密或機敏資料、執行惡意檔案、匯款、協助攻擊者取得內部存取權 | 系統遭入侵或破壞、資料遭竊取或竄改、服務中斷、權限遭提升 |
| 防禦重點 | 人員辨識與通報、身分查證、程序與權限控管 | 安全開發、漏洞修補、系統設定、監控與技術隔離 |
社交工程的防禦措施包括定期資安教育與演練、對異常要求採用第二管道查證、匯款或權限變更採雙人覆核、落實最小權限，並建立容易使用的通報流程。技術防禦則包括及時修補漏洞、端點防護與郵件過濾、網路分段、存取控制、弱點掃描與日誌監控；防範 SQL Injection 時，應使用參數化查詢或預備陳述式，避免將使用者輸入直接串接至 SQL 指令，並搭配輸入驗證及資料庫最小權限。
第 四 題25 分
企業在面對重大資安事件（如勒索病毒入侵或大規模資料外洩）時，若無有效的資安事件應變計畫，可能產生哪些影響？請舉例說明，並提出具體改善建議。
登入後即可作答並保存紀錄。
核心觀念
本題考查企業資安事件應變計畫（Incident Response Plan, IRP）的目的與內容。應變計畫是在事件發生前先訂定通報、判斷、處置、復原及檢討程序，讓組織能迅速控制損害、維持關鍵服務，並保留調查所需證據。
常用的應變流程可整理為：準備 → 偵測與分析 → 遏止、根除與復原 → 事後檢討。計畫須明定負責人、通報管道、決策權限、內外部聯繫方式及復原優先順序，並搭配演練與定期更新。
解題方法
依「營運、資訊與證據、法律與財務、信任與治理」四個面向分析無計畫時的影響，再分別提出可執行的改善措施。例子須呈現事件如何擴大，以及應變措施如何降低損害。
無有效應變計畫的影響與例子
-
事件擴大，營運中斷時間拉長 勒索病毒入侵後，若員工不知道應向誰通報、管理者也沒有隔離程序，受感染電腦可能持續連接內部網路，讓惡意程式擴散至檔案伺服器與備份系統。結果是訂單、客服或生產系統停擺，復原時間及營運損失增加。
-
資料損失或外洩範圍擴大 發現異常後若未及時停用遭盜用帳號、撤銷憑證或限制外部連線，攻擊者可能繼續下載客戶資料、智慧財產或員工個資。外洩範圍愈大，後續通知、調查及補救成本愈高。
-
證據遭破壞，難以調查與追責 若未先保存系統紀錄、網路流量、受害設備映像及時間資訊，就逕自重灌或刪除檔案，可能失去判定入侵途徑、影響範圍與攻擊者行為的重要證據，也不利於後續鑑識、保險理賠或司法調查。
-
決策混亂，內外部溝通失當 缺少權責分工時，資訊、法務、公關與管理階層可能各自發布不同說法，或延誤向客戶、合作夥伴及主管機關通報。錯誤或不一致的訊息會增加客訴與信任危機。