113 高普考高考三級 資通安全 資通安全防護技術 考古題詳解

核心觀念

本題考查三種常見資安防護機制的定位與功能：

• SIEM（Security Information and Event Management，安全資訊與事件管理）：集中蒐集與分析各種設備及系統的日誌與安全事件，協助發現異常並支援事件調查。
• XDR（Extended Detection and Response，延伸式偵測與回應）：整合多種資安層面的遙測資料進行關聯分析，並支援跨來源的威脅偵測與回應。
• SOAR（Security Orchestration, Automation and Response，安全協作、自動化與回應）：整合資安工具與作業流程，透過自動化劇本執行事件處理與回應。

簡單區分：SIEM 重點在集中蒐集與分析事件；XDR 重點在跨層整合偵測與回應；SOAR 重點在串接工具、編排流程與自動化處置。

解題方法

依各機制的主要工作流程說明，即可清楚區分：

1. 資料從哪裡來、如何集中分析：說明 SIEM。
2. 如何跨資安領域關聯偵測並回應威脅：說明 XDR。
3. 如何協調工具與自動化事件處理：說明 SOAR。

答題時應指出彼此可以互補，不必將三者描述成互斥的替代方案。

SIEM 的功能

SIEM 集中接收網路設備、伺服器、端點、身分認證系統及資安產品產生的日誌與事件資料，並進行正規化、彙整、關聯分析與告警。

其主要功能包括：

• 集中管理並查詢日誌，便於稽核與事件追查。
• 依規則、關聯條件或異常特徵辨識可疑活動，例如多次登入失敗後成功登入，或不同設備上的事件呈現共同攻擊跡象。
• 產生告警，協助資安人員監控與調查事件。
• 支援事件時間軸重建、報表與合規稽核。

SIEM 的核心是讓分散於不同來源的事件能被集中檢視與關聯分析；告警產生後，後續處置仍可由人員或其他自動化機制執行。

核心觀念

本題考查入侵偵測系統（Intrusion Detection System, IDS）與入侵防禦系統（Intrusion Prevention System, IPS）的用途，以及兩者在部署位置與事件處置上的差異。兩者皆可依據已知攻擊特徵、通訊行為或安全政策，偵測網路或主機上的可疑活動；主要差別在於是否能即時介入並阻擋攻擊。

解題方法

作答時可從「偵測目的、部署方式、事件處置、對流量的影響」四個面向比較：

• IDS：發現並告警。 主要監看網路封包或主機事件，判斷是否有入侵或違反安全政策的行為，並產生警示、記錄事件，供管理者調查與處理。
• IPS：偵測並防禦。 除了偵測可疑活動，還會依設定採取即時措施，例如丟棄封包、重設連線、封鎖來源位址，或套用其他防護規則。

IDS 的功能

IDS 負責監控網路流量或主機活動，將觀察到的行為與攻擊特徵、異常基準或安全政策比對，以辨識可能的入侵或異常事件。偵測到事件後，IDS 通常會記錄相關資訊並發出告警，協助管理者進一步調查、判斷影響範圍及採取應變措施。

常見部署方式包括：

• 網路型 IDS（NIDS）： 監看網路區段中的封包與連線。
• 主機型 IDS（HIDS）： 監看單一主機上的系統紀錄、檔案異動、程序或其他活動。

IDS 通常以被動監看方式部署，並不直接位於必須通過的流量路徑中，因此即使偵測到攻擊，仍須由管理者或其他設備採取阻擋措施。

IPS 的功能

IPS 同樣監控網路或主機活動，辨識攻擊、惡意流量及違反安全政策的行為；偵測到符合規則的事件後，還能依預先設定的政策即時執行防護，例如：

核心觀念

本題考查零信任架構中的決策引擎（Policy Engine, PE）：系統如何根據存取政策及當下情境，判斷主體能否存取特定資源，以及應採取何種存取處置。

零信任的基本原則是「不因網路位置或過去已通過驗證，就自動信任」。每次存取都須依身分、裝置狀態、資源敏感度、威脅情資及其他環境條件作出存取決策。

解題方法

作答時先寫出決策引擎的整體職責，再分述其兩個組件：政策引擎與政策管理器。特別要區分：

• 政策引擎負責評估政策、形成准駁決策。
• 政策管理器負責依決策建立、調整或撤銷通往資源的連線，並向政策執行點傳達指令。

決策引擎的功能

1. 作出存取決策：依組織政策及相關輸入，決定主體是否可以存取指定資源。
2. 評估信任與風險：考量使用者身分與角色、裝置安全狀態、資源敏感度、位置、時間、威脅情報及其他可用情境資訊。
3. 持續重新評估：存取期間若風險或情境改變，決策引擎可重新判斷是否維持、調整或撤銷存取權限。
4. 與政策執行點互動：決策引擎形成決策後，由政策管理器將相關指令送往政策執行點（Policy Enforcement Point, PEP），落實准許、限制或撤銷存取。

決策引擎的組件與功能

一、政策引擎（Policy Engine, PE）

核心觀念

本題考查三種安全檢測工作的目的、檢測方式與常見缺失：

• 弱點掃描（Vulnerability Scanning）：以工具自動檢查主機、網路設備或網站是否存在已知弱點、錯誤設定及過時元件。重點是找出可能的風險，通常不以利用弱點取得控制權為目的。
• 滲透測試（Penetration Testing）：由測試人員依授權範圍，模擬攻擊者的偵察、弱點利用及權限擴張，驗證弱點是否能實際造成影響。重點是驗證攻擊路徑與實際風險。
• 源碼檢測（Source Code Analysis）：檢查程式原始碼中的安全缺陷，可透過靜態分析工具或人工程式碼審查進行；通常不必執行程式，就能檢查輸入驗證、存取控制、敏感資料處理等問題。

三者可依「檢查已知弱點」、「驗證弱點能否被利用」及「檢查程式實作」區分。弱點掃描通常範圍廣、速度快；滲透測試重視攻擊情境與影響驗證；源碼檢測則深入程式邏輯。

解題方法

先依檢測對象與作法說明三種工作的主要任務，再分別整理主機弱點掃描與網頁弱點掃描的常見項目。作答時，應把「掃描工具列出的疑似弱點」與「滲透測試實際驗證的攻擊影響」區分清楚，並以條列方式呈現兩類弱點，避免只寫「設定不安全」等籠統描述。

三種檢測工作的主要內容

一、弱點掃描

1. 界定掃描範圍，例如主機、網路設備、作業系統、服務及網站。
2. 透過掃描工具比對已知弱點資料、版本資訊、連接埠服務與安全設定。
3. 找出過時或有漏洞的軟體、錯誤組態、弱密碼政策及不必要的服務。
4. 彙整弱點名稱、嚴重程度、受影響資產與修補建議，供管理者改善。
5. 修補後可再次掃描，確認弱點是否排除。

弱點掃描結果可能包含誤判或需進一步驗證的項目，因此不宜直接將掃描報告等同於已成功入侵。

二、滲透測試

1. 先確認書面授權、測試目標、範圍、時間及禁止事項。
2. 模擬攻擊者進行資訊蒐集、服務探測與弱點分析。
3. 在授權範圍內嘗試利用弱點，驗證是否能取得未授權存取、提升權限或讀取敏感資料。
4. 評估攻擊造成的影響，例如資料外洩、服務中斷、帳號遭接管或跨系統移動。
5. 提供可重現的證據、風險說明與修補建議；測試後清理測試資料並確認系統恢復。

滲透測試的核心不是大量列出弱點，而是驗證弱點是否能形成可行的攻擊路徑，以及對業務造成何種影響。

三、源碼檢測

1. 檢視程式原始碼、相依套件及安全設計，找出可能的程式缺陷。
2. 使用靜態應用程式安全測試（SAST）工具分析程式碼，並由人員審查工具結果。
3. 檢查常見問題，例如輸入未驗證、輸出未編碼、SQL 指令拼接、存取控制缺漏、機敏資訊硬編碼及不安全的加密使用。
4. 判斷弱點所在位置、觸發條件與修正方式，必要時以測試驗證修補成效。

源碼檢測能在軟體執行前找出程式層面的問題，但無法單靠程式碼完整判定部署環境、實際組態及執行時行為是否安全。

主機弱點掃描常見弱點