115 高普考高考三級 資通安全 資通安全概論 考古題詳解

核心觀念

本題考查 NIST《網路安全框架》（Cybersecurity Framework, CSF）2.0 的六大核心功能。CSF 2.0 將網路安全成果分成 Govern、Identify、Protect、Detect、Respond、Recover 六項功能；題目已給出 Govern，須列出其餘五項，並說明目的及實務工作。

五項功能可用資安事件生命週期記憶：識別風險、保護資產、偵測事件、回應事件、復原營運。Identify、Protect、Detect 的工作持續進行；Respond、Recover 須事先準備，並於事件發生時啟動。

解題方法

依各功能名稱判斷它在風險管理與事件處理流程中的位置，再分別說明：

1. 目的：組織透過該功能要達成的資安成果。
2. 實務工作：為達成成果而應建立的管理制度、技術措施及作業程序。

作答時應兼顧事前預防、事件中處置與事後復原，避免把 Detect 與 Respond 混為一談：前者負責及時發現事件，後者負責處置已發生的事件。

五項核心功能與實務重點

一、識別（Identify, ID）

目的：​了解組織目前的網路安全風險，掌握資產、業務、環境與依賴關係，以利依風險管理策略及任務需求排定資安工作的優先順序。

實務重點：

• 建立並維護資產清冊，盤點資料、硬體、軟體、系統、設施、服務及相關人員。
• 確認資產所有人、用途、重要性、資料敏感度及系統相依關係。
• 進行風險評估，辨識威脅、弱點、可能性與衝擊，評估風險並排定處理順序。
• 了解供應商、委外服務及其他第三方的資安風險與依賴關係。
• 檢視資安風險管理流程，持續更新風險資料與改善事項。

二、保護（Protect, PR）

目的：​建立並執行適當的防護措施，以降低網路安全事件發生的機率，並限制事件對組織與重要服務的影響。

實務重點：

• 身分識別與存取控制：​管理帳號、驗證機制與權限，落實最小權限及必要的存取審查。
• 人員教育與訓練：​提升人員對社交工程、釣魚郵件、密碼安全及通報程序的認識。
• 資料安全：​依資料的重要性與敏感度實施分類、存取控管、加密、備份及安全銷毀。
• 系統與平台安全：​採取安全組態、修補程式管理、惡意程式防護、網路分區及端點防護等措施。
• 維護與防護技術：​安全執行系統維護，並確保使用中的安全技術符合組織政策與需求。

三、偵測（Detect, DE）

核心觀念

本題考查「安全設計」（Security by Design）：將安全要求納入軟體生命週期（SDLC）的每個階段，並在需求分析階段先界定系統要保護的資產、面臨的威脅、可接受的風險與必須具備的防禦能力。安全需求若在開發初期明確化，才能成為後續設計、開發與測試的依據。

需求分析不是只列出功能清單，也要確認法規、組織政策與業務需求，並把抽象的「系統要安全」轉化為可實作、可測試、可驗收的安全需求。

解題方法

可依「盤點保護對象 → 識別威脅與風險 → 定義防禦需求 → 設定驗收條件」作答，涵蓋需求分析階段從了解系統到形成規格的完整流程。

一、盤點資產與安全目標

先釐清系統處理、傳輸及保存的資料與服務，例如個人資料、帳號憑證、業務紀錄、程式碼及關鍵服務，並標示資料敏感度、重要性、存放位置、流向及存取對象。

依系統需要，明確界定機密性、完整性、可用性等安全目標，也應考量身分可鑑別性、可追溯性及隱私保護需求。資料與服務的重要程度不同，安全控制的強度也應相應調整。

二、識別威脅、弱點與風險

了解系統使用者、管理者、外部介接服務、網路環境及使用情境，辨識可能的威脅事件，例如未授權存取、帳號冒用、資料外洩或竄改、服務中斷，以及輸入資料遭濫用。

可採威脅建模、資料流分析或風險評估，分析威脅可能利用的弱點、造成的衝擊與發生可能性，據此決定風險處理方式及安全需求的優先順序。外部服務、第三方元件及系統介接也應納入範圍。

三、將安全原則轉成具體需求

將風險分析結果轉化為明確的防禦要求，並納入系統需求規格。常見需求包括：

• 身分驗證與授權：定義使用者及管理者的身分驗證方式、角色與權限；落實最小權限、預設拒絕及職務分離，避免預設帳號、共用帳號或過度授權。
• 資料保護：規定敏感資料的分類、最小化蒐集、保存期限、傳輸與儲存保護，以及備份、刪除和金鑰管理需求；

核心觀念

本題考的是後門程式與遠端存取木馬（RAT）的概念層次與能力差異。後門描述的是一種繞過正常驗證或安全控制、取得未經授權存取的途徑；RAT則是以木馬程式方式植入受害端，讓攻擊者能遠端控制該設備的一類惡意程式。RAT 常包含後門能力，但兩者並非同義詞：後門著重「隱蔽進入或維持存取的機制」，RAT 著重「遠端操控受害設備的完整能力」。

題目未要求援引特定法條，作答重點在定義、功能與運作流程，並說明兩者關係。

（一）後門程式（Backdoor）

定義

後門是刻意設置或遭攻擊者植入的隱蔽存取機制，使人得以繞過系統原有的身分驗證、存取控制或安全程序，進入系統或維持存取。後門可能是軟體中的隱藏帳號、特殊驗證條件、未公開的管理介面，也可能是植入系統的惡意程式或遭竄改的系統元件。

後門不一定是獨立執行檔，也不一定具有完整遠端控制功能；其核心在於提供一條未經正常授權流程的存取途徑。

功能

1. 繞過驗證與存取控制：避開正常登入、權限檢查或安全政策。
2. 維持持續存取：即使原始入侵途徑已關閉，仍可再次進入系統。
3. 取得或擴大權限：配合漏洞利用或權限提升，取得更高權限。
4. 執行後續攻擊：作為竊取資料、植入其他惡意程式、破壞系統或橫向移動的入口。
5. 降低被發現機率：透過隱藏檔案、混淆程式碼、偽裝成合法服務，或刪除與竄改紀錄，掩飾其存在與活動。

運作方式

後門通常經由下列流程運作：

1. 建立入口：攻擊者利用漏洞、釣魚郵件、惡意附件、遭竄改的軟體，或供應鏈入侵等方式，將後門植入目標系統；開發者也可能將隱藏入口留在程式或系統中。
2. 觸發或啟動：後門可隨開機自動執行、由排程或系統服務啟動，也可能在收到特定連線、暗號或指令時才啟動。
3. 繞過正常控制：後門以隱藏帳號、硬編碼密碼、未公開指令介面或遭竄改的驗證流程，取得系統存取權。
4. 執行操作並維持存取：攻擊者進入後執行指令、讀取資料或安裝其他工具，並可能修改自動啟動設定或其他系統元件，以便日後再次進入。
5. 隱匿痕跡：後門或攻擊者可能隱藏程序、檔案與網路連線，或竄改紀錄以增加調查難度。

後門的存取方式可分為本機與遠端：本機後門由已能接觸設備的人使用；遠端後門則透過網路接受連線或指令。後門不必然具備完整的圖形化控制介面、檔案管理或監控功能。

（二）遠端存取木馬程式（RAT）

定義

RAT 是一種以木馬方式進入並潛藏於受害端的惡意程式，使攻擊者能透過網路遠端監視或控制該設備。「木馬」表示它常偽裝成正常或有用的程式，誘使使用者執行或安裝；「遠端存取」則表示攻擊者可在遠端下達指令並接收受害端回傳的資訊。

RAT 通常兼具後門功能，能在受害端建立持續而隱蔽的遠端控制管道；但後門的範圍較廣，RAT 是具有遠端管理或控制能力的惡意程式類型。

功能

RAT 的實際能力依程式設計及取得的權限而異，常見功能包括：

核心觀念

弱點掃描（Vulnerability Scanning）是以自動化工具檢查主機、網路設備、作業系統、應用程式及雲端服務等資產，辨識已知弱點、設定錯誤及可能遭利用的安全風險。掃描結果是風險管理與修補工作的依據；它指出「可能存在的弱點」，不等同於已證明弱點可被成功利用。

本題重點在說明弱點掃描的三個面向：為何掃描（目的）、如何執行（作法）、掃描後帶來什麼改善（效益）。答題時宜依這個順序組織，並補充掃描範圍、掃描方式、結果驗證與修補追蹤。

解題方法

以「資產盤點 → 掃描辨識 → 風險評估 → 修補驗證 → 持續改善」作為說明主軸。弱點掃描不是單次找出問題便告完成，而是須將發現的弱點納入風險處理流程，確認修補效果並定期重複執行。

一、弱點掃描之目的

1. 掌握資產安全狀態：確認資訊資產是否存在已知漏洞、過時軟體、不安全設定、未修補程式或暴露於網際網路的服務。
2. 及早發現可利用風險：在攻擊者利用漏洞前，辨識可能的攻擊入口，降低入侵、資料外洩、服務中斷及權限遭濫用的機會。
3. 提供風險處理依據：依弱點嚴重度、資產重要性、曝險程度及遭利用可能性，安排修補、設定調整、隔離或其他風險降低措施。
4. 持續檢視防護狀況：透過定期掃描或重大變更後掃描，了解新增資產、系統更新及設定變更是否引入新的風險。
5. 支援治理與稽核：留下掃描範圍、結果、修補紀錄及複測證據，供資安管理、內部稽核及法規遵循使用。

二、弱點掃描之作法

1. 盤點資產並界定範圍：列出要檢查的主機、網路設備、網站、應用程式、資料庫及雲端資源，確認資產負責人、重要性、網段與允許掃描的時間。先確認授權與範圍，可避免影響未納入掃描的系統。
2. 選擇掃描方式與工具：

• 網路型掃描：由網路對目標服務進行探測，適合檢查對外或網段內可連線的服務與漏洞。
• 主機型掃描：在主機安裝代理程式或使用經授權的登入檢查，可取得較完整的作業系統、套件及修補資訊。
• 有認證與無認證掃描：無認證掃描從外部可見資訊評估曝險；