111 公路人員升資考試員級晉高員級 技術類(選試資訊管理與資通安全)-高公 資訊管理與資通安全 考古題詳解

核心觀念

本題評量重點在於公務機關資通安全防護法規要求、網頁應用程式安全防護機制，以及資訊安全檢測評估實務：

1. 法規依據（以命題當年民國 111 年法規為準）： 依《資通安全責任等級分級辦法》附表二（公務機關資通安全責任等級 A 級之應辦事項）及附表三（B 級之應辦事項）之「資通安全防護」項目規定，A、B 級公務機關針對「具有對外服務之核心資通系統」，應建置或導入網頁應用程式防火牆（WAF），並防護網頁應用程式常見漏洞。（註：現行法規配合數位發展部成立與資安法規精進持續修訂，但核心資通系統配置 WAF 之關鍵防護基準要求實質相同）。
2. 網頁應用程式防火牆（WAF）機制： 屬於 OSI 第 7 層（應用層）防護設備，不同於傳統第 3/4 層網路防火牆僅能檢查 IP 與 Port，WAF 能深入解析 HTTP/HTTPS 協定內容，攔截常見應用層攻擊（如 OWASP Top 10 之 SQL Injection、XSS 等）。
3. 滲透測試（Penetration Testing）實務： 依據業界通用標準（如 NIST SP 800-115、PTES 滲透測試執行標準），以模擬真實黑客（Hacker）思維與技術，驗證漏洞是否存在、能否被串聯利用及入侵成功之後果，涵蓋黑箱、灰箱、白箱測試與標準執行程序。

解題方法

本題為標準的公職申論題（配分 25 分，分別為 6 分、9 分、10 分），切入點如下：

1. 第一小題（6 分）：精準寫出中、英文全名，名詞拼寫不可有誤（中、英文各占 3 分）。
2. 第二小題（9 分）：架構分明地從「運作層級與定位」、「流量解析與檢測模型（正向／負向）」、「部署架構方式」三方面剖析 WAF 的運作原理，並列舉能阻擋的典型攻擊型態。
3. 第三小題（10 分）：

• 「做法」切入點：從測試者掌握系統資訊的程度切入，清楚定義黑箱測試（Black-box）、灰箱測試（Gray-box）、白箱測試（White-box）。
• 「執行程序」切入點：依安全評估生命週期，條列五至六個標準階段（如事前規劃與授權、情資蒐集、弱點分析、滲透利用、事後清理與報告），強調「事前授權」與「事後清理」的資安管理要素。

解題技巧

1. 配分與版面控制：

• 6 分題講求快狠準，不可浪費過多篇幅。
• 9 分與 10 分題必須採用「項目符號＋標題粗體」呈現，邏輯層次分明，切忌整段未分點長篇大論。

2. 概念區隔防踩雷：

• WAF vs. 傳統防火牆：務必強調「OSI 第 7 層」與「HTTPS/HTTP 封包內容檢驗（Payload Inspection）」。
• 滲透測試 vs. 弱點掃描：弱點掃描偏向「自動化工具尋找潛在漏洞」，滲透測試核心在於「人工驗證、串聯利用與實證入侵可行性」，兩者不可混為一談。

3. 行政與法遵細節加分點：

• 滲透測試程序中務必提及「簽署測試授權書（Rules of Engagement, RoE）」與「非破壞性原則」，這是政府機關最看重的合規與風險控管細節。

【答案】

(一) WAF 之中文與英文全名

1. 英文全名：Web Application Firewall
2. 中文全名：網頁應用程式防火牆

(二) WAF 的運作方式

WAF 主要建構於 OSI 模型的第 7 層（應用層），專門用來過濾、監控與阻擋流向及來自 Web 伺服器的 HTTP/HTTPS 惡意流量。其具體運作方式包括以下核心機制：

1. 封包深度解析與解密（Deep Packet Inspection & SSL/TLS Offloading）： WAF 接收外部使用者請求後，會解密 HTTPS 流量，深入剖析 HTTP 協定內容（包含 Header、Cookie、URI、Query String、POST Body 等資料欄位），而非僅檢驗來源/目的 IP 與連接埠。
2. 多維度檢測機制與安全模型：

核心觀念

本題評量政府資通安全防護治理、安全軟體開發生命週期（SSDLC）及資通系統生命週期資安管理規範。法規與政策依據為行政院於民國 111 年函頒之「各機關資通系統籌獲各階段資安強化措施」（本題以命題當年民國 111 年法規環境為準；後續主管機關行政院資通安全處已於民國 111 年 8 月改制為「數位發展部資通安全署」，現行相關措施由該署主管並持續精進推動）。

核心涵蓋的觀念包含：

1. 源頭安全（Security by Design）與預算保障：透過法定比率經費（$5\%$）克服非功能性需求（資安）易被排擠的問題。
2. 供應鏈安全與採購評選把關：透過專家審查投標廠商的資安能量，阻絕供應鏈風險於未然。
3. 三道防線治理架構（Three Lines Model）：

• 第一線：業務與開發維運單位（受託廠商與系統主辦人員）負責控制措施的實施。
• 第二線：機關「資安專責人員」獨立負責合規監督、風險管理與實質勾稽。
• 外部專家諮詢：藉由公正第三方的專業技術能量，避免當局者迷與利害衝突。

解題方法

本題為典型的五小題申論問答題，各小題配分均為 5 分，作答策略應採「法規精神＋資安工程原理」切入：

1. 第 (一) 題（經費 5%）：從「軟體工程成本效益（早期修補成本低）」、「專款專用避免功能排擠」及「落實各項法定檢測費用需求」三個層面論述。
2. 第 (二) 題（評選委員含資安專家）：從「技術能力鑑別」、「供應鏈風險阻絕」與「平衡商業/功能導向評選」切入。
3. 第 (三) 題（專業委員資格）：記憶行政院函規範圍中四項客觀條件（專業證照、學者、政府資安專責資歷、專家人才庫），精準列舉出其中兩種。
4. 第 (四) 題（建置階段外部顧問）：從「獨立性/無利害衝突」、「外部攻防視角引進」與「監督 SSDLC 里程碑落實」切入。
5. 第 (五) 題（第二線勾稽項目）：緊扣「第二道防線（Second Line of Defense）」職責，列出檢測報告審查、弱點修補追蹤、帳號權限清查、Log 稽核軌跡審視、委外人員存取控管等明確作業項目。

選項分析（子題評分重點剖析）

本題為申論問答題，無選擇題選項；各子題之評分關鍵與採分重點剖析如下：

• 第 (一) 小題：不可僅回答「因為法規規定」，必須說明軟體生命週期成本模型（缺陷越晚被發現，修補成本呈指數級增長）及避免功能需求擠壓資安預算。
• 第 (二) 小題：著重於「受託廠商能力評鑑」，非資安背景委員往往著重於介面（UI/UX）、功能完整度與報價，資安委員方能針對廠商之 SSDLC 制度、程式安全標準與人員素質進行實質評核。
• 第 (三) 小題：資格必須具備客觀性，回答需指明「資安專業證照」、「大專校院資安專任教師」或「公務資安專責人員資歷」，不可寫含糊的「對電腦很厲害的人」。
• 第 (四) 小題：強調「超然獨立的第三方角色」，內部人員容易受限於預算、時程與長官壓力，委外廠商則有結案成本壓力，外部專家能提供客觀的風險評估。
• 第 (五) 小題：需清楚區分「執行者（第一線）」與「勾稽者（第二線）」。資安專責人員不是自己去寫程式或修弱點，而是「查核、驗證、確認」第一線人員有無確實執行規範。

解題技巧

1. 掌握金字塔架構（論點標題化）：各小題配分 5 分，建議以「列點式」作答，每題提煉 2 至 3 個小標題，論述簡明扼要，方便閱卷老師迅速找到給分點。
2. 導入專業術語加分：適度寫出專業名詞，如「Security by Design（安全源頭管理）」、「SSDLC（安全軟體開發生命週期）」、「三道防線（Three Lines Model）」、「供應鏈安全（Supply Chain Security）」。
3. 避免混淆防線職責：作答第 (五) 小題時，切記「第二線」是監督勾稽（Review & Audit），萬不可寫成「資安人員負責進行系統程式撰寫或日常備份執行」。

【答案】

核心觀念

本題評量重點為《資通安全管理法》授權訂定之法規命令——《資通安全責任等級分級辦法》第 11 條及其附表十「資通系統防護基準」（以命題當年民國 111 年法規為準；現行法規由數位發展部持續維護並推動相關技術指引，但各等級防護基準之核心控制項目本質一致）。

本題旨在測驗考生將法規中抽象的「資通系統防護基準」（涵蓋普級、中級、高級之存取控制與身分鑑別規範）轉化為具體「資訊架構、資料庫設計、通訊協定與系統排程」之技術實作能力。涉及核心觀念包含：

1. 多重認證（Multi-Factor Authentication, MFA）：結合知識因子（Something you know）、擁有因子（Something you have）、生物特徵因子（Something you are）中兩種以上相異類別之認證機制。
2. 密碼歷史歷程比對（Password History Retention）：於安全儲存（加鹽單向雜湊）前提下比對舊密碼。
3. 帶外符記驗證（Out-of-Band One-Time Token, OOB OTP）：具高熵、時效性（TTL）及單次使用銷毀（Burn-on-use）之密碼重設機制。
4. 帳號生命週期管理（Account Lifecycle Management）：以日誌稽核結合批次排程工作（Batch/Cron Job）落實休眠/閒置帳號停用。
5. 連線工作階段管理（Session Management）：結合前端事件監聽與後端伺服器工作階段狀態檢核之主動逾時失效與安全銷毀。

解題方法

本題屬於「法規落實於技術實作」的申論實務題型。若僅抄錄法條文字無法取得高分，作答切入點應針對題幹五項要求，逐一自下列三層次完整論述：

1. 架構與元件選擇：說明涉及之系統元件（如身分識別提供者 IdP、資料庫、快取伺服器、排程服務）。
2. 資料與邏輯流程：說明資料如何儲存、演算法或通訊協定如何運作、驗證邏輯何時觸發。
3. 防禦與安全防護：補充避免被繞過或衍生安全漏洞的技術防範措施（如防重送攻擊、防暴力破解、避免密碼明文儲存）。

解題技巧

1. 切忌空泛論述：說明技術實作時，務必點出具體的業界標準技術名詞（如 TOTP、FIDO2、Argon2/bcrypt、CSPRNG、Redis TTL、Cron Job、HTTP Session/JWT）。
2. 常見陷阱與扣分點：

• 「密碼歷程比對」絕不可說明將舊密碼存成明文比對，必須說明採用「加鹽雜湊比對」機制。
• 「發送一次性符記」若僅回答寄送密碼重設網址，而未強調「隨機安全生成（CSPRNG）」、「設定生存時間（TTL）」與「使用後立即註銷」，會失掉安全防禦的核心分數。
• 「逾時自動登出」若只提前端 JavaScript 計時跳轉，屬於重大觀念缺失（前端極易被竄改繞過），必須並重「後端伺服器 Session / Token 實質作廢」。

【答案】

(一) 內部使用者鑑別在高級資通系統之存取採取多重認證技術之作法

1. 因素結合原則：高級資通系統必須要求內部使用者出示兩種（含）以上相異類別之獨立認證因子，防止單一憑證外洩導致系統失陷。
2. 技術架構實作：

• 第一因子（知識因子，Something you know）：使用者帳號與強固密碼（經伺服器端驗證）。
• 第二因子（擁有因子或生物特徵因子）：
• 硬體安全金鑰 / 智慧卡（強烈推薦）：導入基於 FIDO2 / WebAuthn 標準之實體金鑰（如 YubiKey），或政府機關通用之自然人憑證 / 機關晶片卡（PKI 架構），透過非對稱密碼學進行公私鑰質詢-回應（Challenge-Response）驗證，可全面免疫中間人（MitM）與釣魚攻擊。
• 時間基礎一次性密碼（TOTP）：伺服器與使用者的行動裝置認證器（如 Google Authenticator、FreeOTP）共享金鑰種子（Secret Seed），透過 RFC 6238 演算法以當前時間戳記計算產生 6 位數動態密碼。

3. 集中化存取管理：整合集中式身分驗證伺服器（如 AD、FreeIPA、Keycloak 或支援 SAML 2.0 / OIDC 之 IdP 平台），在使用者存取高級系統或執行特權提升時強制觸發 MFA 驗證流程。

(二) 身分驗證管理在普級以上資通系統進行密碼變更時，至少不可以與前三次使用過之密碼相同之作法

1. 資料庫結構設計：

• 建立密碼歷程資料表（如 password_history），包含欄位：user_id、password_hash（密碼雜湊值）、salt（獨立鹽值）及 changed_at（變更時間戳記）。
• 嚴禁存放明文密碼，必須採用具抗暴力破解之現代單向密碼雜湊演算法（如 Argon2id、PBKDF2 或 bcrypt）。

2. 變更驗證流程：

• 當使用者送出新密碼時，系統自 password_history 表中讀取該使用者最近三次之 password_hash 與對應 salt。
• 系統依序將新密碼明文以各筆舊鹽值進行相同演算法計算，並與歷史雜湊進行比對；若新密碼與前三次中任一筆相符，則中止交易並回傳錯誤訊息，拒絕該次變更。

3. 歷史維護與更新：

• 驗證通過後，將新密碼以全新隨機 Salt 產生之雜湊值寫入主帳號表及 password_history 表。

核心觀念

本題屬於資訊管理與資通安全考科中「雲端運算與虛擬化技術（Virtualization Technologies）」的經典核心題型，主要測驗考生對不同層級虛擬化架構的系統底層運作原理、資源配置方式及實務應用情境之理解：

1. 容器虛擬化（Container Virtualization）：屬「作業系統層級虛擬化（OS-level Virtualization）」，核心機制依賴作業系統核心（如 Linux Kernel）之資源隔離與配額技術（Namespaces、cgroups、Chroot/Pivot_root、OverlayFS），無須模擬底層硬體與獨立客體作業系統。
2. 虛擬機器架構（Virtual Machine, VM）：屬「硬體層級虛擬化（Hardware-level Virtualization）」，透過虛擬機器監視器（Hypervisor / VMM，分 Type 1 原生型與 Type 2 託管型）對底層實體硬體進行抽象化與虛擬化，每個虛擬機器內部皆需運行完整的客體作業系統（Guest OS）。
3. 兩者定位與問題導向之差異：VM 旨在解決「硬體資源整合利用率（Server Consolidation）、異質作業系統共存與強安全邊界隔離」；容器則旨在解決「軟體相依性封裝、環境一致性交付（Build Once, Run Anywhere）、微服務高密度部署與極速彈性擴縮容」。兩者非取代關係，而是不同抽象層級的互補技術。

解題方法

本題為標準的申論三段式問答題，各子題配分明確（8分、8分、9分），解題切入點如下：

1. 第一、二小題（架構說明）：採「由底而上之分層堆疊模型」結構化呈現，各寫出四至五層架構組件，並深入點出驅動該架構運作的「關鍵底層核心技術」（容器列出 Namespaces/cgroups；VM 列出 Hypervisor/Guest OS），再輔以簡潔的文字階層架構圖，使閱卷委員一目了然。
2. 第三小題（解決問題之差異）：切中題幹「不是用來取代」之破題方向，由「虛擬化抽象層次」、「各自鎖定的系統核心痛點（硬體端 vs. 應用端）」展開對比，並補充實務上兩者「協同共存（Container on VM）」之現代架構，展現高員級所需的整體架構視野。

選項分析

本題為申論題（非選擇題），無選項可資分析。評分關鍵在於術語精確度（如 Hypervisor、Guest OS、Namespaces、cgroups、微服務）與邏輯結構的嚴謹性，不可僅停留在「容器比 VM 輕量、開機快」等表層描述。

解題技巧

1. 比喻化架構記憶：

• 虛擬機器（VM）：如同「獨立透天厝」，每棟皆有獨立的地基、水電管線與專屬管家（Guest OS），隔絕性最好，但造價與維護成本高。
• 容器（Container）：如同「公寓大廈內的獨立套房」，住戶共用大樓的自來水與電力管線（Host Kernel），但各套房有專屬門鎖與隔間（Namespaces），空間利用率極高且入住迅速。

2. 審題防陷阱：題目特別強調「不是用來取代」，作答第三小題時切忌一面倒偏袒容器、貶低虛擬機器，必須精準論述虛擬機器在「強隔離安全性（避免容器逃逸攻擊）」與「多異質系統支援」上無法被容器取代的不可替代性。

【答案】

一、容器（Container）架構說明

容器虛擬化屬於作業系統層級虛擬化（OS-level Virtualization），其核心理念是讓多個獨立的執行個體在作業系統使用者空間（User Space）中相互隔離運作，並直接共享底層主機的作業系統核心。

(一) 系統堆疊架構（由底而上）

1. 基礎硬體層（Infrastructure / Hardware）：提供運算、儲存與網路等實體資源。
2. 主機作業系統層（Host Operating System）：通常為 Linux 或支援容器技術之現代 OS，提供共用的作業系統核心（Shared Kernel）。
3. 容器引擎層（Container Engine / Runtime）：如 Docker、containerd、CRI-O，負責管理映像檔（Images）、網路設定、容器生命週期與底層系統呼叫轉發。
4. 容器執行個體（Containers）：每個容器包含應用程式（App）本身以及其專屬的二進位檔與函式庫（Bins/Libs），彼此獨立打包。

+---------------------------------------------------+
| Container A (App+Libs) | Container B (App+Libs) |
+---------------------------------------------------+
| 容器引擎 (Container Engine) |
+---------------------------------------------------+
| 主機作業系統 (Host OS / Shared Kernel) |
+---------------------------------------------------+
| 實體基礎設施 (Hardware) |
+---------------------------------------------------+

(二) 關鍵底層核心技術

1. 命名空間（Namespaces）：實現系統資源的視圖隔離。包括處理程序 ID（PID）、網路介面與通訊埠（NET）、行程間通訊（IPC）、檔案掛載點（MNT）、主機名稱（UTS）與使用者權限（USER）。
2. 控制群組（Control Groups, cgroups）：實現資源配額與計量管制。限制並監控容器所能使用的 CPU、記憶體、磁碟 I/O 與網路頻寬上限，防止單一容器耗盡整機資源。