110 公路人員升資考試員級晉高員級 技術類(選試資訊管理與資通安全)-公路總局 資訊管理與資通安全 考古題詳解

核心觀念

資安健診是由具備專業能力的人員，針對機關的網路架構、網路活動、端點與伺服器主機，以及重要設備的安全設定進行檢視，藉此掌握內部資安環境與外部威脅，發現配置不當、惡意活動或防護缺口，並提出改善建議。

資安健診重點在於找出「現況與風險」，協助機關採取改善措施，提升網路及資通系統的安全防護能力，維持資訊業務正常運作。它與弱點掃描、滲透測試不同：健診範圍較廣，包含架構、活動跡象及設定檢視；弱點掃描著重已知技術弱點；滲透測試則以模擬攻擊驗證可利用的漏洞。

本題依命題當年政府機關資安健診服務的常見項目作答。以命題當年（民國 110 年）法規及服務項目為準。

解題方法

作答時可依「網路架構 → 網路流量 → 使用者端點 → 伺服器 → 安全設定」的順序整理，涵蓋從整體網路到個別設備，再到關鍵組態設定的檢查範圍。各項宜交代「檢查對象、檢查內容、目的或效益」，避免只列項目名稱。

資安健診服務項目及內容

一、網路架構檢視

檢視機關網路架構圖與實際網路配置是否一致，確認網路區隔、對外連線、重要主機位置及防護設備部署是否適當。並檢查網路設計是否存在不必要的連通路徑，或使重要系統暴露於較高風險區域的情形。

**目的：**找出架構或區隔上的弱點，確認防護措施涵蓋重要網段與系統，降低攻擊者由外部或低安全等級網段進入重要系統的風險。

二、有線網路惡意活動檢視

透過網路封包監聽與分析、網路設備紀錄檔檢視等方式，觀察網路流量及連線紀錄是否有異常，例如連線至已知惡意 IP、中繼站（Command and Control, C&C），或出現可疑的 DNS 查詢、掃描與異常通訊行為。

**目的：**辨識可能已發生或正在進行的惡意活動，協助機關及早調查、通報與處置。

三、使用者端電腦惡意活動檢視

檢查使用者電腦是否存在惡意程式、可疑檔案、駭客工具、異常帳號或群組，以及其他可疑活動跡象。亦可檢視作業系統、Office 應用程式、防毒軟體及其他重要應用程式的更新情形。

核心觀念

防火牆是部署在不同信任區域之間，依據預先設定的安全政策，檢查並控制進出網路或主機的流量。防火牆可依檢查的資訊層次、是否追蹤連線狀態、部署位置及防護對象分類。題目要求列舉五種不同類型，並說明各自的運作方式；作答時應選取分類原理清楚、彼此有區別的類型。

解題方法

以「檢查依據與防護位置」作為分類切入點，分別說明封包過濾、連線狀態檢查、應用層代理、次世代防火牆，以及主機型防火牆。每一類都交代檢查什麼、如何決定放行或阻擋，以及主要防護範圍。

五種防火牆及運作方式

一、封包過濾防火牆（Packet Filtering Firewall）

封包過濾防火牆通常在網路層或傳輸層檢查封包標頭，依存取控制規則判斷是否轉送。規則常使用來源與目的 IP 位址、來源與目的埠號、傳輸協定及封包方向等欄位。

例如，規則可允許內部網路連往特定網站服務的 TCP 流量，並阻擋外部網路連入內部主機。傳統封包過濾多半逐個檢查封包，不記錄完整連線狀態，因此速度快、資源需求低，但較難辨識封包所屬的應用內容，也不易處理需要參照既有連線狀態的流量。

二、狀態檢查防火牆（Stateful Inspection Firewall）

狀態檢查防火牆除了檢查封包標頭，也維護連線狀態表，記錄已建立連線的來源、目的、協定及連線階段等資訊。

當封包到達時，防火牆會確認它是否屬於已允許建立的連線，以及是否符合該連線預期的傳輸狀態。符合已建立連線狀態的回應封包可依狀態表放行；不符合既有連線或違反規則的封包則予以阻擋。相較於單純封包過濾，狀態檢查能以連線脈絡判斷流量，但仍不一定深入檢查應用程式內容。

三、應用層代理防火牆（Application Proxy Firewall）

應用層代理防火牆工作於應用層，通常由代理伺服器代替用戶端與外部服務建立連線。用戶端先連到代理伺服器，代理伺服器依政策檢查請求內容，再決定是否代表用戶端向目標服務送出請求。

核心觀念

本題考查資安事件處理流程中的封鎖、根除與復原。在確認事件原因與影響範圍後，處理目標依序是：

• 封鎖（Containment）：限制事件擴大，保護其他系統與資料。
• 根除（Eradication）：移除事件根源及攻擊者留下的惡意元件。
• 復原（Recovery）：安全地恢復受影響系統與服務，並確認其穩定運作。

三階段應依事件性質與影響範圍調整，但不可只修復表面症狀，必須避免攻擊者仍能透過原有途徑再次入侵。

解題方法

依「先止損、再清除、後恢復」作答，並分別說明各階段的目的、主要工作與完成判準。封鎖重在控制範圍；根除重在消除根因與殘留；復原重在經過驗證後恢復服務。

各階段工作項目及內容

一、封鎖

封鎖的目的，是在處理事件期間抑制損害繼續擴大，同時維持必要服務。主要工作如下：

1. 隔離受影響設備或網段：將遭入侵的主機與網路隔離，或限制其對外及對內連線；必要時停用受影響帳號、服務、連接埠或遠端存取管道。
2. 阻擋已知攻擊途徑：依事件情況更新防火牆、入侵偵測與防禦系統、郵件閘道或端點防護規則，封鎖惡意 IP、網域、檔案雜湊及其他已確認的指標。
3. 保護關鍵系統與資料：加強監控、限制權限與網路存取，並確認備份資料未受感染或遭竄改。
4. 保留必要證據：在不妨礙止損的前提下，保存日誌、記憶體或磁碟映像、網路流量等證據，記錄隔離、停用或規則變更的時間與內容，以利後續調查。
5. 評估封鎖方案與服務影響：判斷採取局部隔離或暫停服務，兼顧事件擴散風險與業務持續需求；並持續監控是否出現新的受害主機或攻擊活動。

封鎖完成的判準，是事件已受到控制，影響範圍不再持續擴大，且對外攻擊或未授權存取已受限制。

二、根除

根除的目的，是清除入侵原因、惡意程式與攻擊者建立的持續存取能力。主要工作如下：

核心觀念

判斷網路流量是否正常，不能只憑單一封包或單一數值下結論；應先建立特定網路在正常運作時的流量基準，再比較觀察期間的流量是否出現異常變化。基準可包含：

• 流量特徵：封包數、位元組數、頻寬、連線數及尖峰時段。
• 通訊對象：來源與目的 IP、通訊埠、通訊協定，以及平常不常聯絡的主機。
• 連線行為：連線建立與中斷頻率、連線持續時間、失敗連線比例。
• 服務使用情形：常見的應用服務、使用者及其合理存取時間。

異常流量是指流量特徵偏離既有基準，或違反網路政策及預期使用方式的流量。異常不等同於惡意；合法的軟體更新、備份或活動流量也可能造成尖峰，需結合來源、目的、時間及封包內容等資訊判讀。

解題方法

可用「建立基準、比對變化、檢視封包、交叉確認」的方式作答：

1. 建立正常基準：依網路區段與時段，記錄常見頻寬、連線數、通訊對象、服務及流量型態。
2. 比對即時或歷史流量：觀察是否有明顯偏離基準的狀況，例如頻寬突然升高、大量短時間連線，或非上班時段出現不尋常的對外傳輸。
3. 找出異常特徵：檢視是否有大量連至不同主機的連線、同一來源反覆連線失敗、平常未使用的通訊埠流量，或內部主機向外傳送大量資料。
4. 側錄封包進一步分析：取得特定時間、主機或通訊協定的封包，檢查連線流程、標頭與可見的應用層資訊。
5. 交叉確認：比對防火牆、伺服器及端點紀錄，確認異常是否來自預定維護、合法服務或未授權活動。

常見異常型態包括流量暴增、連線掃描、拒絕服務攻擊（DoS／DDoS）、異常 DNS 查詢、可疑的命令與控制連線，以及未經授權的大量資料外傳。判斷時應同時考量流量基準與實際業務情境，避免把合法尖峰誤判為攻擊。

封包側錄方法：以交換器鏡像埠搭配 Wireshark