106 銀行招考不分職等 合作金庫-防火牆系統管理人員 專業科目：含資訊安全概論、計算機概要、網路管理、資訊安全管理 考古題詳解

106 年・銀行招考・不分職等・合作金庫-防火牆系統管理人員
試題代碼 防火牆系統管理人員-專業科目：含資訊安全概論、計算機概要、網路管理、資訊安全管理

第 第一題 題25 分

近日媒體報導駭客勒索證券公司，要脅將利用分散式阻斷服務攻擊（distributed denial-of-service attack，縮寫：DDoS attack、DDoS）進行癱瘓他們的交易系統。

（一）DDoS 有一種是 ICMP（flooding）泛洪攻擊方式，以極度消耗受攻擊伺服器的網路流量資源。整個攻擊牽涉三個步驟，請說明之。【15 分】 （二）如果您是該證券公司的資安人員，請問：

  1. 在駭客預告發動攻擊之前該做什麼？【5 分】
  2. 在攻擊進行中該做什麼？【5 分】

登入後即可作答並保存紀錄。

這一題的完整詳解

核心觀念

本題考查分散式阻斷服務攻擊（DDoS）的運作架構、ICMP 泛洪攻擊原理，以及證券公司面對 DDoS 威脅時的事前預防與事中應變措施。

DDoS 的核心特徵是：攻擊流量並非來自單一主機，而是由大量受控制的電腦（通常稱為殭屍電腦，zombie）同時向目標系統發動請求，使目標的頻寬、網路設備、CPU、記憶體或連線表等資源耗盡，導致正常使用者無法交易。

ICMP 泛洪通常利用大量 ICMP Echo Request（俗稱 ping 封包）持續傳送至目標，使目標必須消耗網路頻寬及處理資源回應封包。若搭配來源 IP 偽造及廣播放大，則可形成 Smurf attack。

解題方法

本題第一小題可依 DDoS 的典型攻擊鏈，分成「建立攻擊資源、下達攻擊命令、集中發動攻擊」三個階段說明，並補充 ICMP 泛洪在最後階段的具體運作方式。

第二小題則以資安事件處理生命週期切入：

  • 攻擊前：降低暴露面、建立防禦能力及應變協調機制。
  • 攻擊中：快速確認、阻擋及分流攻擊流量，同時維持交易服務並保存證據。

（一）ICMP 泛洪 DDoS 的三個步驟【15 分】

第一步：建立並控制大量攻擊來源

攻擊者先透過漏洞利用、木馬程式、釣魚郵件、弱密碼或其他方式，感染大量個人電腦、伺服器、網路設備或 IoT 裝置，將其納入殭屍網路（botnet）。

這些被感染的設備通常由攻擊者植入代理程式（agent），能在收到指令後自動產生大量網路封包。攻擊者也可能建立命令與控制伺服器（Command and Control Server, C2），用來管理殭屍電腦。

此階段的重點不是立即攻擊證券公司，而是先取得足夠數量且分散於不同網路位置的攻擊來源，以達到「分散式」攻擊效果。

第二步：透過控制機制下達攻擊命令

攻擊者利用 C2 伺服器、控制端（handler）或其他隱蔽通訊方式，向殭屍電腦下達攻擊指令，內容通常包括：

  • 攻擊目標的 IP 位址或網域名稱。
  • 攻擊開始及結束時間。
  • 封包種類，例如 ICMP Echo Request。
  • 封包數量、傳送速率及封包大小。
  • 是否偽造來源 IP 位址。

由於攻擊指令可以同時傳送至大量殭屍電腦，攻擊者能在指定時間集中發動攻擊。

第三步：殭屍電腦同時發動 ICMP 泛洪

收到命令後，大量殭屍電腦持續向證券公司的伺服器或網路設備傳送 ICMP Echo Request。目標設備若正常處理這些封包，通常會產生 ICMP Echo Reply，因而同時消耗：

  1. 對外網路頻寬。
  2. 防火牆、路由器及負載平衡器的封包處理能力。
  3. 伺服器的 CPU、記憶體及中斷處理資源。
  4. 正常交易連線可使用的網路及系統資源。

當惡意流量超過網路頻寬或設備處理能力時，正常交易封包便可能被延遲、丟棄或無法建立連線，最後造成交易系統服務中斷。

ICMP 放大攻擊的補充說明

若攻擊者將來源 IP 偽造成受害者的 IP，並把 ICMP Echo Request 傳送至允許廣播的網路，該網路內多台主機可能同時回覆受害者，形成流量放大，此種方式稱為 Smurf attack。

其基本流程為：

偽造受害者來源 IP→傳送 ICMP 請求至廣播位址→多台主機回覆受害者\text{偽造受害者來源 IP} \rightarrow \text{傳送 ICMP 請求至廣播位址} \rightarrow \text{多台主機回覆受害者}

不過，並非所有 ICMP 泛洪都使用廣播放大；單純由大量殭屍電腦直接傳送 ICMP 封包至目標，也屬於 ICMP flood。

（二）證券公司資安人員的應變措施

1. 駭客預告發動攻擊之前【5 分】

（1）啟動資安事件應變計畫

確認威脅內容、可能的攻擊時間、目標系統、公開 IP 位址及預估影響範圍，啟動 DDoS 事件應變小組，明確分工網路、系統、資安、交易業務、客服及管理階層的責任。

同時建立通報流程，預先聯絡：

  • 網際網路服務供應商（ISP）。
  • DDoS 清洗或緩解服務商。
  • 資安監控中心及相關主管機關。
  • 內部交易系統、網路及維運人員。

（2）盤點並強化網路與服務架構

盤點交易系統、DNS、VPN、對外網站、API、郵件及遠端管理服務，確認哪些服務直接暴露於網際網路。

可採取下列措施：

  • 建立頻寬、封包量、連線數及 CPU 使用率的正常基準。
  • 將必要服務配置於防火牆、負載平衡器或 DDoS 防護設備後方。
  • 預先設定 ICMP 流量速率限制及異常封包過濾規則。
  • 關閉不必要的公開服務及網路廣播功能。
  • 確認設備已更新韌體、修補漏洞並停用預設帳號及弱密碼。
  • 準備備援線路、備援設備及必要的流量清洗方案。

（3）預先規劃分流與維持服務方案

與 ISP 預先確認流量黑洞、流量清洗、BGP 導流、備援站台或替代網域的啟用方式。

證券交易系統必須特別區分：

  • 交易核心系統。
  • 對外網站。
  • 行情查詢服務。
  • 客戶登入及 API。
  • 非必要的宣傳或下載服務。

若攻擊發生，應優先保護核心交易功能，必要時暫停非關鍵服務以保留頻寬與系統資源。

（4）保存證據並進行演練

預先確認防火牆、路由器、IDS/IPS、伺服器及流量監控設備的記錄功能，確保時間同步、日誌集中保存及容量足夠。

並透過桌上演練或技術演練確認：

  • 誰負責判定事件。
  • 誰有權修改網路規則。
  • 誰負責聯絡 ISP。
  • 如何對外公告服務狀態。
  • 如何在事件後復原及檢討。

2. 攻擊進行中該做什麼【5 分】

（1）立即確認攻擊特徵與影響範圍

比對正常流量基準，觀察下列資訊：

  • 流量是否突然大幅增加。
  • ICMP 封包來源是否分散且異常。
  • 封包大小、頻率及目的埠是否具有一致性。
  • 是否集中攻擊特定 IP、網域或網路設備。
  • 頻寬、CPU、記憶體、連線數及封包遺失率是否異常。
  • 交易服務是否出現延遲、逾時或無法登入。

應保留流量樣本、封包擷取檔、設備日誌、時間線及告警資訊，作為後續追查與法律蒐證之用。

（2）啟用 ISP 或 DDoS 清洗服務

若攻擊流量已接近或超過公司網路頻寬，單靠公司內部防火牆通常無法解決，因為惡意流量在進入公司前已占滿對外線路。

此時應立即請 ISP 或 DDoS 防護商進行：

  • 上游流量過濾。
  • 清洗惡意流量。
  • BGP 導流至清洗中心。
  • 對異常來源或封包特徵進行封鎖。
  • 必要時暫時將受攻擊服務導向備援站台。
🔒

後續完整解題步驟與【答案】

免費註冊，2026/11/15 前全站完整詳解免費看。

免費註冊

第 第二題 題25 分

有關程式語言與資料庫相關的觀念，請回答下列問題：

（一）程式開發時常見的錯誤可以分成語法錯誤（Syntax Error）及語意錯誤（Semantic Error），請說明這二種錯誤為何？【8 分】 （二）物件導向程式語言有三種主要的特徵，分別是封裝（encapsulation）、繼承（inheritance）及多形（polymorphism），請簡單說明封裝與繼承之觀念。【6 分】 （三）資料庫依其模型可以有很多種，經常看到的有關聯式資料庫模型及物件導向式模型，請簡單說明這二種模型資料庫。【8 分】 （四）請寫出常用的關聯式資料庫查詢語言之中、英文名稱？【3 分】

登入後即可作答並保存紀錄。

這一題的完整詳解

核心觀念

本題綜合考查程式語言與資料庫的基礎定義，包括：

  1. 程式錯誤的分類：語法錯誤與語意錯誤。
  2. 物件導向的封裝與繼承。
  3. 關聯式資料庫模型與物件導向式資料庫模型。
  4. SQL 的中英文全名。

（一）語法錯誤與語意錯誤【8 分】

1. 語法錯誤（Syntax Error）

語法錯誤是指程式碼不符合程式語言所規定的文法、語句結構或符號使用規則。

常見情形包括：

  • 括號、引號未成對。
  • 關鍵字拼寫錯誤。
  • 遺漏分號。
  • 運算式結構不完整。
  • 宣告格式不符合語言規定。

例如：

if (x > 0 {
 printf("Positive");
}

上述程式少了右括號 )，不符合語法規則，因此屬於語法錯誤。

語法錯誤通常可在編譯階段由編譯器偵測出來，程式通常無法成功編譯或執行。

2. 語意錯誤（Semantic Error）

語意錯誤是指程式的語法形式正確，能通過編譯或執行，但程式所表達的意義、邏輯或計算結果不符合原本需求。

例如：

average = sum / 2;

若程式的目的為計算 3 個數字的平均值，正確應為：

average = sum / 3;

前者在語法上正確，但計算邏輯錯誤，因此屬於語意錯誤。

語意錯誤常見於：

  • 運算式邏輯錯誤。
  • 條件判斷方向寫反。
  • 使用錯誤的變數。
  • 計算公式套用錯誤。
  • 程式功能與需求不一致。

解題技巧

判斷方法如下：

  • 「寫法不符合語言規則」是語法錯誤。
  • 「寫法符合規則，但意思或結果錯誤」是語意錯誤。

語法錯誤通常由編譯器直接指出；語意錯誤則常須透過測試、除錯及檢查輸出結果才能發現。

【答案】

語法錯誤是程式碼違反程式語言文法及結構規則，通常在編譯時被偵測，導致程式無法通過編譯。語意錯誤是程式語法正確，但邏輯、意義或運算結果不符合設計需求，通常須透過測試與除錯才能發現。

（二）封裝與繼承【6 分】

1. 封裝（Encapsulation）

封裝是將資料與操作資料的方法包裝在同一個物件或類別中，並限制外部直接存取物件內部資料。

封裝的主要目的包括：

  • 隱藏物件內部實作細節。
  • 保護資料，避免被任意修改。
  • 透過公開方法提供受控制的資料存取方式。
  • 降低程式各模組之間的耦合程度。

例如，銀行帳戶物件可以將餘額設為私有資料，只允許外部透過 deposit、withdraw 等方法變更餘額。外部程式不應直接修改帳戶餘額。

封裝通常搭配存取控制修飾詞使用，例如：

  • private：僅類別內部可存取。
  • protected：類別本身及其子類別可存取。
  • public：外部程式也可存取。

2. 繼承（Inheritance）

繼承是由既有的父類別建立子類別，使子類別取得父類別既有的資料與方法，並可進一步增加新功能或重新定義既有功能。

例如：

  • Employee 為父類別。
  • Manager 為子類別。
  • Manager 可繼承 Employee 的姓名、編號及工作方法，再增加管理職責相關功能。

繼承具有以下作用：

  • 程式碼重複使用。
  • 建立類別階層關係。
  • 表達「是一種」（is-a）關係。
  • 便於擴充與維護程式。

解題技巧

  • 封裝重點是「資料與方法包裝」及「隱藏內部細節」。
  • 繼承重點是「子類別取得父類別特性」及「程式碼重複使用」。
  • 多形雖為物件導向的第三項主要特徵，但本小題只要求說明封裝與繼承。

【答案】

封裝是將物件的資料與操作資料的方法集中於類別內，並透過存取權限隱藏內部資料及實作細節，只提供必要的介面供外部使用。繼承是由子類別承接父類別的資料與方法，並可增加或重新定義功能，以達到程式碼重複使用及階層化設計的目的。

（三）關聯式資料庫模型與物件導向式資料庫模型【8 分】

1. 關聯式資料庫模型（Relational Database Model）

關聯式資料庫以「關聯」（Relation）作為主要資料組織方式，在實作上通常以表格（Table）表示。

一個表格包含：

  • 欄（Column）：代表資料的屬性，也稱為欄位。
  • 列（Row）：代表一筆資料，也稱為紀錄或 Tuple。
  • 主鍵（Primary Key）：用來唯一識別每一筆資料。
  • 外鍵（Foreign Key）：用來建立不同表格之間的關聯。

例如，員工資料表可包含：

員工編號姓名部門編號
E001王小明D01

關聯式資料庫可利用主鍵與外鍵建立表格間的關係，並透過完整性限制維持資料正確性。使用者通常透過 SQL 進行資料的新增、查詢、修改及刪除。

其主要特點包括：

  • 資料以表格形式呈現。
  • 結構清楚，便於查詢與管理。
  • 可利用關聯運算及 SQL 處理資料。
  • 適合結構固定、欄位明確的資料。

2. 物件導向式資料庫模型（Object-Oriented Database Model）

🔒

後續完整解題步驟與【答案】

免費註冊，2026/11/15 前全站完整詳解免費看。

免費註冊

第 第三題 題25 分

網際網路需要路由器（router）與相鄰路由器交換路由資訊，以建構自己的路由表（routing table）。路由表建構的方式有兩大類，其中一類為 distance-vector 的方法，這方法以 <”目的地”，”下一站”，成本> 的向量表示方式交換路由資訊。當路由器收到一個向量顯示到某一目的地的成本較低時，它會更新這個新資訊。假設路由每分鐘交換一次路由表，現有一個網路如下：

    A --- 2 --- C
    |           |
    8           1
    |           |
    B --- 3 --- D

（一）第一輪和隔壁路由器交換路由資訊後的各路由器的路由表會是如何？請填入以下空格。【10 分】 A: <C,C,2> <B,B,8> B: <A,A,8> ____ C: ____ ____ D: ____ ____

（二）請完成並列出第三輪交換後的 A、B、C 路由表。【15 分】

🖼️ 本題原卷含圖表。基於試題來源之版權考量，本站不轉載原卷影像； 題目文字已完整轉錄，圖表請自行參閱考選部公告之試題原檔。

登入後即可作答並保存紀錄。

這一題的完整詳解

核心觀念

本題考查距離向量路由（Distance-Vector Routing）與 Bellman-Ford 路由更新概念。

每筆路由資訊表示為：

⟨目的地, 下一站, 成本⟩\langle \text{目的地},\ \text{下一站},\ \text{成本} \rangle

路由器 XX 經由鄰居 VV 前往目的地 YY 的新成本為：

DX(Y)=min⁡V∈N(X){c(X,V)+DV(Y)}D_X(Y)=\min_{V\in N(X)}\{c(X,V)+D_V(Y)\}

其中：

  • c(X,V)c(X,V)：XX 與鄰居 VV 間的鏈路成本
  • DV(Y)D_V(Y)：鄰居 VV 到目的地 YY 的成本
  • 選擇成本最低的路徑作為路由

網路鏈路如下：

  • A↔CA\leftrightarrow C：成本 22
  • A↔BA\leftrightarrow B：成本 88
  • C↔DC\leftrightarrow D：成本 11
  • B↔DB\leftrightarrow D：成本 33

解題方法

第一輪先列出各路由器的直接連線：

  • AA 可直接到 CC、BB
  • BB 可直接到 AA、DD
  • CC 可直接到 AA、DD
  • DD 可直接到 BB、CC

之後每一輪將鄰居所提供的成本加上本身到該鄰居的成本，再比較最小值。

例如：

  • AA 經由 CC 到 DD：
2+1=32+1=3
  • BB 經由 DD 到 CC：
3+1=43+1=4
  • AA 經由 CC、DD 到 BB：
2+1+3=62+1+3=6

（一）第一輪交換後的路由表

題目已給出：

A: ⟨C,C,2⟩⟨B,B,8⟩A:\ \langle C,C,2\rangle\quad \langle B,B,8\rangle

其餘各路由器的直接路由如下：

B 路由表

B: ⟨A,A,8⟩⟨D,D,3⟩B:\ \langle A,A,8\rangle\quad \boxed{\langle D,D,3\rangle}

C 路由表

C: ⟨A,A,2⟩⟨D,D,1⟩C:\ \boxed{\langle A,A,2\rangle}\quad \boxed{\langle D,D,1\rangle}

D 路由表

D: ⟨B,B,3⟩⟨C,C,1⟩D:\ \boxed{\langle B,B,3\rangle}\quad \boxed{\langle C,C,1\rangle}

（二）第三輪交換後的 A、B、C 路由表

A 路由表

前往 BB 有兩條主要路徑：

  • 直接經由 BB：成本 88
  • 經由 CC、DD 到 BB：
2+1+3=62+1+3=6

因此選擇經由 CC，成本為 66。

前往 DD：

A→C→D=2+1=3A\rightarrow C\rightarrow D=2+1=3

所以：

A: ⟨B,C,6⟩⟨C,C,2⟩⟨D,C,3⟩\boxed{ A:\ \langle B,C,6\rangle\quad \langle C,C,2\rangle\quad \langle D,C,3\rangle }

B 路由表

前往 AA 有兩條主要路徑：

  • 直接經由 AA：成本 88
  • 經由 DD、CC 到 AA：
3+1+2=63+1+2=6

因此選擇經由 DD，成本為 66。

前往 CC：

B→D→C=3+1=4B\rightarrow D\rightarrow C=3+1=4

所以：

B: ⟨A,D,6⟩⟨C,D,4⟩⟨D,D,3⟩\boxed{ B:\ \langle A,D,6\rangle\quad \langle C,D,4\rangle\quad \langle D,D,3\rangle }

C 路由表

前往 AA 為直接路由：

C→A=2C\rightarrow A=2

前往 BB：

C→D→B=1+3=4C\rightarrow D\rightarrow B=1+3=4

前往 DD 為直接路由：

C→D=1C\rightarrow D=1

所以：

🔒

後續完整解題步驟與【答案】

免費註冊，2026/11/15 前全站完整詳解免費看。

免費註冊

第 第四題 題25 分

封包過濾防火牆會依據管理者訂定之過濾規則，逐一檢查網路封包表頭（Header）內的資訊是否符合公司的安全策略。請回答下列有關封包過濾防火牆的相關問題：

（一）假設有一個 C 級的區域網路，IP 位址從 210.68.8.0 到 210.68.8.255，而防火牆的 IP 位址設定為 210.68.8.1，對於該 C 級區域網路所訂定的安全策略如下，且須避免任何未允許的連接：

  1. 外部系統回覆的 TCP 可連結到內網
  2. 避免防火牆本身對內部或外部系統作任何的連接
  3. 避免任何外部系統直接連接防火牆
  4. 內部使用者可傳送封包給任何的外部系統
  5. 外部傳來要求的網頁存取可連結到 IP 位址為 210.68.8.69 的網頁伺服器
  6. 外部傳來的 SMTP 可連結到 IP 位址為 210.68.8.3 的電子郵件伺服器

如果您是管理員，應如何設定防火牆相關的過濾規則？（請按下表格式於答案卷依序作答）【每條過濾規則 3 分，共 21 分】

規則來源 IP 位址來源連接埠目的 IP 位址目的連接埠動作（接受/拒絕）
1
2
3
4
5
6
7

（二）與其他類型的防火牆相較，封包過濾防火牆具有成本低、容易安裝、效率高與可以彈性運作在各種網路環境等優點，但在安全防護上仍存有一些弱點，請列舉說明其中 2 項弱點？【4 分】

登入後即可作答並保存紀錄。

這一題的完整詳解

核心觀念

本題考查「封包過濾防火牆」依據封包表頭資訊進行存取控制的原理，主要判斷條件包括：

  • 來源 IP 位址
  • 來源連接埠
  • 目的 IP 位址
  • 目的連接埠
  • TCP 控制旗標，例如 SYN、ACK
  • 規則的先後順序及最後的預設拒絕（Default Deny）

本題網段為 210.68.8.0/24210.68.8.0/24，可使用位址範圍為 210.68.8.1210.68.8.1 至 210.68.8.254210.68.8.254，其中：

  • 防火牆：210.68.8.1210.68.8.1
  • 網頁伺服器：210.68.8.69210.68.8.69，使用 TCP 80
  • 電子郵件伺服器：210.68.8.3210.68.8.3，使用 SMTP TCP 25

由於題目要求「避免任何未允許的連接」，因此採用「明確允許、其餘拒絕」的原則。規則通常由上而下比對，符合第一條規則後即停止繼續比對。

解題方法

設定規則時，依下列順序處理：

  1. 先拒絕以防火牆為來源或目的的連線。
  2. 允許內部使用者對外發起連線。
  3. 允許外部系統回覆內部已建立的 TCP 連線，須以 TCP ACK=1 作為判斷依據。
  4. 允許外部系統連線至指定的網頁及電子郵件伺服器。
  5. 最後設定全數拒絕，防止其他未明文允許的封包通過。

下表中的「任意」表示任意 IP 位址或連接埠；涉及 TCP 的規則，另須搭配 TCP 協定條件判斷。

（一）過濾規則

規則來源 IP 位址來源連接埠目的 IP 位址目的連接埠動作
1210.68.8.1任意任意任意拒絕
2外部任意任意210.68.8.1任意拒絕
3210.68.8.0/24任意外部任意任意接受
4外部任意任意210.68.8.0/24任意接受（TCP ACK=1）
5外部任意任意210.68.8.6980接受（TCP）
6外部任意任意210.68.8.325接受（TCP）
7任意任意任意任意拒絕

規則說明

規則 1：拒絕防火牆主動建立連線

來源為 210.68.8.1210.68.8.1 的封包代表由防火牆本身發出，目的地不論是內部或外部，均予以拒絕，符合「避免防火牆本身對內部或外部系統作任何連接」的要求。

規則 2：拒絕外部直接連接防火牆

目的位址為 210.68.8.1210.68.8.1，且來源為外部系統的封包全部拒絕，避免外部主機直接存取防火牆。

規則 3：允許內部使用者對外傳送封包

來源為 210.68.8.0/24210.68.8.0/24 內部網段、目的地為外部任意系統的封包予以接受，使內部使用者可以對外發起連線。

實際部署時，應搭配來源介面或反欺騙（Anti-Spoofing）檢查，避免外部封包偽造內部來源位址。

規則 4：允許外部系統回覆 TCP 連線

內部使用者先對外發起 TCP 連線後，外部系統回覆的封包通常會設定 ACK=1。因此允許：

  • 來源：外部任意系統
  • 目的：內部網段
  • 協定：TCP
  • TCP 旗標：ACK=1

此規則不可單純允許所有外部 TCP 封包，否則外部系統即可任意對內部主機發起新的 TCP 連線。

規則 5：允許外部存取網頁伺服器

目的位址限定為 210.68.8.69210.68.8.69，目的連接埠限定為 TCP 80，只允許外部提出 HTTP 網頁存取要求。

規則 6：允許外部連接電子郵件伺服器

🔒

後續完整解題步驟與【答案】

免費註冊，2026/11/15 前全站完整詳解免費看。

免費註冊