民國115年 高考三級 資通安全 資通安全概論
第4題
弱點掃描（Vulnerability Scanning）是資安防護最基本的措施之一。請詳 述弱點掃描之目的、作法與效益。（25 分）
題目
弱點掃描（Vulnerability Scanning）是資安防護最基本的措施之一。請詳 述弱點掃描之目的、作法與效益。（25 分）
參考解答（AI 生成，非官方）
- 一、弱點掃描之目的：在於主動辨識資訊資產（主機、伺服器、網路設備、應用系統、雲端資源）中存在之已知弱點與錯誤組態，量化風險並排定修補優先順序以降低攻擊面；同時作為修補管理、組態管理與法規遵循（如資通安全管理法、ISO/IEC 27001控制項）之驗證依據。
- 二、前置作業與範圍界定：應取得書面授權並訂定測試範圍、時間窗與禁止事項，避免影響營運；先完成資產盤點與網路拓撲確認，選擇網路型（未驗證或已驗證）或代理程式（agent-based）掃描，並更新弱點特徵資料庫（CVE、CVSS、CPE）與掃描原則，降低對正式環境之衝擊。
- 三、執行作法：依風險排定週期（如每月或每季）並輔以事件驅動掃描，採用已驗證（credentialed）掃描提高準確度；對外服務另以網站弱點掃描（DAST）檢測OWASP Top 10；掃描後進行誤判（false positive）驗證與人工複核，將結果匯入工單系統追蹤修補，並於修補後複掃（rescan）確認。
- 四、效益：可及早發現高風險弱點、降低人力成本與停機風險、提供管理階層量化指標（弱點數量、修補時效MTTR、掃描覆蓋率），支援風險導向之決策與預算配置，並強化組態基線一致性與稽核證據，對外亦可提升客戶與供應鏈之信任。
- 五、限制與精進建議：掃描僅能發現已知特徵之弱點，難以涵蓋業務邏輯漏洞與零時差攻擊，且可能有誤判、漏判或造成系統異常；建議與滲透測試、源碼掃描（SAST）、SBOM及威脅情資互補，建立結合CVSS、資產重要性與可利用性之風險排序及修補SLA，並定期檢視掃描政策。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。