民國115年 高考三級 資通安全 資通安全法令與規範
第4題
某甲公務機關遭受駭客利用釣魚郵件攻擊，員工開啟惡意文件，於此時 執行惡意巨集程式，以傳輸勒索病毒，且感染其他電腦主機，再於選定 時段加密檔案，導致業務系統中斷達…
題目
某甲公務機關遭受駭客利用釣魚郵件攻擊，員工開啟惡意文件，於此時 執行惡意巨集程式，以傳輸勒索病毒，且感染其他電腦主機，再於選定 時段加密檔案，導致業務系統中斷達到勒索目的。申論資通安全行政規 則與政府組態基準如何因應此勒索病毒感染事件？（25 分）
參考解答（AI 生成，非官方）
- 一、事件歷程與定性。本案攻擊鏈為：釣魚郵件、員工開啟惡意文件、執行惡意巨集、下載勒索病毒、橫向移動感染其他主機、於選定時段加密檔案、業務系統中斷。此屬典型兩階段勒索攻擊（先潛伏、後加密）。機關應依資通安全事件通報應變及演練辦法判斷事件等級（業務中斷影響民眾權益者可能達第三級以上），於規定期限內通報，並啟動應變、復原、調查與改善程序。
- 二、行政規則面之因應。依資通安全管理法第10條、第11條，機關應訂定資通安全維護計畫、指定資通安全長與專責人員，並依責任等級分級辦法落實控制措施；透過資安稽核與演練規定辦理社交工程演練、勒索病毒情境演練及異地備援演練；藉情資分享機制取得入侵指標與攻擊手法（TTP）預先阻擋；並以委外契約資安條款、供應商管理與常態教育訓練，補強人為破口。
- 三、政府組態基準之技術防線。GCB 可具體切斷攻擊鏈：停用或僅允許簽章之 Office 巨集、以群組原則限制 PowerShell 與 WMI、關閉 SMBv1 並限制 RDP、停用不必要服務、限縮本機系統管理員權限、部署應用程式白名單（AppLocker 或 WDAC）、強制帳號密碼政策與多因子驗證、管制可攜式儲存裝置、落實網路分段與最小權限，並以 GCB 檢視工具定期稽核偏離情形並要求改善。
- 四、偵測、備份與復原。GCB 屬事前設定，尚須搭配端點偵測與應變（EDR）、郵件過濾與 SPF/DKIM/DMARC、資通安全弱點通報機制（VANS）修補漏洞。備份應採 3-2-1 原則並保有離線或不可變（immutable）副本，定期執行還原演練以驗證 RTO 與 RPO；事件發生時應立即隔離受感染主機、保留數位證據、阻斷橫向移動與對外連線，並依規定通報，不宜逕行支付贖金。
- 五、限制與建議。限制在於 GCB 僅規範設定，無法防禦零時差漏洞與人為疏失；老舊系統與 OT 環境難以套用；備份若同屬一個網域而遭加密即失去效用；中小機關資安人力不足。建議推動零信任架構、二十四小時 SOC 監控、紅藍隊對抗演練與資安保險，並將勒索攻擊納入跨機關聯防與情資共享，形成縱深防禦與快速復原並重之治理模式。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。