民國115年 高考三級 資通安全 資通安全防護技術
第2題
某機關將Web 服務部署於容器化環境。請說明容器化部署可能面臨的資 安風險，並從映像檔來源、權限設定、網路隔離與執行監控四方面提出 防護措施。（25 分）
題目
某機關將Web 服務部署於容器化環境。請說明容器化部署可能面臨的資 安風險，並從映像檔來源、權限設定、網路隔離與執行監控四方面提出 防護措施。（25 分）
參考解答（AI 生成，非官方）
- 一、可能風險：映像檔含已知漏洞或遭植入後門、基底映像長期未更新；容器逃逸（container escape）取得宿主權限；特權容器、掛載 docker.sock 或 hostPath 造成隔離失效；Kubernetes 設定錯誤（如 API Server 匿名存取、RBAC 過寬）；Secret 以環境變數明文外洩；東西向流量未隔離導致橫向移動。
- 二、映像檔來源：僅允許自信任的私有登錄庫（Registry）拉取，啟用內容信任與簽章驗證（Notation、Cosign），禁止使用 latest 標籤而以 digest 固定版本；CI 階段執行弱點掃描（Trivy、Grype）並產出 SBOM，高風險映像阻擋上線；定期重建以修補基底映像。
- 三、權限設定：容器以非 root 使用者執行、設 readOnlyRootFilesystem、drop 全部 capabilities 僅保留必要項；禁用 privilege 與 hostPath 掛載，套用 Pod Security Standards（restricted）。Kubernetes 端採 RBAC 最小權限、ServiceAccount 不自動掛載權杖，Secret 交由 Vault 或 KMS 管理。
- 四、網路隔離：採 NetworkPolicy 預設拒絕（default deny），僅開放必要之東西向連線；以命名空間與服務網格（Service Mesh）實施 mTLS 身分驗證與流量分段；管理平面與工作節點分屬不同網段，API Server 限制來源 IP 並關閉公網存取。
- 五、執行監控：部署 Falco 等執行期安全工具，偵測異常程序、檔案竄改與反彈殼（reverse shell）；以 eBPF 或 auditd 蒐集系統呼叫並集中日誌串接 SIEM 告警；建立不可變基礎設施與自動化修補流程，並定期演練容器逃逸與橫向移動之情境。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。