民國115年 普通考試 資訊處理 資通網路與安全概要
第4題
企業在導入身分識別與存取管理（IAM）系統時，必須確保涵蓋IAAA 四個核心。請回答以下問題： 請詳細說明IAM 系統中的「多因素認證（MFA）」與「零信任（Z…
題目
企業在導入身分識別與存取管理（IAM）系統時，必須確保涵蓋IAAA 四個核心。請回答以下問題： 請詳細說明IAM 系統中的「多因素認證（MFA）」與「零信任（Zero Trust）」模型這兩項機制將如何發揮作用，以有效阻斷駭客在竊取密碼 後的後續登入與系統擴張行為？（15 分） 請問IAAA 的四個核心分別代表什麼？如何運作以降低資安風險？ （15 分）
參考解答（AI 生成，非官方）
- 一、MFA 的作用機制：MFA（Multi-Factor Authentication，多因素認證）要求結合知識（密碼）、持有（token、手機、FIDO2 安全金鑰）與生物特徵（指紋、臉部）中至少兩類。駭客即使以釣魚或外洩取得密碼，仍缺第二因素而無法完成登入，可有效阻斷密碼填充（credential stuffing）與帳號盜用。
- 二、MFA 的強化配套：應優先採用抗釣魚的 FIDO2/WebAuthn 與 Passkey，避免僅依賴簡訊 OTP（易遭 SIM swap 攔截）。再搭配條件式存取（Conditional Access），依登入風險、裝置合規狀態與地理位置判斷，對異常登入要求再次驗證或直接封鎖。
- 三、零信任的作用機制：零信任（Zero Trust）依 NIST SP 800-207 採「Never Trust, Always Verify」，假設網路已遭入侵，不再以內網位置作為信任依據。每次存取皆須驗證身分與裝置健康狀態，依最小權限授予，並對所有流量加密。
- 四、零信任阻斷橫向擴張：透過微切分（micro-segmentation）將網路切成細小區段，搭配原則決定點（PDP）與原則執行點（PEP）動態授權，並以特權存取管理（PAM）、即時授權（JIT）限制帳號權限。駭客即使取得一組帳密，亦只能存取極小範圍，難以在系統間橫向移動（lateral movement）。
- 五、IAAA 四核心：IAAA 分別為識別（Identification）、認證（Authentication）、授權（Authorization）與記錄／稽核（Accounting/Auditing）。識別確認使用者身分主張；認證驗證其真實性；授權決定可存取的資源與操作；記錄則留存存取軌跡以供事後追查。
- 六、IAAA 降低風險的運作：四者串成閉環，以唯一帳號避免共用、以強認證與 MFA 防止冒用、以角色為基礎的存取控制（RBAC）與最小權限落實授權、以日誌與 SIEM 監控異常並支援稽核。任一環節落實，均可提高攻擊成本並及早偵測入侵。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。