民國115年 高考三級 資通安全 資通安全防護技術考古題
民國115年 高考三級 資通安全 資通安全防護技術收錄考選部官方試題，共 4 題可線上瀏覽，考選部未公告本科目答案。
題目與答案
某機關提供行動App 與外部系統串接API，API 服務常見資安風險，請
從「身分驗證與Token 管理」、「物件層級授權」、「流量限制」、「輸入
輸出控管」四個面向提出防護措施。（25 分）
參考解答（AI 生成，非官方）
- 一、身分驗證與 Token 管理：採用 OAuth 2.0 與 OpenID Connect 架構，核發短效 Access Token 並搭配 Refresh Token 輪替（rotation）與綁定裝置；權杖應以 mTLS 或 DPoP 強化持有者證明，避免 Bearer Token 被竊後直接冒用。client_secret 與私鑰須存放於金鑰管理服務（KMS）或硬體安全模組（HSM），不得硬編碼於行動 App；並提供撤銷（revocation）機制與異常重放偵測。
- 二、物件層級授權（Object Level Authorization, OLA）：此類缺失常對應 OWASP API Security Top 10 的 BOLA（Broken Object Level Authorization）。伺服器端須於每次請求以工作階段身分查核「該使用者是否有權存取該筆物件」，不可僅憑 URL 中的識別碼；對外識別碼改用 UUID 取代循序流水號，落實 RBAC 或 ABAC 與最小權限，並以自動化測試涵蓋越權（IDOR）案例。
- 三、流量限制（Rate Limiting）：依來源 IP、帳號、API Key 與端點建立多層配額，採權杖桶（token bucket）或漏桶演算法；對登入、簡訊發送、資料匯出等高風險端點加嚴，超量回應 HTTP 429 並要求指數退避（exponential backoff）。另搭配 WAF、Bot 管理與基線告警，以防暴力破解、列舉（enumeration）與大量爬取。
- 四、輸入輸出控管：以 OpenAPI Schema 白名單驗證參數型別、長度與格式，防範 SQL Injection、NoSQL Injection、SSRF 與命令注入；輸出採最小欄位原則，避免過度揭露（excessive data exposure）敏感欄位。回應標頭應設定 Cache-Control: no-store、正確 Content-Type 與 CORS 白名單，錯誤訊息不得回傳堆疊軌跡。
- 五、綜合治理：建立 API 資產清冊與版本汰換機制、日誌集中留存並導入 SIEM 關聯分析、定期執行滲透測試與弱點掃描；並將上開控制納入系統開發生命週期（SDLC）與委外契約之資安條款，形成縱深防禦。
某機關將Web 服務部署於容器化環境。請說明容器化部署可能面臨的資
安風險，並從映像檔來源、權限設定、網路隔離與執行監控四方面提出
防護措施。（25 分）
參考解答（AI 生成，非官方）
- 一、可能風險：映像檔含已知漏洞或遭植入後門、基底映像長期未更新；容器逃逸（container escape）取得宿主權限；特權容器、掛載 docker.sock 或 hostPath 造成隔離失效；Kubernetes 設定錯誤（如 API Server 匿名存取、RBAC 過寬）；Secret 以環境變數明文外洩；東西向流量未隔離導致橫向移動。
- 二、映像檔來源：僅允許自信任的私有登錄庫（Registry）拉取，啟用內容信任與簽章驗證（Notation、Cosign），禁止使用 latest 標籤而以 digest 固定版本；CI 階段執行弱點掃描（Trivy、Grype）並產出 SBOM，高風險映像阻擋上線；定期重建以修補基底映像。
- 三、權限設定：容器以非 root 使用者執行、設 readOnlyRootFilesystem、drop 全部 capabilities 僅保留必要項；禁用 privilege 與 hostPath 掛載，套用 Pod Security Standards（restricted）。Kubernetes 端採 RBAC 最小權限、ServiceAccount 不自動掛載權杖，Secret 交由 Vault 或 KMS 管理。
- 四、網路隔離：採 NetworkPolicy 預設拒絕（default deny），僅開放必要之東西向連線；以命名空間與服務網格（Service Mesh）實施 mTLS 身分驗證與流量分段；管理平面與工作節點分屬不同網段，API Server 限制來源 IP 並關閉公網存取。
- 五、執行監控：部署 Falco 等執行期安全工具，偵測異常程序、檔案竄改與反彈殼（reverse shell）；以 eBPF 或 auditd 蒐集系統呼叫並集中日誌串接 SIEM 告警；建立不可變基礎設施與自動化修補流程，並定期演練容器逃逸與橫向移動之情境。
近期發現多筆異常登入紀錄，包括不同帳號使用相同密碼嘗試登入、使
用者收到大量MFA 推播通知，以及登入後短時間大量下載資料。請說
明可能涉及的帳號攻擊手法，並提出帳號安全防護措施。（25 分）
參考解答（AI 生成，非官方）
- 一、密碼噴灑與憑證填充：不同帳號使用相同密碼嘗試登入，屬密碼噴灑（Password Spraying）之典型特徵——攻擊者以少量常見密碼輪試大量帳號，以規避帳號鎖定；若搭配外洩帳密清單則為憑證填充（Credential Stuffing）。可從單一來源 IP 對多帳號的低頻嘗試、固定 User-Agent 等行為特徵辨識。
- 二、MFA 疲勞轟炸：使用者收到大量 MFA 推播，屬 MFA 疲勞攻擊（MFA Fatigue / Push Bombing），攻擊者已取得正確密碼，透過反覆推播促使使用者在煩躁或分心下誤按同意；亦可能為即時釣魚（Adversary-in-the-Middle, AiTM）竊取工作階段 Cookie 後重放。
- 三、登入後大量下載：屬資料外洩（Data Exfiltration）行為，可能為帳號遭接管（Account Takeover, ATO）後以合法權限存取；亦可能為內部人員濫用，或經 API 大量列舉（enumeration）取得資料，須與正常業務量比較以判定異常。
- 四、偵測與驗證強化：推行 FIDO2／Passkey 等抗釣魚（phishing-resistant）驗證，停用簡訊與單純推播；推播改採數字比對（number matching）並限制發送次數、顯示來源 IP 與裝置資訊；實施條件式存取（Conditional Access）與不可能旅行（impossible travel）偵測。
- 五、管理面措施：強制密碼不得重複使用並比對外洩密碼庫、設定速率限制與帳號鎖定、特權帳號分離管理（PAM）、導入 UEBA 行為基線與 DLP；對下載量異常即時告警，並建立隔離帳號、撤銷權杖、取證與事後教育訓練之應變流程。
請說明軟體供應鏈攻擊的意義，並從「安全開發流程」、「第三方套件管
理」、「CI/CD 管線保護」、「軟體簽章與來源驗證」、「SBOM」五個面
向提出防護措施。（25 分）
參考解答（AI 生成，非官方）
- 一、意義與案例：軟體供應鏈攻擊指攻擊者不直接入侵目標，而透過上游元件、開發工具、建置環境或更新機制植入惡意程式，濫用既有的信任關係（trust exploitation）。典型案例包括 SolarWinds、Log4Shell、xz-utils 後門與 3CX 事件，特徵為隱蔽性高、影響範圍廣且難以追溯。
- 二、安全開發流程：導入安全軟體開發生命週期（SSDLC）與威脅建模（Threat Modeling）、制定安全編碼規範，並將 SAST、DAST、SCA 與秘密掃描設為 CI 品質門檻；落實程式碼審查與多人覆核，開發者工作站與簽章金鑰實體隔離。
- 三、第三方套件管理：建立套件白名單與私有套件代理（proxy），以 lockfile 鎖定版本與雜湊值、審核新增相依套件、監控 CVE 與維護者變更；禁止直接自公網拉取未經驗證套件，以防範 typo-squatting 與依賴混淆（dependency confusion）攻擊。
- 四、CI/CD 管線保護與簽章驗證：管線屬高權限資產，須以 OIDC 短效憑證取代長期權杖、落實最小權限、分支保護與強制審查，建置環境隔離且日誌不可竄改；產出以 Sigstore／Cosign 簽章，部署前驗證簽章與來源證明（provenance，參照 SLSA 等級），金鑰存於 HSM 並定期輪替。
- 五、SBOM 與治理：產出 SPDX 或 CycloneDX 格式的軟體物料清單（SBOM），涵蓋傳遞性相依並搭配 VEX 標註；建立 SBOM 管理平台，於新漏洞公布時快速盤點受影響資產，並將 SBOM 與安全更新承諾納入採購契約，形成供應鏈治理閉環。