高考資通安全類科─資通安全防護技術講義（20241217）

高考資通安全類科─資通安全防護技術講義（20241217）

簡答題：請說明資料庫安全設計中，主從複製與高可用性設計的重要性，並舉例說明其運作方式。（25 分）

答案

在資料庫安全設計中，主從複製與高可用性設計至關重要，因為它們有助於確保資料庫的可用性、完整性和機密性。

主從複製是一種將主資料庫的資料複製到一個或多個從資料庫的技術。這種設計的主要目的是：

●提高資料庫的可用性：如果主資料庫發生故障，可以快速切換到從資料庫，以確保服務的持續運行。

●增強資料庫的讀取性能：可以將讀取操作分配到從資料庫，減輕主資料庫的負擔，進而提高整體效能。

●提供資料備份和災難復原：從資料庫可以作為主資料庫的備份，以便在發生災難時進行資料恢復。

高可用性設計則是指透過各種技術手段，確保資料庫在遇到各種故障或意外情況時，仍然能夠持續提供服務。

主從複製如何運作

主從複製的運作方式如下：

1.主資料庫將資料變更記錄到二進制日誌（Binary Log）中。

2.從資料庫連接到主資料庫，並請求讀取二進制日誌。

3.主資料庫將二進制日誌傳輸到從資料庫。

4.從資料庫將接收到的二進制日誌應用到自己的資料庫中，實現資料同步。

高可用性設計的例子

以下是一些常見的高可用性設計方法：

●主從複製：如上所述，透過資料複製來提高可用性。

●叢集：將多個資料庫伺服器組合成一個邏輯單元，透過負載平衡和故障轉移機制來確保高可用性。

●鏡像：將資料庫鏡像到另一個儲存設備，當主儲存設備發生故障時，可以立即切換到鏡像設備。

總結

主從複製和高可用性設計對於保障資料庫安全至關重要。它們可以提高資料庫的可用性、增強讀取性能，並提供資料備份和災難復原能力。透過實施這些設計，組織可以確保其資料庫服務的可靠性和安全性。

每日一題 高考資通安全類科─資通安全管理講義(20241217)

每日一題 高考資通安全類科─資通安全管理講義(20241217)

資安管理講義如何應用於高考資通安全類科考試準備？

這份「資通安全管理講義」可以幫助你準備高考資通安全類科考試。以下是講義如何應用於考試準備的說明： 

●了解考試範圍: 講義內容涵蓋了高考資通安全類科的四大核心能力，包含資通安全管理制度、資通安全風險管理及營運持續概念、資通安全系統發展生命週期觀念、以及常見資安管理相關運作機制。 

●熟悉重要概念: 講義詳細解釋了每個核心能力的子綱要，例如資安政策、風險評鑑、稽核、矯正預防措施等。透過研讀這些內容，你可以建立對資通安全管理的整體理解，並掌握關鍵概念的定義和應用。 

●學習實務應用: 講義提供了許多實務範例，例如風險評鑑報告、適用性聲明書、以及安全系統開發生命週期檢核表。這些範例能幫助你了解如何在實際工作中應用資通安全管理知識，提升你在考試中分析和解決問題的能力。 

●強化答題技巧: 講義作者建議考生在答題時，除了展現對基本概念的掌握，也要運用「實務補遺」，分享個人的見解、實務經驗或案例，讓閱卷者留下深刻印象。 總而言之，這份「資通安全管理講義」是一份全面且實用的備考資料，能幫助你建立扎實的資通安全管理知識，並提升應試能力。

每日一題 高考資通安全類科─資通安全法令與規範(20241217)

 每日一題 高考資通安全類科─資通安全法令與規範(20241217)

資通安全管理法如何落實於公務及特定非公務機關？

資通安全管理法主要透過以下方式落實於公務及特定非公務機關： ●規範資通安全維護計畫: 資通安全管理法要求公務機關和特定非公務機關都必須訂定、修正及實施資通安全維護計畫，並詳細規範計畫內容，包括核心業務、資安政策、組織架構、人力配置、風險評估、防護措施、事件通報機制等等。 ●建立資通安全責任等級分級制度: 根據業務重要性、機敏性、機關層級等條件，將公務機關和特定非公務機關的資通安全責任分為 A 到 E 五個等級，並針對不同等級規定應辦事項，例如防毒軟體、防火牆、教育訓練等等，確保資源有效分配。 ●實施稽核與監督: 主管機關 (數位發展部) 負責稽核特定非公務機關的資通安全維護計畫實施情形，並可要求改善。公務機關也需稽核其所屬或監督的機關。稽核方式包括文件審查和現場實地稽核。 ●明定獎懲制度: 針對資通安全業務表現，公務機關所屬人員資通安全事項獎懲辦法訂有獎懲措施，例如對於訂定及實施資安維護計畫績效優良者給予嘉獎，而對於違反資安法規者則予以申誡或懲處，以鼓勵積極落實資安工作。 ●落實資通安全事件通報及應變機制: 發生資通安全事件時，各機關需依規定進行通報、組成應變小組、進行損害控制和復原，並提出調查報告及改善措施。 ●強化委外管理: 機關委外辦理資通系統或服務時，必須考量受託者的資安能力、監督其資安維護情形，並在契約中明定資安責任，避免委外造成資安漏洞。 ●推動資安教育訓練: 資通安全管理法強調提升全民資安意識，並要求各機關對人員進行資安教育訓練，以強化人員的資安知識和技能。 透過上述多項措施，資通安全管理法致力於提升公務及特定非公務機關的資安防護能力，降低資安風險，保障國家和人民的利益。

每日一題 高考資通安全類科─資通安全法令與規範（20241216）

 每日一題 高考資通安全類科─資通安全法令與規範（20241216）

資通安全管理法如何落實於公務及特定非公務機關？

資通安全管理法透過以下方式落實於公務及特定非公務機關： 一、 資通安全責任等級分級： ●主管機關依據各機關業務的重要性與機敏性、機關層級、資訊種類、數量、性質、資通系統規模及性質等條件，訂定資通安全責任等級分級辦法。 ●公務機關和特定非公務機關的資通安全責任等級分為 A、B、C、D、E 五級，主管機關應每兩年核定自身資通安全責任等級，行政院直屬機關應每兩年提交自身、所屬或監督之公務機關及所管之特定非公務機關之資通安全責任等級，報主管機關核定。 ●不同等級的機關需要辦理的資通安全防護事項有所不同，例如 A 級機關需要辦理的事項最多，E 級機關最少。 ●資通安全責任等級分級辦法也規定了資通系統防護基準，其中包含了系統與服務獲得、身分鑑別與授權、系統與服務管理、網路安全、實體與環境安全等面向的控制措施。 二、 資通安全維護計畫： ●公務機關和特定非公務機關都需要依法訂定、修正及實施資通安全維護計畫，計畫內容應包括核心業務及其重要性、資通安全政策及目標、資通安全推動組織、專責人力及經費之配置、公務機關資通安全長之配置、資通系統及資訊之盤點、資通安全風險評估、資通安全防護及控制措施、資通安全事件通報、應變及演練相關機制、資通安全情資之評估及因應機制、資通系統或服務委外辦理之管理等事項。 ●特定非公務機關的資通安全維護計畫需由數位發展部定期稽核，稽核方式為現場實地稽核。 ●公務機關的資通安全維護計畫則由上級機關或監督機關稽核。 ●稽核後若發現缺失或待改善事項，受稽核機關應提出改善報告。 ●書中提供了一些撰寫資通安全維護計畫的範本，例如資通安全政策及目標、資通安全推動組織、專責人力及經費配置、資通系統及資訊之盤點、實體與環境安全、資通安全情資之管理、資通安全稽核、資通安全維護計畫之持續精進及績效管理等。 三、 資通安全事件通報及應變： ●公務機關和特定非公務機關都需訂定資通安全事件通報及應變機制，並依規定進行通報和應變。 ●書中也提供了資通安全事件通報及應變程序的範本，包括事件通報窗口及緊急處理小組、通報程序、應變程序、資安事件後之復原、鑑識、調查及改善機制、紀錄留存及管理程序之調整、演練作業等。 ●各機關應定期辦理資通安全演練，包括社交工程演練、資通安全事件通報及應變演練等。 四、 獎懲辦法： ●公務機關所屬人員資通安全事項獎懲辦法規定了辦理資通安全業務的獎懲，例如訂定、修正及實施資通安全維護計畫績優、辦理資通安全業務切合機宜、防止資通安全事件之發生等行為可予以嘉獎或記功；而未依規定辦理資通安全事項、辦理資通安全業務績效不良等行為則可予以申誡或記過。 五、 其他相關法規： ●資通安全管理法也與其他法律相關，例如行政程序法、刑法、民法等。 六、 實務應用： ●書中提供了許多實務應用的例子，例如如何撰寫資通安全維護計畫、如何進行資通安全稽核、如何辦理資通安全事件通報及應變等。 總之，資通安全管理法透過多種方式，從法規、計畫、機制、獎懲等方面，全方位地落實於公務及特定非公務機關，以確保國家整體的資通安全。

每日一題 高考資通安全類科─資通安全管理講義（20241216）

 每日一題 高考資通安全類科─資通安全管理講義（20241216）

題目：何謂縱深防禦？ 

解答：縱深防禦 (Defense in depth) 是一種網路安全策略，它使用多種安全產品和做法來保護組織的網路、Web 資產和資源。它有時與「分層式安全性」一詞互換使用，因為它依賴於多個控制層（實體、技術和管理）的安全解決方案，來防止攻擊者存取受保護的網路或內部部署資源。 縱深防禦的概念在來源中被用來解釋資訊安全防護措施，特別是在事件與事故管理的背景下。 來源中也提到縱深防禦可以用來保護網路、Web 資產和資源。 此外，縱深防禦依賴多個控制層，包括實體、技術和管理，以防止攻擊者存取受保護的網路或資源。

每日一題 高考資通安全類科─資通安全防護技術講義（20241216）

 每日一題 高考資通安全類科─資通安全防護技術講義（20241216）

題目：請說明零信任架構中決策引擎的四大功能，並詳細解釋每一項功能的運作方式以及其優點。

解答：

零信任架構的決策引擎負責根據各種因素動態決定是否授予訪問權限，其四大功能如下：

1.動態授權決策：

○運作方式： 決策引擎會根據即時風險評估和預設的策略，動態地制定訪問控制決策。即使是內部人員，也必須通過嚴格驗證才能訪問資源。

○優點：

■提升安全性：確保只有經過驗證和授權的用戶才能訪問資源。

■彈性與靈活性：根據情境變化調整授權決策，例如設備狀態、位置和行為模式。

2.風險評估與分析：

○運作方式： 決策引擎會持續監控並分析用戶和設備的行為模式，並根據預先設定的風險模型評估每個訪問請求的風險程度。

○優點：

■主動防禦：在威脅發生之前，識別潛在風險並採取行動。

■減少攻擊面：通過識別和減輕風險，縮小攻擊面。

3.自動化策略更新：

○運作方式： 決策引擎會根據最新的威脅情報、自動化分析結果和預設策略，自動更新訪問控制策略，無需人工干預。

○優點：

■即時應對：快速響應新出現的威脅和漏洞。

■簡化管理：減少人工管理策略所需的時間和資源。

4.即時回應與封鎖：

○運作方式： 當決策引擎偵測到不合規或潛在的安全風險時，會立即採取行動，例如阻斷訪問、隔離設備或觸發其他安全措施。

○優點：

■快速遏制威脅：防止攻擊擴散或造成進一步損害。

■降低損失：通過快速反應，將潛在損失降至最低。

總之，零信任架構的決策引擎通過動態授權、風險評估、自動化策略更新和即時回應，提供更全面的安全防護，並有效降低組織面臨的資安風險。

每日一題─資訊安全防護技術（2024-12-05）

網路安全拓撲的三個主要功能是什麼？

參考答案

●故障排除: 透過區分子網路，將網路以實體或邏輯方式劃分給不同部門使用，方便故障排除。

●存取控制: 公司可設定最小權限，限制各部門僅能存取其工作相關資料，提升安全性。

●縱深防禦: 多層次防禦機制，例如防火牆和存取控制，可阻擋駭客入侵並限制損害範圍。