繁體中文
選單

網路攻擊與防禦實務

以包含計算題的三選一題型，學習網路攻擊鏈與MITRE ATT&CK、初始存取、C2通訊、權限提升、橫向移動、就地取材型攻擊、零信任與NIST SP 800-207、ZTNA與VPN、端點偵測與回應（EDR）、資安事件管理（SIEM）、SOAR與資安監控中心（SOC）、入侵偵測系統與入侵防禦系統、WAF、利用誘餌的偵測、事件應變的階段、證據的收集與證據監管鏈、IoC與IoA、CSIRT與PSIRT、日誌的時間同步、弱點修補的優先順序、滲透測試與紅隊演練、協調式弱點揭露、軟體物料清單（SBOM）與供應鏈攻擊、雲端的設定錯誤、MFA疲勞攻擊與通行金鑰、工作階段劫持，以及特權存取管理。

練習10題從本領域隨機抽取10題 · 約5分鐘 練習這個領域以隨機順序出題，涵蓋這個領域的所有題目 弱項題目只重做最近答錯的題目

網路攻擊與防禦實務的重點

網路攻擊並非利用一個弱點就結束，而是分階段進行：入侵、建立立足點、擴大權限、在內部移動、達成目標。防禦方也不能只想著在入口阻擋，而是要以會遭入侵為前提，以組織的形式具備儘早發現、阻止擴大、保留證據並排除原因、再運用到下一次的機制。本單元從防禦方的角度，學習組織實際上如何遭受攻擊、又如何防禦。

首先以網路攻擊鏈與MITRE ATT&CK整理攻擊的流程，介紹初始存取的手法、C2通訊的線索、權限提升、橫向移動，以及濫用正規工具的就地取材型攻擊。接著在防禦機制方面，學習零信任的原則與NIST SP 800-207的政策決策點與執行點、VPN與ZTNA的差異、端點偵測與回應（EDR）、SIEM、SOAR與資安監控中心（SOC）的角色、入侵偵測系統與入侵防禦系統、特徵比對型與異常偵測型的偵測、WAF，以及利用誘餌的偵測。在事件應變方面，確認NIST SP 800-61的階段、揮發性順序與證據監管鏈、IoC與IoA、CSIRT與PSIRT，以及日誌時間誤差的修正。後半部介紹結合CVSS與遭利用狀況的修補優先順序、滲透測試與紅隊演練、協調式弱點揭露、軟體物料清單（SBOM），以及相依性混淆和利用正規更新的供應鏈攻擊；在雲端與身分方面，學習儲存空間公開設定的錯誤、過廣的權限、MFA疲勞攻擊、通行金鑰能抵抗網路釣魚的理由、工作階段Cookie的竊取、特權存取管理，以及提交到儲存庫的機密資訊。最後以計算確認平均偵測時間、資安投資報酬率（ROSI）、IDS警示中真正攻擊的比例，以及所需的分析人員人數。有助於準備日本資訊技術人員考試等證照考試的資訊安全領域。計算題的數值，包括錯誤選項的數值，都已用 Python 計算確認。標示年份或版本的標準與事件，是當時的資訊。資訊安全三要素、風險處理、惡意程式與網路釣魚、Web應用程式的弱點、CVE與CVSS的基礎，以及感染勒索軟體時的初步應對在「資訊安全基礎」，密碼與憑證在「密碼學基礎與應用」，硬體的縱深防禦與安全開機在「硬體安全」，防火牆與VPN的基礎在「電腦網路基礎」，共同責任模型在「雲端與容器基礎」，ITIL的事件管理則在「IT服務管理與系統稽核」單元中介紹。

網路攻擊與防禦實務的題目列表（40題）
  1. 洛克希德・馬丁公司於2011年提出的網路攻擊鏈（Cyber Kill Chain），把目標式攻擊的流程分為7個階段。階段的正確順序是下列何者？
  2. MITRE ATT&CK是把實際攻擊中觀察到的手法，分為代表攻擊者目的的「戰術」，以及代表達成該目的之具體方法的「技術」來整理的知識庫。觀察到的行為與其所屬戰術的組合，正確的是下列何者？
  3. 攻擊者最初進入組織網路的「初始存取」手法，是下列何者？
  4. 檢查公司內部網路的通訊紀錄，發現了下列通訊。最有可能是惡意程式在與外部命令伺服器（C2伺服器）通訊的是下列何者？
  5. 利用Web應用程式弱點的攻擊者，已能以與Web伺服器程式相同的一般使用者權限執行命令。關於攻擊者接下來進行的「權限提升」，正確的例子是下列何者？
  6. 即使一台員工電腦被攻擊者挾持，為了讓入侵難以從該電腦擴散到公司內其他電腦或伺服器（「橫向移動」），最適當的對策是下列何者？
  7. 入侵的攻擊者盡量不使用自製的惡意程式，而以PowerShell、WMI、標準遠端管理功能等作業系統原本就有的正規工具進行活動的手法，稱為「就地取材（Living off the Land）」。關於針對此手法的對策思維，最適當的是下列何者？
  8. 關於以零信任思維為基礎的存取控制，正確的說明是下列何者？
  9. NIST SP 800-207的零信任架構，把判斷是否允許存取的「政策決策點（PDP）」，與執行判斷的「政策執行點（PEP）」分開思考。關於員工存取業務應用程式時兩者的作用，正確的說明是下列何者？
  10. 作為遠距工作員工使用公司內部系統的方式，比較傳統的遠端存取VPN與零信任網路存取（ZTNA），正確的說明是下列何者？
  11. 與傳統的防毒軟體相比，端點偵測與回應（EDR）的特徵，正確的是下列何者？
  12. 在資安監控體制中使用的SIEM、SOAR、SOC，其角色的正確組合是下列何者？
  13. 關於入侵偵測系統（IDS）與入侵防禦系統（IPS）的差異，正確的說明是下列何者？
  14. 關於IDS的偵測方式，比較特徵比對型（不當偵測型）與異常偵測型，正確的說明是下列何者？
  15. 關於網頁應用程式防火牆（WAF），正確的說明是下列何者？
  16. 在公司內的檔案伺服器上，放置業務上沒有人使用的「誘餌」檔案，以及任何系統都沒有使用的誘餌管理員帳號，並監控對它們的存取。此對策的主要優點是下列何者？
  17. 美國NIST於2012年公布的資安事件應變指引SP 800-61第2版（Rev. 2），把資安事件應變呈現為4個階段的循環。階段的正確順序是下列何者？
  18. 要從發生資安事件的伺服器收集調查用的證據。依照從容易遺失者開始收集（揮發性由高到低）的思維，最適當的順序是下列何者？
  19. 希望把資安事件調查中的磁碟複本等證據，處理成日後也能用於訴訟或向警方報案的形式。依照證據監管鏈（chain of custody）的思維，最適當的處理是下列何者？
  20. 關於威脅偵測中使用的入侵指標（IoC，Indicator of Compromise）與攻擊指標（IoA，Indicator of Attack），正確的說明是下列何者？
  21. 關於組織內設置的CSIRT與PSIRT的角色差異，正確的是下列何者？
  22. 在入侵調查中比對兩台伺服器的日誌。Web伺服器的日誌以協調世界時（UTC）記錄，時鐘已用NTP正確校準。檔案伺服器的日誌以日本時間（UTC+9小時）記錄，時鐘比正確時間快了4分鐘。Web伺服器的日誌記錄了可疑登入發生在 01:52（UTC），檔案伺服器的日誌記錄了大量讀取檔案發生在 10:58（日本時間）。檔案讀取實際上是在可疑登入的幾分鐘後發生？正確的是下列何者？
  23. 同一週內，有3個弱點公布了修補。維運人員一天只能套用一個修補。最先應套用的修補與其理由的組合，最適當的是下列何者？
  24. 作為確認組織防禦的方法，關於弱點掃描、滲透測試、紅隊演練的差異，正確的說明是下列何者？
  25. 外部的資安研究人員在某企業的產品中發現了尚未公開的弱點。依照協調式弱點揭露（Coordinated Vulnerability Disclosure）的思維，最適當的進行方式是下列何者？
  26. 製作並管理軟體物料清單（SBOM）的主要目的，正確的是下列何者？
  27. 某企業在公司內的套件庫（私有登錄庫）中放置公司專用的函式庫 acme-utils 使用。攻擊者在公開的套件庫中，以相同名稱 acme-utils 註冊了版本號更大的套件，結果發現依建置設定的不同，公司內的建置環境可能會取用攻擊者的套件。針對這種「相依性混淆（dependency confusion）」，最適當的對策是下列何者？
  28. 在2020年12月發現的SolarWinds事件中，攻擊者入侵了IT管理軟體的建置環境，在正規的更新程式中混入了惡意程式碼。這些更新以附有開發商正規程式碼簽章的狀態派送。從此事件得到的教訓，最適當的是下列何者？
  29. 發現放在雲端物件儲存中、含有客戶資訊的檔案，處於網際網路上任何人都能讀取的狀態。這類資訊外洩的典型原因，與防止再次發生的對策，適當的組合是下列何者？
  30. 在雲端上執行的批次處理，被以設定檔的形式交付了一把允許所有操作、具管理員權限的存取金鑰（長期有效的認證資訊）。為了縮小此金鑰外洩時的損害，最適當的調整是下列何者？
  31. 攻擊者取得了員工的密碼，反覆登入數十次，對員工的智慧型手機大量發送要求核准的通知。員工覺得很煩，不小心按下了「核准」。針對這種攻擊，最適當的對策是下列何者？
  32. FIDO2（WebAuthn）通行金鑰的驗證，比一次性密碼（OTP）更能抵抗網路釣魚，正確的理由是下列何者？
  33. 某個Web服務遭到來自許多不同IP位址、各自使用不同使用者帳號與密碼組合的大量登入嘗試，其中一部分成功了。被嘗試的組合，大多與從其他服務外洩的組合一致。這種攻擊的名稱是下列何者？
  34. 在使用多因素驗證的雲端郵件服務中，員工被誘導到與真品一模一樣的登入畫面，輸入了密碼與一次性密碼。攻擊者把該畫面當作與真正服務之間的中繼，竊取登入後發放的工作階段Cookie，冒充了該員工。關於此攻擊與對策，最適當的說明是下列何者？
  35. 為了保護伺服器的管理員帳號，關於特權存取管理（PAM）的思維，最適當的是下列何者？
  36. 開發人員不小心把含有雲端服務API金鑰的設定檔，提交到公開的Git儲存庫。察覺後立刻提交了刪除該檔案的變更。接下來應採取的應對，最適當的是下列何者？
  37. 某組織發生的4件資安事件，從發生到偵測的時間，與從偵測到遏制的時間，分別是第1件10小時與4小時、第2件30小時與2小時、第3件2小時與6小時、第4件6小時與4小時。從發生到偵測的平均時間（MTTD），與從偵測到遏制的平均時間（MTTC）的正確組合是下列何者？
  38. 針對勒索軟體的損害，估計每次的損失金額（SLE）為4000萬日圓，每年的發生次數（ARO）為0.5次。對策A每年的費用為600萬日圓，可把發生次數降到每年0.2次。對策B每年的費用為300萬日圓，發生次數不變，但能加快復原，把每次的損失金額降到2400萬日圓。設年度預期損失（ALE）= SLE × ARO，ROSI =（ALE的減少額 − 對策的年度費用）÷ 對策的年度費用，ROSI較大的對策與其數值的正確組合是下列何者？
  39. 某IDS每天檢查100萬筆連線，其中實際的攻擊有100筆。此IDS能偵測99%的攻擊，並把0.1%的非攻擊連線誤判為攻擊。IDS發出的警示中，實際為攻擊者所佔的比例，最接近的是下列何者？
  40. 某資安監控中心（SOC）的SIEM每天發出1440則警示，警示在一天中平均發生。SOAR的自動處理會在不經分析人員確認的情況下處理75%的警示，其餘每則警示平均需要分析人員10分鐘的作業。假設分析人員可以不休息地作業，為了跟上警示發生的速度處理警示，隨時必須配置的分析人員最少人數是下列何者？

電腦系統的其他領域