繁體中文
選單

資訊安全基礎

以三選一題型學習資訊安全三要素與風險、對稱式加密與公開金鑰加密、雜湊函數與數位簽章、驗證與多因素驗證、存取控制、惡意軟體與網路釣魚、SQL隱碼攻擊與XSS等網頁攻擊，以及備份與資安事件應變。

練習10題從本領域隨機抽取10題 · 約5分鐘 練習這個領域以隨機順序出題，涵蓋這個領域的所有題目 弱項題目只重做最近答錯的題目

密碼暴力破解時間計算 →

CVSS 計算工具 →

資訊安全基礎的重點

保護資訊，就是維持只有獲得授權的人才能看到（機密性）、內容保持正確（完整性）、需要時能夠使用（可用性）的狀態。為此要把加密、雜湊函數、數位簽章等技術，與驗證、存取控制、備份及組織的管理制度組合起來。

本單元學習威脅、漏洞與風險的概念及風險因應、對稱式加密與公開金鑰加密的用法與金鑰數的計算、雜湊函數與密碼的儲存、數位簽章與憑證、多因素驗證與生物辨識的錯誤率，以及最小權限原則。也從運作原理與對策的角度介紹惡意軟體、網路釣魚，以及SQL隱碼攻擊、跨網站指令碼等網頁攻擊，有助於準備資訊相關證照考試的資訊安全領域。與硬體相關的安全性，則在「硬體安全」單元中介紹。

資訊安全基礎的題目列表（40題）
  1. 公司的業務系統遭到大量存取而停止回應，使用者在需要時無法使用。在資訊安全的三要素（機密性、完整性、可用性）中，主要受損的是哪一項？
  2. 思考資訊安全風險時的「威脅」與「漏洞」，下列何者屬於漏洞？
  3. 為了因應資料外洩時可能需要支付的損害賠償，公司投保了資安保險。這屬於哪一種風險因應方式？
  4. 某資訊系統中，估計一旦發生就會造成2000萬日圓損失的事故，每年發生0.1次。若實施每年費用50萬日圓的對策，發生頻率可降為每年0.02次。此對策每年的淨效益（損失期望值的減少額減去對策費用）是多少？
  5. 以PDCA循環運作ISMS（資訊安全管理系統）時，下列何者屬於Check（查核）階段的工作？
  6. 下列何者正確描述對稱式加密的特徵？
  7. A想用公開金鑰加密，把訊息加密成只有B能讀取後傳送。加密時使用的是哪一把金鑰？
  8. 50名成員希望任兩人之間都能以加密方式通訊，且不讓其他成員知道內容。使用對稱式加密時所需的金鑰數，與使用公開金鑰加密時所需的金鑰數（公開金鑰與私密金鑰合計），正確的組合是哪一項？
  9. 把大型檔案加密後傳給對方時，常用的混合式加密方式的程序，正確的是哪一項？
  10. 密碼學中使用的雜湊函數（密碼學雜湊函數）的性質，正確的是哪一項？
  11. 對於輸出為256位元的理想雜湊函數，以暴力法攻擊時所需計算次數的大致數量，在「找出能產生指定雜湊值的輸入（原像攻擊）」與「找出任意兩個雜湊值相同的不同輸入（碰撞攻擊）」兩種情況下，正確的組合是哪一項？
  12. 網路服務儲存使用者密碼時，先在密碼加上每位使用者各不相同的隨機值（鹽值），再計算雜湊值並儲存。使用鹽值的主要目的是什麼？
  13. 儲存密碼時，建議不要直接使用SHA-256這類快速的雜湊函數，而是使用bcrypt或Argon2這類刻意設計成需要較長計算時間的方式。理由是什麼？
  14. 以嘗試所有候選的暴力法搜尋8個字元的密碼。若每秒可嘗試1×10^10個候選，對於只以英文小寫字母（26種）組成的密碼，以及以英文大寫字母、小寫字母與數字（62種）組成的密碼，試完所有候選所需時間最接近的組合是哪一項？
  15. A在要傳給B的文件上附加數位簽章。建立與驗證簽章所用的金鑰，以及數位簽章能確認的事項，正確的組合是哪一項？
  16. 比較訊息鑑別碼（MAC）與數位簽章的說明，正確的是哪一項？
  17. 發現網頁伺服器的伺服器憑證所對應的私密金鑰可能已經外洩。憑證尚未到期。營運者最適當的處置是哪一項？
  18. 在確認使用者身分的驗證三要素（知識、持有物、生物特徵）中，使用員工證IC卡的驗證屬於哪一項？
  19. 下列驗證方法中，屬於多因素驗證的是哪一項？
  20. 在以指紋進行的生物辨識驗證中，把判定為本人所需的比對相似度門檻調得更嚴格（更高）。一般會發生的變化，正確的是哪一項？
  21. 某臉部辨識裝置可將門檻設為A、B、C三種，各自的錯誤接受率（FAR）與錯誤拒絕率（FRR）為：A是1%與0.5%，B是0.1%與2%，C是0.01%與8%。研究室的門禁管理以「FAR在0.1%以下」為條件，在此前提下希望合法使用者盡量不被拒絕。應選擇哪一個門檻？
  22. 下列何者正確描述單一登入（SSO）？
  23. 下列何者是符合最小權限原則的做法？
  24. 員工有數千人的公司，使用角色型存取控制（RBAC）管理權限。下列何者正確描述RBAC的概念？
  25. 在惡意軟體的種類中，下列何者正確描述蠕蟲的特徵？
  26. 下列何者正確描述勒索軟體？
  27. 關於作為勒索軟體防護的備份，最符合「3-2-1規則」的方法是哪一項？
  28. 下列網路釣魚的手法與使用者端對策的組合，正確的是哪一項？
  29. 下列何者是社交工程的例子？
  30. 收到自稱合作廠商窗口的電子郵件，表示「收款帳戶已變更，請從這次的請款起匯到新帳戶」。懷疑是商業電子郵件詐騙（BEC，俗稱變臉詐騙）時，最適當的處置是哪一項？
  31. 在某網頁應用程式的登入畫面中，只要在密碼欄位輸入 ' OR '1'='1 之類的字串，不知道密碼也能登入。這種攻擊稱為什麼？
  32. 作為SQL隱碼攻擊的對策，使用預留位置的參數化查詢（prepared statement），被視為比去除輸入中危險字元的方法更根本的對策。理由是什麼？
  33. 某留言板網頁應用程式有一個漏洞：使用者張貼的文章中所含的指令碼，會在其他瀏覽者的瀏覽器中執行。此漏洞的名稱與根本對策的組合，正確的是哪一項？
  34. 某網頁應用程式有一個漏洞：保持登入狀態的使用者若開啟攻擊者準備的陷阱網頁，使用者的瀏覽器就會向正規網站送出使用者並未意圖的匯款或設定變更請求。下列何者是適當的對策？
  35. 某網頁應用程式把URL參數所指定的檔名，與公開用資料夾的名稱串接後讀取並顯示。若指定包含 ../ 的值作為檔名，公開用資料夾外的設定檔等就會被讀取。此攻擊的名稱與對策的組合，正確的是哪一項？
  36. 網頁應用程式若在登入前後持續使用相同的工作階段ID，攻擊者可能讓使用者使用攻擊者事先準備的工作階段ID，並在使用者登入後以該ID冒充使用者。對這種攻擊最適當的對策是哪一項？
  37. 下列何者正確描述DDoS攻擊？
  38. 下列何者正確描述零時差攻擊？
  39. 關於漏洞管理中使用的CVE與CVSS，正確的說明組合是哪一項？
  40. 某員工的電腦上，檔案的副檔名接連改變，並顯示要求贖金的畫面。這位員工首先應採取的最適當處置是哪一項？

電腦系統的其他領域