資安三要素 (CIA Triad)#

資訊安全的核心目標圍繞三個要素，通稱 CIA Triad：

graph TD
    CIA["資訊安全 (Information Security)"]
    C["機密性<br/>Confidentiality"]
    I["完整性<br/>Integrity"]
    A["可用性<br/>Availability"]

    CIA --- C
    CIA --- I
    CIA --- A

    C -.- C1["加密、存取控制、認證"]
    I -.- I1["雜湊、數位簽章、版本控制"]
    A -.- A1["備援、負載均衡、災害復原"]

三要素之間常存在取捨關係。例如過度強化機密性（多重認證、嚴格加密）可能降低可用性；放寬存取以提升可用性則可能犧牲機密性。安全策略的設計必須在三者間取得平衡。

延伸概念#

加密及電子證書#

加密基礎#

加密 (Encryption) 是將明文 (Plaintext) 透過演算法與金鑰轉換為密文 (Ciphertext) 的過程，目的在於保護資料的機密性。

實務上多採用混合加密：先以非對稱加密交換對稱金鑰，再以對稱加密傳輸資料，兼顧安全性與效率。SSL/TLS 即為典型範例。

雜湊 (Hash)#

數位簽章 (Digital Signature)#

數位簽章結合雜湊與非對稱加密，同時達成完整性與不可否認性：

1. 發送端以雜湊函數產生資料摘要。
2. 以發送端的私鑰加密摘要，形成數位簽章。
3. 接收端以發送端的公鑰解密簽章，取得摘要。
4. 接收端自行對資料計算雜湊，與解密後的摘要比對；若一致，表示資料未被竄改且確實來自發送端。

電子證書 (Digital Certificate) 與 PKI#

電子證書用於證明公鑰的擁有者身分，由憑證授權中心 (CA, Certificate Authority) 簽發。

sequenceDiagram
    participant User as 使用者
    participant Server as 伺服器
    participant CA as 憑證授權中心 (CA)

    Server->>CA: 1. 提交公鑰與身分資料申請憑證
    CA->>CA: 2. 驗證身分後以 CA 私鑰簽署憑證
    CA->>Server: 3. 核發電子證書
    User->>Server: 4. 請求建立安全連線
    Server->>User: 5. 回傳電子證書（含伺服器公鑰）
    User->>CA: 6. 以 CA 公鑰驗證憑證簽章
    User->>User: 7. 確認伺服器身分合法
    User->>Server: 8. 以伺服器公鑰加密對稱金鑰並傳送
    Server->>User: 9. 雙方以對稱金鑰進行加密通訊

• PKI (Public Key Infrastructure)：管理金鑰與憑證的整套架構，包含 CA、註冊機構 (RA)、憑證撤銷清單 (CRL) 等。
• SSL/TLS：基於 PKI 的傳輸層安全協定，HTTPS 即 HTTP over TLS。

瀏覽器內建受信任的根 CA 清單。若伺服器憑證的簽發 CA 不在信任清單中，瀏覽器會顯示安全警告。

防範非法入侵#

常見攻擊手法#

防範措施#

單一防禦手段無法抵擋所有攻擊。應採用縱深防禦 (Defense in Depth) 策略，在不同層級部署多重安全機制。

惡意程式 (Malware)#

惡意程式泛指任何意圖對系統造成損害、竊取資訊或未經授權控制裝置的軟體。

勒索軟體攻擊近年急速增長。除了防毒軟體外，離線備份與備份驗證是降低損害的關鍵手段。即使支付贖金，也不保證能還原資料。

防火牆與 DMZ#

防火牆 (Firewall)#

防火牆是部署於網路邊界的安全裝置或軟體，依據預設的規則 (Rule/Policy) 控制進出的網路流量。

防火牆分類#

DMZ (Demilitarized Zone，非軍事區)#

DMZ 是介於外部網路（Internet）與內部網路之間的隔離區域，用於放置需對外提供服務的伺服器（如 Web Server、Mail Server、DNS Server）。

graph LR
    Internet["Internet<br/>外部網路"]
    FW1["外部防火牆"]
    DMZ["DMZ<br/>（Web / Mail / DNS Server）"]
    FW2["內部防火牆"]
    LAN["內部網路<br/>（員工電腦、資料庫）"]

    Internet --- FW1
    FW1 --- DMZ
    DMZ --- FW2
    FW2 --- LAN

DMZ 的存取原則：

• 外部網路可存取 DMZ 中的公開服務。
• 外部網路不得直接存取內部網路。
• 內部網路可存取 DMZ 與外部網路。
• DMZ 中的伺服器若被入侵，攻擊者仍被內部防火牆阻隔，無法直達內部網路。

DMZ 的核心價值在於隔離風險。即便 DMZ 伺服器淪陷，內部網路仍有第二道防火牆保護。實務上常以雙防火牆架構或單防火牆三介面架構實現。

病毒防護#

防毒軟體的運作原理#

病毒防護策略#

傳統特徵碼比對對零日攻擊 (Zero-day Attack) 效果有限。現代端點防護 (EDR, Endpoint Detection and Response) 結合行為分析與機器學習，可更有效偵測未知威脅。

內容過濾 (Content Filtering)#

內容過濾透過檢查網路流量的內容（而非僅標頭資訊），阻擋不當或有害的資訊。

常見過濾類型#

內容過濾不僅是資安措施，也是企業管理工具。透過 URL 過濾與應用程式控管，可提升員工生產力並降低法律風險。

IDS / IPS#

定義#

• IDS (Intrusion Detection System，入侵偵測系統)：監控網路或系統活動，偵測可疑行為或攻擊並發出警報。
• IPS (Intrusion Prevention System，入侵防禦系統)：在 IDS 的基礎上增加主動阻斷能力，可即時封鎖攻擊流量。

IDS vs IPS 比較#

偵測方法#

部署類型#

• NIDS/NIPS (Network-based)：監控網路流量，通常部署於網路邊界或關鍵節點。
• HIDS/HIPS (Host-based)：安裝於個別主機，監控系統日誌、檔案變更與程序行為。

IPS 的誤判 (False Positive) 會直接阻斷正常流量，導致服務中斷。部署初期應以偵測模式運行，待規則調校穩定後再切換為阻斷模式。

UTM 及新世代防火牆#

UTM (Unified Threat Management，統一威脅管理)#

UTM 將多種安全功能整合於單一設備中，包含防火牆、IDS/IPS、防毒、內容過濾、VPN 等，適合中小型企業以較低成本取得全面防護。

NGFW (Next-Generation Firewall，新世代防火牆)#

NGFW 在傳統防火牆的基礎上加入應用層識別、使用者身分整合與進階威脅防護，強調深度封包檢測 (DPI) 與應用程式感知能力。

UTM vs NGFW 比較#

UTM 與 NGFW 的界線日趨模糊。許多 NGFW 產品已具備 UTM 的功能集，而 UTM 也逐漸強化應用層感知能力。選擇時應依據組織規模、效能需求與管理能力評估。

社交工程 (Social Engineering)#

社交工程是利用人性弱點（信任、恐懼、好奇、急迫感）而非技術漏洞來取得機密資訊或系統存取權限的攻擊方式。

常見手法#

防範對策#

社交工程攻擊的成功率往往高於技術攻擊。再強固的技術防線，只要一位員工點擊了釣魚連結，整條防禦鏈即可能被突破。人是資安最脆弱的環節。

標靶型攻擊 (Targeted Attack / APT)#

標靶型攻擊（又稱進階持續性威脅，APT, Advanced Persistent Threat）是針對特定組織、長期潛伏、多階段進行的高度精密攻擊。與一般無差別攻擊不同，APT 具有明確目標、充足資源與高度耐心。

攻擊鏈 (Cyber Kill Chain)#

graph TD
    R["1. 偵察<br/>Reconnaissance"]
    W["2. 武器化<br/>Weaponization"]
    D["3. 遞送<br/>Delivery"]
    E["4. 利用<br/>Exploitation"]
    I["5. 安裝<br/>Installation"]
    C2["6. 命令與控制<br/>Command & Control"]
    A["7. 目標行動<br/>Actions on Objectives"]

    R --> W --> D --> E --> I --> C2 --> A

    R -.- R1["蒐集目標組織資訊、員工名單、技術架構"]
    W -.- W1["製作惡意程式、植入漏洞利用碼"]
    D -.- D1["透過釣魚郵件、惡意網站、USB 遞送武器"]
    E -.- E1["觸發漏洞、執行惡意程式碼"]
    I -.- I1["安裝後門程式、建立持久化機制"]
    C2 -.- C21["與攻擊者的 C&C 伺服器建立加密通道"]
    A -.- A1["竊取資料、破壞系統、橫向移動"]

APT 的特徵#

防禦策略#

APT 的防禦不能僅依賴單一產品。需要建立涵蓋預防、偵測、回應與復原的完整資安框架，並持續進行紅藍隊演練以驗證防禦有效性。