iPAS 資訊安全工程師備考筆記

TLDR

• CIA 三元組（機密性、完整性、可用性）是資安保護目標；AAA 框架（認證、授權、記帳）是存取控制的實作機制。
• 縱深防禦策略要求多層次控制，確保單點失效時仍有保護。
• ISO 27001 是 ISMS 管理系統認證標準，SoA（適用性聲明） 記錄控制措施選用理由。
• 風險公式：風險 = 威脅 × 弱點 × 資產價值；ALE = ARO × SLE。
• 事件回應（NIST SP 800-61）：圍堵（Containment）是第一優先，事後檢討（Lessons Learned）是持續改善關鍵。
• 數位鑑識：遵循揮發性順序（RAM → 磁碟 → 日誌），取證過程須維護證據保管鏈（Chain of Custody）。
• 備份策略：3-2-1 法則（3 份副本、2 種媒體、1 份異地）是最低標準。
• 網路安全：VLAN 隔離需防範 Double Tagging 攻擊；IPv6 需同步 IPv4 的安全政策。
• 密碼學：對稱加密（AES-GCM）用於大量資料；非對稱加密（RSA/ECC）用於金鑰交換與簽章；密碼儲存必須使用慢雜湊（Argon2id/bcrypt）。
• 零信任架構：核心原則為「永不信任，持續驗證」，透過 PEP/PA/PE 元件實現細粒度存取控制。

---

基礎概念

資訊安全基本原理

CIA 與 AAA 框架

• 什麼情況下會遇到這個問題：在設計系統架構或進行資安合規評估時，需釐清保護目標與實作機制。
• 核心重點：
  • CIA 三元組：機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。
  • AAA 框架：認證（Authentication，你是誰）、授權（Authorization，你能做什麼）、記帳/稽核（Accounting，你做了什麼）。
• 結論：CIA 是目標，AAA 是手段，兩者互補。

縱深防禦（Defense in Depth）

• 什麼情況下會遇到這個問題：當單一防禦層（如防火牆）被突破，系統即全面暴露時。
• 做法：建立多層安全防禦（治理、實體、網路、主機、應用、資料），即使一層被突破，其他層仍能提供保護。

資訊資產分類

• 什麼情況下會遇到這個問題：企業需決定資料外洩後的損害責任歸屬。
• 角色劃分：
  • 資產擁有者（Asset Owner）：業務單位主管，決定分類等級與核准存取。
  • 資產保管者（Asset Custodian）：IT 部門，落實技術控制措施。

---

法規與合規

ISO/IEC 27001 與 ISMS

• 什麼情況下會遇到這個問題：組織需向第三方證明資安管理能力。
• 重點：
  • 27001 是要求（SHALL），27002 是指引（SHOULD）。
  • SoA（適用性聲明）：必須記錄附錄 A 中各項控制措施的選用理由。
• 結論：通過認證代表管理系統符合規範，而非技術控制 100% 無漏洞。

稽核類型

• 什麼情況下會遇到這個問題：釐清稽核報告的法律效力與認證資格。
• 結論：只有第三方稽核可核發認證證書。主管機關稽核（如金管會查銀行）屬於第二方稽核。

---

風險管理

風險評鑑與處理

• 什麼情況下會遇到這個問題：當資安預算有限，需決定優先修補哪些漏洞。
• 風險公式：ALE (年化損失預期) = ARO (年化發生率) × SLE (單次損失預期)。
• 處理策略：規避、修改（降低）、分擔（轉移）、保有（接受）。
• 結論：風險無法降至零，殘餘風險必須由管理階層正式核可。

---

事件管理

資安事件回應（NIST SP 800-61）

• 什麼情況下會遇到這個問題：發生資安事故時，需快速止損。
• 處理流程：
  1. 準備：建立 CSIRT 與應變計畫。
  2. 偵測與分析：透過 SIEM 識別事件。
  3. 圍堵、清除與復原：圍堵是第一優先，防止災害擴大。
  4. 事後活動：撰寫報告並持續改善。

數位鑑識：揮發性順序

• 什麼情況下會遇到這個問題：需保留證據供法律用途。
• 原則：依揮發性高低取證（CPU 快取 → RAM → 執行程序 → 磁碟 → 遠端日誌）。
• 結論：取證過程須使用寫入封鎖器（Write Blocker），並計算 Hash 值以維護保管鏈（Chain of Custody）。

---

網路安全

VLAN 安全

• 什麼情況下會遇到這個問題：當攻擊者透過 VLAN 設定缺陷跨網段存取資源。
• 防禦：
  • 停用 DTP 自動協商。
  • 修改 Native VLAN 為未使用的編號，防止 Double Tagging 攻擊。

零信任架構（Zero Trust）

• 什麼情況下會遇到這個問題：傳統 VPN 邊界防禦無法滿足遠端辦公與雲端環境需求。
• 核心原則：永不信任，持續驗證；最小權限；假設已遭入侵。
• 實作：透過 PEP（政策執行點）攔截所有請求，並由 PA/PE 進行動態授權。

---

密碼學

加密演算法選用

• 對稱加密：AES-GCM（推薦，具備完整性驗證）。
• 非對稱加密：RSA-OAEP / RSA-PSS 或 ECC（ECDSA/ECDHE）。
• 密碼儲存：Argon2id 或 bcrypt（慢雜湊），絕對禁止使用 MD5/SHA-1。
• 結論：永遠不要自行實作加密演算法，應使用標準函式庫。

---

開發與維運安全

SSDLC 與 DevSecOps

• 什麼情況下會遇到這個問題：軟體開發過程中發現嚴重漏洞，修補成本過高。
• 做法：將安全測試（SAST/SCA/DAST）嵌入 CI/CD Pipeline，實現「安全即護欄」。
• 結論：安全應從需求階段（威脅建模）即介入，而非僅在測試階段。

容器安全

• 什麼情況下會遇到這個問題：容器逃逸導致主機遭控制。
• 防禦：
  • 映像檔掃描（Trivy/Grype）。
  • 最小權限（非 root 執行、唯讀根目錄）。
  • 執行期監控（Falco/Tetragon）。

---

異動歷程

• 2026-05-02 初版文件建立。
• 2026-05-21 補充技術細節與圖表，修正用詞。