[解答]網路安全監控與分析(113)－鹿先生的公務員終身學習解答

1. 有關常見網路攻擊的相關因應步驟，下列何者為第一個項目？
快速識別 (偵測)
活動阻斷 (損控)
系統恢復 (緩解)
蒐集鑑識 (分析)

2. 各種網路安全事件日誌資料(Log)、電腦事件紀錄、防護系統紀錄、與設備網路流量等等資料，收集與集中管理後進行分析，以便於預防網路安全威脅的資安系統稱為下列何者？
SIEM
NAS
NAT
SSDLC

3. 下列何者並不是SIEM的主要功能？
日誌管理
事件關聯
監控回應
清除病毒

4. 在錄製深夜內部網路活動封包的時候，哪種類型的通訊位址需要被忽略？
System Update, Anti-Virus Update, Applications Update 的IP位址
大量對外連線的TCP通訊的IP位址
YouTube服務與Cloud服務的IP位址
DNS/QUIC 查詢與回應的封包IP位址

5. 下列何者是常見網路內部橫向擴散的異常攻擊徵兆？
電郵信箱增加許多不明帳號
ARP網路探索封包 (ARP Scanning)
Google Driver 剩餘可用容量，劇烈增加或減少
雲端硬碟或雲端服務無法連線

6. 對用戶端個人電腦而言，如果 Packets Count 代表封包個數，而 Traffic Amount 代表網路流量(BYTE數)。當網路分析紀錄發現：Packets Count 增減百分比的變化數值遠大於 Traffic Amount 增減百分比的變化數值。下列何者正確？
這表示可能是電腦網路蠕蟲的感染活動
這表示可能是瀏覽影片的網路活動
這表示可能是Windows Update的網路活動
這表示可能是加密勒索的網路加密活動

7. 下列何者的Switch交換器功能夠支援網路封包擷取功能？
Port Shutdown
NAC Port
Mirror Port
802.11x Port

8. 下列何者是常見網路內部橫向擴散的異常攻擊徵兆？
垃圾電郵(SPAM Mail)數量增加
高權限帳號的登入位置變更
Google電郵信箱無法正常登入
網路防火牆中斷連線

9. 在 Mitre公布的 ATT&CK Matrix for Enterprise，下列何者描述錯誤？
攻擊者可能會在內部網路，進行提升權限(Privilege Escalation)的動作
攻擊者可能會在內部網路，進行橫向移動(Lateral Movement)的動作
攻擊者可能會在內部網路，進行物聯網零日攻擊(IoT ZeroDay Exploit)的動作
攻擊者可能會在內部網路，對外部跳板中繼站(Command and Control Relay Proxy Host)進行連線

10. 下列何者不是SIEM系統的優點？
整體建置成本低廉
彙整設備資安紀錄
資安紀錄圖形呈現
資安資料事件關聯

11. 攻擊者透過有漏洞的網站網頁程式，將攻擊程式碼插入 SQL服務伺服器。此種攻擊方式，稱為下列哪個項目？
資料庫指令植入 (SQL injection)
中間人攻擊 (Man-in-the-middle attack)
分散式阻斷式攻擊 (DDoS)
零日漏洞攻擊 (Zero Day Exploit)

12. 加密勒索攻擊，在網路監控的攻擊階段屬於哪個階段項目？
內部潛伏階段
橫向擴散階段
AD布建階段
最終破壞階段

13. 目前已知案例來看，下列何者描述錯誤？
即使是網路實體隔離環境，仍然可能讓攻擊者侵入內部系統。Stuxnet攻擊案例就是其中之一
即使是用戶端電腦登入的使用者帳號，仍然可能外洩管理者帳號密碼。Mimikatz就是可以獲取LSASS.EXE的歷史登入帳密工具之一
既使是物聯網設備符合國際規範，仍然需要連接AD服務主機控管，進而讓物聯網設備癱瘓。UPnP/SSDP網路攻擊就是案例之一
既使是軟體供應商，已經通過ISMS與ISO27001，仍然可能在供應商被入侵後，導致下游客戶端全部被駭客入侵。UNC2452事件(SolarWinds事件)，就是其中案例之一

14. 如果懷疑我們的網路遭受攻擊，就登入階段的技術層面而言，可以採取下列哪個項目，做為我們的因應方式？
通報刑事局或調查局，進行駭客調查
手機APP與重要內部網路服務，增加多階段因子的身分認證方式
所有電腦設備 (包括用戶端與主機端) 立刻全部重新安裝新作業系統與進行漏洞更新
進行員工資安教育訓練，全面強化與提升資安防護意識

15. 下列何者是網路攻擊在潛伏期間的網路活動主要方式？
網路對外的通訊中，出現TCP通訊的發送端與接收端雙方使用均罕見通訊埠 (TCP.SourcePort>1024與TCP.DestinationPort>1024)，而且此通訊埠內容(活動) 無法辨識
網路對外的通訊中，出現大量Windows Update、Linux Update等等作業系統大量更新的網路活動，並且伴隨著網路流量暴增
網路對外的通訊中，出現大量YouTube與其他影音影片的存取活動，同時出現網路流量巨幅增加的現象
網路對外的通訊中，出現Google網站、Bing網站、ChatGPT服務、YouTube網站、社群媒體服務等等長簡網路路服務無法使用，或是連線遲緩，甚至網路中斷連線的情況

16. 根據2023年，國家資通安全研究院公布的網路攻防演練暨資安檢測重要發現事項，下列何者是常見的主機攻防缺失之一？
Code-Injection 攻擊
惡意程式 (Malware)
網路釣魚 (Phishing)
以上皆是

17. 下列哪個工具程式可以錄製網路封包？
iptable
tcpdump
udpdump
WIFI-Dump

18. 對用戶端個人電腦而言，如果Tx代表對外部(網際網路)傳送的網路流量，而Rx代表電腦接收的網路流量，下列何者正確？
Tx遠大於Rx表示對外部網路上傳檔案的通訊
Tx遠大於Rx表示從外部網路下載檔案的通訊
Tx遠大於Rx表示從外部網路更新系統的通訊
Tx遠大於Rx表示感染網路蠕蟲通訊

19. 下列何者不是資訊安全事件的常見異常徵兆？
IDS/IPS 系統的警告訊息
AV防毒系統的警告訊息
網路流量與網路活動異常
物聯網設備連線異常

20. 在 Mitre公布的 ATT&CK Matrix for Enterprise，下列何者並非是網路資安攻擊周期的策略與技術(Tactics, Techniques)項目？
提升權限(Privilege Escalation)
閃躲防衛(Defense Evasion)
物聯網設備漏洞(IoT Zero Day)
竊取憑證(Credential Access)