複選題
24. 題組背景描述如附圖。公司為客戶開發的軟體系統，於交付客戶前， 為確保其安全性，應先執行下列哪些工作？（複選）
(A) 弱點掃描
(B) 原始碼檢測
(C) 滲透測試
(D) 使用者體驗檢測

13. 關於網站應用程式中之注入攻擊（ Injection ），下列敘述何者「不」正 確？ (A) 此攻擊是因為網站應用程式未對輸入資料進行驗證（ validated ）、 過濾（ filtered ）或清除（ sanitized ） (B) 輸入之惡意資料被應用程式直接使用或串連查詢條件，如：改變 SQL 查詢來取得未授權資料或執行系統指令 (C) 如欲防止此類漏洞產生，需要將輸入之資料與指令或查詢語法隔 離，避免應用程式執行非預期之行為 (D) 應用程式伺服器透過「白名單」方式來驗證資料正確性，並直接 傳入解譯器（ Interpreter ），可完全避免此攻擊

14. 關於滲透測試（ Penetration Test, PT ），下列敘述何者「不」正確？ (A) 模擬駭客攻擊並評估網路、資訊系統安全性之活動，於產出報告 中詳述弱點如何利用與影響，並給予修復建議 (B) 滲透測試可分非破壞測試（ Nondestructive Test ）與破壞測試 （ Destructive Test ） (C) 滲透測試有五種類別：黑箱（ Black-box ）、白箱（ White-box ）、灰 箱（ Grey-box ）、紅箱（ Red-box ）與藍箱（ Blue-box ），差異為提 供測試人員受測目標資訊之詳細程度 (D) 弱點掃描與滲透測試差異在於，前者僅關注於找到已知弱點，後 者則引入縱深防禦的概念於發現組織之安全問題

15. 系統管理人員於網站日誌中看見大量訊息含有類似字串 「」 ，可能為下列何種攻擊？ (A) SQL 資料隱碼攻擊（ SQL Injection Attack ） (B) 阻斷服務攻擊（ Denial of Service Attack ） (C) 跨網站指令碼攻擊（ Cross Site Scripting Attack ） (D) 不安全的反序列化漏洞（ Insecure Deserialization ）

複選題16. 企業發生勒索軟體感染事件後，在下列哪些安全維運的記錄中可以找 到線索進行判斷事件規模？（複選） (A) SIEM (B) OS Application Event Log (C) AntiVirus Detection Log (D) SNMP Log

複選題17. 關於源碼檢測與滲透測試，下列敘述何者正確？（複選） (A) 滲透測試的使用時機通常會在程式開發過程中分次執行，而源碼 檢測常會在系統開發完成後才使用 (B) SQL Injection 的問題，不論是執行源碼檢測或滲透測試，都是有 機會可以被發現 (C) XSS 的問題只會出現在可執行 JavaScript 的環境中 (D) Google Hacking 常與滲透測試搭配使用，用以蒐集待測網站的資 訊與漏洞

複選題18. 關於網站應用程式中之跨網站指令碼攻擊（ Cross-Site Scripting, XSS ），下列敘述何者正確？（複選） (A) 跨網站指令碼攻擊分為反射式（ Reflected ）、儲存式（ Stored ）與 檔案物件模型（ Document Object Model ） (B) 跨網站指令碼攻擊僅能透過 JavaScript 執行 (C) 儲存式跨網站指令碼攻擊通常被置入於資料庫，並於受害者所瀏 覽特定功能、頁面後執行 (D) 反射式跨網站指令碼攻擊將惡意資料透過瀏覽器對網站的請求 （ Request ）送出後，於受害者瀏覽之功能、頁面執行

複選題19. 關於入侵偵測系統（ Intrusion Detection System ）與入侵防護系統 （ Intrusion Prevention System ）之應用，下列敘述何者正確？（複選） (A) 入侵偵測系統透過旁接模式（ TAP or SPAN Mode ）或將特定網路 介面設定為混雜模式（ Promiscuous Mode ），來取得監聽網路之流 量副本 (B) TAP 和 SPAN Mode 之差異在於前者透過硬體 1：1 複製流量至分 接網路介面；而後者透過軟體轉送流量副本至目的網路介面並可 能因其容量限制而造成封包遺失 (C) 如欲阻擋網路攻擊，入侵防護系統需設置為串連模式（ In-line Mode ）才能於攻擊傳遞過程中攔截 (D) 入侵防護系統除偵測各式網路攻擊外也能進行阻擋，對於分散式 阻斷服務攻擊（Distributed Denial-of-Service, DDoS ）之阻擋成效 尤其明顯

複選題20. 關於網站應用程式之安全性監控，下列敘述何者「不」正確？（複選） (A) 使用者登錄、存取控制與輸入驗證之錯誤資訊，均需詳細記錄至 日誌中，以利分析與識別可能之攻擊 (B) 網站應用程式日誌應即時產生並集中管理，確保無法遭受攻擊者 竄改或抹除相關資訊 (C) 為確保遭受之異常操作時能即時處置，網站應用程式除進行日誌 記錄外，也需詳細呈現錯誤資訊供使用者回報 (D) 網站應用程式已具備短時間連續認證錯誤之帳號鎖定機制，並於 特定時間後自動解除。由於已可阻擋自動化攻擊，此類異常僅需 記錄即可而無需關注

21. 題組背景描述如附圖。某日您透過防毒伺服器主控台發現 A 部門同仁 電腦均攔截到病毒，下列處理何者較「不」正確？ (A) 持續更新防毒伺服器病毒碼 (B) 追查與分析部門 A 所有同仁電腦所攔截之病毒 (C) 持續更新部門 A 所有同仁電腦之病毒碼 (D) 病毒已攔截，無須後續追蹤

22. 題組背景描述如附圖。某日同仁通報公司檔案伺服器內之文件檔案均 因不明原因被加密，所有儲存於檔案伺服器之檔案均無法開啟，導致 該業務中斷服務，請問此為下列何種攻擊手法？ (A) 社交工程攻擊 (B) 水坑式攻擊 (C) 勒索軟體攻擊 (D) 分散式阻斷服務攻擊

114年 - 114-2 資訊安全工程師能力鑑定中級試題：資訊安全防護實務#130418

114年 - 114-1 資訊安全工程師能力鑑定中級試題：資訊安全防護實務#126101

113年 - 113-2 資訊安全工程師能力鑑定中級試題：資訊安全防護實務#121982

113年 - 113-1 資訊安全工程師能力鑑定中級試題：資訊安全防護實務#119309

112年 - 112-2 中級資訊安全工程師能力鑑定試題_科目1：I22資訊安全防護實務#116083

112年 - 112-1 中級資訊安全工程師能力鑑定試題：資訊安全防護實務#114235

111年 - 111 ipas中級資訊安全工程師能力鑑定試題_科目 2：資訊安全防護實務#112999

110年 - 110 中級資訊安全工程師能力鑑定試題：資訊安全防護實務#104035

109年 - 109 中級資訊安全工程師能力鑑定：資訊安全防護實務#90128

108年 - 2019 中級資訊安全工程師能力鑑定:資訊安全防護實務#89907