問題詳情
20. 關於網站應用程式之安全性監控，下列敘述何者「不」正確？（複選）
(A) 使用者登錄、存取控制與輸入驗證之錯誤資訊，均需詳細記錄至日誌中，以利分析與識別可能之攻擊
(B) 網站應用程式日誌應即時產生並集中管理，確保無法遭受攻擊者竄改或抹除相關資訊
(C) 為確保遭受之異常操作時能即時處置，網站應用程式除進行日誌記錄外，也需詳細呈現錯誤資訊供使用者回報
(D) 網站應用程式已具備短時間連續認證錯誤之帳號鎖定機制，並於特定時間後自動解除。由於已可阻擋自動化攻擊，此類異常僅需記錄即可而無需關注
(A) 使用者登錄、存取控制與輸入驗證之錯誤資訊，均需詳細記錄至日誌中，以利分析與識別可能之攻擊
(B) 網站應用程式日誌應即時產生並集中管理，確保無法遭受攻擊者竄改或抹除相關資訊
(C) 為確保遭受之異常操作時能即時處置，網站應用程式除進行日誌記錄外，也需詳細呈現錯誤資訊供使用者回報
(D) 網站應用程式已具備短時間連續認證錯誤之帳號鎖定機制，並於特定時間後自動解除。由於已可阻擋自動化攻擊，此類異常僅需記錄即可而無需關注
參考答案
答案：C,D
難度：非常困難0
書單：沒有書單，新增
內容推薦
- 關於網站應用程式中之跨網站指令碼攻擊（ Cross-Site Scripting,XSS ），下列敘述何者正確？（複選）(A) 跨網站指令碼攻擊分為反射式（ Reflected ）、儲存式（
- 關於源碼檢測與滲透測試，下列敘述何者正確？（複選）(A) 滲透測試的使用時機通常會在程式開發過程中分次執行，而源碼檢測常會在系統開發完成後才使用(B) SQL Injection 的問題，不論
- 企業發生勒索軟體感染事件後，在下列哪些安全維運的記錄中可以找到線索進行判斷事件規模？（複選）(A) SIEM(B) OS Application Event Log(C) AntiVirus
- 系統管理人員於網站日誌中看見大量訊息含有類似字串「 」，可能為下列何種攻擊？(A) SQL 資料隱碼攻擊（ SQL Injection Attack ）(B) 阻斷服務攻擊（ Denial o
- 關於滲透測試（ Penetration Test, PT ），下列敘述何者「不」正確？(A) 模擬駭客攻擊並評估網路、資訊系統安全性之活動，於產出報告中詳述弱點如何利用與影響，並給予修復建議(
- 關於網站應用程式中之注入攻擊（ Injection ），下列敘述何者「不」正確？(A) 此攻擊是因為網站應用程式未對輸入資料進行驗證（ validated ）、過濾（ filtered ）或清
- 物聯網是當前應用發展最快速的科技之一，為確保國內相關產品的資訊安全，經濟部工業局規劃從：實體安全、系統安全、通訊安全、身分鑑別與授權機制安全、及隱私保護等五個安全構面，參照國際物聯網相關資安標
- 關於優良保密協定（ Pretty Good Privacy, PGP ），下列敘述何者「不」正確？(A) 使用 IDEA 的演算法作為加密驗證之用(B) 支援訊息的身份認證和完整性檢查(C)
- 當資安外洩事件發生後，若須確保證據的完整性，應對已被入侵的硬碟做下列何項處理？(A) 將原硬碟加密並進行鑑識工作後，再進行雜湊比對(B) 將原硬碟進行雜湊比對、位元層級複製，並對複製後的新硬碟
- 某駭客成功滲透進入公司的內部網路，藉由控制一台電腦發動生成樹協定（ Spanning Tree Protocol, STP ）控制攻擊，請問駭客接下來最有可能執行下列何項動作？(A) 在受欺騙的
內容推薦
- 【題組】題組背景描述如附圖。某日同仁通報公司檔案伺服器內之文件檔案均因不明原因被加密，所有儲存於檔案伺服器之檔案均無法開啟，導致該業務中斷服務，請問此為下列何種攻擊手法？(A) 社交工程攻擊(
- 【題組】題組背景描述如附圖。為了機房能夠正常提供納管設備之運作，避免某些因素而導致機房中斷服務，下列何種控制措施較為正確？(A) 機房增加不斷電系統(B) 各伺服器均定期更新病毒碼(C) 網路
- 【題組】題組背景描述如附圖。公司為客戶開發的軟體系統，於交付客戶前，為確保其安全性，應先執行下列哪些工作？（複選）(A) 弱點掃描(B) 原始碼檢測(C) 滲透測試(D) 使用者體驗檢測
- 題組:一位資安專家正在對內部網站進行連接埠掃描，使用工具為 Nmap，伺服器 IP 為 0.1，掃描後看到的結果如下：根據上列資訊，請回答下列問題：【題組】題組背景描述如附圖。上述掃
- 【題組】題組背景描述如附圖。若要提升 vsftpd 傳輸的安全性，應該使用下列何種方式最安全？(A) vsftpd over SSH(B) vsftpd over SSL / TLS，SSL
- 【題組】題組背景描述如附圖。若要在應用式防火牆（ Application Firewall ）開啟 FTP 服務提供 Internet 存取，下列何種開啟方式最佳？(A) 防火牆設定允許連入的
- 【題組】題組背景描述如附圖。若要提升 POP3 服務的安全性，應使用下列何種協定及連接埠？(A) POP3s, 443(B) POP3s, 1443(C) POP3s, 995(D) POP3
- 題組:免費憑證組織 Let's Encrypt，於 2019 年 2 月 27 日，宣佈該組織所頒發的免費憑證數量，已正式突破 10 億大關，該組織發佈免費憑證的目的是為了協助網站業者啟用
- 【題組】題組背景描述如附圖。關於 Let's Encrypt 及其機制，下列敘述何者「不」正確？(A) Let's Encrypt 是一家全球性的憑證頒發機構（ Certi
- 【題組】題組背景描述如附圖。若想用 openssl 的指令完成產生並儲存自簽伺服器憑證，下列指令何者正確？(A) openssl req -x509 -nodes -days 365 -new
- 【題組】題組背景描述如附圖。由於 Let's Encrypt 無法產生 localhost 憑證，請問如何在本機測試時避免 localhost 使用 HTTPS 時的警示訊息，以確保
- 題組: 對於公司內部資安維運而言，資安漏洞或弱點的修補常是重要的工作，收到漏洞或弱點通報後，資安人員常依據漏洞或弱點之嚴重性，加上公司本身是否為漏洞或弱點影響範圍等資訊，來決定漏洞或弱點修補的優先性，
- 【題組】題組背景描述如附圖。承上題，關於這則漏洞通報（如附圖）中所揭露的訊息，下列敘述何者正確？(A) 通報內容有揭露此一漏洞的公布日期(B) 通報內容沒有揭露受此一漏洞所影響的產品與版本(C
- 【題組】題組背景描述如附圖。承上題，當漏洞被公布後，資安人員在檢查受漏洞影響設備的 Access Log 時，發現了附圖疑似遭攻擊的紀錄，由於/vpn 路徑項下不是此 web 服務公開路徑，下
- 【題組】題組背景描述如附圖。承上題，因為透過 Access Log 研判駭客攻擊可能成功，請問對於該事件後續的處理，下列敘述何者正確？（複選）(A) 資安人員應於知悉資安事件 1 小時內，依中
- 題組: 某公司為了符合國際標準要求，將年度定期舉行之滲透測試（ PenetrationTest, PT ）作業，委由外部資安檢測團隊 X 來進行。 根據上列資訊，請回答下列問題：【題組】題組背
- 【題組】題組背景描述如附圖。滲透測試分三階段「攻擊前（ Pre-Attack ）」、「攻擊中（ Attack ）」與「攻擊後（ Post-Attack ）」。檢測團隊 X 欲執行主動式偵查（
- 【題組】題組背景描述如附圖。檢測團隊 X 測試公司網站，發現可竄改傳遞至應用程式之 XML 內容引入特定資源並回應其內容，再透過此漏洞列舉網站伺服器其中 Web 目錄，其中含有不尋常 PHP
- 【題組】題組背景描述如附圖。檢測團隊 X 最終依照計畫如期完成公司測試案，並交付測試報告，關於滲透測試報告，下列敘述何者正確？(A) 滲透測試報告主要目的為提升組織合規性與其適法性，並能有效促
- 下列各式因式分解結果何者正確？(A)x2+3x+4=(x-1)(x+4) (B)x2-4x+3=(x-1)(x-3)(C)x2-7x+6=(x+6)(x+1) (D)x2+27x+72=(x+4)
- 以下組織全球化的模式中，何者的投資量最大？(A)授權 (B)進出口 (C)海外子公司 (D)全球委外作業
- 在問題發生時立刻採取控制行動，稱之為：(A)事前控制 (B)即時控制 (C)事後控制 (D)巿場控制
- 組織績效是指組織全部活動所累積的最終結果。請問以下何者「不是」常用的組織績效衡量指標？(A)組織生產力 (B)組織效能(C)企業排名 (D)員工遲到率
- 下列何者強調在評量績效時，應兼顧財務、顧客、內部流程、學習與成長等四個構面？(A)標竿管理 (B)平衡計分卡(C)管理資訊系統 (D)預算分析
- 下列何者屬於價值鏈中的支援活動？(A)進料後勤 (B)生產作業 (C)顧客服務 (D)人力資源