instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某資安團隊發現攻擊者利用合法的簽章程式執行惡意 DLL，屬於 MITRE ATT&CK T1127（Signed Binary Proxy Execution）技術。下列哪一項是防禦此類攻擊的有效做法？ A. 停用所有已簽章的系統應用程式以防止執行 B. 僅允許受信任目錄內的已簽章程式載入 DLL，並搭配應用控制政策 C. 完全移除系統內所有具有簽章的執行檔 D. 僅依賴防毒軟體進行即時監控 正確答案：B 解析：ATT&CK T1127 描述攻擊者濫用已簽章的合法執行檔以繞過安全控制。有效的防禦策略包括應用控制（如 Windows AppLocker）、限制執行目錄，以及監控 DLL 載入行為。B 項可限制合法工具被誤用，是合適的防禦措施。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：一家公司實施了應用白名單策略來抵禦 T1127 攻擊。以下哪一項最有可能代表其有效的策略實施？ A. 所有外部 USB 裝置自動禁用 B. 僅允許來自 Microsoft 的簽章程式執行，不檢查路徑或來源 C. 透過 AppLocker 或 WDAC 限制僅能從特定資料夾執行已簽章程式 D. 安裝多個防毒引擎以檢測未知威脅 正確答案：C 解析：攻擊者利用 T1127 技術時，常藉由已簽章的合法程式載入惡意 DLL。有效的應用控制策略應包含「程式簽章 + 執行路徑」雙重驗證，避免攻擊者將合法程式複製至可執行目錄中再濫用。C 項是正確實施方式，能有效降低風險。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：下列哪種行為最可能是 T1127 技術攻擊的跡象，應列入防禦性偵測規則中？ A. 已簽章的執行檔從使用者下載資料夾執行 B. 使用者登入後立即啟動 Office 程式 C. Windows 系統檔案被讀取但未執行 D. 定期排程的系統更新服務 正確答案：A 解析：若合法簽章的程式（如 rundll32.exe 或 regsvr32.exe）從非預期的路徑啟動，如下載資料夾，可能代表遭到攻擊者濫用以繞過防禦機制。此為 T1127 的常見行為模式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安分析師在事件調查中發現某合法簽章的執行檔被用來載入一個不明來源的 DLL。為了強化防禦並降低類似 T1127 攻擊的風險，下列哪項最合適的防禦措施應優先部署？ A. 實作網頁過濾，防止下載可疑內容 B. 對所有已簽章程式設定主機防火牆規則 C. 啟用應用程式控制政策，限制已簽章程式的 DLL 載入來源 D. 僅透過 SIEM 平台記錄執行檔活動，不啟用即時封鎖 正確答案：C 解析：T1127 攻擊仰賴合法程式載入惡意 DLL，常被用來繞過執行檢查與信任機制。最有效的防禦措施是應用程式控制（如 AppLocker、WDAC），限制已簽章程式只能載入來自可信目錄的 DLL。單純記錄行為無法即時阻止攻擊。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：針對 T1127 的防禦應用，下列何者屬於「主機層級」的預防性控管措施？ A. 部署 DNS sinkhole 攔截惡意網域存取 B. 實施用戶端應用程式路徑與簽章白名單 C. 在邊界防火牆阻擋高風險 IP D. 利用電子郵件閘道封鎖可疑附件 正確答案：B 解析：T1127 發生在主機層級，攻擊者利用合法簽章程式進行 DLL proxy execution。主機上的應用控制機制（如路徑+簽章雙驗證）是直接針對該手法的防禦措施。A、C、D 雖有助於整體資安，但無法直接防禦此技術。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業發現攻擊者透過遠端桌面協定（RDP）連線至內部一台未加強控管的伺服器，進行橫向移動，符合 MITRE ATT&CK T1199（Trusted Relationship）技術。下列哪一項是降低此類攻擊風險的有效防禦方式？ A. 停用所有內網的遠端存取功能 B. 實施最小權限原則，並強化雙向身份驗證與連線日誌監控 C. 將所有伺服器移轉至雲端平台以避免受害 D. 每日重新啟動伺服器以清除未授權連線 正確答案：B 解析：T1199 針對攻擊者濫用受信任的系統關係（如已建立信任的帳號、網域、服務）進行橫向移動。有效防禦方式包括最小權限控管、多因素驗證、存取紀錄審查與異常行為監控，避免被信任關係利用。B 項最能符合實際作法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：攻擊者成功利用系統間的信任關係登入其他伺服器，未經驗證的 lateral movement 發生在企業內網。以下哪一項設定有助於防禦 T1199（Trusted Relationship）攻擊？ A. 只在工作時間允許伺服器連線 B. 建立嚴格的網段隔離與存取控制清單（ACL）以限制授權主機之間的信任通訊 C. 每週變更作業系統語言以混淆攻擊指令 D. 啟用螢幕保護程式密碼保護以降低物理風險 正確答案：B 解析：T1199 強調攻擊者濫用既有信任關係，達成內部橫向移動。限制系統之間的信任路徑（如 SMB、RDP、WinRM）與使用 ACL 進行細粒度授權，是有效的主動防禦措施。B 項為針對該手法的具體防禦策略。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業針對 T1199 攻擊設計主機層級的監控機制，以下哪一項最能有效協助偵測可信任關係被濫用？ A. 偵測 AD 內部帳號異常登入不同主機或網段的頻率 B. 偵測所有使用者同時登入行為 C. 禁止外部 USB 裝置插入 D. 掃描所有文件是否使用外來語 正確答案：A 解析：攻擊者常利用受信任帳號橫向移動，特別是服務帳號或系統管理員帳號。監控同一帳號在短時間內連入多台主機，或發生於不尋常的網段，是偵測 T1199 活動的有效方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：在防禦 MITRE ATT&CK T1199（Trusted Relationship）攻擊時，以下哪一項政策最能有效預防攻擊者濫用系統間的信任連線？ A. 僅允許受控主機使用靜態 IP 位址 B. 所有信任連線須通過強制的雙因素認證與連線審核 C. 伺服器間的資料傳輸皆採用 HTTPS 加密 D. 限制使用者存取網路印表機的權限 正確答案：B 解析：T1199 利用受信任的帳號、系統或網域之間的連線關係進行橫向滲透。有效防禦需在信任鏈路上加入驗證機制與審核機制，例如 MFA、連線審計與角色分離。B 項提供實質的控制與監督，能降低信任關係被濫用的風險。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業設有多個系統之間的信任登入配置，資安人員希望限制 T1199 手法的橫向滲透風險，以下哪一項是最適當的主動防禦配置？ A. 在所有伺服器安裝第三方 DNS 客戶端 B. 禁用所有終端裝置的本機管理帳號 C. 建立基於角色的信任與登入授權機制，並監控授權系統間的互動 D. 強制所有伺服器每日重新啟動以清除記憶體 正確答案：C 解析：T1199 利用系統之間的授權信任通道，進行帳號跳躍與橫向移動。部署基於角色（RBAC）的信任架構，限制哪些帳號能登入哪些系統，並搭配記錄與異常行為分析，是預防與偵測的關鍵方法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安團隊發現攻擊者使用 HTTP 協定與 C2（Command and Control）伺服器進行通訊，符合 MITRE ATT&CK T1071.001（Application Layer Protocol: Web Protocols）技術。下列哪一項最適合作為防禦此類攻擊的策略？ A. 停用所有內部網站的存取功能以避免流量外洩 B. 部署 Web Proxy 並搭配 URL 過濾與流量異常偵測 C. 禁止員工存取非工作用網站 D. 將所有 HTTP 流量轉為 FTP 傳輸以減少風險 正確答案：B 解析：T1071.001 是指攻擊者使用如 HTTP 或 HTTPS 等常見應用層協定與 C2 伺服器溝通以躲避監控。部署 Web Proxy 可攔截可疑流量，並結合 URL 分析與行為特徵比對，有助於辨識與阻擋異常通訊。B 項為實務上最有效的對應方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業希望降低遭受 T1071.001 攻擊者利用 HTTP 傳輸通道建立 C2 通訊的風險，以下哪一項設定最能加強防禦效果？ A. 僅允許特定應用程式使用 HTTP/HTTPS 並限制其外聯網址 B. 監控員工的鍵盤輸入行為防止資料外洩 C. 改用 POP3 作為主要網頁通訊協定 D. 將所有員工的網路設定切換為靜態 IP 正確答案：A 解析：T1071.001 利用常見網頁協定（如 HTTP）建立與外部 C2 的通訊通道，常透過合法的通訊模式隱匿行為。限制哪些應用程式能使用 HTTP 並控管其對外目的地，可大幅減少被濫用的可能性，是有效的預防機制。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業資安人員為防止攻擊者透過 T1071.001 技術滲透網路，計劃優化日誌分析流程。以下哪一項最有助於辨識此類攻擊行為？ A. 比對主機的 DNS 查詢是否包含頻繁重複的查詢模式 B. 將所有網路封包自動儲存至 USB 裝置 C. 關閉內部所有 HTTPS 流量以降低風險 D. 監控電腦使用者的螢幕解析度變化 正確答案：A 解析：攻擊者透過 HTTP 建立 C2 時，常會包含可識別的 DNS 查詢行為（如定時連線、不明子網域、可疑 URL）。分析 DNS 模式可輔助識別 T1071.001 攻擊路徑，是有效的防禦與偵測手段。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安團隊為了防禦 MITRE ATT&CK T1071.001 技術決定加強網路出站流量的控制。下列哪一項措施最能有效阻止透過 HTTP 進行的 C2 通訊？ A. 啟用地理位置封鎖，限制所有非台灣 IP 的連線 B. 設定 Proxy 僅允許特定使用者與特定應用程式透過白名單網域對外通訊 C. 將 HTTP 協定降版至 1.0 以避免惡意流量 D. 定期重啟網頁伺服器以清除攻擊痕跡 正確答案：B 解析：T1071.001 攻擊者利用 HTTP 與 C2 伺服器建立通訊。最有效的防禦方式是對 HTTP 出站流量實施精細化控管，例如設定 Proxy 僅允許授權的應用程式透過指定的網域通訊，降低惡意軟體成功建立外部連線的機會。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業在日誌中發現部分工作站頻繁連線至未知 HTTP 網域，可能與 T1071.001 攻擊有關。以下哪一項應變措施最適合立即執行？ A. 封鎖該工作站的所有網路存取並啟動事件調查程序 B. 更新該工作站的瀏覽器至最新版本以防止漏洞利用 C. 將該工作站升級至企業版作業系統 D. 重新命名該工作站以避免再次成為攻擊目標 正確答案：A 解析：出現可疑 HTTP 外聯流量時，極可能涉及 C2 通訊。應立即隔離該工作站，封鎖其網路連線，並啟動資安事件調查，以確認是否受到 T1071.001 類型的攻擊。這是標準且有效的應變處置程序。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業發現攻擊者透過自訂的通訊協定與外部伺服器進行 Command and Control（C2）連線，符合 MITRE ATT&CK T1032（Standard Cryptographic Protocol）手法。以下哪一項措施最能有效協助偵測並防禦此類行為？ A. 僅依據 IP 位置封鎖特定國家的連線 B. 設定防火牆禁止所有加密通訊協定如 HTTPS 或 SSL C. 實施 TLS 流量解析與檢測，結合異常行為監控與證書驗證 D. 改用 FTP 協定以簡化封包分析 正確答案：C 解析：T1032 指攻擊者使用標準加密通訊協定（如 HTTPS、SSL、SSH）進行 C2 隱匿通訊。防禦此類攻擊需進行 TLS inspection（如使用中介 Proxy）來解析流量，並搭配憑證比對與行為分析以偵測異常加密連線。C 項提供可行且常用的防禦手段。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業為防止攻擊者濫用標準加密通訊協定（如 HTTPS）進行 T1032 攻擊，決定加強對內部主機的外部連線控管。以下哪一項最能有效降低此類攻擊的發生機率？ A. 僅使用自簽憑證以控制通訊來源 B. 對所有加密通訊流量實施深度封包檢查並限制未知 SNI 連線 C. 將 TLS 降版為 1.0 以利防火牆辨識流量 D. 停用內部所有 HTTPS 通訊以強化資安 正確答案：B 解析：T1032 涉及使用標準加密協定來隱匿惡意流量。有效的防禦策略是對 TLS/HTTPS 流量執行深度檢查（如 TLS inspection），分析 SNI（Server Name Indication）、憑證、流量模式等資訊，並封鎖不明或異常的連線。這能防止攻擊者藉由標準協定隱匿其 C2 活動。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安分析師發現某主機與外部 IP 建立頻繁的加密連線，但目的網域並非企業信任清單所列。下列哪一項應變措施最符合防禦 T1032 攻擊的最佳做法？ A. 停止該主機的所有網路服務並重裝作業系統 B. 限制該主機僅能對特定網域使用加密協定並列入例外名單 C. 僅通知使用者避免連線至不熟悉的網站 D. 允許所有加密通訊以避免中斷正常業務 正確答案：B 解析：防禦 T1032 的重點在於掌握加密通訊的目標與來源。設定憑證信任清單與加密通道白名單，能限制主機僅對可信網域建立加密通訊，是有效的防禦方法。B 項屬於實務上常見的管控策略。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某公司導入中介型網路閘道設備，針對出站加密連線進行 TLS inspection，以防範 MITRE ATT&CK T1032（Standard Cryptographic Protocol）相關行為。以下哪一項搭配措施可進一步提升防禦效果？ A. 僅允許使用者自行安裝信任的憑證 B. 建立並維護受信任憑證機構（CA）的白名單與連線監控機制 C. 改用 Telnet 等非加密協定便於流量觀察 D. 停用所有內部 DNS 查詢功能 正確答案：B 解析：攻擊者在 T1032 中可能使用自簽或非法取得的憑證建立隱匿通道。透過 TLS inspection 並搭配 CA 白名單，可偵測不受信任的加密連線。此外，結合行為監控可補足靜態分析的不足，是提升防禦的關鍵方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：為降低使用標準加密協定的惡意通訊風險，企業資安政策要求對所有出站 HTTPS 流量進行篩選與記錄。下列哪一項監控指標最可能協助偵測 T1032 攻擊行為？ A. 使用者登入失敗次數 B. HTTPS 封包大小與頻率異常且無常見用戶代理字串 C. 作業系統更新時間延後 D. 網頁標題為空白或未定義 正確答案：B 解析：T1032 常透過加密協定傳遞 C2 指令，其流量模式可能異於正常使用者（例如封包小而頻繁、無一般瀏覽器的 user-agent）。識別這類異常 HTTPS 行為，有助於提前發現潛在的惡意通訊。B 項是符合該手法特徵的有效偵測方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業發現攻擊者透過建立惡意服務持續執行後門程式，手法符合 MITRE ATT&CK T1543（Create or Modify System Process）。以下哪一項防禦機制最適合防止此類持久性技術？ A. 定期關閉未使用的應用程式 B. 使用應用程式控制機制限制服務建立與變更權限 C. 每日手動檢查所有系統的服務清單 D. 強制使用者每週變更系統語言設定 正確答案：B 解析：T1543 技術通常透過在系統中建立或修改服務、啟動項或計畫任務來達成持續存取。限制哪些使用者或程式可建立與變更系統服務，是防止該類攻擊的有效做法。應用程式控制工具（如 AppLocker 或 WDAC）可精細控管行為，B 項為實務上可行的防禦方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：為防止攻擊者利用 T1543 手法在系統中建立惡意啟動服務，企業決定加強主機端的安全配置。下列哪一項措施最能有效達成此目的？ A. 關閉所有自動更新功能避免服務變動 B. 限制具有管理權限的帳號使用，並啟用服務變更日誌與警示 C. 允許所有使用者安裝與啟動本地服務以提升工作效率 D. 每週重新命名作業系統核心檔案以降低識別風險 正確答案：B 解析：T1543 涉及建立或修改系統服務進行持續滲透，通常需管理員權限。限制高權限帳號的使用範圍並結合服務變更的記錄與即時告警，可有效防止惡意程式透過服務達成長期控制。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安團隊發現某未授權的服務被設為開機自動執行，經分析疑似與 T1543 手法有關。為預防類似事件再發生，應優先採取哪一項措施？ A. 停用所有非核心服務避免誤觸 B. 實施服務異動審核政策，並搭配自動化稽核工具定期檢查服務清單 C. 將所有應用程式安裝至系統根目錄以便統一管理 D. 依據時間區間自動啟用或關閉所有系統服務 正確答案：B 解析：建立或修改系統服務為攻擊者常用的持久化方法。建立審核機制並定期透過自動化工具檢查服務清單，有助於快速發現不正常或未授權的變更，是針對 T1543 有效的防禦策略。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業為防範 MITRE ATT&CK T1543 技術被用於建立惡意服務或啟動項，計劃導入終端設備防護系統（EDR）。以下哪一項是 EDR 在此情境中最關鍵的防禦功能？ A. 即時監控使用者的螢幕操作畫面 B. 偵測異常服務建立或服務啟動命令，並提供事件回溯與封鎖能力 C. 每日掃描硬碟空間並刪除過大檔案 D. 自動為每個應用程式新增開機啟動設定以加快載入速度 正確答案：B 解析：T1543 涉及在系統中創建或修改自動執行的程序如服務、驅動程式、啟動項目等。EDR 能針對系統層級的行為進行監控，例如識別由 PowerShell、cmd 或其他工具執行的服務建立指令，並即時封鎖或回滾異常變更，是防禦該技術的重要工具。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某公司進行資安稽核時，發現多台伺服器中存在命名類似於合法系統服務但實際由不明程式啟動的自動服務。為降低類似 T1543 技術所造成的持久滲透風險，下列何者為有效的主動防禦策略？ A. 透過組態管理工具，建立合法服務白名單與變更比對機制 B. 定期關閉並重啟所有服務確保執行環境乾淨 C. 移除所有第三方程式以防止服務被建立 D. 每日隨機更換伺服器主機名稱以干擾攻擊者 正確答案：A 解析：攻擊者常將惡意服務偽裝成系統服務名稱進行隱蔽控制。建立合法服務白名單，並使用自動化工具定期比對服務變更，可快速發現異常或未授權項目，是針對 T1543 有效的防禦手段。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業資安團隊發現攻擊者可能透過建立自有的指揮與控制（C2）基礎設施進行後續滲透，符合 MITRE ATT&CK T1584（Compromise Infrastructure）手法。以下哪一項防禦策略最能有效降低攻擊者利用此技術對企業造成影響？ A. 定期更換公司網站的設計風格 B. 部署威脅情報平台以辨識與阻擋已知惡意基礎設施的網域與 IP C. 禁用所有電子郵件附件的開啟功能 D. 改用公用 DNS 避免內部解析干擾 正確答案：B 解析：T1584 描述攻擊者建立或接管可用於攻擊的基礎設施，例如註冊網域、架設惡意伺服器等。部署威脅情報（Threat Intelligence）平台可即時比對外部連線是否連向已知的惡意 C2 網域或 IP，並透過防火牆與 DNS 層級封鎖，是有效的防禦手段。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某公司希望防範攻擊者依據 MITRE ATT&CK T1584 技術建立並使用惡意 C2 基礎設施。以下哪一項作法有助於在攻擊早期發現異常連線行為？ A. 僅允許 HTTP 協定通訊避免複雜協定風險 B. 建立 DNS 查詢與流量分析機制，偵測可疑的未知網域或首次出現的外部連線 C. 停用伺服器的螢幕輸出功能避免遠端觀察 D. 每日重啟員工電腦以降低長期滲透可能 正確答案：B 解析：T1584 涉及攻擊者建立自有的 C2 基礎設施，初期常伴隨少量與不熟悉網域的通訊行為。實作 DNS 行為分析（如首次查詢網域監控）、封包頻率與目的地評估，是偵測早期攻擊活動的關鍵手段，B 項為常見且有效的對策。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安人員欲防止外部惡意 C2 網域影響公司環境，並針對 T1584 所描述的攻擊階段進行阻擋。以下哪一項策略最適合實作於 DNS 層級？ A. 將所有內部裝置 DNS 設為 127.0.0.1 以防外聯 B. 建置 DNS sinkhole，將惡意網域導向內部封鎖伺服器 C. 停用所有 TLS 通訊以利封包檢查 D. 每日刪除所有已查詢的快取紀錄 正確答案：B 解析：T1584 涉及自建或接管基礎設施的攻擊行為，攻擊者會使用自有網域進行 C2 通訊。透過 DNS sinkhole 可在名稱解析階段攔截惡意網域請求，避免與攻擊者架設的 C2 基礎設施建立實際連線，是有效的防禦方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：攻擊者依據 MITRE ATT&CK T1584 技術建立並部署自有 C2 基礎設施，企業資安人員為防禦此類威脅決定強化網路連線監控。以下哪一項策略最能協助識別與阻擋這類惡意基礎設施？ A. 禁用所有網頁圖片自動載入功能以減少外部互動 B. 將防火牆設定為封鎖所有出站連線以避免外洩 C. 整合威脅情報來源並在防火牆及代理伺服器上實施即時阻擋已知惡意網域與 IP D. 只允許公司網站與常用社群網站的網路存取 正確答案：C 解析：T1584 涉及攻擊者自行建立或接管基礎設施進行滲透。透過與威脅情報來源整合，可以在防火牆與 Proxy 層級即時阻擋連向已知的 C2 網域或 IP，有效防止與攻擊者的控制通訊建立，是現代化網路防禦的關鍵手段。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業導入資安監控系統以偵測與 T1584 攻擊相關的異常活動。下列哪一種偵測方式最能識別攻擊者建立的 C2 基礎設施所產生的外部通訊行為？ A. 偵測使用者登入系統時是否超過平均鍵盤敲擊次數 B. 偵測內部主機是否與近期註冊的新網域建立連線 C. 偵測檔案是否含有 Unicode 字元 D. 偵測螢幕是否在使用期間亮度變動 正確答案：B 解析：T1584 中的攻擊者常註冊新的網域用於短期 C2 通訊。這些新註冊網域可能尚未被威脅情報資料庫納入，因此透過監控「新註冊網域」的連線行為，是辨識早期攻擊的重要方法。B 項為具體且有效的偵測策略。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安團隊發現某攻擊樣本試圖修改 Windows Registry 中的 Provider 項目以注入惡意 DLL，符合 MITRE ATT&CK T1014（Rootkit）技術的行為模式。下列哪一項措施最能有效防禦此類攻擊？ A. 關閉登錄編輯器避免誤操作 B. 使用端點防護系統監控核心層級的驅動程式安裝與註冊機碼異常變更 C. 每日重新開機以清除記憶體中的惡意模組 D. 將作業系統切換為黑白模式以干擾視覺辨識 正確答案：B 解析：T1014 指攻擊者安裝或使用 Rootkit 技術來隱匿惡意活動，常透過修改核心元件、驅動程式或註冊機碼達成。端點防護系統若具備驅動程式、註冊機碼與記憶體異常變更的行為偵測能力，可有效阻止或揭露 Rootkit 的植入與執行。B 項為防禦此技術的重要策略。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業為防範攻擊者透過 MITRE ATT&CK T1014 技術在系統層隱匿行為，決定加強系統完整性監控。以下哪一項策略最能及時發現 Rootkit 對系統核心元件的未授權變更？ A. 安裝多套殺毒軟體交叉檢測 B. 部署主機型完整性檢查系統（如 HIDS）以監控系統檔案與核心模組 C. 將所有執行檔轉為唯讀格式以阻止修改 D. 每月關閉系統防火牆兩小時以進行除錯 正確答案：B 解析：Rootkit 常透過修改系統核心元件或注入驅動程式來隱匿存在。主機入侵偵測系統（HIDS）可持續監控關鍵系統檔案與模組的變更狀態，並發出異常警告，是發現 Rootkit 行為的重要手段。B 項為有效的偵測與防禦方法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安人員在某台主機上偵測到未列於驅動程式清單中的記憶體常駐模組，懷疑為 T1014 所示 Rootkit 行為。為避免其他主機受到類似威脅，下列哪一項為適當的防禦性作法？ A. 禁止所有 USB 裝置使用以阻絕外來程式傳入 B. 建立核心驅動程式簽章驗證機制，限制僅能載入受信任驅動程式 C. 移除所有非預設的背景圖片設定 D. 降低顯示卡驅動程式效能以減少程式存取頻率 正確答案：B 解析：T1014 涉及攻擊者使用 Rootkit 技術潛藏在系統核心中。透過驅動程式簽章驗證，可確保僅受信任的驅動程式可被載入核心層級，降低惡意模組潛入的風險。B 項是防禦 Rootkit 常見與有效的方法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業進行資安強化時，決定針對 T1014（Rootkit）手法建立持續監控與封鎖機制。以下哪一項技術配置最能防止 Rootkit 藉由驅動程式繞過傳統防毒工具？ A. 使用 BIOS 密碼防止未授權開機 B. 在作業系統層級啟用核心保護功能（如 Kernel Patch Protection）並禁止未簽章驅動程式載入 C. 將所有登入畫面改為命令列介面以減少視覺攻擊 D. 對終端使用者隱藏系統檔案夾防止誤刪 正確答案：B 解析：Rootkit 通常透過未授權的驅動程式直接操作作業系統核心，避開傳統防毒偵測。啟用如 Windows 的 Kernel Patch Protection（KPP）與強制驅動程式簽章驗證，可以防止未授權或惡意模組注入核心，B 項為實務上有效的防禦策略。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某資安團隊在處理 T1014 類型攻擊事件時，發現常規的檔案系統與程序清單中均無法顯示惡意模組。為防止 Rootkit 在未來再次隱匿其行為，以下哪一項作法最為有效？ A. 每次開機後自動掃描所有開啟的應用程式視窗 B. 對系統進行定期離線掃描與比對未掛載狀態下的磁碟影像 C. 禁止使用者瀏覽器存取內部網站 D. 調整滑鼠移動速度避免自動點擊 正確答案：B 解析：Rootkit 會在系統啟動後注入並隱藏於核心層級，使其無法被即時系統掃描偵測。進行離線掃描（如透過可攜式媒體或 Live CD）並比對未掛載磁碟影像，是揭露 Rootkit 真實存在的有效方式。B 項為資安調查與防禦的重要技術手段。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業發現攻擊者利用瀏覽器中的登入憑證自動填入功能竊取帳密，符合 MITRE ATT&CK T1555.003（Credentials from Web Browsers）技術。以下哪一項防禦作法最能降低此類攻擊風險？ A. 禁用瀏覽器密碼儲存功能並導入企業級密碼管理工具 B. 強制每日重新開機以清除快取記憶體 C. 使用者不得更換預設瀏覽器以維持一致性 D. 調整螢幕解析度避免社交工程誘導 正確答案：A 解析：T1555.003 涉及攻擊者讀取瀏覽器內儲存的帳號密碼，若使用者習慣讓瀏覽器自動儲存憑證，將增加憑證外洩風險。停用瀏覽器密碼儲存並使用安全控管的密碼管理系統，可有效防範該類手法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：公司導入端點安全政策以防止 T1555.003 攻擊行為，以下哪一項設定最適合納入政策中？ A. 僅允許特定瀏覽器使用內建密碼儲存功能 B. 實施瀏覽器加密憑證存取權限限制並監控 API 呼叫行為 C. 關閉網路連線以隔離所有內部資料流 D. 每週自動清除使用者的工作列捷徑 正確答案：B 解析：攻擊者可透過特定 API 或惡意程式存取瀏覽器儲存的憑證。限制應用程式存取這些介面並進行行為監控，有助於阻止或揭露此類不當行為。B 為正確防禦手段。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某使用者安裝來路不明的瀏覽器擴充功能後，企業監控系統發現其密碼資料遭竊，懷疑與 T1555.003 有關。以下哪一項做法能強化對此類手法的防禦？ A. 禁止員工在公司設備中使用瀏覽器 B. 定期重啟網頁伺服器以降低外洩風險 C. 僅允許經審核的擴充功能安裝，並使用應用程式白名單 D. 將所有密碼儲存在本機記事本以避免瀏覽器自動儲存 正確答案：C 解析：未受信任的瀏覽器擴充功能可能攔截或讀取儲存在瀏覽器內的憑證。實施應用白名單並限制擴充功能來源，是有效降低此手法風險的實務作法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資訊安全稽核發現多台電腦瀏覽器密碼資料未加密儲存，可能遭受 T1555.003 類型攻擊。資安團隊應採取哪項措施進行強化？ A. 使用作業系統層級加密技術保護瀏覽器使用者資料 B. 要求使用者在筆記型電腦上關閉顯示器以防資料洩漏 C. 限制螢幕擷取軟體的使用時段 D. 提高滑鼠點擊速度以降低鍵盤側錄風險 正確答案：A 解析：若瀏覽器憑證資料未經加密儲存，攻擊者可透過存取本機檔案直接擷取明文帳號密碼。透過系統層級的資料加密機制可增加攻擊門檻，保護使用者敏感資訊。A 為有效的防禦措施。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某資安團隊偵測到惡意程式將自身注入至合法程序中執行，以規避偵測，符合 MITRE ATT&CK T1055（Process Injection）技術。以下哪一項是防禦此類手法的有效作法？ A. 使用 EDR 工具監控記憶體中跨程序寫入與執行權限變更行為 B. 每日自動關閉所有背景應用程式 C. 將所有應用程式統一命名避免誤判 D. 禁止使用者變更作業系統桌面主題 正確答案：A 解析：T1055 涉及將惡意程式碼注入其他合法程序中執行。使用具有記憶體監控能力的 EDR 工具能即時偵測如 WriteProcessMemory、CreateRemoteThread 等 API 行為，是有效的防禦方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業希望防止攻擊者利用 T1055 手法進行記憶體注入。以下哪一項系統設定最能降低此類攻擊的成功率？ A. 啟用作業系統的記憶體執行防護（如 DEP）並結合程式碼簽章政策 B. 將所有應用程式安裝在隱藏資料夾中 C. 禁用所有桌面捷徑以減少誤點風險 D. 調整顯示器更新頻率降低 CPU 使用率 正確答案：A 解析：記憶體執行防護（DEP）能阻止執行未標示為可執行的記憶體區段，搭配強制程式碼簽章可防止未授權程式碼注入，是防止 Process Injection 的核心策略。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安人員欲偵測 T1055 技術相關活動，應優先監控以下哪一項行為？ A. 系統磁碟剩餘容量低於 10% B. 合法程序在未預期的時間出現記憶體區塊分配與執行權限變更 C. 使用者停留在登入畫面超過 3 分鐘 D. 應用程式視窗關閉時產生錯誤音效 正確答案：B 解析：攻擊者進行記憶體注入時，會在其他程序中分配可執行記憶體區段並寫入惡意代碼。偵測這類記憶體操作行為是辨識 T1055 攻擊的關鍵。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業進行資安稽核時，發現一段 PowerShell 腳本嘗試使用 Reflective DLL Injection 技術。若要降低類似 T1055 攻擊再次發生的風險，應採取哪項措施？ A. 停用所有命令提示字元與指令工具 B. 實施應用程式白名單與腳本執行控管政策 C. 將所有應用程式標題設為一致格式 D. 禁止系統顯示錯誤提示訊息 正確答案：B 解析：T1055 常透過腳本語言（如 PowerShell）執行注入行為。建立應用程式白名單與限制腳本執行權限（如僅允許簽章腳本）可有效阻擋未授權的記憶體操作與注入攻擊。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某企業監控系統發現多台主機開啟非預期的 TCP 通訊埠，疑似攻擊者利用 MITRE ATT&CK T1043（Commonly Used Port）技術進行 C2 通訊。以下哪一項防禦措施最能有效降低此類攻擊成功的機率？ A. 將所有主機連線方式改為無線網路以減少固定連線 B. 僅允許特定應用程式透過白名單埠對外通訊，並封鎖未授權的常用埠 C. 禁止使用者變更作業系統語言設定 D. 調整網頁顯示解析度避免誤連外部網站 正確答案：B 解析：T1043 描述攻擊者透過常見的網路通訊埠（如 TCP 443、TCP 80）進行惡意通訊以避開偵測。透過防火牆與應用層控管僅允許特定應用程式通訊，能有效防止未授權使用常見埠。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安人員欲針對 T1043 相關攻擊建立有效監控機制，以下哪一項策略最合適？ A. 啟用螢幕保護程式密碼防止實體操作 B. 實施網路行為分析（NTA）以監控常用埠上的不尋常流量與目的地 C. 關閉所有作業系統的聲音功能避免干擾 D. 每日重新命名本機工作群組名稱以降低可識別性 正確答案：B 解析：T1043 利用常見埠進行 C2 或資料傳輸，因此單靠埠號無法判斷是否為惡意通訊。網路行為分析（NTA）可透過通訊頻率、封包大小與目的地模式分析識別異常活動，是偵測該手法的有效方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某主機連續數日發送大量資料至 TCP 443 埠位於國外的 IP 位址，該行為可能與 T1043 攻擊技術有關。資安團隊應採取哪項因應措施以防止資料持續外洩？ A. 關閉所有 HTTPS 網站存取功能 B. 對所有出站連線實施地理位置與應用層規則控管，並封鎖未知目的地 C. 要求使用者變更系統桌布為公司標誌 D. 禁止所有軟體自動更新功能 正確答案：B 解析：T1043 攻擊會利用常見通訊埠偽裝為正常流量。設定地理位置與應用層控管能阻止可疑的外部連線並降低資料外洩風險，是處理此類行為的正確作法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業在強化對 T1043 手法的防禦時，應優先採取哪項技術措施以限制攻擊者濫用常見埠建立隱蔽通道？ A. 禁用所有可執行檔案的副檔名顯示 B. 部署 Proxy 與下一代防火牆（NGFW）並啟用應用辨識與埠重定向控管 C. 要求使用者每日登出兩次作為風險訓練 D. 更換企業所有路由器為單一品牌以統一配置 正確答案：B 解析：攻擊者利用常見埠避開傳統防火牆偵測。透過 Proxy 與 NGFW 的應用層辨識與埠行為控制，可識別不應出現在特定埠的協定與異常活動，是針對 T1043 有效的技術防禦方式。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：某攻擊團體利用公開資料與社群網站蒐集目標人員的電子郵件帳號，符合 MITRE ATT&CK T1589.001（Gather Victim Identity: Email Addresses）技術。以下哪一項是防止該類資訊被濫用的有效做法？ A. 採用電子郵件別名處理對外公開帳號並限制其存取權限 B. 關閉所有公司網頁的圖像元素以降低辨識度 C. 將所有電子郵件格式統一為簡體中文 D. 要求使用者每日變更電子簽名內容 正確答案：A 解析：T1589.001 描述攻擊者透過開放來源或洩漏資訊蒐集目標的電子郵件帳號。使用電子郵件別名、限制正式帳號對外曝光、並加強身份資訊控管，有助於降低社交工程與釣魚攻擊風險。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：企業希望降低電子郵件地址被攻擊者收集與濫用的可能性。以下哪一項資安措施最能直接防禦 T1589.001 的相關攻擊？ A. 在電子郵件發送系統中實作 SPF、DKIM 與 DMARC 驗證政策 B. 關閉內部電子郵件群組功能以避免通訊異常 C. 將員工通訊錄格式轉為圖片以便保存 D. 強制使用者每週備份電子郵件 正確答案：A 解析：雖然 T1589.001 關注的是帳號資訊收集，但實作 SPF、DKIM、DMARC 等驗證機制可減少攻擊者濫用合法信箱發送釣魚郵件，降低進一步社交工程攻擊成功率，是實際有效的防禦機制。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：資安人員擔心企業員工的電子郵件帳號容易在社群平台上遭到蒐集，並進而觸發 T1589.001 相關攻擊行為。以下哪一項防護策略最為適當？ A. 訓練員工避免在公開平台使用公司電子郵件註冊與留言 B. 要求 IT 部門每日重新啟動郵件伺服器 C. 限制所有電子郵件只能透過行動裝置發送 D. 改用個人信箱處理業務信件以減少目標性 正確答案：A 解析：攻擊者常透過社群媒體或論壇搜尋電子郵件帳號進行社交工程攻擊。透過員工教育與政策限制在公開平台暴露企業信箱，是防止帳號被收集的有效方法。


instruction: 針對「MITRE & ATT&CK」的手法，設計一題符合認知層級『應用：懂得如何防禦攻擊』的選擇題。

output: 題目：為防止攻擊者透過 T1589.001 技術大量蒐集企業電子郵件帳號，資安團隊應優先部署哪一項監控或保護措施？ A. 部署 DLP（資料外洩防護）工具監控電子郵件帳號外洩與使用情況 B. 將所有員工信箱地址印在名片上以利查核 C. 禁止使用者在午休期間登入郵件系統 D. 關閉郵件主旨顯示以保護收件者資訊 正確答案：A 解析：資料外洩防護（DLP）系統可監控電子郵件地址是否被大量存取、複製或外傳，有助於發現帳號被收集或遭濫用的風險，是針對 T1589.001 的有效偵測與預防工具。