CCSP Domain 3：Cloud Platform & Infrastructure Security 彙整講義

範圍： simulate-test/ 內所有測驗講義中屬於 Domain 3 的內容，跨場次合併後依主題重組。 考試權重： 17% 來源： by-test/03、04、05、06、07、09、10、by-test/learnzapp/01、04 維護： 新增測驗講義後，將該檔的 D3 章節併入本檔，並更新 §0 來源對照。 註： 各場次分數、進步判定與補強排程留在 by-test/ 原檔，不併入本檔。

0. 來源對照 / Source Map

1. 核心觀念 / Core Concepts

1.1 機房設施與環境控制

冷風路徑（來源：by-test/12 §11）

CRAC/CRAH
  ↓
Underfloor plenum
  ↓
Perforated tile
  ↓
Cold aisle
  ↓
Server inlet

題目問 Raised floor serves what purposes? → cold air feed ＋ place to run wires／cables，不是 increases structural soundness。

Hot Aisle / Cold Aisle（來源：by-test/11 D5 §5）

典型 server 氣流是前進後出：

FRONT              REAR

Cold air
   ↓
[ SERVER ]
          ↓
       Hot air

因此機櫃必須成對相向擺放：

Rack FRONT → COLD AISLE ← FRONT Rack
Rack REAR  → HOT AISLE  ← REAR  Rack

易錯擺法：Exhaust → Inlet——一排的排氣直接吹進下一排的進氣，造成 hot air recirculation，伺服器吸入的是熱風，冷卻效率崩壞。

Front ↔ Front = Cold aisle
Back  ↔ Back  = Hot aisle
Never Hot → Cold

Hot-air recirculation 的完整後果鏈（來源：02-airflow-diagrams.md §5）：

熱氣被另一台 server 吸入
   → Inlet temperature ↑
   → Fan speed ↑
   → Cooling load ↑
   → Energy cost ↑
   → Thermal risk ↑

考試常見的不完整選項只答「溫度升高」。完整後果同時涉及能耗成本與過熱風險——這也是氣流管理同屬 availability 與成本議題的理由。

視覺化： 五張 Mermaid 流程圖（server 氣流、cold／hot aisle 配置、錯誤配置、後果鏈、完整機列配置）與俯視示意見 02-airflow-diagrams.md。

復現標記： hot／cold aisle 已在 by-test/11 D5 §5、by-test/12 §11 與 02-airflow-diagrams.md 連續三次出現，2026-10-10 再次以 containment 題型出現（[R] retention miss），屬高頻考點。

Hot Aisle Containment 四選項秒判（來源：2026-10-10 D3 錯題補強）

題幹線索：backs of the devices face each other ＋ work area ambient temperature is cool → Hot aisle containment（熱通道封閉）。熱排氣被集中並封閉在兩排機櫃背面之間，不與冷空氣混合，因此人員工作區域可維持較冷。

Containment 命名規則：封閉哪個 aisle，就叫哪個 containment。
題幹描述 rack 朝向（backs／fronts face each other）→ 先判 aisle topology，不判 HVAC control method。

Uptime Institute Tier I–IV

考場關鍵字： Tier III = concurrently maintainable、multiple paths, only one active、no shutdowns for maintenance；Tier IV = fault tolerant、multiple active paths、compartmentalized、autonomous response。

判斷精神： 依業務需求選最適當的等級，不是盲選最貴的。題幹若限定預算且只要求「維護時不中斷」→ Tier III，不是 Tier IV。

1.2 實體存取控制分層

一句話： Mantrap 不是一般 campus entrance 的必備項目，它保護的是內部敏感區域。

1.3 網路與儲存架構

⭐ OSI 七層

L1 = 線與訊號
L2 = Frame + MAC
L3 = IP + Router
L4 = TCP/UDP + Port

D3 最常考的其實就是 L1–L4。

為什麼 fiber-optic line = Layer 1

常見質疑： fiber 可能接 Ethernet，所以不一定是 Layer 1？

關鍵是把媒介與跑在媒介上的協定拆開。光纖本身做的是傳送光訊號、表示 bits、physical medium、connector／wavelength／signal —— 所以 fiber-optic line 本身 = Layer 1。

Ethernet 則同時涉及 L1 與 L2：

Ethernet
├─ Layer 1：光／電訊號、PHY、Fiber／Copper
└─ Layer 2：Ethernet Frame、MAC Address、VLAN

「Ethernet 跑在 fiber 上」不會把 fiber 本身變成 Layer 2。

類比：

道路           = Layer 1
貨櫃格式       = Layer 2
地址與路由     = Layer 3

車子開在道路上，不代表道路本身變成物流協定。

判題四條：

Fiber-optic line / cable / medium  → Layer 1
MAC Address / Frame / VLAN         → Layer 2
IP Address / Routing               → Layer 3
TCP / UDP / Port                   → Layer 4

此題不該降權，分類是 [T] 術語邊界。

iSCSI / Fibre Channel / FCoE = storage protocols
RAID                         = redundancy / configuration, NOT a protocol
Fiber-optic lines            = OSI Layer 1（physical media）
SDN control plane            = 定義邏輯網路，獨立於實體拓樸

⭐ Storage taxonomy：傳輸 vs 磁碟排列

Storage Networking / Transport          Disk Organization
│                                       │
├─ iSCSI  → SCSI over TCP/IP            └─ RAID
├─ Fibre Channel → storage fabric           ├─ Striping
└─ FCoE   → FC frame over Ethernet          ├─ Mirroring
                                            └─ Parity

FC / FCoE / iSCSI = 資料怎麼傳
RAID              = 磁碟裡怎麼排

RAID 處理的是 striping／mirroring／parity／disk redundancy，不是在回答「host 要怎麼把 storage command 傳到 storage array」。

題庫以 storage protocols except RAID 出題，答案方向正確，但把前三者粗略統稱 storage protocols 不夠精準——列為中度 [Q]，概念仍必須會（見 README 的降權處理）。

Fibre Channel vs FCP（更精確的區分）

常見質疑成立： 直接說「Fibre Channel 是 storage protocol」過於粗糙。

SCSI commands → FCP → Fibre Channel fabric

⭐ Converged Networking ≠ SDN ≠ HCI

傳統機房常有兩套 network fabric：

Server
├─ Ethernet NIC → LAN / IP traffic
└─ FC HBA       → SAN / Storage traffic

Converged Networking 的核心是：讓一般 IP traffic 與 storage traffic 共用相同的網路基礎設施。

                    ┌─ Web / API
                    ├─ VM Traffic
Server ─ Ethernet ──┼─ Management
                    ├─ iSCSI
                    └─ FCoE

目的：減少 adapters、減少 cabling、減少 switches、統一 fabric、簡化資料中心 networking。

三者回答的是不同問題，不要混：

GRE vs IPsec

復現標記： 已在 by-test/10 上篇 C 與 by-test/12 §9 連續出現，屬 recurring terminology。

GRE   = Tunnel（Generic Routing Encapsulation，只做封裝，不提供 encryption）
IPsec = Secure（保護 IP 通訊，有 transport 與 tunnel 兩種 mode）

GRE over IPsec = Tunnel + Security

題目問 most associated with tunneling → GRE。

1.4 虛擬化、容器與管理平面

⭐ 資源分配三機制：Reservation／Limit／Shares

Hypervisor 層的資源管理有三個常被混用的機制，各回答不同問題：

Reservation：VM-A CPU 保留 = 4 GHz  → 平台應保證至少取得此量
Limit      ：VM-A CPU 上限 = 6 GHz  → 即使 host 還有大量閒置 CPU 也不能超過
Shares     ：VM-A = 2000、VM-B = 1000
             無爭用時通常沒有明顯作用；發生爭用時 A : B ≈ 2 : 1

題幹觸發詞 → Shares：

contention
prioritize resource requests
relative priority
relative entitlement

常見錯因： reservation 確實能在資源爭用時保護重要 VM，所以容易被誤選。但它回答的是「至少要給多少」，不是「剩下的資源不夠分時，誰相對優先」——後者才是 shares。

Virtualization Management Plane（來源：by-test/12 §1）

Virtualization management toolset 指的是管理 hypervisor／VM／host 的介面，不是裝在 guest OS 裡的工具。

VMware Tools   → 裝在 Guest OS
Management Plane → 管 Hypervisor / VM / Host（vCenter / ESXi mgmt / APIs）

安全原則：

• 與 workload network 分離
• 避免 public-facing
• 透過 dedicated management VLAN／subnet／VRF／admin zone
• 僅允許管理員與管理工具存取
• MFA／bastion／logging

考試版： Management plane should be isolated／segmented from production and public networks.

不要死背「一定只能用 VLAN」——subnet、VRF、admin zone 都是合法的隔離手段。

VM vs Container 的架構對照

VM                              Container
Hardware                        Hardware
  ↓                               ↓
Hypervisor                      Host Kernel
  ↓                               ↓
Virtual Hardware                Container Runtime
├─ vCPU                           ↓
├─ vNIC                         Namespaces + cgroups
├─ vDisk Controller             ├─ Container A
└─ Virtual Memory               ├─ Container B
  ↓                             └─ Container C
Guest Kernel
  ↓
Guest OS

常見反駁： container 也有自己的 storage／network 設定（network namespace、virtual interface、IP、route、mount namespace、overlay filesystem、volume、cgroups）——這點成立，但那些都不是 hardware emulation。

WSL2 不適合當反例： WSL2 底層實際涉及輕量 VM／virtualization（WSL2 Linux environment → Lightweight VM → Virtualization），不能用它證明「純 container 也有 hardware emulation」。

題庫選項的 OS replication 用詞也不佳——container 通常不會為每個實例複製完整 guest kernel，但確實有自己的 userspace、libraries、root filesystem。此題列為中度 [Q]，但架構模型必須會。

Secure KVM

復現標記： 已在 by-test/10 上篇 A 與 by-test/12 §10 連續出現。

Secure KVM 要避免的是不同 security domains 透過 peripherals 發生 cross-domain leakage。

├─ Isolated data paths
├─ Explicit physical port selection
├─ Clear active-port indication
├─ Clear keyboard/mouse buffers
├─ Reject unauthorized peripherals
├─ Tamper resistance/evidence
└─ NO keystroke logging        ← keystroke logging 本身就是 leakage threat

Welded chipsets 理解成 hardware tamper resistance 即可。

1.5 責任邊界：Provider／Customer／Regulator

Public cloud data center control deployment = provider governance
Regulator only sets requirements；它不直接營運 provider 的機房控制
Customer defines requirements and evaluates the provider

兩行規則（來源：2026-10-13 補強，復現）：

Provider-owned data center  → Provider controls implementation
Customer workload / data    → Customer governance

產品特定的安全組態：vendor guidance 通常優先（storage controller 等），不是先套用泛用法規。

Vendor guidance 的層級（不要過度推論）

問「某個特定 storage controller 的 queue depth、firmware、cache、multipathing 怎麼設定」時，最精確的來源確實是廠商產品指引——因為它掌握 model-specific limits、firmware compatibility、supported topology、driver requirements。

但完整的要求來源是疊加的：

法律／監管要求
        ＋
內部安全政策
        ＋
產業標準
        ＋
產品特定廠商指引

Vendor guidance 不能凌駕 regulation／policy。 題庫選 vendor guidance 合理，但不要推論成「廠商說什麼就做什麼」。分類 [J]。

1.6 BC/DR 與韌性

指標

完整時間軸

最後可接受的復原點 ──── 事故 ──── IT 恢復 ──── 業務恢復
        │                │           │            │
        └──── RPO ───────┤           │            │
                         └── RTO ────┤            │
                                     └─── WRT ────┤
                         └────── MTD / MAO ────────┘

⭐ 必背關係式

RTO + WRT ≤ MTD / MAO

IT 恢復所需時間 ＋ 業務恢復所需時間，不可超過業務最大可容忍中斷時間。

註： 舊的簡化寫法 RTO < MAD 漏掉了 WRT，在有可觀業務恢復工作的情境下會低估需求。以上式為準。

WRT：IT 恢復 ≠ 業務恢復

很多人誤以為「IT 系統恢復 = 業務恢復」，實務上通常不是：

08:00  事故
11:00  IT 系統恢復          ← RTO 到此為止（3h）
11:00–12:30  驗證資料、對帳、重啟批次、補送交易、重新同步、員工重新登入
12:30  業務真正恢復          ← WRT = 1.5h

WRT 的典型活動： 資料驗證、資料同步、對帳、補交易、工作流程重新啟動、使用者重新登入、應用程式重新連線、驗證業務流程、恢復 backlog。

⭐ WRT 陷阱： 題幹說「Database 已恢復，但 Finance team 還需要 2 小時確認交易與對帳」——那 2 小時是 WRT，不是 RTO。

四指標口訣

RPO       = 往事故前看資料損失
RTO       = 到 IT 恢復
WRT       = IT 恢復後到業務恢復
MTD / MAO = 包住整段最大可接受中斷

BIA：informs BC/DR，不等於 BC/DR plan（來源：2026-10-10 D3 錯題補強）

BIA（Business Impact Analysis，業務影響分析） 主要產出：

BIA
 ↓
Criticality / Impact / Dependencies / Recovery requirements
 ↓
BC/DR planning、risk impact assessment、security control prioritization

• 精確說法是 BIA informs／supports BC/DR planning，不是 BIA 本身就是 BC/DR plan。題目寫 provide information about BC/DR planning 屬措辭鬆散，但最佳答案仍清楚。
• BIA 支援 risk analysis： 例如 Payment system outage → NT$20M／hour impact 直接影響 risk impact 評估。
• BIA 支援 control selection： critical national service 與 internal cafeteria app 理應投入不同等級的控制。
• EXCEPT 題：Secure Acquisition 不是 BIA output。 安全採購處理的是要買什麼產品、supplier risk、procurement requirement、contract security requirements、supply-chain assurance，屬採購／供應鏈範疇。

Asset inventory（有什麼）vs BIA（什麼最重要）的邊界見 Domain 6。

BC/DR 執行四階段（4R）

1. Respond（應變） — 🚨 最高原則：保護人員生命安全，接著評估損害、宣告災難。
2. Recover（復原） — 在備援站點啟動最關鍵業務系統（failover）。
3. Restore（還原） — 回到主要站點修復硬體與場地。
4. Resume（復歸） — 主要站點修好後 failback，全面恢復正常營運。

考試陷阱： 順序是先 Restore（把家修好），才能 Resume（搬回家）。

連線韌性

External connectivity threat → redundant carriers / ISPs / diverse paths
Local disaster               → sister facility / alternate site / joint operating agreement

Diverse Routing 特別重要：即使採購兩家電信線路，若實體光纖埋在同一條地下管道，一次施工就會同時斷線。實體線路必須從建築物不同方向進入資料中心。

雲端 DR 的阿基里斯腱：ISP connectivity。 連不上雲端，DR 計畫即失敗。

計畫內容與演練

BC/DR plan references laws/standards；it does not need to embed full copies.

BC/DR kit 沒有 universal 清單（來源：2026-10-10 D3 錯題補強，[Q]）： 題庫以「Hard drives 不應放入 BC/DR kit」為答案，但不存在通用的 kit BOM。實務上 kit 可能包含 printed contact list、flashlight、chargers、radios、documentation tools、annotated inventory，也可能合理包含 encrypted USB／external SSD（offline configuration backup、golden image、emergency software、encrypted recovery documentation）。

BC/DR kit 的內容由 recovery plan 決定（organization、threat model、site、recovery strategy），
不存在 universal「hard drive 不該有」。

• 執行紀律： 災難當下要按 plan／checklist 執行，不是臨場 improvisation。
• 可執行性： 核心 DR 團隊可能無法連線，計畫必須讓具備基本技能的人都能執行。
• 演練風險： Tabletop 最安全；full testing 本身帶有極高的營運中斷風險。
• 測試情境要有變數： 見下方小節。

BC/DR 測試為什麼要有「變數」

題型：It is best to use variables in ______. → BC/DR tests。

這裡的「變數」不是程式變數，而是改變測試情境、故障條件與突發事件：

第一次：主要資料中心失效
第二次：資料庫毀損
第三次：主要區域失效 ＋ 備援連線異常
第四次：關鍵人員無法聯絡 ＋ 備份復原時間超過 RTO

為什麼要變？ 若每次演練劇本完全相同，結果只是「大家知道劇本 → 照 SOP 演一次 → 全部通過」——會演習不代表真正有復原能力。

變化情境才能驗證：

• 人員是否真的理解程序（而非背劇本）
• 備援方案有沒有未知依賴
• RTO／RPO 能否真正達成
• 單點故障是否真的處理掉
• plan 是否只適用單一劇本

⭐ 對照：Baseline 要穩，BC/DR 測試要變。

Baseline 的目的是提供穩定、已核准的參考狀態，必須以 current state 比對 approved baseline 才能偵測 configuration drift。baseline 若自己一直變就失去 reference value。詳見 Domain 5 §1.2。

• 雲端特性對 BC/DR 的幫助： on-demand self-service 可快速供裝；任意位置存取可降低對專屬備援設施的需求；data classification 可辨識關鍵資產與復原優先序。
• 反例： Egress monitoring 不是 BC/DR 事件預測來源。
• 跨 CSP 備份的最大技術風險： interoperability／proprietary format incompatibility（見 Domain 1 §2.2）。

1.7 監控可視性與控制搭配

問 monitoring functionality 被什麼影響 → 優先想 encryption / visibility loss

Control pairing： Data dispersion + encryption 是強互補的分層保護組合。Training、inventory、firewall、fence 各有價值，但不一定是該題的最佳配對。

Cloud penetration test： 需要 provider 許可；advanced notice 會降低測試的真實性。

風險處置（avoid／mitigate／transfer／accept）、ALE、質性／量化風險評估與 risk appetite 歸屬，見 Domain 6 彙整講義。

1.8 三類 Security Controls

四選一範例 —— 問「下列哪一項是技術控制」：

註： 若題庫解析把 fire suppression 歸成 administrative，那是解析錯誤，但不影響本題唯一最佳答案。

相關：Defense in Depth 是根本原則，MFA 只是其中一項控制——見 by-test/learnzapp/01 §2.5 與 Domain 4 §1.5 的 MFA factor 分類。風險處置（avoid／mitigate／transfer／accept）見 Domain 6 §1.9。

2. 錯題與修正規則 / Errors & Corrections

2.1 Business requirements 是控制的驅動來源（by-test/04 §7.1）

Business requirements drive security controls.
Regulations / laws / best practices 形塑需求，但不一定是 primary driver。
BIA / requirements 聚焦於 business impact、assets、availability、criticality、dependencies。
Robustness 通常不是由 requirements gathering 直接決定。

2.2 Encryption 影響 egress monitoring（by-test/05 Q2）

題幹：This type of control might affect the functionality of egress monitoring solutions。誤選 Firewall，正解 Encryption。原因：egress monitoring 依賴可見性，內容被加密後無法做 content inspection／DLP／exfiltration detection。

2.3 Variable keystrokes 不是認證手段（by-test/05 Q4、by-test/09）

正解：Variable keystrokes 為「不是 enhanced authentication 常見手段」的答案。認證需要穩定的 template／factor；「每次都在變」的特徵無法建立可靠基準。

對照：Dynamic end-user knowledge 是有效手段（例如詢問「上一筆信用卡消費金額」或發送 OTP），而不是靜態知識題。 判讀口訣： 看到 Dynamic、Behavioral biometric 通常是好事；看到 Variable、Inconsistent 就不能當認證依據。

2.4 Public cloud 機房治理（by-test/05 Q6）

正解：由 provider 制定機房控制治理。Regulator 可施加要求，但不直接治理雲端資料中心的控制部署。

2.5 Mantrap 的層級（by-test/05 Q10）

Campus entrance 必備項目是 reception、badging、video surveillance；mantrap 是敏感區域控制，不是一般 campus access point 必備。

2.6 BC/DR plan 不放法規全文（by-test/05 Q20）

GDPR 有 99 條、ISO 27001 有數百頁，災難當下無人有時間翻閱。正確作法是在計畫中引用（reference／cite），例如「本復原計畫遵循 GDPR 第 32 條之要求」。

2.7 儲存與網路 taxonomy（by-test/09 §5.1）

RAID 不是 storage protocol；iSCSI／Fibre Channel／FCoE 才是。Fiber-optic lines 屬 OSI Layer 1。

2.8 BIA 可提供哪些資訊（2026-10-10 D3 錯題補強，[T]）

選項含 BC/DR planning、risk analysis、security control selection 與 Secure Acquisition；EXCEPT 正解為 Secure Acquisition。失分原因是 terminology：把 provide information about BC/DR planning 讀成「BIA 直接產生 BC/DR plan」而產生質疑。修正：BIA 產生 criticality、impact、dependency、recovery-priority 資訊，用來 inform BC/DR、risk analysis 與 control prioritization；採購不是 BIA output。詳見 §1.6。

2.9 BC/DR kit 不應包含什麼（2026-10-10 D3 錯題補強，[Q] 強降權）

題庫答案 Hard drives。題目問題：不存在 universal kit BOM，external SSD／encrypted USB 承載 golden image 與 offline configuration backup 完全合理。處理：知道題庫期待 Hard drives，但不把「固定清單」放進高頻記憶；保留的正確模型是 kit 內容由 recovery plan 決定。

3. 一句話規則表 / One-liner Rules

4. 易混淆邊界 / Confusable Boundaries

5. 補強演練 / Drills

Drill A：90 分鐘 D3 補弱

Drill B：60 分鐘精簡版

Drill C：taxonomy 快篩（15 分鐘）

閉卷寫出：儲存協定 vs RAID、VLAN vs SDN、GRE vs IPsec、hypervisor vs container、Tier I–IV 四個關鍵字。

Gate

下一回 D3 drill 25–30 題，目標 ≥ 75%。若低於 70%，不要開下一回 full practice test，先再補 D3 與機房／維運題。

自我檢測

• Raised flooring 的兩個設計目的是什麼？
• RTO、RPO、MAD 三者的關係式是什麼？
• 4R 的正確順序是什麼？哪兩個最常被顛倒？
• 多電信商之外還需要什麼才能抵抗實體線路中斷？
• 哪一項冗餘設施帶來最大的人身安全風險？
• Cold aisle 是哪一面相對？為什麼 exhaust → inlet 的擺法是錯的？
• Raised floor 的兩個用途是什麼？為什麼「增加結構強度」是錯的？
• VMware Tools 與 virtualization management plane 差在哪？
• Host 進維護時搬移 VM 的正確機制是什麼？為什麼不是 snapshot？
• Hot-air recirculation 除了溫度升高，還會連帶造成哪四項後果？
• Reservation、Limit、Shares 各回答什麼問題？看到 contention 該選哪個？
• BC/DR 測試為什麼要換情境？為什麼 baseline 相反地要穩定？
• 四個 BC/DR 指標的關係式是什麼？WRT 量的是哪一段？
• Fiber-optic line 屬哪一層？為什麼 Ethernet 跑在 fiber 上不會改變這個答案？
• FC／FCoE／iSCSI 與 RAID 回答的是不同問題——各是什麼？
• Converged Networking、SDN、HCI 各回答什麼問題？
• Audit trail 屬哪一類控制？Configuration procedures 呢？