隨著網際網路的普及，網路安全的問題也日益嚴重，有愈來愈多的人員加入了資訊安全的研究領域。但現今資安人員從事研究的實驗平台大多侷限於小型實驗室，缺乏專屬設備，實驗成本高昂且管理不易。虛擬化網路攻防環境是本研究基於虛擬化技術所建構的資安實驗平台，提供整合性的介面供實驗人員以遠端連線的方式部署實驗所需環境及進行實驗，並確保實驗的隔離性、封閉性、快速部署性、可儲存性以及實驗結果的真實性及可信度，讓資安研究人員能夠以快速、經濟和有效的方式進行實驗。

　　本研究以孫子兵法所提出的戰略做為發展防守策略的最高指導原則。為了達到「知己知彼」的目標，本文提出利用改良式威脅模型，從攻防雙方的角度思考，防堵駭客的攻擊行為，以確保網站系統及使用者的安全。本模型以穩健分析方法組織網站應用程式的功能和架構，並定義出關鍵區域，做為導入防守策略的位置參考。利用威脅地圖模型繪製出各種威脅的知識架構，將各種威脅以放射狀的方式與STRIDE模型及四層攻擊層級中的各個主題產生關聯。並依其的資源指引所提出的特徵或因應對策說明做為該威脅的防守策略，最後依據DREAD模型所定義的威脅等級做為套用防守策略至關鍵區域的順序。

　　本文以非洲大草原做為模擬攻防場景，以其中的略食性動物模擬攻擊方，對模擬商務型網站的牛羚等虛擬機器進行攻擊，並從中驗證測試平台及改良式威脅模型的可行性。

With the popularity of the Internet and network security issues are also increasingly serious, a growing number of security officers to the areas of research. However, the current staff engaged in research funding on the platform are mostly confined to small experimental laboratory where without dedicated equipment cause experimental costly and difficult to manage. Virtualization networking environment is an experiment platform for information security based on virtualized technology. Each virtual machine can be considered a node or host and connect each other by virtual switch to build a virtual network. It provides an integrated interface for remote control. The lab assistants can deploy and operate experiment environments on the interface; moreover; the platform can assure the isolation, closure, quick deploy, store availability and authenticity and reliability of result. Let the staffs can do the experiment quickly, economy and effective.

In this study, The Art of War is the highest guiding principle to development of the strategic defensive strategy. In order to achieve “Know the enemy and know yourself”. This thesis presents the “Improved Threat Model” to prevent hacker’s attack and to ensure the safety of users. This model organizes the functions and architecture of the web application and find out the vulnerabilities to define the critical zones. “Threat Map Model” map out the knowledge architecture of threats. Each threat mapping to the topics of STRIDE model and 4-layers attack model to generalize the signature and countermeasures of threat. Finally apply the countermeasures to critical zones order by the threat level based on DREAD model.

中文部份
[1] 中間人攻擊（民93）。國立聯合大學卓越教學計畫之資訊安全宣導網站。民97年6月23日，取自：http://203.64.184.120/~security/attack_type/network_architecture_weakness.php
[2] 王俊文（民96）。系統思維下以主題為基礎的知識文件模型。國立台灣科技大學自動化及控制研究所碩士論文。
[3] 沈傑（民93）。孫子兵法。典藏閣出版社。
[4] 吳依恂（民97）。網路架構虛擬化為企業節能、省成本。資安人雜誌，第51期，第80 ~ 82頁。
[5] 林于淵（民95）。以主題地圖為基礎的推薦代理人系統。國立台灣科技大學自動化及控制研究所碩士論文。
[6] 林順得（民95）。主題地圖應用於工程管理領域的規劃研究。國立台灣科技大學機械工程所碩士論文。
[7] 徐海國（民97）。綠色節能資料中心，打造企業永續經營動能。資安人雜誌，第51期，第85 ~ 87頁。
[8] 曹邦全（民89）。中共信息戰之研究。國立中山大學大陸研究所碩士論文。
[9] 張盛益、許美鈴（民84）。電腦安全的威脅與對策。資訊與電腦出版社。
[10] 虛擬化技術的現況（民97）。Kiwi格網技術開發站。民97年7月16日，取自：http://kiwi.csie.chu.edu.tw/blog/archives/178
[11] 最新2007年OWASP十大Web資安漏洞（民96）。OWASP台灣分會。民97年6月2日，取自：http://www.owasp.org/index.php/Taiwan
[12] 黃聰松（民94）。利用資料探勘的方法來建立一個三層式的入侵偵測系統。國立台灣科技大學資訊工程系碩士論文。
[13] 賴世晃（民96）。VMware虛擬架構。虛擬化解決方案研討會報告。
[14] 賴溪松、鄭毓芹、陳立達、曾釋賢、張筱涵（民95）。台灣網路安全測試平台之建置。
[15] 賴溪松（民96）。Testbed@TWISC介紹。李德財（主持人），網路安全測試平台Testbed@TWISC之建置與應用成果發表會，國立台灣科技大學。
[16] 趨勢科技（民97）。趨勢科技公佈台灣企業2007下半年度資安威脅報告[新聞稿]。民97年7月8日，取自：http://tw.trendmicro.com/tw/about/news/pr/article/20080122104806.html

英文部份
[17] Ambler, S.W. (2006). The Object Primer – Agile Model-Driven Development with UML 2.0 (3rd ed.). Cambridge University Press.
[18] API – Class: ActionController::AbstractRequest. (n.d). Ruby API. Retrived June 12, 2008, from the World Wide Web: http://ap.rubyonrails.com/classes/ActionController/AbstractRequest.html
[19] DETERlab Testbed. (n.d). Information Scienses Institute. Retrived July 16, 2008, from the World Wide Web: http://www.isi.edu/deter/
[20] Heiko Webers. (2007). Ruby on Rails Security, Web Application Security How-To. OWASP.
[21] Hernan, S. (2006). Uncover Security Design Flaws Using The STRIDE Approach. MSDN Magazine.
[22] Meier, J. D., & Mackman, A. , & Vasireddy, S. , & Dunner, M. , & Escamilla, R. , & Murukan, A. (2003). Improving Web Application Security: Threats and Countermeasures. Microsoft Press.
[23] OWASP Top 10 2007. (2007). Open Web Application Security Project. Retrived June 2, 2008, from the World Wide Web: http://www.owasp.org/index.php/Main_Page
[24] Rath, H. H. (2003). The Topic Map Handbook.
[25] Rosenberg, D. , & Stephens, M. (2007). Use Case Driven Object Modeling with UML: Theory and Practice. Apress.
[26] Saltzer, J. H. , & Schroeder, M. D. (1975). The Protection of Information in Computer Systems. Proceedings of the IEEE, vol. 63, no. 9
[27] Serengeti. (2008). Wikipeida. Retrieved June 27, 2008, from the World Wide Web: http://en.wikipedia.org/wiki/Serengeti
[28] Thomas, D. , & Hansson, D. H. , & Breedt, L. , & Clark, M. , & Davidson, J. D. , & Gehtland, J. , & Schwarz, A. (2006). Agile Web Development with Rails (2nd ed.). Pragmatic Bookshelf.
[29] VMware (2004). ESX Server System Management Training Lecture.
[30] VMware (2007). ESX Server 3.0.1 and Virtual Center 2.0.1 Server Configuration Guide.
[31] VMware (2008). Virtualization Overview White Paper.
[32] VMware (2008). VMware Server Virtual Machine Guide.
[33] XTM 1.0 Document Type Declaration. (2001). TopicMaps.org. Retrieved June 20, 2008, from the World Wide Web: http://www.topicmaps.org/xtm/#dtd