113 調查局特考三等 資訊科學組 資訊安全實務 考古題詳解

核心觀念

數位鑑識的資料採集（Data Acquisition），是依合法授權及鑑識程序，從電腦、儲存媒體、行動裝置或其他數位來源，取得可供後續鑑識分析的資料，並以可驗證、可重現的方式保存採集過程與結果。採集的目標不只是「複製檔案」，而是盡可能保留資料內容、檔案系統資訊與相關中繼資料，使證據在後續分析及訴訟程序中仍可說明其來源與完整性。

採集方式依對象及情況可分為：

• 實體採集（physical acquisition）：以位元串流方式複製整個儲存媒體，通常包含作用中資料、已刪除資料及未配置空間。
• 邏輯採集（logical acquisition）：擷取檔案系統中可由作業系統或應用程式存取的檔案與資料，未必涵蓋未配置空間或已刪除資料。
• 即時採集（live acquisition）：針對仍在運作的設備取得揮發性資料，例如記憶體內容、目前連線或執行程序；採集本身可能改變系統狀態，應記錄採集工具、時間及操作內容。

採集時應採取能降低來源媒體變動的方式，例如使用寫入阻斷器，並製作鑑識映像檔；對原始媒體與映像檔計算雜湊值，確認資料一致性。採集工具、版本、設定、日期時間、媒體識別資訊及操作人員等，也應一併記錄。

解題方法

本題第一小題考「資料採集的定義及目的」。作答可依序說明：從何處取得資料、取得哪些資料、如何避免或記錄變動、如何驗證完整性、如何留下可追溯紀錄。其中，鑑識映像、雜湊驗證與採集紀錄，是把一般資料複製提升為可供鑑識使用之採集程序的關鍵。

（一）資料採集的意義（15 分）

資料採集是數位鑑識標準作業程序中，依調查目的及設備狀態，從數位證據來源取得資料並保存為可分析副本的階段。採集人員應採用適當方法，盡可能完整擷取相關資料，並防止對原始證據造成不必要的寫入或變更；若因即時採集或設備特性而無法避免變動，須記錄其原因、範圍及操作過程。

一般儲存媒體的採集，優先使用鑑識工具製作位元串流映像檔，並在來源媒體與映像檔上計算雜湊值，供後續驗證；必要時也可採取邏輯採集或即時採集。採集紀錄應包含證據識別資料、來源設備或媒體、採集方式與工具、操作人員、日期時間、採集結果及雜湊值。採集完成後，原始證據應妥善封存，分析原則上以驗證過的工作副本進行。

因此，資料採集的核心目的，是保全與取得數位資料，並建立可追溯、可驗證的證據副本，以供後續檢驗與分析。

核心觀念

可以。逆向工程是從既有成品往回分析其結構與行為，藉此推知程式的功能、邏輯或設計；不以取得原始程式碼為前提。可執行檔通常已編譯成機器碼，分析人員可搭配靜態分析與動態分析理解其行為。惡意程式分析須在隔離、可控的環境中進行，以避免感染或對外發動攻擊。

解題方法與步驟

1. 建立安全分析環境：使用隔離的虛擬機或沙箱，限制網路連線及與主機、共享資料夾的互動；保留乾淨快照，以便還原。
2. 保存與辨識樣本：記錄檔案來源、大小、時間等資訊並計算雜湊值，確認檔案格式、作業系統與處理器架構；記錄分析工具及環境，維持分析可重現性。
3. 進行靜態分析：不執行樣本，先檢視檔案標頭、區段、匯入與匯出表、字串、資源及可能的封裝或混淆跡象。再以反組譯器、反編譯器查看機器碼、組合語言及控制流程，推估函式、API 呼叫與程式邏輯。
4. 進行動態分析：在受控環境中執行樣本，使用除錯器、系統監控或網路監控工具，觀察程序、檔案、登錄設定、網路連線及記憶體等變化；必要時設置中斷點，追蹤關鍵函式與參數。
5. 交叉驗證與整理結果：比對靜態分析所得的程式線索與動態觀察到的行為，確認樣本的功能、執行條件、持續性機制、通訊對象及可能影響，並保存操作步驟、證據與分析結論。

解題技巧

作答時依「可不可以—如何安全取樣—靜態分析—動態分析—整合驗證」安排即可。要點是說明反組譯或反編譯能協助理解機器碼，但通常不能完整還原原始程式碼；

核心觀念

• Session Hijacking Attack（工作階段劫持）：攻擊者取得或冒用合法使用者的工作階段識別資訊，例如 Session ID、Cookie 或 TCP 連線狀態，藉此假冒該使用者存取系統。攻擊者不一定要知道使用者的密碼；若能取得有效的工作階段憑證，便可能沿用已通過驗證的工作階段。
• IP Spoofing（IP 位址偽造）：攻擊者在 IP 封包的來源位址欄位填入偽造的 IP 位址，使封包看起來像是由另一台主機送出。這只偽造網路層的來源位址，不等於取得該位址所代表使用者的身分或權限。

兩者的關係

兩者是不同層次的攻擊，不能視為同義詞。Session Hijacking 的核心是冒用有效工作階段；IP Spoofing 的核心是偽造封包來源位址。IP Spoofing 可作為某些工作階段劫持情境中的輔助手段，例如攻擊者試圖讓封包看起來來自受信任主機，但單靠偽造來源 IP，通常不足以完成工作階段劫持。

原因在於，工作階段劫持通常還需掌握或推測有效的 Session ID、Cookie、TCP 序號或連線狀態。若通訊雙方會檢查 TCP 序號、使用加密通道，或採用其他工作階段保護措施，僅偽造來源 IP 並不能接管連線。反過來說，攻擊者也可透過竊取 Cookie 等方式劫持工作階段，而不必使用 IP Spoofing。

解題方法與技巧

回答時先分別指出兩種攻擊所冒用的對象：Session Hijacking 冒用「工作階段」，IP Spoofing 偽造「封包來源位址」；再說明後者可能協助前者，但兩者沒有必然等同或充分條件的關係。

核心觀念： 本題考查的是社交工程攻擊依「傳送訊息的媒介」所作的區分。三者皆利用偽裝、急迫感或誘因，誘使受害者交出帳號密碼、金融資料或驗證碼，或點擊惡意連結、安裝惡意程式；主要差別在於攻擊透過電子郵件、語音通話或簡訊進行。

解題方法： 可依「英文名稱—傳送媒介—常見手法」逐一辨別：

• Phishing（網路釣魚）：以電子郵件或其他網路訊息為主，假冒可信任的機構或對象，誘使收件者點擊連結、開啟附件，或在仿冒網站輸入敏感資料。例如偽裝成銀行寄送帳戶異常通知，要求登入處理。
• Vishing（語音釣魚）：以語音通話為主，攻擊者透過電話假冒銀行、政府機關、客服或技術人員，以帳戶遭盜用、涉嫌違法等說詞施壓，要求提供密碼、信用卡資料或一次性驗證碼。
• Smishing（簡訊釣魚）：以 SMS 簡訊或類似文字訊息為主，常附上短網址或要求回覆訊息，誘使收件者前往仿冒網站、下載惡意程式，或提供個人與金融資料。

三者的攻擊目的相近，差別在於主要使用的通訊媒介；實務上，攻擊者也可能混用多種媒介，例如先傳簡訊，再以電話追打。

解題技巧： 以字首快速記憶：phishing 看訊息、vishing 聽語音、smishing 看簡訊。作答時要同時寫出媒介與誘騙目標，不能只翻譯名稱。

（二）S/MIME

核心觀念： S/MIME 是 Secure/Multipurpose Internet Mail Extensions 的縮寫，中文常稱「安全／多用途網際網路郵件延伸標準」。