107 警察特考三等 警察資訊管理人員 數位鑑識執法 考古題詳解

核心觀念

本題評量數位鑑識執法之五大基石觀念，橫跨「鑑識理論基礎」、「實體與微觀儲存機制」、「證據保全技術」及「法庭證據能力之程序法保障」：

1. Locard’s exchange principle：鑑識科學跨入數位領域之核心法理，探討人機互動下的數位痕跡殘留。
2. Bit stream copy：數位證據「完整性保全」之標準實體複製技術，對比作業系統層級之邏輯複製。
3. Write blocking device：防止原始證物遭受非意圖寫入或污染之防護機制（硬體與軟體層級）。
4. File slack space：檔案系統底層叢集（Cluster）配置所衍生之未填滿間隙（RAM Slack 與 Drive Slack）。
5. Chain of custody：刑事訴訟法上保障證物「同一性」與「真實性」、杜絕竄改質疑之程序法機制。

本題法律與規範依據以命題當年（民國 107 年）之《刑事訴訟法》關於證據能力、搜索扣押與勘驗鑑定規定，以及國際標準規範（如 ISO/IEC 27037、RFC 3227）為基礎（現行實務後續已陸續頒布更細緻之數位證據處理規範與鑑識作業指引，解題仍以命題當年之體系為準）。

---

解題方法

本題為標準之申論名詞解釋題（每小題 5 分，共 25 分）。作答時切忌僅以口語泛泛解釋，應採取公職國考高分之「三段式標準架構」逐題剖析：

1. 定義與成因／起源：精準給出技術定義、運作層級或法理源流。
2. 運作機制與技術細節：說明其底層架構、硬體／軟體分類、計算方式或微觀結構。
3. 鑑識執法實務意義與法律效力：連結刑事偵查實務、反鑑識對抗、雜湊值比對及法庭證據能力（Admissibility）。

---

解題技巧

1. 精準區分對照概念：

• 說明 Bit stream copy 時，務必對比「邏輯複製（Logical Copy）」，點出未配置空間（Unallocated Space）之保留。
• 說明 Write blocker 時，切入硬體與軟體防寫之差異，強調物理中斷與韌體過濾。
• 說明 File slack space 時，必須精準劃分「RAM Slack」與「Drive Slack」，並以磁區（Sector）與叢集（Cluster）之階層關係說明。

2. 扣緊「證據能力」核心法理：

• Chain of custody 必須緊扣刑事訴訟之「同一性（Identity）」、「無污染性」與「不可否認性」，並列出必要記載欄位，方能取得滿分 5 分。

3. 避免常見陷阱：

• 誤將 Slack space（已配置叢集內的未用空間）與 Unallocated space（尚未配置之空閒叢集）混為一談。
• 誤將 Bit stream copy 視為單純的作業系統「複製／貼上」或備份指令。

---

【答案】

(一) Locard’s exchange principle（洛卡物質交換定律）

1. 定義與源流：由法國鑑識科學先驅 Edmond Locard 於 20 世紀初提出，核心精神為「凡走過必留下痕跡，凡接觸必產生交換」（Every contact leaves a trace）。原指物理犯罪現場中，行為人、被害人與環境三者接觸時必產生實體微物之相互轉移。
2. 數位鑑識之延伸：在資訊環境中，行為人與數位裝置、作業系統或網路通訊產生互動時，雙向資訊交換必然發生。行為人會於目標環境留下活動軌跡（如系統事件紀錄檔 Event Logs、登錄檔 Registry、Shellbags、時間戳記 MACB、網路連線 Session 及封包負載等）；同時，目標環境亦會在行為人之裝置留下殘留紀錄（如瀏覽器快取 Cache、Cookies、暫存檔或下載紀錄等）。
3. 鑑識執法價值：為數位鑑識「時序分析（Timeline Analysis）」與「行為重建」之根本理論基石。鑑識人員據此自海量數位殘留中拼湊犯罪歷程，印證犯罪嫌疑人之身分與行為關聯性。

(二) Bit stream copy（位元流複製／逐位元映像）

1. 定義：指將來源儲存媒體之實體資料，以「逐位元（Bit-by-bit）」或「逐磁區（Sector-by-sector）」方式，從第 0 軌至最後一個磁區，無差別複製至另一目標實體儲存媒體或特定鑑識映像檔（如 Raw/DD、E01 格式）之

核心觀念

本題評量數位鑑識現場蒐證與數位證據處理的核心實務，涵蓋兩大面向：

1. 易揮發性證據（Volatile Evidence）與 RFC 3227 揮發順序原則（Order of Volatility）：在電腦鑑識中，證據的保存必須依照「揮發速度由快至慢」的先後順序進行（記憶體、快取、網路連線、行程等優先於硬碟）。熟練掌握 Windows 系統架構下的揮發性數據特徵及其鑑識價值（如記憶體提取惡意程式、網路連線追蹤中繼站），是執行「活體鑑識（Live Forensics）」的基礎。
2. 數位證據之同一性（Identity）與監管鏈（Chain of Custody）：依據我國《政府機關（構）資安事件數位證據保全標準作業程序》（以命題當年民國 107 年規範為準；現行法規已納入數位發展部資通安全署相關規範），數位數據本質具備易竄改與無形性，因此在複製、萃取產出映像檔後，必須落實「雜湊值驗證」、「寫入防護」、「防竄改封緘」及「監管鏈記錄」等程序，以確保符合訴訟法上之證據能力要求。

---

解題方法

1. 第 (一) 子題切入點（定義＋實例＋偵查用途，配分 15 分）：

• 先給出易揮發證據的標準定義（非持久性、斷電即失、狀態動態變化），點出 RFC 3227 揮發順序原則。
• 以 Windows 作業系統為核心，挑選最具代表性且偵查價值最高的 4～5 種項目（如：實體記憶體 RAM、網路連線狀態、執行中行程、登入工作階段、快取資料）。
• 每一項目採「證據名稱 $\rightarrow$ 內含資訊 $\rightarrow$ 偵查用途」三層結構條列，使評分委員一目了然。

2. 第 (二) 子題切入點（標準作業程序規範之封緘程序，配分 10 分）：

• 聚焦於「數據（Data/Image file）」而非單純「硬體設備」的封緘程序。
• 依標準作業流程歸納為五大步驟：計算並核對雜湊值（驗證完整性）、產出與固化唯讀映像檔（防止覆寫）、登錄中繼資料與封緘清單（明確標示）、實體載體防竄改封緘（防拆封條與簽章）、建立監管鏈紀錄表（全程留痕）。

---

選項分析

本題為申論題型，無個別選項。作答時應以小標題明確區隔子題，第 (一) 子題重視 Windows 鑑識實例的廣度與偵查實戰關聯性；第 (二) 子題則重在行政規範與法規程序的精確性與嚴謹度。

---

解題技巧與常見陷阱

1. 不可將「易揮發證據」誤寫為「硬碟中的隱藏檔」：硬碟（磁區、未配置空間、登錄檔檔案本體）屬於非揮發性儲存媒介（Non-volatile Storage）。揮發性證據嚴格限定於記憶體（RAM）、CPU 暫存器、快取、現存動態連線與記憶體駐留行程中。
2. 偵查用途必須結合犯罪類型：避免僅寫「可以分析資料」，應具體連結偵查實務，例如「分析 LSASS 提取明文密碼」、「透過 netstat 掌握 C2 中繼站連線」、「透過行程樹（Process Tree）發掘動態注入（DLL Injection）或無檔案惡意程式（Fileless Malware）」。
3. 區分「實體扣押封緘」與「數據封緘」：題目明確指出「數據封緘作業」，重點在於數位映像檔（Bit-stream Image）與數據內容的完整性保障（雜湊值 SHA-256/MD5 的產出與比對、防寫入保護），而非僅是拿證物袋裝硬碟。

---

【答案】

(一) 易揮發證據之定義、Windows 實例與犯罪偵查用途

1. 易揮發證據（Volatile Evidence）之定義： 易揮發證據係指存在於電腦主記憶體（RAM）、快取記憶體（Cache）、暫存器（Register）或周邊揮發性暫存硬體中之數位資訊。此類證據具有「非持久性」與「高度動態性」，一旦系統關機、重新啟動、切斷電源或被其他程式覆寫，其所儲存之內容即刻消失且無法復原。依據鑑識準則 RFC 3227 揮發順序原則（Order of Volatility），鑑識人員抵達現場時，必須在未斷電狀態下優先實施活體鑑識（Live Forensics）予以擷取保全。

2. Windows 作業系統常見易揮發證據及犯罪偵查用途：

• 實體記憶體（Physical RAM / Memory Dump）：

核心觀念

本題考查數位鑑識架構中的核心階段——**犯罪現場重建（Digital Crime Scene Reconstruction）**與進階分析技術。主要涉及以下理論與標準：

1. 數位鑑識程序模型：以 Eoghan Casey 的數位證據與電腦犯罪理論（Digital Evidence and Computer Crime）及 NIST SP 800-86 為基礎，鑑識流程包含蒐集（Collection）、檢視（Examination）、分析（Analysis）與報告（Reporting）。其中「現場重建」屬於高階分析階段，強調以科學方法整合零碎痕跡。
2. 科學方法與假設驗證：現場重建本質為回溯性科學驗證，透過演繹（Deduction）與歸納（Induction），檢驗「嫌疑人行為、數位跡證、事件因果」之一致性。
3. 三大分析支柱：

• 時間維度（Timeline Analysis）：以時間戳記（MACB）還原事件發生順序。
• 空間／關聯維度（Relational Analysis）：釐清人（使用者）、事（行為）、時、地（IP/主機）、物（載具/檔案）之關聯網絡。
• 能力／狀態維度（Functional Analysis）：驗證軟硬體運作邏輯、功能邊界與設定狀態，評估行為之技術可行性。

---

解題方法

1. 第 (一) 子題（10 分）：

• 切入點：採「定義 $\to$ 核心內容 $\to$ 主要目的」三層結構回答。
• 內容面：說明其並非單純撈取資料，而是「假說建立」、「痕跡串聯」與「反覆驗證」。
• 目的面：從「還原案情客觀事實」、「印證／推翻供述」及「建構法庭證據因果鏈」切入。

2. 第 (二) 子題（15 分）：

• 切入點：三種分析各佔 5 分，依序以「意涵界定（2 分）＋實務具體案例（3 分）」展開。
• 舉例策略：選用警察偵查實務常見且具代表性的案件情境（如：勒索軟體入侵、商業機密竊取、妨害電腦使用），使「時間」、「關聯」、「功能」展現出互補且層次分明的鑑識效果。

---

選項分析

本題為警察特考三等之申論題，非選擇題，故無選項分析。考生作答時應著重於申論題的「大小標題編排」、「專有名詞精準度（附英文對照）」及「實務情境舉例之說服力」。

---

解題技巧與常見陷阱

1. 避免「名詞混淆」：

• 常見陷阱是將「現場重建」誤答為一般的「現場勘查」或「硬體扣押映像」。必須強調現場重建是分析與假設驗證階段，目的是解釋「事件如何發生」。

2. 三種分析必須「有定義、有案例」：

• 題目明確要求「請舉例說明」，若僅背誦理論意涵而無實例，分數通常會被扣減一半以上。

3. 案例選取要能凸顯該分析的特性：

• Timeline 必提「時間戳記（MACB）、順序、日誌串接」。
• Relational 必提「IP、帳號、MAC 地址、隨身碟序號等實體與虛擬的對應」。
• Functional 必提「該程式或系統『能不能做到』該件事、環境條件是否吻合」，切忌把功能分析寫成一般的日誌分析。

---

【答案】

(一) 數位鑑識現場重建（Reconstruction of Crime）之內容與目的

1. 現場重建之內容： 數位鑑識之犯罪現場重建，係鑑識人員依循法庭科學（Forensic Science）之科學方法，整合實體跡證、數位痕跡（如作業系統日誌、檔案中繼資料、網路封包、登錄檔等）及客觀環境，回溯還原犯罪事件完整面貌的分析程序。其具體執行內容包括：

• 跡證整合與事件識別（Event Identification）：將多來源（主機、伺服器、防火牆、行動裝置）萃取出之分散數位痕跡進行統合比對。
• 提出假設（Hypothesis Formulation）：依據既有線索，就犯罪發生途徑、工具與入侵手法提出合理假說。
• 科學驗證與偽證測試（Testing and Falsification）：藉由重現測試、因果推論與邏輯演繹，驗證假說是否符合客觀數位限制，並排除不可能之途徑。
• 時空與因果定序（Sequencing）：確定事件發生之先後順序與因果關聯，勾勒出完整犯罪歷程。

核心觀念

本題測驗「Windows 作業系統之 USB 裝置鑑識（USB Forensics）」與「數位證據處理與關聯性比對（Digital Evidence Correlation）」。

在數位鑑識執法實務上，證明「未連線之外接儲存裝置曾連線至特定主機」的核心在於建立兩者之間的唯一性對應（Unique Identifier Mapping）與時間軸關聯（Timeline Analysis）。

1. 硬體唯一性識別碼：USB 裝置在出廠時通常具有唯一的裝置序號（Serial Number），插入 Windows 系統時，隨插即用（PnP）機制會將該裝置之供應商識別碼（VID）、產品識別碼（PID）及裝置序號寫入註冊表（Registry）與系統安裝日誌。
2. 磁區與檔案系統關聯：外接硬碟格式化後所產生的磁碟分割區識別碼（Volume GUID）與磁區序號（Volume Serial Number, VSN），會進一步記錄於 Windows 掛載清單與使用者操作痕跡中。
3. 數位證據處理原則（以命題當年民國 107 年法規為準）：遵循《刑事訴訟法》關於搜索、扣押與鑑定之規定，並恪遵 ISO/IEC 27037 數位證據處理原則（識別、保全、擷取、記錄），使用具法庭證據能力之硬體防寫設備與位元流映像技術（Bit-stream Image），以維持證據同一性與監管鏈（Chain of Custody, CoC）。

---

解題方法

本題需從「硬體特徵比對」、「系統連線機碼萃取」、「使用者行為跡證交叉驗證」三個維度切入，採「證據保全 $\rightarrow$ 特徵擷取 $\rightarrow$ 痕跡比對 $\rightarrow$ 時間軸重建」的標準鑑識程序，反駁某甲「硬碟從未連上筆電」之辯詞。

一、 應擷取之數位證據

1. 外接硬碟端之實體特徵資訊：

• 裝置硬體資訊：廠商識別碼（VID）、產品識別碼（PID）、硬體序號（Device Serial Number）。
• 檔案系統資訊：磁區序號（Volume Serial Number, VSN）、磁碟代號/標籤（Volume Label）、分割區 GUID。
• 檔案屬性：犯罪檔案之 MAC 時間戳記（Modified, Accessed, Created Time）。

2. 筆電端（Windows 系統）之連線與操作痕跡：

• 註冊表配置單元（Registry Hives）：
• SYSTEM\CurrentControlSet\Enum\USBSTOR：記載連線過之 USB 大量儲存裝置廠商、型號及唯一裝置序號。
• SYSTEM\CurrentControlSet\Enum\USB：記載 USB 控制器與裝置集線器連接資訊。
• SYSTEM\MountedDevices：將裝置序號與磁區 GUID、掛載槽號（如 E:）進行綁定。
• SOFTWARE\Microsoft\Windows Portable Devices\Devices：儲存裝置之別名（Friendly Name）與磁碟標籤。
• NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2：記載特定使用者帳號曾掛載過的 Volume GUID。
• UsrClass.dat（Shellbags）：記載使用者曾透過 Windows 檔案總管瀏覽該外接硬碟的資料夾路徑與結構。
• 系統記錄檔（System Logs）：
• setupapi.dev.log（路徑：C:\Windows\inf\）：記載該 USB 裝置首次連接時驅動程式安裝之時間戳記。
• Windows 事件記錄檔（Event Logs，路徑：C:\Windows\System32\winevt\Logs\）：
• Microsoft-Windows-Storage-ClassPnP/Operational.evtx：記錄裝置連線與中斷事件。
• Microsoft-Windows-Partition/Diagnostic.evtx：記錄外接硬碟分割區辨識與裝載紀錄。
• System.evtx 與 Security.evtx：稽核可卸除式存放裝置之存取事件。
• 使用者存取行為檔案（User Artifacts）：
• 捷徑檔（LNK Files，位於各使用者 Recent 資料夾）：使用者若曾開啟外接硬碟上的犯罪檔案，系統會自動生成 LNK 檔，內含目標檔案絕對路徑、外接硬碟磁區序號（VSN）、磁碟標籤及 MAC 時間。
• 跳躍清單（Jump Lists，位於 Automatic/CustomDestinations）：記錄應用程式近期開啟該硬碟內檔案的清單。
• 預先擷取檔（Prefetch，路徑：C:\Windows\Prefetch\）：記錄執行程式時載入的檔案路徑與執行次數，可證明執行檔曾存取外接磁碟。

二、 使用之鑑識工具

1. 保全與映像製作工具：

• 硬體：硬體防寫設備（Write Blocker，如 Tableau 或 WiebeTech 系列），防止目標媒體寫入或更動。
• 軟體：FTK Imager 或 EnCase Forensic Imager，用以製作外接硬碟與筆電內建硬碟之原始位元映像檔（E01 或 RAW/DD 格式），並計算 MD5 / SHA-256 雜湊值（Hash Values）。

2. 分析與檢視工具：

• 綜合鑑識平台：EnCase、Magnet AXIOM 或 Autopsy。
• 註冊表專用解析工具：Eric Zimmerman's RECmd、Registry Viewer。
• USB 跡證專用工具：NirSoft USBDeview、USB Forensic Tracker。
• 使用者痕跡解析工具：LECmd（解析 LNK 檔）、JLECmd（解析 Jump Lists）、ShellBags Explorer（解析資料夾瀏覽歷史）。
• 事件記錄檢視工具：Event Log Explorer 或 Eric Zimmerman's EvtxECmd。

三、 採取之具體鑑識步驟

1. 步驟一：鑑識保全與完整映像檔製作（Preservation & Imaging）

• 將扣案筆電與外接硬碟接上硬體防寫設備。
• 使用 FTK Imager 針對筆電硬碟與外接硬碟分別製作位元流映像檔（Forensic Image）。