109 警察特考三等 警察資訊管理人員 數位鑑識執法 考古題詳解

核心觀念

本題考查社群媒體犯罪的攻擊型態分類、數位證據的來源與蒐集範圍，以及**社群媒體快照（Social Snapshot）**的取證方法與適用理由。作答時宜依序說明「犯罪如何發生、證據在哪裡、如何保存易變資料」，並注意證據的完整性、真實性、來源及保管歷程。

（一）依攻擊方式分類並舉例

可依犯罪者利用社群媒體的方式，分為下列類型：

1. 以社群媒體為攻擊平台 犯罪者利用社群媒體接觸被害人、散布內容或進行交易。例如在 LINE 傳送恐嚇訊息、散布不實資訊、販售毒品，或透過社團媒合詐欺交易。

2. 以社群媒體作為攻擊工具 犯罪者利用帳號、功能或社交關係實施攻擊。例如冒用他人帳號向親友借款、以釣魚連結竊取帳密、利用群組散布惡意程式，或大量傳送訊息騷擾被害人。

3. 以社群媒體作為攻擊目標 犯罪者直接侵害社群媒體服務、帳號或其資料。例如入侵他人 LINE 帳號、竊取帳號憑證、破壞或竄改帳號內容、未經授權取得聊天資料。

同一案件可能同時涉及數種類型。例如，犯罪者先以釣魚連結取得帳密，再冒用帳號向親友詐財，便同時涉及社群媒體作為攻擊工具及犯罪平台。

（二）證據來源與蒐證範圍

證據應從何處取得

社群媒體犯罪的證據通常須從以下來源交叉取得：

• 使用者端設備：手機、平板或電腦中的應用程式資料、聊天紀錄、附件、通知、快取、帳號登入資訊及相關系統紀錄。
• 服務提供者端：平台保存的帳號資料、登入紀錄、訊息或內容資料、連線紀錄及其他依法得調取的資料。
• 通訊及網路相關來源：電信業者或網路服務業者所保存、依法可取得的用戶與連線資料。
• 其他關係人及周邊資料：收受訊息者、群組成員、交易相對人等設備中的紀錄，以及匯款、通聯、監視器或其他可相互印證的資料。

單一來源常有缺漏；例如使用者可刪除裝置上的紀錄，平台資料也可能有保存期限或取得限制，因此須儘早保全並比對不同來源。

蒐證範圍

蒐證範圍應圍繞「何人、何時、透過何帳號或設備、與何人、傳送何內容、造成何結果」展開，至少包括：

• 帳號與身分資料：帳號識別資料、暱稱、綁定電話或電子郵件、帳號使用人及控制情形。
• 通訊內容與附件：文字、圖片、語音、影片、檔案、貼文、留言及群組內容；並保留與案件相關的上下文。
• 時間與對象資訊：訊息時間、收發對象、群組成員、事件先後順序及相關時區設定。
• 登入與連線資料：登入時間、來源 IP、裝置或工作階段資訊，以及依法取得的平台或網路紀錄。
• 裝置端相關資料：應用程式資料庫、快取、通知紀錄、刪除或殘留資料，以及與帳號操作相關的裝置資料。

核心觀念

數位鑑識軟體用於取得、保存、檢視及分析數位證據。判斷軟體是否適用，重點在於它能否兼顧證據完整性、結果可驗證性、分析效率與程序可說明性。本題不涉及特定法條或計算公式。

解題方法

可從「證據是否被妥善保存」、「分析結果能否重現」及「工具是否適合實務作業」三方面作答：

1. 維持證據完整性：能以唯讀方式取得或分析證據，避免改變原始媒體內容；並支援雜湊值（如 MD5、SHA-1、SHA-256）計算，以核對映像檔與原始資料的一致性。
2. 結果可驗證、可重現：分析方法與結果應可檢查，能保存操作紀錄、處理參數及輸出報告，使其他鑑識人員得以複核。
3. 支援多元資料來源與格式：可處理不同儲存媒體、檔案系統、作業系統及常見檔案格式，並支援映像檔、刪除檔案或未配置空間等資料的檢視。
4. 具備有效的搜尋與分析功能：提供關鍵字搜尋、索引、檔案篩選、時間軸或關聯分析等功能，提升大量資料的處理效率。
5. 操作可靠且易於使用：介面清楚、功能穩定，能妥善處理大型資料與異常檔案，並降低操作失誤。
6. 報告完整且易於說明：可輸出清楚的分析結果、證據來源與相關紀錄，便於製作鑑識報告及後續檢驗。

解題技巧

記憶時可抓住「不改變、可驗證、找得到、說得清」四個要點：不改變原始證據、結果可驗證、能有效找出資料、分析過程與結果說得清楚。作答時再補上格式支援、穩定性與報告功能，即能涵蓋完整評分面向。

（二）FTK 的主要工具及功用

核心觀念

FTK（Forensic Toolkit）是數位鑑識工具套件，常見工具分別支援證據映像檔的取得、檔案與資料的分析、密碼復原及行動裝置資料取得。答題時應說明各工具的主要用途，並區分「建立映像檔」、「分析證據」與「破解或復原密碼」等工作。

解題方法

依照鑑識工作的流程列出工具與功能：

核心觀念

封包鑑識是擷取並分析網路通訊資料，藉由封包標頭、通訊流程及應用層內容，重建主機間的連線與資料交換情形。檢視時須同時掌握「誰在何時與誰通訊、使用何種協定、傳送了什麼資料」，並保留原始封包以供後續驗證。

解題方法：依通訊層次檢視

1. 擷取範圍與完整性：確認擷取介面、網段、時間區間、封包長度限制及封包遺失情形；確認擷取設備的時間與標準時間同步。
2. 鏈路層：檢視來源與目的 MAC 位址、EtherType、VLAN 標籤等資訊，以辨識網路區段及設備。
3. 網路層：檢視來源與目的 IP、封包長度、TTL、分段資訊及 IP 協定欄位，掌握通訊端點、路由與封包分段情形。
4. 傳輸層：檢視 TCP 或 UDP、來源與目的埠號。TCP 另檢視 SYN、ACK、FIN、RST 等旗標，以及序號、確認序號、重傳與連線中斷情形。
5. 應用層與負載：辨識 HTTP、DNS、SMTP、FTP 等協定及其內容；檢視請求方法、網域名稱、URI、標頭、回應碼、檔案或命令資料等。若內容加密，仍可分析端點、連線時間、流量大小、方向及 TLS 握手等資訊，但加密負載本身無法直接還原為明文。
6. 通訊關聯與異常：依時間順序重組雙向連線與工作階段，觀察不尋常目的地、非預期埠號、週期性回連、大量上傳、DNS 異常查詢及短時間大量連線等特徵。
7. 證據保存：保存原始 PCAP、擷取設定、時間資訊、分析紀錄及封包遺失統計，記錄證物來源與處理過程，並以雜湊值確認檔案完整性。

解題技巧與常見陷阱

可用「時間、端點、協定、內容、關聯、保存」作為檢查順序。只看 IP 或埠號不足以判斷惡意行為，因為埠號可被任意使用；須連同協定內容、連線方向、流量型態與端點背景判讀。封包擷取亦須注意雙向流量是否皆可見、交換器鏡像是否遺漏封包，以及加密通訊對內容分析的限制。

（二）蒐證環境佈署與即時資料分析流程

核心觀念

此題重點是讓網路流量在不干擾原有通訊的前提下，複製至監控與分析設備，並即時辨識惡意程式的命令控制連線、資料蒐集與外傳行為。網路封包分析可提供通訊證據；端點鑑識、系統紀錄及網路設備紀錄則可用來交叉比對受害設備與事件時間線。

解題方法：佈署蒐證環境

1. 選定監控點：在機構對外網路出口、重要網段匯聚點或受監控主機所在交換器設定鏡像埠（SPAN），或安裝網路 TAP，將進出流量複製至蒐證設備。監控雙向流量，並確認鏡像頻寬足以承載流量。

核心觀念

本題考查網路位址在數位鑑識中的證據價值，以及依 IP 位址的配置與使用方式，說明取證時如何識別使用者、設備與連線時間。IP 位址是網路通訊中識別來源與目的端的重要資訊，但單獨一筆 IP 紀錄通常只能指出某個連線端點，不能直接證明特定自然人操作設備。

題目未指定 IP 分類標準，以下依數位取證常用的「固定／動態、公用／私有、IPv4／IPv6」說明。

(一) 網路位址為何是重要的衡量因素？

網路位址可協助調查人員：

• **追查通訊來源與去向：**比對連線紀錄中的來源與目的 IP，掌握設備曾與哪些主機或服務通訊。
• **建立事件時間軸：**將 IP 紀錄與時間戳記、連接埠、登入紀錄及服務紀錄交叉比對，還原連線及活動先後。
• **關聯不同數位證據：**比對電腦、手機、伺服器、防火牆、路由器及網路服務商保存的紀錄，確認不同紀錄是否指向同一連線或事件。
• **協助定位網路接取環境：**透過網路服務商、組織網路管理者或相關紀錄，查明特定時間使用該位址的連線或設備。

其證明力有明確界限：IP 位址可能由多名使用者共用、由服務商動態指派，或經由代理伺服器、VPN、NAT、公共 Wi‑Fi 等設備轉送。因此，IP 位址本身不能直接等同於使用者身分或實際所在地；須搭配精確時間、時區、連接埠、帳號、設備及服務商紀錄綜合判斷。

(二) IP 位址的分類與數位取證要點

一、固定 IP 與動態 IP

固定 IP是在一段期間內持續配置給特定連線或設備的位址。取證時仍須確認該位址在案發時間的實際使用者、設備與網路拓樸；固定不代表必然由特定個人使用。

動態 IP由網路服務商或區域網路的 DHCP 伺服器依租用期間指派，使用者或設備不同時間可能取得不同位址，同一位址也可能先後分配給不同使用者。調取或比對紀錄時，應掌握：

• 完整時間戳記及時區，並留意設備時鐘是否同步。
• IP 位址及服務商所需的其他識別資料，例如來源連接埠。
• DHCP 租約或服務商的位址指派紀錄，以確認案發時間的分配對象。

僅以「某 IP 曾屬於某用戶」推論該用戶於案發時使用該 IP，容易發生時間錯置。

二、公用 IP 與私有 IP

公用 IP可在網際網路上路由。調查時通常須向網路服務商或相關平台調取連線紀錄，並以案發時間及必要的連接埠等資訊，確認紀錄所對應的連線或用戶。