110 警察特考三等 警察資訊管理人員 數位鑑識執法 考古題詳解

核心觀念

反鑑識（anti-forensic）考查的是：行為人如何降低數位證據被發現、蒐集、分析或採信的可能性。它不是單一工具或技術，而是有意阻礙數位鑑識工作的行為、方法或工具。

常見定義是：以修改、隱藏、銷毀或偽造數位資料及其痕跡的方式，妨礙鑑識人員取得或正確解讀證據，降低證據的可用性、可信度或證明力。

解題方法

本題分成三層作答：先以「妨礙鑑識程序、削弱證據價值」說明定義；再列出反鑑識的四個目的；最後列舉五種常見手法，並以簡短例子說明。目的回答「想達到什麼效果」，手法回答「以什麼方式做到」，兩者不宜混為一談。

一、反鑑識的四個目的

1. 避免被發現：使調查人員不知道犯罪或特定活動曾經發生。
2. 干擾資訊蒐集：阻止、破壞或限制證據的取得與保存。
3. 增加鑑識所需時間：讓調查人員花更多時間尋找、還原或解讀證據，拖慢調查進度。
4. 使鑑識報告或證詞受到質疑：降低證據的完整性、真實性或分析結果的可信度，使報告或證詞難以被採信。

二、反鑑識的五種手法

反鑑識手法的分類方式因教材或分類架構而異；本題可按五類常見手法作答：

1. 證據銷毀（data destruction／artifact wiping）：刪除或覆寫檔案、紀錄、日誌及中繼資料，使資料難以復原。

核心觀念

本題考查惡意程式的基本定義、惡意程式鑑識分析的分類，以及常見分析工具。鑑識分析通常分為靜態分析與動態分析：前者檢視程式本身而不執行，後者在受控環境中執行程式並觀察其行為。

解題方法

作答時依序掌握「程式是否具有惡意目的」、「是否執行樣本」及「分析工具的用途」三個層次。定義應說明惡意程式的目的與可能造成的影響；分析分類則以是否執行樣本作為區分基準；工具列舉可涵蓋反組譯、沙箱、系統監控與網路封包分析等用途。

一、惡意程式的定義（7 分）

**惡意程式（malware）**是指以造成損害、未經授權取得或控制資訊、破壞或干擾系統運作，或違反使用者意願執行特定行為為目的而設計或散布的程式、程式碼或相關軟體。常見類型包括病毒、蠕蟲、木馬程式、勒索軟體、間諜程式及後門程式。

判斷重點在於其未經授權或違反使用者意願，並具有竊取、破壞、控制、干擾等惡意目的或效果；不應只依檔名、程式外觀或檔案是否遭防毒軟體標記作判斷。

二、惡意程式鑑識分析的兩種方法（10 分）

1. 靜態分析（Static Analysis） 不執行惡意程式，直接檢視檔案內容與結構，例如檔案雜湊值、檔案格式、字串、匯入函式、反組譯碼及程式碼特徵。優點是可在不觸發程式行為的情況下初步分析；若程式碼經加殼、混淆或加密，分析難度會提高。

2. 動態分析（Dynamic Analysis） 在隔離且可監控的環境中執行樣本，觀察其執行行為，例如建立或修改檔案、變更登錄檔、建立程序、連線至外部主機，以及產生的網路流量。此法可直接取得實際行為證據；

核心觀念

本題考查雲端服務的數位鑑識：Google 雲端硬碟的證據分散在雲端帳戶、使用者端電腦與行動裝置、瀏覽器及同步用戶端，調查時要從不同來源交叉比對，建立檔案、帳戶與使用者活動的時間線。雲端檔案的本機副本或同步紀錄，不能單獨證明使用者曾在特定時間親自操作；應結合服務端紀錄、裝置紀錄及其他跡證判讀。

解題方法

依「保存證據、取得資料、分析關聯、整理報告」的順序作答：

1. 先保存證據：確認涉案帳戶、相關裝置及同步狀態，記錄系統時間、時區與蒐證時間。對裝置製作鑑識映像，保留原始媒體；對雲端資料則依法定程序取得，記錄帳戶、取得範圍、時間及使用的方法。取得的映像與檔案計算雜湊值，並保留操作紀錄，以便驗證完整性。
2. 同時檢視雲端與端點：調查雲端資料及活動紀錄；檢查電腦或手機上的同步資料、瀏覽器與應用程式紀錄。雲端與本機資料可能不一致，應比對檔案識別資訊、名稱、路徑、時間戳及雜湊值。
3. 重建活動脈絡：將登入、瀏覽、建立、修改、刪除、同步、分享及下載等紀錄按時間排序，並留意時區、紀錄保存範圍和時間戳語意。把檔案中繼資料、帳戶活動及端點跡證相互印證。

可使用的數位鑑識工具

• 電腦與行動裝置鑑識工具：FTK Imager、EnCase、X-Ways Forensics、Magnet AXIOM 等，可製作或分析鑑識映像、搜尋使用者資料、瀏覽器紀錄、同步資料及已刪除檔案。
• 雲端資料取得及分析工具：Magnet AXIOM 等具雲端資料分析或取得功能的工具，可在合法授權及適用條件下，蒐集與分析 Google Drive 檔案、活動及版本資料。
• 瀏覽器鑑識工具：檢視 Chrome、Firefox 等瀏覽器的歷史紀錄、快取、下載紀錄、Cookie、登入狀態與網頁資料庫。
• 同步資料及資料庫分析工具：SQLite Browser 等可檢查 Google Drive 用戶端留下的 SQLite 資料庫；必要時以文字檢視器、日誌分析工具輔助分析同步日誌。
• 完整性驗證工具：FTK Imager 或其他雜湊計算工具可計算及比對證據雜湊值；Hash 值相符可支持證據在取得後未遭變更。

工具名稱應搭配其用途作答；鑑識軟體的支援範圍會因版本、作業系統與 Google 用戶端版本而異，不能假設單一工具能取得所有雲端資料。

核心觀念

本題考查數位與實體鑑識中兩項基礎觀念：

• 四向連接理論（4-way linkage theory）：犯罪事件可由「嫌疑人、被害人、犯罪現場、物證」四個要素構成；要透過證據建立各要素之間的關聯，說明人、地、物如何與犯罪連結。
• 羅卡交換原理（Locard’s exchange principle）：人或物彼此接觸時，會發生物質或痕跡交換。嫌疑人進入現場、接觸被害人或使用工具時，可能留下痕跡，也可能帶走現場痕跡。

四向連接理論呈現「證據如何連結案件各要素」；羅卡交換原理說明「這些痕跡為何會產生」。在數位鑑識中，數位裝置、帳號、檔案、通訊紀錄及網路活動，也可作為物證或關聯線索，協助建立上述連結。

解題方法

先畫出四個要素，再以證據線連接相關要素；接著用羅卡交換原理說明接觸可能造成的雙向痕跡轉移。最後依「證據能證明什麼」說明證據對破案的功能，避免只羅列證據種類。

四向連接示意圖（11 分）

 嫌疑人
 ↗ ↕ ↖
 接觸痕跡 │ 數位／實體證據
 ↗ │ ↖
 被害人 ←── 證據 ──→ 犯罪現場
 ↖ │ ↗
 接觸痕跡 │ 數位／實體證據
 ↖ ↕ ↗
 物證

也可用四要素環狀圖表示：

嫌疑人 ──證據── 被害人
 │ │
 證據 證據
 │ │
犯罪現場 ──證據── 物證

圖中連線代表可由證據建立的關聯，不表示每一案件都必須具備同一種證據，或四個要素間都存在直接接觸。證據可以是生物跡證、指紋、工具痕、監視影像、數位裝置資料、通聯紀錄或網路紀錄等。

配合圖形說明證據對破案的功用（14 分）

1. 連結嫌疑人與犯罪現場 現場的指紋、DNA、足跡、工具痕，或監視影像與門禁紀錄，可協助判斷嫌疑人是否曾到場。數位裝置中的定位、登入或連線紀錄，也能提供行蹤與活動關聯。

2. 連結嫌疑人與被害人 嫌疑人裝置中的通訊、社群互動、交易或檔案紀錄，可呈現雙方接觸或往來情形；被害人身上的纖維、血跡或其他轉移痕跡，則可能提供實體接觸的線索。