111 警察特考三等 警察資訊管理人員 電腦犯罪偵查 考古題詳解

核心觀念

本題考查的是：偵查人員到達犯罪現場後，如何找出可能含有案件資訊的數位證據，並在不破壞、不污染資料的前提下，妥善保存其證據能力與證明力。

數位證據是以數位形式儲存、處理或傳輸，且與案件待證事實有關的資料。它可能存在於電腦、手機、平板、伺服器、隨身碟、記憶卡、監視器、網路設備、雲端帳號或其他物聯網設備中。數位證據具有容易複製、變更、刪除及遠端抹除等特性；部分資料也會在關機或斷電後消失，因此必須同時考量現場安全、證據保存與資料易逝性。

**法規依據：以命題當年（民國 111 年）法規為準。**蒐證應依刑事訴訟法關於搜索、扣押及扣押物保管的規定辦理，例如第 122 條、第 128 條及第 133 條等，並遵守搜索票所載範圍、目的與對象。搜索取得數位資料，不代表可以無限制檢視與案件無關的資料。

解題方法

作答可依「先辨識、再記錄、妥善取得、封存保管、完整交接」的順序，說明現場如何尋找數位證據，以及各階段的注意事項。

一、辨識可能的數位證據

辨識時不能只注意桌上的電腦主機，應從「資料可能存放在哪裡、如何傳輸、由誰使用」三個方向盤點：

• 運算及儲存設備：桌上型電腦、筆記型電腦、伺服器、手機、平板、外接硬碟、隨身碟、記憶卡、光碟。
• 通訊及網路設備：路由器、數據機、交換器、無線基地台、網路電話、網路攝影機，以及連接的行動裝置。
• 其他可能留有數位紀錄的設備：監視器及其主機、行車紀錄器、智慧手錶、門禁系統、遊戲主機、智慧家電及其他物聯網設備。
• 帳號與遠端服務：電子郵件、社群平台、雲端硬碟、通訊軟體、遠端主機及網路服務中的資料。應記錄帳號、服務名稱、設備與網路連接狀況；進一步調取資料時，須依適用法律程序辦理。
• 周邊線索：螢幕顯示內容、登入狀態、紙本密碼或設備清單、連接線路，以及現場人員對設備的使用情形。這些線索可協助判斷設備與案件的關聯。

辨識的重點在於找出「可能含有案件相關資料的載體及連線關係」，而不是只搜尋外觀上像電腦的物品。

二、先控制現場並記錄原始狀態

先確保現場安全，限制無關人員接觸設備，避免任何人操作、拔線、開關機或遠端連線。接著記錄：

• 設備所在位置、外觀、品牌型號、序號及周遭物品。
• 電源、螢幕、指示燈、線路與周邊設備的連接情形。
• 螢幕顯示內容、開啟中的程式、登入狀態、錯誤訊息及設備當時運作狀況。
• 現場時間、紀錄時間及採取的處置，並以全景、特寫及必要的錄影保存現場狀態。

記錄應能呈現設備彼此的連接關係與處置前後變化。操作設備本身就可能改變資料或時間戳記，因此沒有必要時不應瀏覽檔案、輸入指令或嘗試登入。

核心觀念

本題考查數位鑑識資料分析階段如何蒐集、監控與解讀網路活動，以及網路封包分析工具如何協助重建行為。分析目標不是單看單一封包，而是結合時間、來源與目的位址、連接埠、通訊協定、流量特徵及相關紀錄，回答「誰在何時與誰通訊、使用何種服務、傳輸了什麼或做了什麼」。

網路鑑識應兼顧證據完整性與可重現性：先界定案件問題與分析範圍，再妥善取得封包及相關紀錄，保存原始資料並記錄取得方式、時間與工具版本；後續分析以工作副本進行，保留操作紀錄，避免改動原始證據。

解題方法：監控與解析網路行為

可依「設定範圍、蒐集資料、分層解析、關聯驗證、形成結論」的順序作答：

1. 界定監控範圍與問題 依案件時間、涉案設備及待查行為設定監控點，例如網路閘道器、交換器鏡像埠、無線基地台或端點設備。明確指定要查明的行為，例如是否連線至特定主機、是否有大量資料外傳、是否使用特定通訊協定。

2. 蒐集網路資料 蒐集即時封包或既有封包擷取檔（PCAP），並一併保存防火牆、路由器、DNS、DHCP、代理伺服器、VPN及端點系統紀錄。記錄擷取時間、時區、網路拓樸、擷取位置、過濾條件及工具設定；保存原始檔並計算雜湊值，以利確認分析過程中資料未遭變動。

3. 由整體流量逐步縮小範圍 先觀察流量概況及通訊端點，再依時間、IP 位址、連接埠、協定、封包長度或特定特徵篩選。接著重組 TCP 工作階段或應用層對話，檢視請求與回應、連線建立與中斷、傳輸量及異常時序。必要時解析 DNS 查詢、TLS 握手資訊、電子郵件或檔案傳輸等協定欄位。

4. 重建並驗證行為 將封包時間軸與系統登入、檔案存取、程序執行及網路設備紀錄互相比對，確認同一 IP 位址在特定時間是否對應涉案設備或使用者。注意 NAT、DHCP 位址變動、代理伺服器及時鐘不同步等因素，不能只憑單一 IP 位址就認定特定自然人。

核心觀念

本題考查兩件事：第一，數位證據的標的有哪些；第二，如何依證據類型選用數位鑑識工具。數位證據是以數位形式儲存、傳輸或處理，且與待證事實有關的資料。它可能存在於電腦、手機、網路服務或各類儲存媒體中，內容包括文件、通訊紀錄、系統紀錄與影音等。

數位證據容易遭到修改、刪除或覆寫，蒐證時應記錄設備與資料來源、妥善保存原始媒體，並以鑑識映像檔進行分析；適當時使用雜湊值確認映像檔與原始資料的一致性，維持證據完整性及可追溯性。

解題方法

可先按「資料所在位置與形式」分類證據標的，再列出能處理相應資料的工具。回答時不只寫工具名稱，也應說明它適用的資料類型及主要功能，才能完整回應「列舉與說明」的要求。

一、數位證據標的種類

1. 電腦與儲存媒體：桌上型電腦、筆記型電腦、伺服器，以及硬碟、SSD、USB 隨身碟、記憶卡、光碟等媒體中的檔案、分割區、未配置空間與檔案系統資訊。
2. 行動裝置與周邊設備：手機、平板、智慧手錶、數位相機、GPS 設備等，其中可能保存通話、簡訊、聯絡人、照片、定位資料、應用程式資料與裝置使用紀錄。
3. 揮發性資料：設備仍在運作時才可能取得或短暫存在的資訊，例如 RAM 內容、執行中的處理程序、網路連線、登入工作階段及加密金鑰。關機後，這類資料通常會消失。
4. 網路與雲端資料：電子郵件、社群平台訊息、雲端硬碟內容、登入紀錄、IP 位址、連線紀錄及服務提供者保存的帳號資料。
5. 系統與應用程式紀錄：作業系統事件紀錄、瀏覽器歷史與快取、系統設定、應用程式使用紀錄、防火牆與伺服器日誌。
6. 數位影音與通訊資料：監視器影像、錄音、照片、視訊通話紀錄，以及文件中可能存在的時間戳記、作者、地理位置等中繼資料。

核心觀念

數位鑑識是以可重複、可驗證的科學方法，識別、蒐集、保存、檢驗與分析數位資料，並將結果以可供司法審查的方式呈現。數位資料容易遭到修改、刪除或覆寫，因此鑑識程序的重點在於：

• 合法性：搜索、扣押或調取資料須有適法依據，並遵守法定程序及範圍。
• 完整性：確保證物自取得至提出過程未遭未授權變更。
• 可追溯性：完整記錄證物移交、保管、檢驗及分析歷程，建立證物監管鏈（Chain of Custody）。
• 可重複性與可驗證性：記錄使用的工具、版本、設定與操作步驟，使他人能檢驗分析結果。

本題可依數位鑑識標準作業程序常見的「準備、識別與蒐集、保存與擷取、檢驗與分析、報告與呈現」架構作答。涉及搜索、扣押等法律程序時，以命題當年（民國 111 年）法規為準。

解題方法：依案件流程說明數位鑑識作業

一、準備階段

接獲案件後，先確認案件目的、待證事實、可能的資料來源與鑑識範圍，例如電腦、手機、外接硬碟、網路設備、雲端帳號或監視系統。依案件情況準備鑑識人員、工具、儲存媒體、封緘材料及現場紀錄表單，並確認設備與工具可正常使用。

同時應確認搜索、扣押或資料調取的法律依據及範圍，規劃現場分工與蒐證順序。涉及雲端或遠端資料時，也要注意資料保存時限、帳號權限及服務提供者的配合程序。

二、識別與現場蒐證

到場後先確保人員安全並控制現場，記錄現場環境、設備位置、連線狀態、畫面顯示、周邊配件及相關人員資訊。透過拍照、錄影及筆記留下設備原始狀態，並辨認可能與案件有關的數位證物。

蒐證時應依設備狀態選擇處置方式：

• 關機設備：避免不必要地開機，以免系統自動寫入資料或改變時間戳記；記錄設備外觀、型號、序號及連接情形。
• 開機設備：先評估揮發性資料的重要性，如執行中程序、網路連線、登入狀態及記憶體內容。若有必要取得，應由受訓人員使用適當工具先行擷取並記錄操作，再依案件情況決定是否關機。
• 網路連線或遠端服務：評估資料是否會因斷線、登出或時間經過而消失，並記錄連線及取得方式。

蒐集時限於合法範圍及案件相關資料，避免無關資料遭不必要檢視或揭露。

三、保存、封存與證物移交