112 警察特考三等 警察資訊管理人員 數位鑑識執法 考古題詳解

核心觀念

本題要把一般數位證據鑑識流程，具體化為適用於手機、平板等行動裝置的標準作業程序（DEFSOP-MF）。答題主軸是：依 DEFSOP 四階段安排工作，並以 ISO/IEC 27037 的證據識別、蒐集、取得及保存，ISO/IEC 27041 的方法確認，ISO/IEC 27042 的分析與解釋，以及 ISO/IEC 27043 的事件鑑識流程原則，建立可重複、可驗證、可稽核的作業鏈。

行動鑑識的目標不只是「取出資料」，還須兼顧證據的完整性、真實性、可追溯性及可重現性。操作時應記錄裝置狀態、採用方法與工具、時間及人員，並維持證據保管鏈（chain of custody）。數位證據容易因開機、關機、網路連線、同步或系統更新而改變，因此須依個案狀態選擇處置方式並記錄理由。

本題未要求特定法律條文；程序設計應遵循合法授權、必要性與比例原則。法規依命題當年（民國 112 年）為準。

解題方法

先以 DEFSOP 四階段作為答案骨架，再將行動裝置鑑識的工作項目放入各階段，並說明各階段如何落實相關 ISO 標準。最後用流程圖呈現階段間的先後關係，以例子展示從現場保全到報告交付的完整流程。

DEFSOP-MF 四階段

核心觀念

本題考查的是數位鑑識的範圍分類與證據分析觀念。七種類型不是七套互不相關的程序，而是依據「鑑識對象、資料所在位置與調查目的」區分的工作領域；實際案件常會同時使用數種鑑識方法。

數位證據是以數位形式儲存或傳輸、可用以證明案件事實的資料。鑑識的核心原則包括：

• 合法性：依法取得證據，遵守搜索、扣押及資料調取的法定程序。
• 完整性：避免證據遭到新增、刪除或修改；取得證據時記錄雜湊值，例如 SHA-256。
• 可追溯性：記錄證據來源、取得時間、保管與移交過程，維持證物保管鏈。
• 可重複性：採用可說明、可驗證的方法與工具，使他人能檢驗分析結果。
• 脈絡性：將時間戳記、使用者、設備、帳號及網路事件相互比對，避免只憑單一檔案推論。

常見流程可概括為：

以上各步驟須兼顧證據完整性與保管鏈；例如建立儲存媒體映像檔後計算雜湊值，分析副本並與原始證據核對。

解題方法

先以鑑識標的區分七類：電腦與儲存媒體、軟體或程式碼、資料內容、網路流量、行動裝置、雲端服務，以及整體資安事件。再分別說明定義、原理、功能與應用，最後指出彼此的交集與差異。

其中，「軟體鑑識」著重程式本身及其作者、來源、功能或侵權問題；「資料鑑識」著重資料內容與其產生、修改、刪除、關聯及時間脈絡。兩者可能使用相同檔案或工具，但待證問題不同。

七類鑑識比較

核心觀念

本題考查以 資安鑑識、風險管理與營運持續為主軸，運用 NIST Cybersecurity Framework（CSF）的五大功能，建立從事前預防、事中處置到事後復原的完整流程。五大功能常以 IPDRR 記憶：

勒索病毒事件不只是「解密檔案」問題，還可能造成營運中斷、資料外洩、供應鏈感染及法律責任。風險評估可用下式表達：

企業應依資產重要性、威脅可能性、弱點程度及停機影響排序處理，並訂定可接受的復原時間目標（RTO）與復原點目標（RPO）。

解題方法

依題目指定的四項工作，將 IPDRR 五大功能串成「事前評估與防護—事中偵測與應變—事後復原與檢討」的生命週期。各階段同時納入數位證據保存與犯罪偵辦要求，避免只談防毒技術而忽略營運持續及司法證據。

一、事前相關的風險評估（識別 Identify）

1. 盤點資產與營運流程：列出伺服器、端點、網路設備、雲端服務、帳號、資料庫及備份系統；標示關鍵業務、資料敏感性與系統相依關係。
2. 辨識威脅與弱點：評估釣魚郵件、弱密碼、未修補漏洞、遠端桌面曝露、過度權限、第三方維護管道及備份遭同網域控制等風險。
3. 分析衝擊與優先順序：估計資料遭加密或外洩後的停機時間、財務損失、個資或營業秘密影響、法規責任及聲譽損害；依風險值排序改善。
4. 訂定營運持續目標：依業務重要性設定 RTO、RPO、替代作業程序、通報名單與決策權責，並將供應商及委外服務納入評估。

二、防護措施建立（保護 Protect）

• 身分與權限管理：採最小權限、管理者帳號分離、多因素驗證（MFA）、定期停用離職或閒置帳號，限制遠端存取。
• 端點與系統防護：即時修補作業系統及應用程式；部署端點偵測與回應（EDR）、防毒、應用程式控管及郵件過濾。
• 網路分區與存取控管：依業務及信任程度分區，限制伺服器間不必要連線，管理外部遠端維護入口，避免單一帳號或主機橫向擴散。
• 備份與還原能力：採多份、異地或離線備份，限制備份帳號權限，避免備份與正式環境共用管理憑證；定期實際演練還原。
• 人員與程序：辦理釣魚郵件及事件通報訓練，建立資安政策、事件應變計畫、聯絡樹與演練紀錄。
• 鑑識準備：集中保存並同步系統、網路、身分驗證及端點日誌；保留足以回溯事件的紀錄，預先確認證據保存、保管與交接程序。

三、事中應變策略制定（偵測 Detect、應變 Respond）

偵測階段應監控大量檔案改名或加密、短時間大量寫入、異常管理者登入、可疑程式執行、備份遭刪除、端點防護遭停用及異常對外連線。警示須能連結到主機、帳號、時間及相關日誌，以支援判斷事件範圍。

應變階段可依下列順序執行：

1. 啟動應變與分級：確認事件類型、受影響系統及關鍵業務，依應變計畫通知負責人並決定危機處置層級。

核心觀念

本題考查個資外洩事件的全生命週期資安鑑識：事前建立可偵測、可追溯的環境；事中控制損害並保全易逝證據；事後分析事件、復原服務並改善防護。鑑識工作的目標不只是找出資料如何外流，也要能說明何人於何時，以何種方式接觸、取得或傳送哪些資料，並使蒐集、分析及報告過程可受檢驗。

題目指定的 CIAC Principles 為：

**以命題當年（民國 112 年）法規為準。**個人資料保護法第 12 條涉及個資遭違法蒐集、處理、利用或其他侵害時的通知義務；第 27 條要求非公務機關採取適當安全措施。刑事偵查及證據取得仍應依刑事訴訟法等相關程序與權限辦理。答題時應把「資安處置」與「刑事證據蒐集」一併考量：緊急止血不能任意破壞或改寫原始證據。

解題方法

依題目要求，把事件處理分成事前預警、事中反應、事後復原三階段，再用 DEFSOP 與 ISO/IEC 標準補足鑑識程序，最後逐項對照 CIAC。如此可同時回答「如何偵查與防制」及「如何提高證據能力」。

一、事前預警系統：預先建立可鑑識性

1. 盤點個資與資料流向：標示個資所在系統、資料庫、雲端服務、備份、第三方處理者及跨境傳輸途徑；依敏感程度與業務必要性分級管理。
2. 設置預警與稽核紀錄：集中保存身分驗證、資料庫查詢、管理者操作、檔案下載、API 呼叫、郵件、代理伺服器、防火牆、端點偵測與雲端稽核紀錄。對大量查詢、非上班時段存取、權限提升、異常下載或大量對外傳輸設定告警。
3. 採取資料外洩防護：落實最小權限、多因素驗證、職務分離、資料加密、遮罩、下載限制及傳輸控管；定期檢視帳號、權限、外包與供應鏈存取。
4. 確保紀錄可用：集中保管並限制修改權限，建立一致的時間同步與保存期限；定期確認紀錄完整性、告警有效性及備份可還原性。
5. 預先安排鑑識與通報流程：明訂事件指揮、法務、資安、個資管理及系統維運的分工，備妥證據蒐集工具、紀錄表、保全空間及聯繫程序。

**例：**員工帳號在短時間內查詢大量民眾資料，接著由陌生 IP 下載壓縮檔並連線至外部儲存服務。SIEM 將資料庫稽核、身分驗證及網路流量關聯後告警，可及早停用帳號並保全紀錄。

二、事中反應系統：控制損害並保全證據

1. 啟動事件分級與授權處置：確認疑似外洩範圍、資料類型、受影響對象、系統及第三方服務；指定事件負責人並記錄每項處置的時間、執行者、依據與結果。
2. 先保全易逝證據：視事件狀況保存即時記憶體、網路連線、登入工作階段、雲端稽核紀錄與短期保存的系統日誌。若需隔離主機或停用帳號，應記錄處置前後狀態與理由，兼顧止血和證據保存。
3. 依法蒐集並建立證據保管鏈：依權限與程序取得相關系統、儲存媒體、帳號紀錄及服務商資料；對原始媒體採適當保全方式，製作鑑識映像檔並計算雜湊值。記錄證據編號、來源、蒐集時間、工具與版本、操作人員、雜湊值、封存狀況及每次移交。
4. 限制調查範圍及接觸權限：只蒐集與事件有關的必要資料；對可能包含無關個資、第三人資料或機敏內容的證據採權限控管、遮蔽及安全保存。
5. 通知與協調：依適用法令、契約及事件性質辦理主管機關、受影響者與相關單位的通知或通報；涉及跨境平台或服務商時，保存請求、回覆及取得資料的程序紀錄。

**例：**發現資料庫遭大量匯出後，先限制可疑帳號與外傳通道，同時保存資料庫稽核紀錄、主機記憶體與防火牆連線紀錄。取得磁碟映像後保留原始媒體，針對映像進行分析，並將來源雜湊值與分析副本雜湊值登錄於證據紀錄表。

三、事後復原系統：分析、報告、復原與改善

1. 鑑識分析與事件重建：依時間軸比對帳號、權限、資料庫查詢、檔案存取、網路連線及外部平台紀錄，確認入侵途徑、資料範圍、可能行為人、外傳方式及受影響對象。
2. 採可重現的方法：保存原始證據與工作副本，記錄分析工具、版本、設定、篩選條件、操作步驟及結果；重要結論由另一名具資格人員複核。
3. 復原服務與降低再次外洩風險：修補漏洞、重設憑證、調整權限、移除未授權程式或帳號，從經驗證的備份恢復服務；復原後監測異常活動並確認安全控制有效。