113 警察特考三等 警察資訊管理人員 數位鑑識執法 考古題詳解
第 一 題25 分
ISO/IEC 27037 為一國際共通標準，該標準所提出的數位證據處理程序分成四個階段。請說明此四個階段主要的工作內容。
登入後即可作答並保存紀錄。
核心觀念
本題考查 ISO/IEC 27037:2012《數位證據之識別、蒐集、取得及保存指引》所定義的數位證據處理四階段：識別（Identification）、蒐集（Collection）、取得（Acquisition）及保存（Preservation）。重點是掌握各階段的工作目的與先後順序，並避免將「蒐集」與「取得」混為一談。
解題方法與四階段工作內容
依標準所定程序，從發現可能含有數位證據的來源開始，接續取得資料並確保證據在後續處理與移交中維持完整：
-
識別（Identification） 尋找並辨認可能含有數位證據的裝置、媒體、資料或其他來源，並評估其與調查案件的關聯性。工作包括確認裝置種類、位置、狀態及可能存有的資料，記錄現場狀況，判斷是否需要立即處置，並規劃後續蒐集與取得方式。
-
蒐集（Collection） 將可能含有數位證據的裝置或媒體，從其所在位置收集起來，以便進一步檢查。工作包括妥善包裝、標示、封緘與運送，並記錄證據來源、外觀、狀態及交接情形。此階段的核心是收集並控制證據載體，不等同於複製其中的資料。
第 二 題25 分
手機取證的方式有分為邏輯提取（Logical Extraction）、檔案系統提取（File System Extraction）以及實體提取（Physical Extraction），請說明三種提取方式差異。
而這三種提取方式有一種目前已知道在新型的手機上實務上不可行，請說明其原因。
登入後即可作答並保存紀錄。
核心觀念
本題考手機數位鑑識的三種資料提取層級，重點在於辨別「透過作業系統可存取的資料」、「檔案系統中的資料」與「儲存媒體上的原始資料」。提取層級愈深入，通常能取得的資料愈多，但所需權限、工具與技術難度也愈高。
三種提取方式的差異
| 提取方式 | 取得資料的層級與方法 | 常見可取得資料 | 主要限制 |
|---|---|---|---|
| 邏輯提取（Logical Extraction） | 透過手機作業系統或應用程式提供的介面、備份或同步機制，擷取系統允許存取的資料。 | 聯絡人、通話紀錄、簡訊、行事曆及部分應用程式資料。 | 受作業系統權限與工具支援範圍限制，通常無法直接取得未配置空間、已刪除資料或受保護的系統檔案。 |
| 檔案系統提取（File System Extraction） | 取得檔案系統中的目錄、檔案及其相關中繼資料；通常須有較高的系統權限，或透過備份、漏洞利用及鑑識工具取得存取能力。 | 除邏輯提取常見資料外，還可能取得應用程式資料庫、設定檔、系統紀錄及檔案時間資訊。 | 仍以檔案系統可存取的內容為主，通常不會完整取得儲存媒體的未配置空間，也未必能還原已刪除資料。 |
| 實體提取（Physical Extraction） | 以位元組層級取得儲存媒體的原始資料映像，範圍可包含已配置區域與未配置區域。 | 可分析檔案系統之外的原始資料，並嘗試復原部分已刪除或殘留資料。 | 受到硬體架構、加密、開機安全機制及儲存媒體控制器限制；取得原始映像不代表一定能解密或讀懂其中資料。 |
第 三 題25 分
美國國家標準技術局（NIST）根據行動裝置鑑識提出其標準流程，請說明 NIST 提出的標準流程，根據這些流程列出一項這流程當中可能會用到的軟硬體工具。
登入後即可作答並保存紀錄。
核心觀念
本題考查 NIST《SP 800-101 Rev. 1：行動裝置鑑識指引》所整理的行動裝置數位證據處理流程，以及各階段可使用的鑑識工具。作答時應依序說明流程目的，並舉出至少一項軟體或硬體工具。
NIST 指引涵蓋的主要階段為：驗證、保存、取得、檢查、分析、報告。各階段相互銜接；實務上會依裝置狀態、證據類型與案件需求選擇適當方法，並記錄處理過程以維持證據完整性與可追溯性。
解題方法
按照「先確認工具與方法可靠，再保全證據、擷取資料、檢查與分析，最後提出報告」的順序說明。工具可舉例，但須說明用途，才能看出工具與流程階段的對應關係。
- 驗證（Validation）：確認鑑識工具及其使用程序能正確運作，並適用於待處理的裝置與資料。例如，先以已知測試資料檢查擷取結果是否正確。
- 保存（Preservation）：保護裝置與證據，避免資料遭新增、刪除、遠端抹除或其他改變。應記錄裝置外觀、狀態、時間及保管移轉情形；必要時隔離無線通訊，並妥善保存裝置與相關配件。
- 取得（Acquisition）：從行動裝置擷取數位資料，依裝置狀態及鑑識條件採用適當方式，例如邏輯擷取、檔案系統擷取或實體擷取。擷取後保存原始資料與工作副本，並以雜湊值等方式確認資料完整性。
第 四 題25 分
Windows 的 Event Log 為數位鑑識中尋找證據的重要來源之一，請舉出三種你所知道的 Event Log 以及其 Event ID，並請說明該 Log 代表的意義以及如何用來偵查可能的犯罪行為。
登入後即可作答並保存紀錄。
核心觀念
Windows Event Log（事件記錄）會依記錄類型保存系統、應用程式及安全性事件。鑑識人員可利用事件的時間、帳號、來源電腦、登入類型、程序或服務資訊，重建使用者活動與系統變化，並與檔案時間戳、網路紀錄及其他證據交叉比對。
事件記錄的存在不等於犯罪成立；單一事件通常只能指出值得調查的線索，仍須檢驗記錄完整性、時間設定及其他佐證。
解題方法
本題要求各舉三種 Event Log 與 Event ID，並說明意義及偵查用途。作答可從不同面向選例，例如帳號登入、服務安裝與記錄清除，讓答案同時呈現「行為發生」「系統變更」「掩飾痕跡」三種鑑識線索。
以下以 Windows 常見事件編號說明。事件是否產生，會受到 Windows 版本及稽核原則設定影響；未找到某事件，不能直接推論該行為未曾發生。
三種 Event Log 與偵查用途
一、Security 記錄：Event ID 4624
**意義：**帳號成功登入。事件通常記錄於建立登入工作階段的那台電腦，內容可包含帳號、登入類型、來源網路位址及 Logon ID 等欄位。
**偵查用途：**可用來確認特定帳號是否在案發時段登入，以及登入方式是否符合使用者平常行為。例如，案發期間出現來源 IP 異常的網路登入，或非值勤時段出現互動式登入，可進一步比對 VPN、遠端桌面、門禁及其他主機紀錄。Logon ID 也可用來連結同一登入工作階段的其他安全事件。
**判讀注意：**成功登入只表示該帳號建立了登入工作階段，不足以單獨證明實際操作者身分；帳號可能遭冒用，來源位址也須配合網路環境判讀。
二、System 記錄：Event ID 7045
**意義：**Service Control Manager 記錄系統安裝了新的服務。事件內容通常包含服務名稱、執行檔路徑、服務型態、啟動方式及執行帳號。