113 警察特考三等 警察資訊管理人員 電腦犯罪偵查 考古題詳解

核心觀念

本題考查資安鐵三角 CIA triad，以及 SQL 注入的攻擊原理、防範方式。CIA 是評估資訊或系統遭受攻擊後影響的三項核心屬性：

• 機密性（Confidentiality）：資訊僅能由經授權的對象存取，避免未授權的揭露。
• 完整性（Integrity）：資訊及系統資料正確、完整，且未遭未授權的竄改或破壞。
• 可用性（Availability）：經授權的使用者在需要時，能及時使用資訊、系統或服務。

CIA 是分析影響的架構；同一種攻擊可能同時影響一項以上的屬性，實際衝擊依攻擊者取得的權限、資料庫權限與攻擊結果而定。

解題方法：以 CIA 分析 SQL 注入的衝擊

先說明 CIA 三項定義，再將 SQL 注入可能造成的資料外洩、資料竄改或服務中斷，分別對應到機密性、完整性及可用性。最後說明注入點如何產生，以及從程式碼、資料庫權限與系統維運等層面防範。

SQL 注入對 CIA 的影響

SQL 注入最直接的風險通常是資料遭未授權讀取；若攻擊者能執行資料異動或高負載操作，也會進一步損害完整性與可用性。

SQL 注入攻擊原理

SQL 注入是指應用程式將使用者輸入直接拼接進 SQL 指令，卻未以安全方式處理輸入，導致輸入內容被資料庫當成 SQL 語法執行。攻擊者藉此改變原查詢的條件或結構，使資料庫執行非預期操作。

例如，程式以字串串接方式組成登入查詢：

SELECT * FROM users
WHERE username = '[使用者輸入]' AND password = '[使用者輸入]';

核心觀念

本題考查勒索軟體的攻擊流程、檔案加密方式，以及資安事件的數位鑑識與調查方法。答題時應把技術原理與偵查工作串起來：先說明攻擊者如何入侵並控制環境，再說明檔案如何遭加密，最後交代如何保存證據、重建攻擊過程、分析惡意程式並確認損害範圍。

勒索軟體（ransomware）是一種以勒索為目的的惡意程式，常透過加密檔案、竊取資料，或同時採取兩者，迫使受害者支付贖金。加密型勒索軟體會使受害者無法使用檔案；資料外洩型勒索則以公開或出售遭竊資料相威脅。攻擊者不保證付款後一定提供有效解密工具，因此付款不等於能恢復資料或消除外洩風險。

本題未涉及特定法條或計算公式，重點在攻擊機制與事件鑑識。

解題方法

依「攻擊流程—加密技術—偵查分析」三層作答。攻擊流程說明惡意程式如何進入並擴散；加密技術說明攻擊者如何在效率與金鑰保密之間取得平衡；偵查分析則依數位證據處理順序，保存現場、確認入侵途徑、分析程式與金鑰線索，並評估影響及復原方式。

一、勒索軟體攻擊原理

1. 初始入侵：常見途徑包括釣魚郵件附件或連結、惡意下載、弱密碼或遭竊帳密、未修補的網際網路服務，以及遠端桌面（RDP）暴力破解或憑證濫用。
2. 執行與建立據點：惡意程式在端點或伺服器執行後，可能建立排程工作、服務或其他持續性機制，以便重新啟動後繼續活動。
3. 權限提升與橫向移動：攻擊者竊取憑證、濫用管理工具或利用系統弱點，取得較高權限並移往其他主機、伺服器或網域控制站。
4. 蒐集與外傳資料：部分攻擊者會先尋找重要資料並外傳，之後以公開或販售資料作為額外威脅，形成「雙重勒索」。
5. 破壞備份與加密檔案：攻擊者可能先刪除陰影複製、停用備份服務或破壞線上備份，再加密本機磁碟、網路分享資料夾及可存取的伺服器檔案。
6. 勒索與施壓：留下勒索訊息，要求以虛擬貨幣支付贖金，並提供聯絡或付款方式、期限及資料外洩威脅。

勒索軟體的危害不只在檔案被鎖住，也包括營運中斷、資料外洩、備份受損、復原成本增加及後續再次入侵風險。

二、檔案加密原理與技術

1. 混合式加密

常見勒索軟體採用對稱式與非對稱式加密的混合設計：

• 對稱式加密：每個受害檔案或每次感染使用隨機產生的對稱金鑰加密，例如 AES。加密與解密使用同一把金鑰，運算效率高，適合處理大量檔案。
• 非對稱式加密：對稱金鑰再以攻擊者控制的公鑰加密。公鑰可放在惡意程式中供加密使用，對應的私鑰則由攻擊者保管。

概念上，若檔案為 $F$、隨機對稱金鑰為 $K$、攻擊者公鑰為 $PK$，則：

其中 $C$ 為加密後的檔案，$W$ 為被公鑰加密後的對稱金鑰。受害者若無法取得相應私鑰，通常無法從 $W$ 還原 $K$，也就無法解密檔案。

此設計兼具效率與金鑰保護：大量資料由快速的對稱式加密處理，而攻擊者的非對稱私鑰不必存放在受害端。若攻擊者使用實作錯誤、重複金鑰或留下金鑰資料，鑑識或解密工具便有機會找到弱點；但不能僅憑副檔名或勒索訊息推定可解密。

2. 加密與檔案處理方式

惡意程式通常會掃描指定磁碟、目錄與網路分享，依副檔名或檔案內容篩選目標，避開作業系統正常運作所需檔案，並可能修改檔名或附加特定副檔名、寫入勒索訊息。

依程式設計及檔案大小，惡意程式可能完整加密檔案，也可能只加密檔案部分區塊，以縮短攻擊時間。受害檔案亦可能遭覆寫、重新命名或刪除；即使檔案仍存在，也不代表原始內容能直接復原。

核心觀念

公開情資（OSINT，Open Source Intelligence）是指從任何合法、公開或可向公眾取得的來源，蒐集、查證、分析並整合資訊，以回答偵查問題、形成可供行動的情報。來源可包括新聞與政府公開資料、社群媒體、論壇、網站及網域資料、公開技術報告、商業資料庫等。

OSINT 不等於單純「上網搜尋」：原始公開資料經過交叉比對、脈絡分析與關聯整理後，才成為有助於偵查判斷的情資。它可協助發現線索、建立關聯或保存公開資訊，但不能單獨取代依法調取的非公開資料，也不能因資訊出現在網路上，就直接認定為真實或可作為定罪證據。

解題方法

題目要求說明定義並舉出兩項應用，因此可依「公開來源 → 分析方法 → 偵查助益」逐一說明。案例應呈現 OSINT 如何提供線索，以及線索如何協助後續依法蒐證。

公開情資應用案例

案例一：追查網路詐欺或釣魚網站的營運者

偵查人員可查找公開的網域註冊與 DNS 資訊、網站歷史紀錄、公開憑證資料、社群帳號、論壇貼文及相關惡意程式分析報告，再比對網域、電子郵件、帳號名稱、伺服器位址或程式碼特徵是否重複出現。

若不同釣魚網站共用相同的聯絡信箱、註冊模式或技術特徵，便可推導它們可能由同一集團經營，進而找出相關網站、帳號或可能的嫌疑人線索。

核心觀念

惡意軟體（malware）是指未經授權而設計、散布或執行，意圖破壞、干擾、監控、竊取資料或取得系統控制權的程式或程式碼。作答時要分清兩個面向：

• 類型：惡意軟體具備什麼功能或行為，例如加密勒索、竊取資料或遠端控制。
• 傳播方式：惡意程式如何進入受害系統，或如何從一部設備擴散到其他設備。

不同類型可能使用相同的傳播方式；同一惡意程式也可能兼具多種功能。

解題方法

先依「功能與行為」整理惡意軟體類型，再依「感染或擴散途徑」說明傳播方式。每一項搭配具體例子，並點出其典型特徵。題目是申論題，沒有選項；重點在分類清楚、例子貼合，避免把惡意軟體類型與傳播途徑混為一談。本題不涉及特定法條。

惡意軟體類型

1. 病毒（Virus） 病毒會附著於合法檔案或程式，通常須由使用者執行受感染檔案才會啟動，並感染其他檔案。例如，使用者開啟受感染的文件後，病毒將自身複製到其他文件或可執行檔。

2. 蠕蟲（Worm） 蠕蟲能自行複製與傳播，不必附著在宿主檔案上，常藉由網路漏洞在多台設備間擴散。例如，蠕蟲掃描內網設備並利用未修補的服務漏洞感染其他主機。

3. 木馬程式（Trojan horse） 木馬偽裝成正常或有用的軟體，誘使使用者安裝或執行；它本身通常不會像病毒或蠕蟲那樣自行複製。常見目的包括開啟後門、竊取資料或下載其他惡意程式。例如，假冒免費工具的程式安裝後，暗中替攻擊者建立遠端存取通道。

4. 勒索軟體（Ransomware） 勒索軟體會加密檔案或鎖定系統，要求受害者支付贖金；部分攻擊也會先竊取資料，再以公開資料相威脅。例如，員工開啟釣魚郵件中的惡意附件後，檔案遭加密並出現勒索訊息。

5. 間諜軟體與鍵盤側錄程式（Spyware／Keylogger） 這類程式會在使用者不知情時蒐集活動紀錄、帳密或其他敏感資料。例如，鍵盤側錄程式記錄登入網路銀行時輸入的帳號與密碼，再將資料傳回攻擊者。

6. Rootkit 與後門程式（Backdoor） Rootkit 著重於隱藏惡意程式或攻擊者活動，並可能協助維持系統中的高權限；後門則提供繞過正常驗證的存取管道。例如，攻擊者植入後門後，可在日後遠端重新連入遭入侵主機。Rootkit 的重點是隱匿與維持控制，並非特定傳播方式。

7. 機器人程式（Bot）與殭屍網路（Botnet） Bot 是受攻擊者遠端控制的設備；