115 警察特考三等 警察資訊管理人員類別 電腦犯罪偵查 考古題詳解

核心觀念

本題分成兩部分：第一部分從網路流量中辨識 DDoS 的異常型態；第二部分依證據的易失程度，規劃受駭 IoT 設備的現場蒐證順序。

DDoS 是多個來源對單一或少數目標集中發送大量流量，耗盡頻寬、連線、運算或應用程式資源，造成服務中斷。判斷時應比較攻擊期間與正常基準流量的變化，並綜合流量總量、流量分布與協定行為。

揮發性證據則是會因時間經過、設備關機或操作而消失或改變的資料，例如連線狀態、登入工作階段、記憶體內容與執行中程序。蒐證須及時進行、記錄操作並維持證據鏈。本題不涉及特定法條，無須援引法規。

解題方法

（一）DDoS 的三種流量特性

可從「流量量級、流量分布、封包與協定行為」三個面向作答：

1. 流量量級或速率突然升高 單位時間內的封包數（PPS）、位元速率（bps）、連線或請求數大幅超出平常基準，可能伴隨網路頻寬或伺服器資源快速耗用。這是洪水型攻擊常見的指標。

2. 多來源集中攻擊同一目標 來源 IP 數量增加，流量卻集中到同一受害 IP、服務埠或網路服務，形成「多對一」的分布。若來源位址遭偽冒，來源分布也可能呈現異常；可觀察來源位址、目的位址、埠號等欄位的分布或熵值變化。

3. 封包或協定行為異常 特定協定或封包型態的比例突然升高，例如大量 TCP SYN、UDP 或 ICMP 封包，或短時間出現大量未完成交握、短命連線、重複請求。應將其與正常協定比例及服務行為比較。

以上特性須結合判讀：流量暴增也可能是合法尖峰；只看來源 IP 數量，亦難以涵蓋應用層攻擊。

（二）揮發性證據的現場蒐證策略

1. 先記錄現場狀態，避免不必要操作 拍攝設備、螢幕、指示燈、連接線與周邊網路設備；記下設備位置、電源及網路連接狀態、日期時間、執行中的畫面，以及操作人員與操作時間。避免重開機、關機、重設或任意拔除電源，因為這些動作可能使 RAM、連線與程序資訊消失。

核心觀念

條件式存取是依據「使用者、裝置、資源與當下情境」評估存取風險，再決定允許、拒絕或要求額外驗證的存取控制方式。它可採屬性式存取控制（ABAC）思維，將主體、資源、動作及環境屬性套用到政策規則。

零信任的重點是每次存取都要驗證與授權，不因使用者已登入、位於機關內網或使用機關設備，就自動信任。IAM 存取日誌因此不只用來確認帳密是否成功，也能協助還原登入脈絡、存取行為與後續操作。

（一）可用於 IAM 決策的環境因素

以下列舉三種：

1. 存取位置與網路來源：來源 IP 位址、地理位置、所屬網路或是否經由 VPN。若同一帳號在短時間內從相距甚遠的地點登入，或從未使用過的網路登入，便可提高風險評分。
2. 存取時間與時間型態：登入時間、星期、是否為非上班時段，以及與該帳號平常活動時間是否相符。
3. 裝置與端點狀態：裝置識別碼、作業系統、瀏覽器、是否為已註冊或受管理裝置，以及端點是否符合安全政策，例如已更新、已啟用磁碟加密或通過端點安全檢查。

實務上也可納入使用者角色、所要求的雲端資源、操作敏感度、登入風險、認證強度與近期行為等屬性。IAM 可依政策設定風險門檻，例如低風險允許存取、中風險要求多因素驗證、高風險拒絕或隔離工作階段。

（二）從 IAM 存取日誌提取數位證據

1. 確認資料來源並保存原始日誌

先釐清機關 IAM、雲端服務、單一登入（SSO）、多因素驗證（MFA）、VPN、端點管理、雲端稽核及網路設備等日誌來源，並確認各系統的保留期限與時區設定。立即保全事件時段前後的日誌，避免輪替、刪除或覆寫。

取得資料時應記錄來源系統、查詢條件、匯出時間、執行人員與取得方式。保留原始匯出檔，計算雜湊值（如 SHA-256）以檢查完整性；後續分析使用工作副本，並記錄證據移交與保管情形。這些步驟可建立證據來源與完整性的可追溯性。

2. 萃取關鍵欄位並建立時間軸

從 IAM 存取日誌及相關來源擷取並比對下列資料：

• 身分與認證：帳號、使用者或服務主體識別碼、登入成功或失敗、認證方式、MFA 要求與結果、工作階段或權杖識別碼。
• 來源與裝置：來源 IP、地理位置、裝置識別碼、作業系統、瀏覽器或用戶端類型、裝置合規狀態。
• 存取與操作：存取的雲端服務、資源、操作名稱、權限變更、資料讀取或下載量、API 呼叫及其結果。
• 時間與政策：事件時間戳記、時區、條件式存取政策名稱、風險判定、允許或拒絕結果，以及是否觸發額外驗證。

核心觀念

本題考查兩段金流的辨識：第一段是被害人將款項匯入虛擬帳號；第二段是第三方支付業者或收款商店將款項結算、轉出。偵查時須把「帳號代表誰收款」與「款項最後進入哪個實體帳戶」分開查證，並以交易時間、金額及交易識別碼串接不同業者的紀錄。

第三方支付服務業者依《提供第三方支付服務之事業或人員防制洗錢及打擊資恐辦法》辦理客戶審查、保存客戶及交易紀錄；紀錄應足以重建個別交易，並依規定保存。以下法規說明以命題當年（民國 115 年）法規為準。

解題方法

（一）虛擬帳號與實體銀行帳戶的差異

虛擬帳號的外觀可能與一般銀行帳號相同，但不能只憑帳號格式判定它就是獨立的個人存款帳戶。它可能是銀行提供給企業或支付業者的收款識別碼，也可能由支付業者用來辨識商店或單筆交易。實際性質與資金流向，應以發號機構、帳務紀錄及清算資料確認。

（二）追查第三方支付平台內的特約商店及實體資金流向

偵查應同時追查「平台紀錄」與「銀行結算紀錄」，以交易資料逐層勾稽。

1. 先保存並界定交易資料 記錄被害人匯款時間、金額新臺幣 200 萬元、匯出帳戶、收款虛擬帳號、收款銀行及相關交易序號。儘速通知相關銀行與支付業者保存資料，避免紀錄遭覆寫或帳款繼續移轉；並依刑事訴訟及相關法令程序，調取所需資料及採取適當保全措施。

2. 向虛擬帳號發號機構查明帳號歸屬 調取虛擬帳號申請、編配及對照資料，確認該號碼所屬業者、商店或訂單，以及款項實際入帳的銀行帳戶。若虛擬帳號由第三方支付業者申請，應續查該業者的代收或清算帳戶，不能將虛擬帳號登記名稱直接當成實際收款人。

3. 向第三方支付業者調取完整商店及交易紀錄 以虛擬帳號、金額、時間及交易序號為索引，調取下列資料：

• 特約商店申請與審核資料、契約、負責人及實質受益人資料。
• 商店代號、商店後台帳號及其異動紀錄。
• 交易訂單、付款結果、退款或取消紀錄、手續費及交易對帳資料。

核心觀念

本題考查兩個環節：一是 SQL 注入的成因與防範；二是受理報案後，如何從網頁伺服器存取紀錄辨識可疑來源 IP 與攻擊請求。核心原則是：把使用者輸入當成資料處理，不讓它改變 SQL 語句的結構；分析紀錄時，則依時間、來源、請求內容與回應情形交叉篩選。

本題未要求適用特定法條，重點在技術原理與數位證據分析。

解題方法

（一）SQL 注入原理與防範

**基本原理：**網站若將使用者輸入直接串接進 SQL 指令，輸入內容就可能被資料庫當成 SQL 語法執行，改變原本查詢的條件或用途。例如，登入欄位原本只應提供帳號或密碼；若輸入值含有引號、邏輯運算式或註解符號，且程式未妥善處理，便可能使查詢條件遭到操控，進而繞過驗證、讀取或修改資料，甚至刪除資料。

兩項主要防範作為：

1. **使用參數化查詢（Prepared Statements）：**先固定 SQL 語句結構，再將使用者輸入以參數傳入。資料庫將輸入視為資料，而非 SQL 語法，能有效阻止輸入內容改變查詢結構。
2. **進行輸入驗證與最小權限控管：**依欄位用途設定資料型態、長度及允許格式，拒絕不符合規則的輸入；資料庫帳號則僅授予完成業務所需的最低權限，降低漏洞遭利用時的損害範圍。

輸入驗證是縱深防禦的一環，不能取代參數化查詢。單靠過濾特定字元或關鍵字，容易因編碼、大小寫或語法變形而失效。

（二）篩選存取紀錄的步驟

1. **保全紀錄並確認範圍：**先保存原始存取紀錄，記錄檔案來源、取得時間及保管情形，並確認伺服器時區與時間設定。依通報的外洩或異常時間界定調查區間，必要時涵蓋事件前後的紀錄。
2. **依可疑路徑與參數初篩：**鎖定遭攻擊的申辦頁面、登入頁面或資料查詢端點，搜尋請求網址、查詢字串及 POST 內容中與 SQL 操作相關的特徵，例如引號、UNION、SELECT、OR、註解符號，以及經 URL 編碼或大小寫變形的字串。