數位鑑識執法　申論題歷屆試題與參考架構

數位證據具有易修改性、無限複製性及原始作者不易確定等特性。請論述並舉例說明「資安鑑識 CIAC 基本原則（適法性、完整性、準確性、一致性）」之具體內涵？（15 分）並解釋鑑識人員在處理行動裝置時，應如何落實「不變更數位證據原則」以確保其法律效力？（10 分）

（25 分）

國 際 標 準 ISO/IEC 27050 系 列 （ Information Technology—Electronic Discovery）係針對「電子發現（Electronic Discovery, eDiscovery）」所制定的標準。請說明該標準如何定義「電子儲存資訊（Electronically Stored Information）」的生命週期？（15 分）並請詳述其中「保存（Preservation）」階段如何透過「法律保留通知（Legal Hold） 」防止證據遭到惡意破壞？（10 分）

（25 分）

依據「打詐 2.0」之後端快速反應機制，在面對詐騙廣告刊登不逾 2 日的高度時效性下，請從電腦犯罪現場偵查角度，論述應如何執行主動式防禦並優先保全揮發性證據（Volatile Evidence）？（10 分）其與 ISO 27035系列資訊安全事件管理（Information Security Incident Management）國際標準的管理流程之關聯為何？（15 分）

（25 分）

結合 ISO/IEC 27043 資安事件調查原則與流程與 ISO/IEC 27037 數位證據識別、收集、獲取與保存指南，請從數位鑑識執法角度，論述數位證據處理程序中的「監管鏈（Chain of Custody）」應如何落實？（15 分）在調查勒索軟體攻擊事件時，如何透過雜湊值（Hash）比對與日誌記錄，確保從「初始化」到「報告」階段的證物不被二次污染？（10 分）

（25 分）

生成式人工智慧（Generative Artificial Intelligence, Gen AI）技術，已被廣泛應用於製作擬真度極高的虛假資料，同時也被惡意利用來製造偽造證據。面對這種情況，如何有效鑑別與處理偽證據，成為數位鑑識實務中急需解決的重要課題。請說明生成式 AI 對數位鑑識所可能產生之挑戰。(7 分)請說明數位鑑識人員可利用那些技術、工具以及如何運用這些技術、工具與程序來辨識、處理及證明偽造內容的存在。(18 分)

（25 分）

在數位鑑識調查中，MACE 時間是檔案系統提供的重要時間戳記，可協助重建使用者行為與檔案操作歷程。假設鑑識人員從一位涉嫌內部洩密的員工電腦中，提取出兩份檔案。一份名為 ReportA.docx。另一份名為ReportB.docx。使用鑑識工具觀察到 A、B 檔案的 MACE 時間分別如表A 與表 B：表 A：屬性 時間M 2024/12/15 10:22:41 A 2025/01/04 09:03:10 C 2024/12/01 08:45:00 E 2025/01/03 23:58:02表 B：屬性 時間M 2023/11/01 14:05:00 A 2023/12/01 10:00:00 C 2024/01/15 09:30:00 E 2024/01/15 09:30:00請回答下列問題：請解釋檔案的 MACE 四個時間戳記分別代表的意義，並說明那一項最容易因系統搬移、下載或複製等操作而改變。（8 分）根據表 A 與表 B 中的時間資訊，請分別推論這兩份檔案的完整歷程，例如：是否有被複製、打開瀏覽或修改的跡象？並請具體說明理由。（17 分）

（25 分）

假設你接到某公司要求調查員工涉嫌內部資料外洩的案件時，鑑識流程的第一步通常會是進行「案件接收與初步分析」。這部分的細項包含了⑴與該公司聯繫確認案件範圍與關鍵目標（特定員工、主機、檔案類型等）⑵了解事件時間點、通報來源與可疑行為。進行完第一步後，請詳細說明接下來所需的步驟，也就是後續你將採取的鑑識調查流程與各細項說明。(25 分)

（25 分）

在數位鑑識調查結束後，鑑識人員需撰寫鑑識報告作為最終成果，此報告不僅用於向委託單位呈交結果，也可能作為法庭證據使用。請說明一份具備法庭可採性的數位鑑識報告應包含那些「關鍵內容與結構」？(25 分)

（25 分）

ISO/IEC 27037 為一國際共通標準，該標準所提出的數位證據處理程序分成四個階段。請說明此四個階段主要的工作內容。 （25 分）

（25 分）

手機取證的方式有分為邏輯提取（Logical Extraction）、檔案系統提取（File System Extraction）以及實體提取（Physical Extraction），請說明三種提取方式差異。而這三種提取方式有一種目前已知道在新型的手機上實務上不可行，請說明其原因。（25 分）

（25 分）

美國國家標準技術局（NIST）根據行動裝置鑑識提出其標準流程，請說明 NIST 提出的標準流程，根據這些流程列出一項這流程當中可能會用到的軟硬體工具。（25 分）

（25 分）

Windows 的 Event Log 為數位鑑識中尋找證據的重要來源之一，請舉出三種你所知道的 Event Log 以及其 Event ID，並請說明該 Log 代表的意義以及如何用來偵查可能的犯罪行為。（25 分）

（25 分）

請以國內學者所提出數位證據鑑識標準程序（Digital Evidence Forensics Standard Operating Procedure, DEFSOP）四大階段（原理概念階段、準備階段、操作階段、報告階段）為基礎及參考國際資安鑑識相關標準（如ISO/IEC 27037/27041/27042/27043 等） ，如何建立一套完整行動鑑識標準作業程序（DEFSOP for Mobile Forensics, DEFSOP-MF）？並請舉例及繪圖表說明之。（25 分）

（25 分）

請說明電腦鑑識（Computer Forensics）、軟體鑑識（Software Forensics）、資料鑑識（Data Forensics）、網路鑑識（Network Forensics）、行動鑑識（Mobile Forensics）、雲端鑑識（Cloud Forensics）及資安鑑識（Cyber Forensics）的異同處（含定義、原理、功能及應用等）。並請舉例及繪圖表說明之。（25 分）

（25 分）

近年來全球發生勒索病毒（Ransomware）攻擊事件層出不窮，對各行各業的政府部門及企業組織（營運持續性）攻擊犯罪問題帶來了重大威脅。請問透過資安鑑識及系統性的資安風險管理，並結合 NIST Cybersecurity Framework（如 ISO 27110：2021）的 IPDRR 五大功能應用（識別（Identify）、保護（Protect）、偵測（Detect）、應變（Respond）、復原（Recover）），如何有效地降低勒索病毒及其他資安事件對企業營運的影響，並有能力偵辦該網路犯罪事件，進行事前相關的風險評估、防護措施建立、事中應變策略制定，以及事後的修復與檢討，以提高其營運的持續性與恢復力？並請舉例及繪圖表說明之。（25 分）

（25 分）

臺灣近年爆發多起重大個資外洩事件，且是從公部門到民間企業私部門，甚至在海外遭販賣；另根據內政部警政署統計，2022-2023 年（網路）詐欺案，也創下 10 年新高紀錄，專家學者指出，很大一部分是來自於個資外洩事故。請從資安鑑識角色（含事前預警系統+事中反應系統+事後復原系統等），說明如何有效偵查及防制上述個資外洩犯罪事故，並提高其數位證據能力及符合資安鑑識基本原則（CIAC Principles）？請用相關國際資安鑑識標準（如 DEFSOP/ISO 27042/27050 等），並請舉例及繪圖表說明之。 （25 分） （CIAC Principle 是指 Consistent, Integrity, Accuracy and Compliance）（ISO/IEC 27050:2018-2021 — Information Technology — Security Techniques — Electronic Discovery）

（25 分）

請說明依循 ISO/IEC 27037 標準來進行數位鑑識的目的為何？（30 分）

（30 分）

請定義在數位鑑識執行過程中「再現性或可重現性（Reproducibility）」為何？並請舉例說明之。（20 分）

（20 分）

試詳述雜湊函數（HF：Hash Function）與訊息鑑別碼（MAC：Message Authentication Code）之異同。（20 分）

（20 分）

請試述下列數位證據相關名詞之意涵。（每小題 5 分，共 15 分）

（一） DEFR（Digital Evidence First Responder）

（二） DES（Digital Evidence Specialist）

（三） Digital Forensic Analyst

（15 分）

請列出 ISO/IEC 27037 中規範「數位證據處理」的三個基本需求為何？（15 分）

（15 分）

反鑑識（anti-forensic）定義為何？（7 分）反鑑識有四個目的為何？（8 分）反鑑識手法有那五種？（10 分）

（25 分）

何謂惡意程式（malware）的定義？（7 分）惡意程式鑑識分析分成那兩種？（10 分）請列舉四種惡意程式鑑識工具。（8 分）

（25 分）

如何調查 Google 雲端硬碟服務，請說明可以使用那些數位鑑識工具？（13 分）對映到那些數位跡證？（12 分）

（25 分）

請用四向連接理論（4-way linkage theory）和羅卡交換原理（locard’s exchange principle），先繪示意圖（11 分），再配合圖形說明證據對於破案的功用。 （14 分）

（25 分）

在行動通訊普及的今天，可能會有人利用手機等行動通訊設備在社群媒體（如在 LINE）上進行犯罪行為。

（一）請依攻擊方式對社群媒體犯罪作分類，並舉例說明之。（5 分）

（二）請問偵查社群媒體犯罪的證據，必須從那裡取得？蒐證的範圍又應該包括那些？（10 分）

（三）何謂社群媒體快照（Social Snapshot）的數位取證方法？採用這種資料收集方法的理由為何？（10 分）

（25 分）

（一）一個良好的數位鑑識軟體應該具有那些特色？（10 分）

（二）鑑識軟體 FTK 的主要工具有那些？請說明其功用。（15 分）

（25 分）

（一）要作網路即時資料的鑑識就必須進行封包分析。請問鑑識時應檢視那些重點？（10 分）

（二）在網路攻擊事件中，可能有某機構（如銀行）電腦或行動通訊設備被植入惡意程式，作為竊取機敏資料的手段。請說明如何佈署蒐證環境以便即時分析網路封包來偵查此類攻擊事件；並繪圖說明此類攻擊行為的即時資料分析流程。（15 分）

（25 分）

（一）為什麼網路位址在數位鑑識中是很重要的衡量因素？（5 分）

（二）網際網路的位址（IP Address）大致可分為那幾類？對每一類在數位取證時應注意那些要點？（20 分）

（25 分）

國際上可做為法院認可之電腦證據，其基本處理之四項指導原則為何？（25 分）

（25 分）

面對日新月異的電腦犯罪案件，搜索票之申請有那些注意事項？（25 分）

（25 分）

在數位證據扣押回實驗室後，如何做有系統化的鑑識？有那些基本的處理分析步驟，試說明之。（25 分）

（25 分）

試述秘密金鑰（對稱式）密碼系統與公開金鑰（非對稱式）密碼系統。（25 分）

（25 分）

請說明下列數位證據相關名詞之意涵：（每小題 5 分，共 25 分）

（一）Locard’s exchange principle

（二）Bit stream copy

（三）Write blocking device（Write blocker）

（四）File slack space

（五）Chain of custody

（25 分）

有關於數位鑑識中的數位證據識別與保存，請問：

（一）何謂「易揮發證據（Volatile evidence）」？請以最常見的 Windows 作業系統為例，列舉易揮發證據並說明其在犯罪偵查上的可能用途。 （15 分）

（二）根據我國政府機關（構）資安事件數位證據保全標準作業程序之規定，於數據封緘作業時有那些程序需遵守？（10 分）

（25 分）

數位鑑識工作中包括現場重建（reconstruction of crime）步驟，請問：

（一）此步驟的內容與目的為何？（10 分）

（二）現場重建後的報告中，通常會做 Timeline analysis，Relational analysis 以及 Functional analysis 三種分析報告，請舉例說明此三份分析報告的意涵。 （15 分）

（25 分）

假設在犯罪現場查扣一台筆電與一個 USB 介面之外接式硬碟，初步檢查發現此外接式硬碟內容含有犯罪證據，而筆電內沒有犯罪證據。因查扣當時該硬碟並未連接筆電，所以某甲雖承認該筆電是他所有，但推說硬碟是行蹤不明的某乙所有，且該硬碟從未連上筆電，以此主張他和犯罪事件無關。面對某甲陳述，請問你會採用那些數位鑑識步驟來證明某甲所述為非？（假設筆電使用 Windows 作業系統。回答本題時請說明該擷取那些證據，使用那些工具以及採取那些步驟。） （25 分）

（25 分）

雲端計算架構已經普及被使用，請回答下列問題：

（一）若犯罪調查涉及雲端服務時，為何傳統的電腦鑑識無法完全適用於雲端環境，主要的區別何在？（10 分）

（二）請以繪製雲端鑑識中資料（證據）蒐集流程的示意圖，並作必要之說明。（15 分）

（25 分）

智慧型手機已被一般人普遍使用，但也成為不法者從事犯行的工具。

（一）盡量不破壞原證物是鑑識的重要原則。如果手機的 SIM 卡被鎖，請問在不破壞原手機的原則下，如何進入系統蒐證？（10 分）

（二）請問鑑識人員應該可以在該行動裝置上蒐集到那些重要證據資料？（15 分）（註：除一般犯罪偵查相關的或有用的資料之外，行動裝置特有的證據務請列出。）

（25 分）

（一）保全數位證據往往必須製作映像檔，請敘述如何使用 FTK 製作數位證據之映像檔？（15 分）

（二）根據我國政府機關（構）資安事件數位證據保全標準作業程序之規定，於製作映像檔之後應作那些必要的紀錄，以維護證據效力？（10 分）

（25 分）

（一）何謂「物聯網」（Internet of Things, IOT）？（5 分）

（二）為何物聯網鑑識是一個重要的數位鑑識課題？（5 分）

（三）請就證據來源、證據資料型態、網路種類、調查對象等方面，比較傳統數位鑑識和物聯網鑑識之異同。（15 分）

（25 分）

ISO/IEC 27037 為一國際共通標準，提供了數位證據（Digital Evidence）處理的參考指引，請列出本指引內所包含的主要工作及說明各項工作的內容。 （25 分）

（25 分）

請說明電腦鑑識（Computer Forensics）、數位鑑識（Digital Forensics）及網路鑑識（Network/Internet Forensics）的異同處。（25 分）

（25 分）

由於數位證據的脆弱特性，請說明如何確保潛在數位證據之完整性（Integrity）、真實性（Authenticity）與證據調查是否具公信力？（25 分）

（25 分）

請按 ISO/IEC 27037 的定義，論述數位證據處理的三個基本原則（需求）。（25 分）

（25 分）

何謂數位鑑識？試申論數位鑑識在犯罪偵查工作的重要性。（25 分）

（25 分）

電腦及網路相關犯罪的偵查，於犯罪現場常須對涉嫌者的電腦設備進行活體鑑識（live forensics）。何謂活體鑑識？並申論活體鑑識的內容與重要性及進行活體鑑識須注意之事項。（25 分）

（25 分）

智慧型手機鑑識取證可分為實體取證（physical extraction）及邏輯取證（logical extraction），試分別說明實體取證及邏輯取證的內涵與功用。（25 分）

（25 分）

試以磁碟的檔案系統結構（file system structure），說明數位證據的來源及其證據價值。（25 分）

（25 分）

請試述下列數位證據相關名詞之意涵：（每小題 5 分，共 25 分）

（一） BitLocker

（二） Dynamic Link Library

（三） WinPcap

（四） MD5

（五） SQLite

（25 分）

（一）數位多媒體鑑識有兩個主要任務：防偽鑑定及來源鑑定，請說明數位音訊鑑識內容及方法。（15 分）

（二）在雲端硬碟服務鑑識方面，請以 Google Drive 為例，任舉四種操作模式下，說明會留下那些殘餘數據在用戶端設備上。（10 分）

（25 分）

（一） ISO/IEC 27037 是 ISO 國際標準組織針對數位證據識別、蒐集、擷取和保存所訂定之參考指南，目前雲端安全聯盟的事件管理與鑑識工作小組發布了「Mapping the forensic standard ISO/IEC 27037 to Cloud Computing」，請說明在數位證據處理方面，ISO/IEC 27037 如何映對到雲端鑑識。（15 分）

（二）社群網站的使用越來越普及，數位鑑識面臨了新的問題與挑戰，請以 Facebook 為例，說明社群網站數位證據的特性及鑑識的方法。（10 分）

（25 分）

（一）數位多媒體鑑識有兩個主要任務：防偽鑑定及來源鑑定，請說明數位影像鑑識內容及方法。（15 分）

（二）請任舉四種 Web proxy，並說明如何偵查 Web proxy 之數位證據。（10 分）

（25 分）

何謂數位證據之同一性（Identity）？其與證據能力及證明力有何關聯性？另數位證據之證據方法有那些？請舉例詳細說明。（25 分）

（25 分）

由於網際網路及各種通訊產業（如 Skype）的發達，使得犯罪不斷翻新；傳統電話詐欺也由於網路電話 VoIP（Voice Over Internet Protocol）的發展，使得撥打詐騙電話成本大幅降低及發生數量增加；且 VoIP 比傳統電話更難以查出犯罪源頭，請說明 VoIP 網路電話詐欺犯罪之類型、通訊管道、鑑識程序及犯罪組織結構等？且統合繪出 VoIP 網路電話詐欺犯罪流程及偵查鑑識流程？並說明如何運用犯罪偵查理 論結合到 VoIP 網路電話詐欺犯罪偵辦機制。（25 分）

（25 分）

「易揮發證據」是指當主機重新啟動時或正常使用下將會消失/被覆蓋/改變之資料，如記憶體載入內容或網路狀態等資訊即屬此類。請說明於 Windows 中之「確認系統時間」、「目前運行中程序」、「目前開啟檔案」、「與何主機（Host or IP address）相關」、「目前登入使用者」及「目前開啟連結與網路狀態」等項目為何為「易揮發證據」？（30 分）

（30 分）

請按照 ISO/IEC 27037 的定義，列出處理數位證據（Digital Evidence）的 4 個主要步驟，並請略為說明之。（20 分）

（20 分）