電腦犯罪偵查　申論題歷屆試題與參考架構

犯罪集團利用被植入木馬的物聯網設備，組成殭屍網路，對某機構之資訊系統發動分散式阻斷服務攻擊。從網路流量分析角度，列舉三種偵測分散式阻斷服務攻擊之流量特性。對受駭物聯網設備進行數位取證時，揮發性證據應採取那些現場蒐證策略，以便保存易揮發性證據？（25 分）

（25 分）

為落實零信任，某政府機關將資訊系統遷移至雲端，採用條件式存取（conditional access / attribute-based access control）的 IAM 機制，存取雲端服務。請列舉三種可用於 IAM 決策的環境因素（contextual factors）。某日該機構發生資安事件需要還原現場時，若嫌犯宣稱其帳密遭盜用，警察如何從 IAM 存取日誌中提取數位證據，以便判斷該行為是人為操作或異常自動化行為？（25 分）

（25 分）

某詐騙集團利用虛擬帳號做為收取被害人匯款之管道。被害人匯款新臺幣 200 萬元至該集團提供之虛擬帳號後，該款項隨即被轉出至多個人頭帳戶。請說明虛擬帳號與實體銀行帳戶的差異。若執法之偵查人員發現贓款流入第三方支付平台，應如何執行數位足跡追蹤，查找出背後真正的特約商店身分及實體資金流向？（25 分）

（25 分）

某機關線上申辦系統遭 SQL 注入攻擊，導致大量個資外洩。經查駭客可能利用網頁中輸入欄位框的漏洞，下達惡意指令，竊取資料庫內容。請說明 SQL 注入之基本原理，並列舉兩項網頁開發者應採取之防範作為。警察在受理報案後，如何篩選網頁伺服器之存取紀錄，找出駭客攻擊來源 IP 與惡意請求？（25 分）

（25 分）

請論述及比較網路犯罪偵查與傳統犯罪偵查在偵查目標、證據形式和方法上的主要異同。（10 分）並請具體說明傳統偵查方法（如訪談、情資蒐集、臥底）如何在網路犯罪偵查的背景下進行應用和調整？（15 分）

（25 分）

請說明犯罪偵查及知識工程化的基本原則及偵查技術有那些？（10 分）另欲使犯罪偵查工作走向知識化、科學化、系統化及合理化的道路，應具備下列五大階段（鑑定化階段、概念化階段、正規化階段、實作及測試階段、證實階段） ，請詳細舉例說明（如第一銀行 ATM 盜領案），並繪圖說明之。（15 分）

（25 分）

數位鑑識在「重建數位犯罪事件的發生過程」或「還原數位犯罪事實」方面扮演核心角色。請詳細說明時間軸分析（Timeline Analysis）、關聯分析（Relational analysis）和功能分析（Functional analysis）這三種特殊技術如何通過偵查及分析數位證據，幫助科技偵查（刑事）人員拼湊出犯罪圖景，並回答案件的「人、事、時、地、物、原因」等要素。 （25 分）

（25 分）

請說明依循 ISO/IEC 27043：2015 國際標準來進行資安犯罪事件偵查程序的四大階段程序（包含準備程序、開始程序、獲取程序、調查程序）為何？並請舉例及繪圖表說明之。（25 分）（ISO/IEC 27043：2015 Incident Investigation Principles and Processes 之國際資安事件偵查原則與程序標準）

（25 分）

為評估系統遭受攻擊所受到的影響，多採用 CIA triad（資安鐵三角）方式評估受攻擊所遭受的衝擊程度。請說明何謂 CIA？若網站伺服器遭受SQL 注入（SQL injection）攻擊，試以 CIA 說明其遭受到的影響，並說明 SQL 注入攻擊之原理，以及如何防範此類之攻擊。 （25 分）

（25 分）

許多組織與企業遭受勒索軟體攻擊，被要求支付大量贖金。請說明勒索軟體攻擊原理，並說明其加密檔案之原理與技術、和如何偵查與分析此類攻擊事件。（25 分）

（25 分）

警察機關執行資訊數位化行之有年，因此累積大量犯罪資料；另一方面，在電腦犯罪案件蒐證中也收集到大量的數位證據。警調單位為追查與蒐集 電 腦 犯 罪 相關 資 訊 ， 可 能會 利 用 公 開 情資 OSINT（ Open Source，協助偵查。請說明何謂公開情資，並舉 2 項公開情資應用Intelligence）案例，說明公開情資如何協助偵查電腦犯罪。（25 分）

（25 分）

惡意軟體分析乃偵查電腦犯罪案件之重要步驟之一，請說明惡意軟體之類型與傳播方式，並舉例說明之。（25 分）

（25 分）

請解釋何謂 MITRE ATT&CK 資安框架，並且說明此框架對偵辦電腦犯罪之幫助。（25 分）

（25 分）

請說明駭客發起分散式阻斷服務攻擊（DDoS）之流程； （10 分）DNS 放大攻擊為 DDoS 攻擊手法之一，請說明其攻擊特點以及原理。（15 分）

（25 分）

虛擬貨幣為目前常被犯罪者使用之貨幣之一，請舉例說明三種虛擬貨幣犯罪態樣並且說明虛擬貨幣查扣之流程。（25 分）

（25 分）

調查惡意程式相關案件時，可能會使用靜態分析以及動態分析的技術，請說明何謂靜態分析及動態分析？並說明這兩種分析方式的優缺點。（25 分）

（25 分）

數位資料無所不在，電腦與網路亦成為犯罪標的與工具。請說明於犯罪現場蒐證時，如何辨識數位證據以及應該注意那些事項？（25 分）

（25 分）

數位鑑識之資料分析階段，乃針對案件與解決的問題進行分析。電腦犯罪多半與網路行為相關，因此需要分析網路行為。說明如何監控與解析網路行為，並說明網路封包分析工具之應用。（25 分）

（25 分）

目前的犯罪偵查工作中，多數案件需要數位鑑識，因此需要蒐集與鑑識數位證據，請說明數位證據標的種類。此外，不同的數位證據需要使用不同的鑑識工具進行分析，請列舉與說明至少兩個數位鑑識工具。（25 分）

（25 分）

科技帶來便利性，同時也衍生許多犯罪行為，因此案件可能需要數位鑑識。請說明數位鑑識作業程序。（25 分）

（25 分）

由於國內使用網路社群媒體及通訊軟體的人數逐漸增加，不法分子也開始利用這些管道來進行犯罪行為。試問：常見的網路社群犯罪類型有那些？（5 分）網路社群犯罪的特性為何？（10 分）犯罪偵查執法人員對網路社群犯罪的犯罪偵查模式為何？（10 分）

（25 分）

隨著網際網路技術的提升，行動通信裝置尤其是智慧型手機帶來的便利性，成為有心人士犯罪工具。試問：智慧型手機所儲存的電磁紀錄與數位內容有那些？（10 分）若犯罪偵查執法人員進行犯罪偵查，擬取得某智慧型手機所使用的通訊軟體應用程式中所儲存的「過去已結束」之通訊內容數位資料，應遵循與注意那些相關法律規範？（15 分）

（25 分）

由於國內使用網路社群媒體及相關即時通訊軟體的人數逐漸增加，不法分子也開始利用這些管道來進行犯罪行為。試問：網路社群媒體資料有那些種類與其儲存方式為何？（10 分）執法人員在進行網路社群媒體相關的犯罪案件偵查應遵守與注意的相關法律規範為何？（15 分）

（25 分）

2020 年我國警方受理 2 萬多件的詐欺案，其中因網路拍賣、購物交易而遭騙的案件最多。試問：當今常見的網路交易詐欺犯罪類型為何？（5 分）執法人員因應網路交易詐欺犯罪偵查模式為何？（10 分）偵查網路交易詐騙的犯罪現場蒐證與保全該如何進行？（10 分）

（25 分）

請根據我國刑法回答下列問題：

（一）請條列說明妨害電腦使用罪之行為並註記那些屬告訴乃論。（20 分）

（二）承上題，那些行為之對象為公務機關之電腦或其相關設備時，加重其刑，又加重之程度為何？（5 分）

（25 分）

請依個人資料保護法回答下列問題：

（一）公務機關對個人資料之蒐集或處理，除法律明文規定外，應有特定目的，並符合那些可能情形之一。（6 分）

（二）公務機關對個人資料之利用，除法律明文規定外，應於執行法定職務必要範圍內為之，並與蒐集之特定目的相符。但有那些情形之一者，得為特定目的外之利用。（19 分）

（25 分）

請根據政府機關（構）資安事件數位證據保全標準作業程序，說明數位證據封緘作業。（25 分）

（25 分）

請解釋說明下列 OWASP 公告之網站安全弱點。 （每小題 5 分，共 25 分）

（一） Security Misconfiguration

（二） Cross-Site Scripting

（三） Insecure Deserialization

（四） Injection Flaws

（五） Broken Authentication

（25 分）

由於科技的進步，物聯網、穿戴式裝置已經廣泛在企業及民生使用；相應的若有犯罪情事發生，偵查也會擴及到這些設備上。

（一）請在傳統電腦犯罪偵查的基礎上，列舉至少三項物聯網物證鑑識應注意的新課題。（12 分）

（二）請在物聯網犯罪偵查的基礎上，列舉至少三項穿戴式系統物證鑑識應注意的新課題。（13 分）

（25 分）

警察機關為犯罪偵查之目的，可能會利用許多個人資料。

（一）請列舉至少五個犯罪偵查時個人資料的來源。（5 分）

（二）我國相關法令對個人資料之蒐集有何規範？（10 分）

（三）請列舉至少三種利用個人資料於犯罪偵查之應用，並作說明。（10 分）

（25 分）

在電腦犯罪偵查中，警察有時要作「記憶體鑑識」。

（一）請解釋何謂記憶體鑑識？（6 分）

（二）請說明記憶體鑑識之必要性。（6 分）

（三）與在硬碟裡的資料鑑識相比，請問記憶體鑑識之特殊性為何？（6 分）

（四）請以您所熟悉的數位鑑識工具，描述記憶體鑑識的步驟。（7 分）

（25 分）

在網路技術中，區塊鏈已被廣為重視。

（一）何謂「區塊鏈」？（5 分）

（二）區塊鏈系統的主要特性為何？（10 分）

（三）區塊鏈的主要特性如何運用於數位化證據之保全？請您勾勒如此一個數位證據保全系統之架構；必要時請繪圖說明。（10 分）

（25 分）

數位證據（Digital Evidence）之意義為何與有何特性？（5 分）如何分類並請繪圖說明。（10 分）在犯罪偵查過程中，不論是傳統犯罪或電腦網路犯罪常見用來證明待證事實之數位證據有那些？（10 分）

（25 分）

資通安全（資安）是一種風險管理的概念，需要控制可能產生的資安風險，需透過資安預防（Prevention）、資安防護（Protection）、證據保全（Preservation）與專業鑑識（Presentation）等四大構面（4P’s Model），落實以風險管理為核心的資安防禦策略，請詳細說明這四大構面內容及控制機制，並繪圖說明之。（25 分）

（25 分）

請試述下列名詞之意涵：（每小題 5 分，共 25 分）Legal Hold Ransomware Worm APT（Advanced Persistent Threat）Cybercrime Distributed Denial of Service Attack

（25 分）

何謂網路詐欺犯罪模式及偵查模式？（5 分）其常見網路詐欺型態及手法為何？（5分）又警察人員如何偵辦此網路詐欺犯罪？（5 分）另如何針對網路詐欺發展一有效整合之偵查機制，請詳細舉例說明，並繪圖之。（10 分）

（25 分）

網路犯罪偵查有別於一般傳統犯罪偵查，試問在網路犯罪偵查程序大致上可以分為幾個階段？關於網路犯罪案件偵查的特徵為何？請申論說明之。（25 分）

（25 分）

試問電腦犯罪案件偵查與數位鑑識的關係為何？是否所有的數位資料皆可以作為偵辦電腦犯罪案件的證據？請申論說明之。（25 分）

（25 分）

智慧型手機已經成為生活中不可或缺的必需品，個人的行事曆、照片、電子郵件、通訊錄、通話紀錄等都存放在小小的裝置中，形同一台小型的隨身電腦。在偵辦電腦網路犯罪案件時，若有搜索與扣押犯罪嫌疑人隨身攜帶的智慧型手機的需要，應遵守與注意那些相關法律與規範？請申論說明之。（25 分）

（25 分）

請試述下列名詞之意涵：（每小題 5 分，共 25 分）

（一）深層網路（Deep Web）

（二）網路窺探（Network Sniffing）

（三）封包（Packet）

（四）虛擬私有網路（Virtual Private Network, VPN）

（五）勒索軟體（Ransomware）

（25 分）

網路犯罪往往有跨越國家疆界的特性。請回答下列問題：

（一）何謂「跨境網路犯罪」？（8 分）

（二）跨境網路犯罪對犯罪偵查上產生那些挑戰？（8 分）

（三）請以跨境網路詐欺為例，就偵查對象、偵查手段、偵查結果和偵查結束時對案件之處理等方面，闡述跨境網路犯罪偵查必須對一般國內電腦詐欺犯罪偵查作何種必要之延伸。（9 分）

（25 分）

警察機關在過去已經累積了大量的治安及犯罪資料，而今巨量資料分析（Big Data Analytics）技術已臻成熟，可以用於犯罪偵查之上。

（一）請舉兩個在電腦犯罪偵查上的可能應用，並作必要之說明。 （12 分）

（二）巨量資料分析雖可運用在犯罪偵查上，但是必須遵守一些原則，才能使偵查行為符合法律規定（Regulatory Compliance）。請舉兩個在電腦犯罪偵查上應守之原則，並作必要之說明。（13 分）

（25 分）

在智慧型手機上進行數位證物蒐集，依照所採集的檔案資料可以區分為邏輯萃取（Logical Acquisition）和實體萃取（Physical Acquisition）兩者，請描述其方法，並說明其在偵查實務上之應用。（25 分）

（25 分）

Cookie 是協助使用者瀏覽網頁的一個工具，請回答下列問題：

（一）何謂 HTTP Cookie？它的功用為何？Cookies 對資訊安全有何影響？（12 分）

（二）請問偵查人員可以如何利用 Cookies 來協助犯罪之偵查？（13 分）

（25 分）

請說明下列名詞意涵及使用於何情境：（每小題 5 分，共 25 分）

（一） SQL Injection

（二） APT（Advanced Persistent Threat）

（三）滲透測試

（四）弱點掃描（並說明與滲透測試之差別）

（五）分散式阻斷服務攻擊法（Distributed Denial of Service Attack）

（25 分）

數位證據之蒐集、處理應掌握那些原則與特性，以強化其證據力，避免辯方律師質疑數位證據已經變造或證明力不足？（25 分）

（25 分）

數位證據保全之意義為何？主要的程序為何？其與數位鑑識有何差別？請參考國際標準 ISO27037 加以說明。（25 分）

（25 分）

甲機關通報內政部警政署刑事警察局偵查第九大隊（以下簡稱偵九隊），說明發現該機關有部分個人電腦會不定時向特定不明中繼站報到，並發現有重要檔案被傳送出去，懷疑遭到駭客入侵並竊取機關案件資料，主動請偵九隊協助。你受指派擔任此一事件對於該機關進行數位證據蒐集擷取等工作，以便進行後續之鑑識，請問：本案所涉法律為何？你事前（出發前）會做何準備？到現場發現電腦是開機狀態，採證之重點資料項目為何？如何採證以確保所蒐集保存之資料具備數位證據能力？（25 分）

（25 分）

回答以下有關電腦之問題：（每小題 5 分，共 25 分）

（一）作業系統之功能為何？

（二）音效卡之功能為何？

（三）何謂韌體（Firmware）？

（四）何謂媒體存取控制（Media Access Control）位址？

（五） ROM（Read Only Memory）與 RAM（Random Access Memory）主要之差異為何？

（25 分）

對於網路販賣盜版光碟（含色情光碟）之犯罪：

（一）其犯罪模式為何？（10 分）

（二）犯罪用的主要硬體設備有那些？（5 分）

（三）犯嫌躲避追緝常用之技巧為何？（5 分）

（四）所觸犯之刑法罪名與相關法律或條例為何？（5 分）

（25 分）

回答以下有關電腦之問題：（每小題 5 分，共 25 分）

（一）某中文字之 Big-5 碼為(FA40)16，請問 Big-5 碼至多可表示幾個中文字？

（二）有一部數位電影共有 10 秒，每秒放映 20 張影像，每張影像有 100×50 個像素（Pixel），像素之顏色以 32 位元（Bit）表示，每一張影像有多少位元組（Byte）？

（三）承（二），此部電影之資料量為多少位元組？

（四）某一聲音資料共有 10 秒，取樣頻率為 80Hz（次/秒），取樣後之資料共有幾筆？

（五）承（四），若量化位元數為 12，則儲存此聲音資料需要多少位元組？

（25 分）

對於冒用他人以電子郵件散發妨害他人名譽的電子郵件之犯罪：

（一）犯嫌躲避追緝常用之犯罪模式為何？（10 分）

（二）如何縮小偵查範圍？（5 分）

（三）可能觸犯之刑法罪名有那些？（10 分）

（25 分）

在網路犯罪偵查中，IP 位址與 WHOIS 網站最為關鍵。

（一） IP 位址之功能為何？（5 分）

（二） WHOIS 網站之功能為何？（5 分）

（三）若犯嫌利用電子郵件犯罪，說明以 IP 位址與 WHOIS 網站為基礎之犯罪偵查流程。（15 分）

（25 分）

對於利用拍賣網站詐騙金錢之犯罪：

（一）其犯罪模式為何？（10 分）

（二）犯嫌躲避追緝常用之技巧為何？（10 分）

（三）所觸犯之刑法罪名為何？（5 分）

（25 分）

解釋名詞：（每小題 5 分，共 25 分）

（一） False-Positive Hits

（二） Electronic Discovery

（三） Circumstantial Evidence

（四） Modus Operandi

（五） Admissible Evidence

（25 分）

警察執法人員在偵辦電腦相關犯罪案件時，常會遭遇到不可讀電磁紀錄（Non- Readable Electromagnetic Recording）取證問題，請回答下列各問題：

（一）依中華民國刑法（修正日期：民國 102 年 01 月 23 日）第 10 條第 6 項定義「電磁紀錄」（Electromagnetic Recording）。（3 分）

（二）指出電腦編碼或內碼系統內含有那 3 種字元（Character）型態？（6 分）

（三）舉出任何 3 種型態的電磁紀錄是不可讀的？請說明不可讀的原因。（6 分）

（四）舉出 1 種處理方式，可以解決不可讀的電磁紀錄，使能「表示其犯罪用意」之證據？（4 分）

（五）在 EnCase Forensic V6 或 V7 版本軟體操作環境下，針對「不可讀的電磁紀錄」分析 1 種型態的電磁紀錄內容是否含有「表示其犯罪用意」。寫出操作步驟，且加以說明每一步驟的處理目的。（6 分）

（25 分）