一、數位鑑識的各個階段：
數位證據指的是二進位方式記錄與傳輸的各種資訊，例如文字、圖片、語音、影片、簡訊、檔案、封包、各種紀錄檔等，所以與二進位資訊有關者，都是數位鑑識的範圍。這些資料從一開始就具有易被修改、毀損、添加、刪除等特性，因此鑑識開端始於刑案現場的處理工作，必須在不改變原始證據狀態及內容下，將證物保存與送驗，並確保每一階段證物鏈的完整性。目前數位鑑識作業程序主要包括事前規劃、執行與報告呈現三個階段，所有原則均依循各標準規範或作業程序辦理，例如行政院頒訂的「政府機關（構）資安事件數位證據保全標準作業程序」，警政署則有警察偵查犯罪手冊、數位證物鑑識程序、刑案現場數位證物蒐證手冊等資料，而國際間如美國司法部、歐洲刑事鑑識學會或ISO/IEC 27037等，都對這個程序有詳細的規範。
1. 規劃階段：即進入現場蒐證前的準備階段。需先蒐集案件基本資料，並決定蒐證標的與範圍，決定要準備何種出勤工具，像是扣押物清單、證物標籤、證物袋（箱）、麥克筆、攝影機、電腦鑑識開機光碟、工具箱、網路線、電源延長線、網路集線器、隨身碟等，最後召集所有人員進行勤前教育、準備行動。之所以需如此大費周章，原因在於各種犯罪場所狀況不一，舉例來說，若詐騙機房位於高樓層，而且有各種危險武器在內時，則需請專業攻堅人員協助，或是規劃如何智取進入，務必在最短時間內控制現場，避免證據遭湮滅。又假設機房設有遠端操作與回報功能時，如何在短時間內控制網路，避免資料遭清除；若有數個現場，甚至是跨國案件時，如何協調不同機關與跨國機構同步處理，均為規劃階段須注意的重點。若情資顯示，蒐證重點為斷電後即消失的揮發性記憶體，那麼，如何確保現場電源正常運作，就會是勤務分配重點項目之一。
Photo by Glenn Carstens-Peters, Unsplash
2. 執行階段：著重於維持與記錄現場完整性，透過專業判斷了解證據所在，進行證據擷取、蒐集與運送工作，將證據送入數位實驗室做進一步分析。
a. 蒐集：即現場蒐證階段。這個階段著重於證物辨識、防止數位證據被汙染。證物辨識中，必須了解哪些可以做為數位證據標的，這可分為以下三大部分：
1) 實體設備：如電腦、伺服器、筆記型電腦、手機、智慧表；各種儲存媒體，如硬碟、隨身碟、記憶卡；行動影音設備、MP3 player、光碟機、ÐVD、網路設備等。這些證物除了本體之外，其周邊元件亦須一併查扣，並對其作完整標示，如連接線順序、插孔位置、型號等均須拍照記錄，以便之後完整重建現場運作狀況。
圖片說明：電腦內部各元件資料須透過不同工具軟體解析
2) 資料型式：包括各種格式檔案、記憶體內之揮發性資料、系統後設資料（metadata）、被分配磁區等。
3) 證據資訊：如上網行為、系統登錄資料、被刪除資料、程式執行紀錄、通聯與通訊軟體、各式電郵內容等。除此之外，與各種上網行為有關的資料或文件，如帳號、密碼等記載紙條、購物收據、犯罪筆記、帳本、各種教戰守則等，均為蒐證重點。
所列資料中已包含多數證物，但於現場如何查扣或篩選證據，這就有不同專業或實務考量了。舉例來說，若牽涉網路服務公司，則伺服器等硬體設備就盡量不要查扣，盡量以製作鏡像檔為主。犯罪資料亦可能存在於不同造型的隨身碟與體積微小的記憶卡中，如何找出這些實體設備也是一大挑戰。電腦設備中若發現設有開機密碼，如何在現場透過詢問技術取得密碼，以便後續數位實驗室能順利分析內容，這也是現場蒐集時在短時間內必須面對的挑戰。
b. 保存：此階段著重於證據封存及運送，防止數位證物遭到人為與外在環境破壞，確保證據監督鏈的完整性。例如使用防靜電袋、封緘膠帶、填寫證據標籤等，確保證物能妥適保存。若能取得證物原始包裝箱，則可另以該包裝箱保存證物。
c. 鑑定：資料分析階段，即針對案件與解決的問題進行分析。可能包括惡意程式分析、手機資料存取、網路封包解析、駭客入侵偵查與追蹤並還原攻擊或案件原貌、列出案件相關時間軸等工作。此階段需特別注意的是，以檢驗軌跡（trail）或備份檔案（backup copy）為原則，爾後若將同樣的數位證據交由任一獨立第三方進行檢驗時，必須能夠得到相同的結果。若有直接檢視原始數位證物必要的時候，必須要能確保當事人的專業性，而且對任一動作都能解釋其動機、目的與關聯性，避免日後須面對任何竄改資料的質疑。
圖片說明：使用Autopsy軟體之列表模式， 可依照時間序列檢索事件內容如紅框處，圖為上網紀錄。
圖片說明：使用Autopsy軟體之時間序列分析之長條圖模式， 可以清楚知道時間與事件發生量之關係
3. 報告階段：將鑑定所得內容轉換成偵查或審判單位能接受的格式，以提供後續偵查與審判使用。
二、數位實驗室主要工作內容與軟體工具：以下列舉目前數位實驗室工作內容，該類工作除人員腦力激盪外，尚需配合大量的鑑識軟體，且每一領域幾乎都需要大量使用不同的軟體。
1. 刑案現場搜索與扣押：如同前述，即協助偵查人員到現場搜索與查扣證據。現場處理人員通常備有「出勤工具包」，裡面就有各種現場需使用到的工具軟體，例如手機翻拍、刪除還原、防寫、映像檔製作、截圖、變更開機密碼、VOS網路電話群撥系統擷取工具等。
圖片說明：揭密出勤工具包中的各種軟體工具
2. 硬碟資料復原與解析：製作映像檔後，載入鑑識軟體進行分析，最常用的軟體如EnCase或FTK等。EnCase為Guidance Software公司推出的鑑識軟體，可以進行排序欄位排序、重建已格式化媒體架構、顯示Microsoft Office、Outlook PSTs、TAR、GZ、Thumbs.db及ZIP等檔案架構與後設資料，並對各種簽章、磁區、註冊檔、雜湊值做比對分析。目前全球約有超過90%的執法機關及各政府單位皆有使用EnCase產品，是一種國際間普遍採用的專業電腦鑑識軟體。FTK Imager亦為美國政府及法院認可的數位鑑識軟體，主要用來製作磁碟及記憶體映像檔，也能協助鑑識人員掌握重要數位證據的內容。
3. 惡意程式分析與鑑識：可分為靜態與動態兩種方式。靜態做法為不執行可疑程式，針對檔案及程式結構、包裝中的字串資料作分析，或是進行反組譯除錯工作。動態做法則是在控制環境下執行可疑程式，並分析記憶體、系統狀態與側錄之網路封包，了解危害行為與連線狀況。如使用netstat指令或TCPView軟體檢查不尋常連線，使用Windows下的Autoruns程式、用Virus Total網站分析、或以Sniffer軟體擷取連線封包並監控網路等，均為常見手段。
圖片說明：刑事警察局研發科之惡意程式掃瞄系統
早期常見的幾種惡意程式名稱
4. 手機資料存取與解讀：手機資料主要儲存於裝置內記憶體、SIM卡與記憶卡三處，手機內會有個人筆記、通話群組、手機作業系統與基本資料（IMEI碼、SIM卡）、GPS/地理資訊位置、上網行為紀錄、各種使用過的Apps、影音、郵件、行事曆等，幾乎可以描繪出一個人的生活習慣。為了讀取大量資料及分析，目前鑑識單位最常用的為以色列Cellebrite公司發行的相關程式，舉凡事件時間線、手機上網地點、圖像及影片資料等，均可完整呈現。以色列四周敵國環繞，隨時有反恐需求，查扣犯罪者手機後常需立即解碼了解共犯網絡關係，自然也促進這類產業的蓬勃發展。該公司執法部門的業務主軸就是手機資料轉移和數據破解，連美國執法單位無法破解的手機，都多次求助該公司協助，顯示該公司在手機資料分析上的獨厚功力，國內多數偵查機構亦以該機構製造的產品為第一優先採購對象。
5. 網路封包監察與解析：封包是網路用來傳送資料的最小單位，一個封包由標頭（Headet）和資料（Data）所組成，標頭內主要為封包的屬性紀錄，如通訊協定、來源及目的地IP位址、來源及目的地通訊埠等資料。封包傳送需靠路由器（Router）依據標頭記載資料完成數據交換，故在網路架構中的適當位置擷取網路封包，就可以取得相關資訊作為電腦使用行為分析，對於了解網路使用程序及側錄另一台電腦連線狀況有很大幫助。目前最常用的軟體之一是開源之Wireshark軟體，雖然該軟體並非入侵監測軟體，對於異常流量不會有提示功能，但透過軟體的封包分析功能即可了解上網行為。
圖片說明：使用HashMyFiles檢視各種雜湊值，可了解檔案是否遭變動
圖片說明：分析郵件標頭資料，即可取得寄送各階段時間紀錄
三、電腦鑑識的挑戰：數位偵查是一場腦力、軟體、金錢的競賽，為持續性的矛與盾競爭。以下列舉目前可能遇到的數位偵查困境，提供大家參考。
1. 各種反鑑識技術的出現：在避免遭到追蹤之商機引誘下，各種反鑑識手段與工具不斷推陳出新，常見如製造虛擬足跡混淆鑑識人員偵查方向、隱匿各種資料避免被找出犯罪證據、加上各種密碼保護以及人為完全抹除各種資料等。以之前許多販毒首腦喜愛使用的西班牙BQ廠生產，型號為Aquaris X5特製加密手機來說，其具有「雙作業系統」功能，要進入真實作業系統，需要輸入15位數的密碼，若輸入特定4位數（PIN碼）密碼，則會完全刪除手機資料，無法恢復，增加偵查人員鑑識困難度。
2. 儲存容量倍數成長，鑑識人員工作日益繁重：現代人習慣將各種資料存在手機內，相對也使得手機解析資料無限擴張，雖然可以借助軟體協助歸類，但最後仍須人工確認與犯罪有關的資訊，增加時間負荷。
3. 利用VPN連線：VPN為虛擬私有網路，利用遠端區域網路（LAN）或是個人用戶透過身分驗證與加密技術的保護，建立一個獨立且保密的傳訊通道。不同於防火牆係通過篩選資料來保護網絡，VPN則著重於網路的不可追踪性，相關工具軟體可以藉由改變上網者IP和地理位置，避免被追蹤的可能性，因此增加偵查困難。
Photo by Markus Spiske, Unsplash
4. 電信服務商或犯罪證據備援於國外：偵辦跨國性詐騙集團時，常會遇到Call Center位於國外，詐騙話務於國外電信業者下車後，再經電信網路與國內固網或行動通訊電信業者介接至被叫端。因為Call Center位於國外，追查需國外電信及司法單位配合，要是遇到該國處理態度不夠積極時，就容易出現偵查斷點。
整體而言，電腦鑑識工作就是透過專業分析，找出重要的關鍵線索，進而協助破案。然而網路世界發達導致犯罪手法日新月異，增加偵查難度，例如近年的虛擬貨幣偵查即屬此類，因此治安單位面臨科技犯罪挑戰將會更加嚴峻，只有持續不斷投資人力與更新設備，才能與犯罪者相對抗。
回文章列表