Black Hat USA 2001 - Computer Forensics: A Critical Process in Your Incident Response Plan

電腦取證是資安事件應對的重要環節，但在2001年時仍是相對新興且備受忽視的領域。演講者Greg Miles以JAWS公司和Security Horizon的實務經驗出發，首先定義事件應對的六大階段框架。準備階段最為關鍵——組織必須在事件發生前就制定應對計畫，否則會陷入混亂並污染關鍵證據。根據統計，當時約70%的威脅來自內部員工，30%來自外部攻擊者，兩類都需要系統化應對。

識別階段挑戰最大，因為系統異常可能源於硬體故障、硬碟失效、BIOS問題，也可能真的遭受駭客入侵。事件分類涵蓋未授權特權存取（Root/Admin）、未授權有限存取、拒絕服務攻擊、惡意軟體、硬體故障、基礎設施故障等多種類型。隔離階段須立即限制事件範圍，可透過斷網、切換到備用系統等方式。演講中援引Love Bug病毒感染1000萬台電腦、造成數十億美元損失的案例，說明迅速隔離的必要性。根除階段移除威脅來源，可使用防毒軟體、防火牆、入侵檢測系統。復原階段恢復系統正常運作，同時檢查備份是否已被污染。

電腦取證的核心在於將技術分析與法律框架結合。取證不只是找出發生了什麼，更要在法庭上證明證據的完整性與可信度。取證流程分五步：第一步準備確認搜索權限與明確目標，使用無污染的軟體副本。第二步保護維護證據責任鏈，追蹤每一次接觸、轉移、儲存，絕不能在原始媒體上執行分析。第三步映像製作位元對位元的完整副本，不只是複製活躍檔案，還包括刪除檔案、閒置空間、隱藏檔案。第四步檢驗分析作業系統、執行中的服務、應用程式、硬體配置、日誌檔案、檔案系統、網路設定、信任關係等。第五步文件詳細記錄發現內容、使用工具、檢驗方法。

取證工具的選擇需謹慎。EnCase和Coroner's Toolkit是公認可靠的商業工具，能自動生成雜湊值驗證檔案完整性，內建檢測隱藏檔案、隱寫術、幽靈文字等高階隱藏技術的功能。硬體層面使用Image Mastery等專用映像機器，支援位元對位元複製且不受作業系統限制。然而面對加密磁碟、存取控制、密碼保護、格式化媒體、已損毀磁碟、消磁磁碟等障礙，取證變得困難。隱寫術（將資料隱於圖像內）和Evidence Eliminator等抹除工具更增加了取證難度。演講強調，取證人員必須了解原生工具（作業系統自帶工具）、專用軟體（EnCase）、網路嗅探器的各自優劣與限制，不能盲目依賴工具。

法律面向同等重要。第四修正案禁止無正當程序的搜索扣押，《電子通訊隱私法》限制監控行為。但也有豁免狀況：使用者同意或隱含同意（透過系統橫幅達成）、服務提供者在正常業務營運中的監控。私人企業無需搜索令可監控員工，但若企業淪為執法機構的共謀者，就會觸發第四修正案限制。演講特別區別蜜罐（合法的入侵偵測工具）與誘捕（執法部門偽裝邀請他人入侵，屬於非法誘捕）。

未來挑戰包括技術演進超越執法能力、加密普及化、網路頻寬與儲存媒體成本下降、RAID陣列與分散式應用的複雜性。解決之道須培訓更多認證取證人員、開發自動化工具、建立取證基礎設施標準化。