前言

在過去的兩週中，我們學習了從網路封包（.pcap）重組傳輸檔案、在記憶體與系統 Log 中檢索關鍵特徵（IOC），以及解析壓縮檔與圖片隱寫術等實戰技巧。

然而，當企業真實遭遇資安事件（如勒索軟體入侵、資料外洩）時，單靠個人解題技巧是不夠的。企業需要一套標準化、具法律效力且有系統的數位鑑識與事件應變（DFIR）流程，才能在極短時間內控制損害、還原入侵軌跡並維護證據鏈。

本日作為 Forensics 系列的總結，我們將從企業層面探討標準調查流程（NIST SP 800-61 / ISO 27037）與鑑識原則。

本日目標

透過觀念整合與架構梳理，掌握企業級資安調查的核心心法：

1. 理解數位鑑識的核心原則：證據鏈 (Chain of Custody) 與 揮發性順序 (Order of Volatility)。
2. 掌握企業資安事件應變（IR）四大階段生命週期。
3. 學習將 CTF 鑑識工具（Wireshark, Volatility, Log Analysis）對接企業實務應變場景。

核心觀念一：數位鑑識的四大基本原則

在企業或司法調查中，鑑識證據能否被採信，取決於過程是否嚴謹。鑑識人員必須嚴格遵守以下原則：

1. 最小干擾原則 (Minimize Interference)：
   • 絕不在原始涉案主機或系統上直接進行分析。所有檢驗必須在複製出來的**鏡像檔（Disk Image）或記憶體傾印檔（Memory Dump）**上執行。
2. 完整性驗證 (Integrity Verification)：
   • 在複製證據前後，必須立即計算雜湊值（SHA-256 / MD5）。若複製前後的 Hash 不一致，該證據在法律上將視為失效。
3. 證據鏈護衛 (Chain of Custody)：
   • 詳細記錄證據從採集、傳送、保管到分析的每一位經手人、時間點與處置動作，確保證據未遭篡改。
4. 揮發性順序 (Order of Volatility, RFC 3227)：
   • 收集證據時，必須由「最容易消失」的資料優先採集：
     $$\text{暫存器/快取 (Cache)} \rightarrow \text{記憶體 (RAM)} \rightarrow \text{網路狀態} \rightarrow \text{硬碟 (Disk)} \rightarrow \text{備份媒體}$$

核心觀念二：企業資安事件應變 (IR) 生命週期

根據 NIST SP 800-61 規範，企業應變事件可分為四大階段：

[ 1. 準備階段 (Preparation) ]
              │
              ▼
[ 2. 檢測與分析 (Detection & Analysis) ]
              │
              ▼
[ 3. 遏制、根除與復原 (Containment, Eradication & Recovery) ]
              │
              ▼
[ 4. 事後活動 (Post-Incident Activity / Lessons Learned) ]

根據 NIST SP 800-61 規範，企業應變事件可分為四大階段：

1. 準備階段 (Preparation)

   • 建立應變團隊（CSIRT）、導入 SIEM / EDR 監控工具、定期備份，並制訂資安通報 SOP。

2. 檢測與分析 (Detection & Analysis)

   • 告警觸發：EDR 偵測到可疑指令或異常連線。
   • 證據採集與剖析：
     • 靜態鑑識：搜集 Web Server Log、事件檢視器（Event Log）、Registry。
     • 動態鑑識：傾印 RAM（記憶體）並利用 strings / Volatility 搜尋潛在腳本或注入程式。
     • 流量鑑識：抓取 PCAP 封包還原 C2（指揮控制伺服器）連線。

3. 遏制、根除與復原 (Containment, Eradication & Recovery)

   • 短中長程遏制：第一時間切斷受害主機的網路（隔離），防止威脅橫向移動（Lateral Movement）。
   • 根除威脅：清除惡意後門、重設遭竊帳密、修補系統漏洞。
   • 系統復原：從乾淨的備份還原系統，並保持高度監控。

4. 事後活動 (Lessons Learned)

   • 撰寫調查報告，回顧入侵管道（Root Cause Analysis），改進防禦機制，強化資安防護韌性。

知識觀念對接：CTF 技能與企業實務對照表