網路攻擊與防禦實務
希望把資安事件調查中的磁碟複本等證據，處理成日後也能用於訴訟或向警方報案的形式。依照證據監管鏈（chain of custody）的思維，最適當的處理是下列何者？
- A為了加快調查，直接開啟原始磁碟調查，注意到的事情不做紀錄，由負責人員記在腦中
- B製作複本後原始磁碟就不再需要，因此立刻初始化，再用於其他業務的端點以節省費用
- C透過防止寫入的裝置複製原始磁碟，記錄雜湊值，以及誰在何時接收、做了什麼
查看答案與解析
正確答案：C. 透過防止寫入的裝置複製原始磁碟，記錄雜湊值，以及誰在何時接收、做了什麼
證據要在法庭等場合被信任，必須能證明從收集到提出之間沒有遭到竄改或調包。因此要透過防止寫入的裝置（防寫器）接觸原始媒體，製作逐位元的複本，並記錄原始媒體與複本的雜湊值（SHA-256等）一致。調查的是複本，原始媒體則封存保管，每次交接都記錄日期時間、負責人員與目的。這份紀錄一旦中斷，就會成為證據可信度遭到質疑的原因。
- A. 直接調查原始媒體可能改變其內容，沒有紀錄就無法證明做過什麼。
- B. 原始媒體也是為了日後確認複本正確而保存。
- C. 正確。要點是以雜湊值證明沒有竄改，並讓交接紀錄不中斷。