什麼是數位鑑識
為了調查資安事件或犯罪，從電腦與網路設備收集作為證據的資料，在確保未被竄改的情況下加以分析，以釐清發生了什麼事的技術與程序。基本做法是從容易遺失的資料（記憶體內容、網路連線狀態等）開始依序收集、以防寫方式複製原始媒體、以雜湊值確認一致性，並記錄證據的每一次交接（證據監管鏈）。
日文名稱: デジタルフォレンジック
「數位鑑識」出現在1領域的1道練習題中（網路攻擊與防禦實務等）。
這個名詞所屬的領域: 網路攻擊與防禦實務
練習數位鑑識的題目
要從發生資安事件的伺服器收集調查用的證據。依照從容易遺失者開始收集（揮發性由高到低）的思維，最適當的順序是下列何者？
- A記憶體內容與目前的網路連線狀態 → 磁碟內容 → 保管在外部的備份與封存資料
- B保管在外部的備份與封存資料 → 磁碟內容 → 記憶體內容與目前的網路連線狀態
- C磁碟內容 → 關閉電源後，記憶體內容與目前的網路連線狀態 → 保管在外部的備份
查看答案與解析
正確答案：A. 記憶體內容與目前的網路連線狀態 → 磁碟內容 → 保管在外部的備份與封存資料
作為數位鑑識收集證據之指引的RFC 3227（2002年），建議從容易遺失者開始依序收集。CPU的暫存器與快取、記憶體內容、執行中的程序與網路連線狀態，會隨時間經過或關閉電源而遺失，因此最先收集。記憶體中可能留有不會留在磁碟上的惡意程式，或已解密狀態的資訊。磁碟內容在之後複製再調查，保管在外部的備份與封存資料不易變化，放在最後也無妨。
解析中的「數位鑑識」
作為數位鑑識收集證據之指引的RFC 3227（2002年），建議從容易遺失者開始依序收集。
要從發生資安事件的伺服器收集調查用的證據。依照從容易遺失者開始收集（揮發性由高到低）的思維，最適當的順序是下列何者？
出現「數位鑑識」的題目（1題）
相關名詞
入侵指標（IoC） 入侵偵測系統（IDS） 供應鏈攻擊 軟體物料清單（SBOM） 資安事件管理（SIEM） 資安事件應變 資安監控中心 零信任 滲透測試 端點偵測與回應（EDR）