從記憶體鑑識取證臉書線索

這些在Web 2.0的概念與技術發展後有了不同的面貌，這種基於分享、參與的新理念，開啟人們網路社交互動的另一扇窗，許多社交網路服務（the Social Networking Service，SNS）網站因應而生，這些社交網路服務網站基於Web 2.0技術讓使用者與朋友們彼此保持密切聯繫，或協助使用者找尋失聯已久的朋友，強化並擴大使用者的社交圈。

與傳統、單純的交友網站相比，社交網路服務網站提供使用者相當多的功能，尤其是使用者自創內容（User Generated Content，UGC）服務，有別於以往網站對使用者單方向的提供資訊，在社交網路服務網站中，使用者得以自行決定在網站上發布的內容，包括文字、照片、影音等等，甚至還能設定可觀看訊息的對象或群組，讓使用者能夠輕鬆地與朋友分享各類影音與訊息，也可以隨時掌握朋友的最新動態，或邀請朋友加入有興趣的社團及活動，這些都是社交網路服務網站促進彼此的交流與互動的功能。

由於社交網路服務網站與需要安裝程序才能使用的軟體不同，使用社交網路服務網站無須安裝程式，所以殘留在電腦內的數位證據相對較少。

因此，本文以使用者最多的社交網路服務網站「臉書（Facebook）」為例，藉由案例來實際操作解說，探討執法單位及鑑識人員如何透過數位鑑識技術，在揮發性記憶體內找尋犯罪相關的數位證據，來還原事實的真相。

記憶體鑑識

在一般的數位鑑識方法上，電腦設備的實體記憶體（Physical Memory）資料蒐集與分析往往並沒有扮演著關鍵角色。記憶體又可分為揮發性記憶體與非揮發性記憶體兩種。揮發性記憶體是指一旦失去電源後，儲存在其中的資料就會消失的記憶體。反之，非揮發性的記憶體在電源消失後，資料仍會存留在其中。大多數的電腦鑑識技術是處理非揮發靜態儲存媒體（Non-volatile Static Storage Medium），如硬碟、CD、DVD及快閃記憶體裝置。

數位鑑識過程中有兩個重要的步驟，分別是保全數位資料及分析資料，這對於非揮發性的靜態媒體來說，這些步驟是相當基本的。然而，實體記憶體不同於前者，它難以保全及分析資料。

另外，從靜態媒體和實體記憶體所回復的資料屬性亦不同，靜態媒體是一個資料長期儲存的地區，反之，實體記憶體是當作業系統處理運算資料時，資料短期暫存的區域。

因此，實體記憶體較難去從中得到資料以及進一步分析，且以往也常被認為是比靜態媒體有較少的獲益點。基於以上這些理由，記憶體鑑識不如傳統上的數位鑑識方法，被使用在數位鑑識的過程中。

隨著科技日新月益，儲存裝置在容量和反鑑識科技（Anti-Forensic Technologies）不斷地成長，如磁碟加密，已經變得普遍取得且容易使用，而藉由網路的應用，線上和網路應用軟體的趨勢已經變得越來越普遍。

以傳統的角度來看，實體記憶體的使用是被當作只能提供很少益處，且必須花費相當的努力及有高風險。然而，因為科技的發展如網路聯絡技術，著手在記憶體分析所得的潛在利益，將會比花費和努力更重要。因此，實體記憶體的使用可能掌握了回復具價值性證據的關鍵。

為了對數位證據進行扣押或證據鏈，而將電腦設備關機，所有在揮發性記憶體中的珍貴資訊將永遠消失。這個不可逆的過程，可能會危及正在進行調查的犯罪案件。因此，在蒸發之前取得數位證據，鑑識人員在犯罪現場要立即處理，是個迫在眉睫且具挑戰性的任務。

社交網路服務及Facebook

雖然社交網路服務提供的新功能給使用者，卻也提供新的犯罪場景給有心人士。有別於傳統的交友網站，在社交網路服務網站上，使用者可找尋原本就認識的朋友來建立朋友關係，但是多數人僅憑藉網路上顯示的照片或資料，未嚴加審核、確認該帳號的真實身分，即認定該帳號為某個好友，或甚至根本沒有檢查、把關，即接受網路上任意的交友申請，分享個人資料與動態，很容易因此成為有心人士進行社交工程攻擊的目標。

Facebook是一個起源於美國的社群網路服務網站，它為人們帶來另一種新型態的社交模式，用戶可以自行決定在網站上發布的內容，包括文字、照片、影片等等，也能設定可觀看的訊息對象或群組，讓用戶能夠輕鬆地與朋友分享各類影音與訊息，也可隨時掌握朋友的最新動態，或邀請朋友加入有興趣的社團及活動。

Facebook同時也開放應用程序介面（Application Programming Interface，API）讓第三方軟體開發者可以開發在Facebook上使用的各種應用程式或遊戲，促進用戶和朋友間的交流與互動。