التوثيق / 09

التحقيق في جميع الدردشات

تتناول القضية بأكملها عبر القنوات والمجموعات والمحادثات الخاصة والروبوتات: جمع الأدلة وربطها وإعادة بنائها وتسليمها.

يتتبع هذا الدليل التفصيلي حادثة خيالية واحدة عبر حساب كامل. ويستخدم ميزات الجمع والبحث وملفات تعريف الأشخاص والتصدير الفعلية. خريطة الحالة هي مثال توثيقي؛ حيث يتم الاحتفاظ باستنتاجاتك وسجل الحالة خارج التطبيق.

للاطلاع على تحميل السجل التاريخي، والمراجعة الاختيارية للمصادر باستخدام الذكاء الاصطناعي، وMCP، وOCR، وwebhooks الصادرة، انظر «العمل على الأرشيف».

1. تغطية الحساب بأكمله

1. اربط الحساب المخصص لجمع البيانات بمساحة العمل الخاصة به. قم بتدوين رقم مرجع القضية، ومعرّف الحساب، واسم مساحة العمل، وبصمة مفتاح التوقيع في ملاحظات القضية الخاصة بك.
2. المصادر المفتوحة → نطاق المراقبة → وضع التحقيق. راجع الحساب بالكامل، وأنواع المصادر الأربعة جميعها، والإجراءات الخاصة. تتيح هذه الإعدادات المسبقة حفظ ملف تعريف مصدر جديد وأحدث 200 رسالة مرئية له. اضغط على «حفظ النطاق» وأكمل تأكيد النطاق.
3. اضغط على «تحميل المحادثات». قارن المصادر بقائمة المحادثات الخاصة بالحساب وراجع الاستثناءات. ضمن «المعلمات» → «المحادثات المقروءة من قائمة الحساب»، اضبط الحد الأقصى الأولي للقائمة إذا لزم الأمر: القيمة الافتراضية هي 1,000 محادثة، وقابلة للتعديل حتى 20,000. يتم اكتشاف المحادثات التي تتجاوز الحد الأقصى عندما تصبح نشطة.
4. في إعدادات التسجيل، حدد خيار «جميع الأنشطة المرئية» واحفظه. راجع أنواع المرفقات وحدود الحجم ومساحة القرص المتوفرة. ابدأ المراقبة وتحقق من صحة الرسائل الخاضعة للرقابة، بما في ذلك عمليات التعديل والحذف، قبل الاعتماد على الإعدادات.

يشمل مصطلح «الحساب بالكامل» المحادثات التي يمكن لهذا الحساب الوصول إليها، مع أنواع المصادر والاستثناءات التي تم تكوينها. المحادثات السرية غير متاحة. تُضاف حوارات جديدة مع وصول التحديثات؛ ولا يؤدي تمكين هذا الوضع إلى تنزيل السجل القديم الكامل لكل محادثة موجودة تلقائيًا.

2. الحصول على السجل والحفاظ على الملفات

أنشئ سجلاً للمصادر يغطّي التحقيق بأكمله. خصّص لكل محادثة صفاً يتضمن معرّفها الرقمي، والعنوان، والحساب، وحقوق الوصول/الدور، وتاريخ البدء، وتاريخ الحصول على السجل، ونتائج الوسائط، والثغرات المعروفة. لا تضع علامة «تم الحصول عليه» على المصدر إلا بعد التحقق من النتيجة ذات الصلة.

يُعد التصدير الكامل للمحادثة لقطة منفصلة؛ فهو لا يستورد سجل المحادثة بالكامل إلى السجل أو ملفات تعريف الأشخاص. استخدم خيار «تحميل السجل الكامل عبر المصادر الممكّنة» أو «لقطات السجل المحدودة» للحصول على المواد التاريخية التي تحتاج إلى البحث عنها داخل TgWitness. راجع قائمة المصادر قبل بدء التشغيل.

في الحالة المعنية، يتم الحصول على قناة الإعلانات، ومجموعة العمليات، ومحادثات الروبوت، والمتابعة الخاصة. يتم الحفاظ على بايتات مرفق الفاتورة وقيمة التجزئة الخاصة به. لا يمكن للسجل المتاح حاليًا إعادة بناء رسالة تم حذفها قبل التقاطها أو تعديل تم إجراؤه في مرحلة ما بين، ولا يعرض Telegram هذه الرسائل بعد الآن.

3. تابع تطور المحادثة وأفعالك الخاصة

استمر في المراقبة مع تطور القضية. ضع علامة نجمة على محادثات القضية النشطة كمصادر ذات أولوية؛ وقم بتكوين إعادة التحقق من المصادر ذات الأولوية والمصادر الأخرى ضمن إعدادات التسجيل → إعادة التحقق. راجع recheck.completed، ومتابعة التحديثات المستمرة، وFloodWait، ونتائج الوسائط مع تقدم العمل.

استخدم «المحادثات» → «الملف الشخصي» → «حفظ الملف الشخصي الآن» للاحتفاظ بأوصاف المصادر الحالية وأوامر الروبوت والبيانات الوصفية الأخرى التي يعرضها Telegram. هذا الملف الشخصي للمصدر منفصل عن الملفات الشخصية للأشخاص التي يتم إنشاؤها من رسائل السجل.

4. تتبع الأشخاص والروابط والملفات عبر الدردشات

1. افتح «السجل»، واترك مرشح المصادر على «جميع المصادر»، وابحث عن عبارة مميزة أو نطاق أو اسم مستخدم أو معرّف محفوظ. افتح كل سجل مطابق وسجل محادثته ومعرّف الرسالة ورقم التسلسل في السجل.
2. للوصول إلى محادثة معينة، افتح «المحادثات» → «الأشخاص» → «تشغيل الملفات الشخصية»، ثم حدد شخصًا. راجع سجل الاسم/اسم المستخدم، وعلاقات الردود، والنشاط، وكذلك في... المحادثات الأخرى التي تمت ملاحظتها والروابط المستخرجة، والمحافظ الرقمية أو أرقام الهواتف. افتح سجلات السجل المشار إليها.
3. تتبع رقم معرّف المستخدم نفسه على Telegram في المحادثات الأخرى ضمن مساحة العمل هذه. تعامل مع أي اسم مطابق أو إشارة إلى محفظة أو صورة رمزية مشابهة على أنها دليل يجب التحقق منه. لا يُثبت العنوان المذكور ملكية الحساب؛ كما أن الصورة الرمزية المشابهة لا تثبت أن الشخص هو نفسه.
4. قارن قيم SHA-256 للمرفقات المحفوظة عبر السجلات. تدعم التجزئات المتطابقة هوية البايتات للملفات المحفوظة. افحص الرسالة المرتبطة وسجلات المرسل قبل التوصل إلى استنتاج بشأن من قام بمشاركتها.

تغطي ملفات تعريف الأشخاص المؤلفين الذين لديهم رسائل محفوظة في تلك المحادثة وتربطها بمحادثات أخرى في سجل مساحة العمل نفسه. وهي ليست دليلاً كاملاً لأعضاء المنصة. تأتي تجزئات الصور الرمزية من ذاكرة تخزين مؤقتة محلية منفصلة؛ وتخضع الاستشهادات في ملفات التعريف لحد قابل للتعديل ضمن «المعلمات» → «السجلات المستشهد بها لكل حقيقة».

5. إعادة بناء التسلسل وتحديد الثغرات

في قسم «المحادثات» (Chats)، افحص النسخ المحفوظة وروابط سجل «Journal» رقم... الخاصة بها. في قسم «Journal»، استخدم «جميع المصادر» بالإضافة إلى «التعديلات» و«عمليات الحذف» و«التغطية». قم بإنشاء جدول زمني للقضية باستخدام كل من تاريخ Telegram المقدم ووقت الملاحظة الخاص بالمجمع.

1. 09:00 · #101منشور تم التقاطه من القناة

   تم الاحتفاظ بالوجهة الأصلية.

2. 09:12 · #146 / #151تقدم المجموعة رابطًا مختلفًا

   يقوم المستخدم 71001 بنشرها؛ ويكتمل تنزيل المرفق.

3. 09:16 · #173يُظهر البوت نفس الوجهة

   تحتوي بيانات تعريف لوحة المفاتيح المحفوظة على الرابط.

4. 09:20 · #188تغييرات في إعلانات القنوات

   يتم الاحتفاظ بالملاحظات الأصلية والمعدلة على حد سواء.

5. 09:24 · #205 / #209يكرر ذلك في المتابعة الخاصة

   المرفق المحفوظ له نفس قيمة SHA-256 الكاملة مثل #151.

6. 09:28 · #231وصول إشعار بحذف المجموعة

   لا تزال الملاحظة السابقة سارية؛ حيث لا يتم توفير هوية الشخص الذي قام بالحذف ولا الوقت الدقيق للحذف.

أوقات المراقبة والمراجع التوضيحية. توجد سجلات أخرى في السجل بين هذه المدخلات.

ترتيب التسلسل في السجل يعتمد على تاريخ الاستلام، وليس بالضرورة على الإجراءات الأصلية في Telegram. فقد تصل لقطة سجل أقدم بعد رسالة حية أحدث. يجب التمييز بوضوح بين الملاحظات الحية، واللقطات، والرسائل المستردة، وإشعارات الحذف، و«المفقودة عند إعادة التحقق». أضف فاصل زمني غير معروف صريحًا كلما ظهرت فجوة في التغطية؛ فاللقطة اللاحقة لا تمحو تلك الفجوة.

6. توسيع نطاق الحالة لتشمل حسابات التجميع الأخرى

أضف مساحة عمل لكل حساب منفصل وكرر تحديد النطاق وجرد السجل التاريخي. سجل العضوية/الدور وبصمة مفتاح التوقيع لكل حساب. حافظ على تصنيف المعرّفات حسب مساحة العمل والدردشة: رقم الرسالة نفسه ليس معرّفًا شاملاً مشتركًا بين الحسابات.

قارن الملاحظات ذات الصلة في ملاحظات قضيتك أو أدوات التحليل الخاصة بك، مع الاحتفاظ بمرجع الحساب والسجل لكل صف. لا توفر TgWitness حاليًا ميزة البحث الشامل، أو الخط الزمني المدمج، أو مخطط العلاقات بين الأشخاص، أو أرشيف القضايا عبر مساحات العمل. يُعد التصدير الكامل متعدد الحسابات لقناة واحدة أو مجموعة فائقة ميزة منفصلة؛ فهي ليست دمجًا لجميع سجلات الحسابات.

أثناء العمل لفترات أطول، أضف شاهدًا مستقلًا للحفاظ على الحدود المحددة مسبقًا. استخدم برنامج «التسليم الخاضع للرقابة» (Controlled Delivery Pilot) لتقييم مسارات التقاط الحسابات ومدى ظهورها.

7. تقديم ملف قضية كامل وقابل للتحقق

تصدير ملف ZIP للسجل الموقّع من كل مساحة عمل. ويحتوي هذا الملف على السجل الكامل المسجّل بغض النظر عن عوامل تصفية البحث في اللوحة. تصدير ملفات تعريف الأشخاص ذوي الصلة بشكل منفصل، والاحتفاظ بكل حزمة كاملة من سجل المحادثات، والحفاظ على أدلة المرفقات الكاملة.

CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files

احتفظ بالبصمات الموثوقة عبر قناة منفصلة. من تثبيت موثوق، تحقق من كل دليل مقابل هوية مساحة العمل الخاصة به:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

تحقق من نتائج أداة التحقق الفعلية، واحتفظ بالنسخ الأصلية، واحتفظ بتقرير التغطية وحالات فشل الاستحواذ وسجل النقل مع النتائج التي توصلت إليها. يتم تجميع مجلد القضية الرئيسي واستنتاجات المحللين خارجيًا؛ بينما تحمل كل قطعة من قطع TgWitness توقيعاتها الخاصة.

استخدم نفس الطريقة في التحقيقات الأخرى