وضع التحقيق

تتبع القضية عبر القنوات والمجموعات والمحادثات الخاصة والروبوتات، بدءًا من الجمع الأولي وصولاً إلى الجدول الزمني المشار إليه والتسليم القابل للتحقق. النسخة التفاعلية من الموقع متوفرة على الرابط /docs/cases/؛ تعليمات المعاينة.

حالة تم العمل عليها: تغيير الوجهة عبر أربع محادثات#

يشير إعلان إلى روبوت. تناقش مجموعة عمليات وجهة دفع جديدة، ويعرضها لوحة مفاتيح الروبوت، ثم تكررها متابعة خاصة. بعد ذلك، يتم تعديل الإعلان وتختفي رسالة المجموعة.

الأسئلة هي: ما الذي لوحظ قبل التغيير وبعده، وما هي حسابات Telegram التي نشرت كل عنصر، وأين ظهرت الوجهة، وما هي بايتات المرفقات التي تم الاحتفاظ بها، وما هي الفترات الزمنية التي لا تزال مجهولة؟

جميع الأسماء وأرقام الهوية والتواريخ والإشارات المرجعية في السجل الواردة في هذا المثال خيالية. يستخدم سير العمل الميزات الحالية؛ وخريطة القضية هي مجرد توضيح، وليست رسمًا بيانيًّا تلقائيًّا تم إنشاؤه بواسطة التطبيق.

الرسم التخطيطي كنص

1. القنوات → سجل مساحة العمل
2. المجموعات → سجل مساحة العمل
3. المحادثات الخاصة → سجل مساحة العمل
4. الروبوتات → سجل مساحة العمل
5. سجل مساحة العمل → البحث في جميع المصادر
6. سجل مساحة العمل → ملفات تعريفية للأشخاص مع مراجع السجلات
7. سجل مساحة العمل → النسخ المحفوظة وإيصالات المرفقات
8. البحث في جميع المصادر → الخط الزمني للمحلل وسجل المصادر
9. ملفات تعريفية للأشخاص مع مراجع السجلات → الخط الزمني للمحلل وسجل المصادر
10. النسخ المحفوظة وإيصالات المرفقات → الخط الزمني للمحلل وسجل المصادر
11. سجل مساحة العمل → ملف ZIP للأدلة الموقعة
12. الخط الزمني للمحلل وسجل المصادر → تحويل القضايا مع أدلة تم التحقق منها بشكل منفصل
13. ملف ZIP للأدلة الموقعة → تحويل القضايا مع أدلة تم التحقق منها بشكل منفصل

1. تحديد القضية وجمع الرواية الكاملة#

1. قم بربط الحساب المخصص لجمع البيانات بمساحة العمل الخاصة به. في ملاحظات القضية الخارجية، سجل رقم مرجع القضية، ومعرّف الحساب، ومساحة العمل، وتاريخ بدء المراقبة، و بصمة مفتاح التوقيع الموثوق به.
2. المصادر المفتوحة → نطاق المراقبة → وضع التحقيق. يختار الإعداد المسبق «الحساب بالكامل»، والقنوات/المجموعات/المحادثات الخاصة/الروبوتات، والإجراءات الخاصة، وملفات تعريف المصادر وأحدث 200 رسالة مرئية للمصادر المكتشفة حديثًا. راجع الإعدادات، واضغط على «حفظ النطاق»، وأكمل تأكيد النطاق.
3. قم بتحميل المحادثات ومقارنة المصادر بقائمة المحادثات الخاصة بالحساب. تحقق من الاستثناءات. المعلمات → عدد المحادثات التي تُقرأ من قائمة الحساب هو 1,000 بشكل افتراضي ويسمح بما يصل إلى 20,000. تُضاف المصادر التي تتجاوز حد القائمة عندما تصبح نشطة. سجل ما تم إحصاؤه فعليًّا.
4. في إعدادات التسجيل، حدد «جميع الأنشطة المرئية» واحفظ إعدادات المراقبة. راجع أنواع المرفقات/الحدود ومساحة القرص المتوفرة.
5. ابدأ المراقبة. تحقق من صحة رسالة جديدة خاضعة للرقابة، وتعديل، وحذف، ثم احتفظ بمراجع الاختبار وأي حالات فشل.

يغطي نطاق الحساب بالكامل الأنشطة المرئية في الحساب ضمن الإعدادات المحفوظة. لا يصل إلى الدردشات السرية ولا ينضم تلقائيًا إلى كل مجموعة مرتبطة. كما أنه لا يستكمل كل المحادثات الموجودة. انظر نطاق التجميع.

2. جرد جميع المصادر واستخلاص السياق التاريخي#

احتفظ بسجل للمصادر بحيث يحتوي كل صف على محادثة واحدة:

استخدم طريقة التوثيق المناسبة لكل مصدر:

• تحميل السجل الكامل في «المصادر» (main حاليًا) يقوم بتحميل الرسائل السابقة المتاحة من المصادر الممكّنة إلى سجل مساحة العمل. ويدعم ميزة الإيقاف المؤقت/الاستئناف وتقرير تقدم موقّع. انظر «الحصول على السجل».
• تقوم «لقطة السجل» بحفظ الرسائل المرئية الحديثة في سجل المراقبة. الحد الأقصى الافتراضي هو 500؛ ويمكن زيادة هذا العدد إلى 10,000 من خلال «المعلمات» → «أكبر لقطة سجل». هذه هي ملاحظات السجل الحالية، وليست تعديلات مُعاد بناؤها.
• تصدير المحادثة بالكامل → تصدير المحادثة بالكامل، أو المحادثات → تصدير المحادثة، يقوم باستخراج السجل المرئي حاليًا لمحادثة واحدة إلى حزمة منفصلة موقعة من نوع chat.json / chat.html. كرر هذه العملية لمصادر القضية واحتفظ بكل نتيجة.
• عندما تظهر محادثة جديدة أو روبوت جديد، يمكن حفظ ملفه الشخصي وما يصل إلى 1,000 رسالة حديثة؛ بينما يختار «وضع التحقيق» 200 رسالة. لا يتم تضمين المحادثات الموجودة في هذا العدد بأثر رجعي عند تمكين الوضع.
• يؤدي تنزيل المرفقات المرئية إلى الحفاظ على البايتات وفقًا للسياسة المُعدة مسبقًا. يلزم وجود إيصال media.saved مكتمل مع SHA-256 وعدد البايتات. ولا يُعتبر المهمة الموضوعة في قائمة الانتظار أو الصورة المصغرة أو اسم الملف مرفقًا محفوظًا.

لا يؤدي التصدير الكامل للمحادثة إلى ملء السجل أو ملفات تعريف الأشخاص بجميع رسائلها. استخدم «تحميل السجل الكامل» أو «لقطات السجل المحدودة» للحصول على السجل الذي تحتاج إلى تحليله داخل TgWitness. راجع قائمة المصادر الممكّنة قبل بدء عملية استخراج السجل. لا يستعيد أي من هذين المسارين المواد التي لم يعد Telegram يعرضها.

3. الحفاظ على تطورات القضية والتفاعلات المدروسة#

ضع علامة نجمة على محادثات القضايا النشطة كمصادر ذات أولوية. راجع فترات إعادة الفحص، ومتابعة التحديثات ونتائج الوسائط. حافظ على تشغيل أداة التجميع أثناء استخدام الحساب. استخدم «المحادثات» → «الملف الشخصي» → «حفظ الملف الشخصي الآن» للاحتفاظ ببيانات تعريف المصدر مثل الأوصاف وأوامر الروبوت. وهذا أمر منفصل عن الملفات الشخصية للأشخاص المستمدة من الرسائل المحفوظة.

عندما تتضمن القضية تتبع مصدر أو التفاعل مع روبوت:

1. فتح رابط Telegram → «حفظ المعاينة» يسجل الرابط المقدم والمعاينة التي تظهر قبل تنفيذ أي إجراء.
2. تقوم وظيفة «الانضمام/الفتح والمراقبة» بتنفيذ عملية الانضمام/الفتح، وترسل معلمة بدء عمل البوت عند توفيرها. يتم تسجيل طلب الانضمام الذي ينتظر الموافقة على أنه «معلق».
3. تحتفظ الردود النصية الصادرة عن اللوحة وعمليات الضغط على الأزرار المدعومة بـ interaction.requested وinteraction.result. يمكن لإيصالات الاستدعاء الاحتفاظ بالنص المنبثق المرتجع وحالة التنبيه وعنوان URL.

هذه هي الإجراءات الحقيقية للحسابات. لا تظهر عمليات الضغط على زر «الرد» في تطبيق Telegram آخر للمجمع، على الرغم من أن الرسائل أو التعديلات الناتجة قد تظهر. لا يقوم «العميل المصغر» بتنفيذ سير عمل تطبيقات الويب أو الدفع أو الهاتف أو الموقع. لمعرفة السلوك الدقيق، انظر تفاعلات اللوحة.

4. ربط الملاحظات عبر الدردشات#

في «Journal»، حدد «All sources» (جميع المصادر) وابحث عن المحتوى المسجل. افتح السجلات المطابقة واحتفظ بمساحة العمل، والدردشة، ومعرّف الرسالة، والتسلسل، وتجزئة السجل.

في محادثة ذات صلة، افتح «الأشخاص» → «تشغيل الملفات الشخصية» وتحقق من شخص ما:

• الأسماء/أسماء المستخدمين التي تم رصدها على مدار الوقت، بالإضافة إلى معرّف Telegram الرقمي.
• علاقات الردود مع إشارات مرجعية إلى السجلات الأصلية.
• وكذلك في... المحادثات الأخرى في سجل مساحة العمل هذه التي كتب فيها ذلك المعرّف.
• النشاط، وعمليات التعديل/الحذف، والمحافظ والهواتف وأسماء المستخدمين والروابط المذكورة.
• بيانات تعريف الصور الرمزية المحفوظة والصور الرمزية المماثلة المخزنة في ذاكرة التخزين المؤقت، مع ذكر مصدر كل منها على حدة.

افتح السجلات المشار إليها قبل استخدام ملف تعريف مشتق في أي استنتاج. تغطي ملفات التعريف الأشخاص الذين تم حفظ رسائلهم، وليس كل أعضاء المجموعة. المعلمات → السجلات المشار إليها لكل حقيقة تحد من قائمة المراجع، لا من عدد الأنشطة الأساسية. تعد الإشارات وتشابه الصور الرمزية أدلة أولية؛ فهي لا تثبت الملكية أو الهوية.

في المثال المطبق:

قارن هاشات المرفقات ومراجع الرسائل المرتبطة بها. لا تثبت الملفات المتطابقة وجود منشئ أو مُعيد إرسال أو مشغل مشترك. كما أن الأسماء المتطابقة والصور الرمزية المتشابهة وحدها لا تربط بين معرّفين على Telegram لتشير إلى شخص واحد.

5. إنشاء الخط الزمني الشامل لجميع الدردشات#

استخدم النسخ المحفوظة في «الدردشات» وروابط سجل «Journal» رقم #... الخاصة بها. في «Journal»، ادمج «جميع المصادر» مع «التعديلات» و«عمليات الحذف» و«التغطية». احتفظ بكل من source_at، إن وُجد، وobserved_at.

توجد سجلات أخرى بين هذه المراجع التوضيحية. ترتب الأرقام التسلسلية الملاحظات؛ وقد تحتوي لقطات السجل على تواريخ مصادر أقدم وتصل في وقت لاحق عن الأحداث الحية. قم بالتمييز بين اللقطات، والرسائل المستردة، وإشعارات الحذف، و نتائج «مفقود عند إعادة التحقق». ضع علامة على فجوات التغطية باعتبارها فترات غير معروفة. ولا يعني الحصول على السجلات في وقت لاحق إثبات المراقبة المستمرة بأثر رجعي.

6. إضافة وجهات نظر الحسابات دون فقدان مصدرها#

استخدم مساحة عمل منفصلة لكل حساب على حدة وكرر عملية جردها. احتفظ بمعرف الحساب، والدور، وبصمة مفتاح التوقيع، ومراجع المصدر مع كل مقارنة. أرقام الرسائل ليست معرّفات عالمية عبر الدردشات/الحسابات.

يتم إجراء الترابط عبر مساحات العمل في ملاحظات القضايا الخارجية أو أدوات التحليل. لا تتوفر في TgWitness حاليًا ميزة البحث الشامل عبر مساحات العمل، أو الخط الزمني المدمج، أو الرسم البياني للتحقيق، أو أرشيف القضايا المدمج. ويُعد تصدير حسابات متعددة من قناة واحدة أو مجموعة فائقة عملية مختلفة، وليست دمجًا لسجلات الحسابات.

بالنسبة للأعمال الأطول، يجب الحفاظ على الحدود مع وجود شاهد مستقل. استخدم اختبارات التسليم الخاضعة للرقابة للتحقق من مسار التقاط كل حساب ومدى ظهوره.

7. تجميع وتحقق من عملية تسليم القضية#

احتفظ بهذه العناصر معًا في دليل قضية أعده المحلل:

من تثبيت موثوق به، مع أسماء الملفات والبصمة الفعلية لكل مساحة عمل:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

يتم الاحتفاظ بنتائج التحقق الفعلية والأدلة الأصلية. يتم الاحتفاظ بدليل الحالات الرئيسي، وسجل المصادر، واستنتاجات المحللين خارجيًا؛ وتتمتع كل دليل من أدلة TgWitness بتوقيعها الخاص وإجراءات التحقق الخاصة بها.

تكييف التحقيق#

مرجع المجموعة · التحقق من الهوية الشخصية · تسليم الأدلة · تم إتمام عملية التحقق من الصحة