مستندسازی / 09

تحقیق در تمام چت‌ها

یک پروندهٔ کامل را در سراسر کانال‌ها، گروه‌ها، چت‌های خصوصی و ربات‌ها پیگیری کنید: شواهد را جمع‌آوری، مرتبط‌سازی، بازسازی و تحویل دهید.

این راهنمای گام‌به‌گام یک حادثه خیالی را در یک حساب کامل دنبال می‌کند. این راهنما از قابلیت‌های واقعی جمع‌آوری، جستجو، پروفایل‌سازی افراد و صدور خروجی استفاده می‌کند. نقشه پرونده یک نمونه مستندسازی است؛ نتیجه‌گیری‌ها و دفتر پرونده شما خارج از برنامه نگهداری می‌شوند.

برای بارگذاری تاریخچه، بازبینی اختیاری منبع هوش مصنوعی، MCP، OCR و وب‌هوک‌های خروجی، به «Work the archive» مراجعه کنید.

۱. پوشش‌دهی کل حساب کاربری

1. حساب جمع‌آوری را در فضای کاری اختصاصی خود متصل کنید. مرجع پرونده، شناسه حساب، نام فضای کاری و اثر انگشت کلید امضا را در یادداشت‌های پرونده خود ثبت کنید.
2. منابع باز → دامنهٔ مشاهده → حالت تحقیق. کل حساب، هر چهار نوع منبع و اقدامات خود را مرور کنید. این پیش‌تنظیم امکان ذخیرهٔ پروفایل منبع جدید و ۲۰۰ پیام قابل مشاهدهٔ اخیر آن را فراهم می‌کند. روی «ذخیرهٔ دامنه» کلیک کرده و تأیید دامنه را تکمیل کنید.
3. روی دکمهٔ «بارگذاری چت‌ها» کلیک کنید. منابع را با فهرست مکالمات حساب کاربری و موارد مستثنی‌شده مقایسه کنید. در بخش پارامترها → چت‌ها، چت‌های خوانده‌شده از فهرست حساب را مشاهده کنید و در صورت نیاز حد اولیهٔ فهرست را تنظیم کنید: پیش‌فرض ۱٬۰۰۰ مکالمه است و می‌توان آن را تا ۲۰٬۰۰۰ تنظیم کرد. چت‌های فراتر از حد مجاز، هنگام فعال شدن کشف می‌شوند.
4. در تنظیمات ضبط، «تمام فعالیت‌های قابل مشاهده» را انتخاب و ذخیره کنید. انواع پیوست‌ها، محدودیت‌های اندازه و فضای آزاد دیسک را بررسی کنید. قبل از اتکا به پیکربندی، مشاهده را آغاز کرده و یک پیام کنترل‌شده، ویرایش و حذف را اعتبارسنجی کنید.

«حساب کامل» شامل گفتگوهایی است که این حساب به آن‌ها دسترسی دارد، همراه با انواع منابع پیکربندی‌شده و موارد مستثنی. گفتگوهای مخفی در دسترس نیستند. دیالوگ‌های جدید با دریافت به‌روزرسانی‌ها اضافه می‌شوند؛ فعال‌سازی این حالت به‌طور خودکار تاریخچه کامل تمام گفتگوهای موجود را دانلود نمی‌کند.

۲. بازیابی تاریخچه و نگهداری فایل‌ها

یک ثبت‌نام منبع برای کل تحقیق بسازید. برای هر گفتگو یک سطر با شناسه عددی، عنوان، حساب کاربری، دسترسی/نقش، شروع زنده، تاریخچه دریافت، نتیجه رسانه و شکاف‌های شناخته‌شده اختصاص دهید. یک منبع را تنها پس از بررسی نتیجه مربوطه به‌عنوان دریافت‌شده علامت‌گذاری کنید.

خروجی کامل چت یک اسنپ‌شات جداگانه است؛ این تاریخچهٔ کامل را وارد دفترچهٔ شواهد امضا‌شده و قابل‌تأیید نمی‌کند و پروفایل افراد را نیز وارد نمی‌کند. برای مطالب تاریخی که نیاز به جستجو در TgWitness دارید، از «بارگذاری تاریخچهٔ کامل در تمامی منابع فعال» یا «اسنپ‌شات‌های محدود دفترچه» استفاده کنید. پیش از اجرای فرایند، فهرست منابع را بررسی کنید.

در مورد عملی، کانال اطلاع‌رسانی، گروه عملیاتی، گفت‌وگوی ربات و پیگیری خصوصی را به‌دست آورید. بایت‌ها و هش پیوست فاکتور را حفظ کنید. تاریخچه‌ای که امروز در دسترس است نمی‌تواند پیامی را که قبل از ضبط حذف شده یا ویرایش میانی را که تلگرام دیگر بازنمی‌گرداند، بازسازی کند.

۳. گفتگوی در حال تحول و اقدامات خود را حفظ کنید

مشاهده را در حین پیشرفت پرونده ادامه دهید. چت‌های پرونده فعال را به‌عنوان منابع اولویت‌دار ستاره‌گذاری کنید؛ اولویت و بازبینی منابع دیگر را در تنظیمات ضبط → بازبینی پیکربندی کنید. با پیشرفت کار، نتایج بررسی‌های recheck.completed، پیگیری‌های ادامه‌دار، FloodWait و رسانه‌ها را مرور کنید.

برای حفظ توضیحات منبع فعلی، دستورات بات و سایر اطلاعات متاداد بازگشتی تلگرام، اکنون از گفتگوها → پروفایل → ذخیره پروفایل استفاده کنید. این پروفایل منبع از پروفایل‌های افراد ساخته‌شده از پیام‌های ژورنال جدا است.

۴. دنبال کردن افراد، لینک‌ها و فایل‌ها در سراسر چت‌ها

1. روزنامهٔ باز را باز کنید، فیلتر منبع را روی «تمام منابع» نگه دارید و عبارت متمایز، دامنه، نام کاربری یا شناسهٔ ذخیره‌شده را جستجو کنید. هر رکورد مطابقت‌یافته را باز کرده و چت، شناسهٔ پیام و شمارهٔ توالی دفترچهٔ یادداشت را ثبت کنید.
2. برای دسترسی به گفتگوی مرتبط، Chats → People را باز کنید، سپس Profiles را فعال کرده و یک نفر را انتخاب کنید. تاریخچه نام/نام کاربری، روابط پاسخ‌دهی و فعالیت را مرور کنید. همچنین در… سایر گفتگوهای مشاهده‌شده و لینک‌های استخراج‌شده، کیف‌پول‌ها یا شماره‌های تلفن. سوابق مجلهٔ ذکرشده را باز کنید.
3. همان شناسه کاربری عددی تلگرام را در سایر چت‌های این فضای کاری دنبال کنید. یک نام مطابقت‌دار، اشاره به کیف‌پول یا آواتار مشابه را به‌عنوان سرنخی برای بررسی در نظر بگیرید. یک آدرس ذکرشده مالکیت را اثبات نمی‌کند؛ آواتار مشابه نیز نشان‌دهنده یک شخص واحد نیست.
4. مقادیر SHA-256 پیوست‌های نگهداری‌شده را در سوابق مختلف مقایسه کنید. هش‌های یکسان، هویت بایت فایل‌های ذخیره‌شده را تأیید می‌کنند. پیش از نتیجه‌گیری درباره اینکه چه کسی آن‌ها را به اشتراک گذاشته است، سوابق پیام و فرستنده مربوطه را بررسی کنید.

پروفایل افراد، نویسندگانی را که پیام‌های ذخیره‌شده در آن چت را دارند پوشش می‌دهد و آن‌ها را به چت‌های دیگر در همان دفترچه یادداشت فضای کاری مرتبط می‌سازد. این‌ها یک فهرست کامل اعضا نیستند. هش‌های آواتار از یک حافظه پنهان محلی جداگانه تأمین می‌شوند؛ ارجاعات پروفایل دارای محدوده‌ای قابل تنظیم در بخش پارامترها → سوابق ارجاع‌شده به ازای هر واقعیت هستند.

۵. بازسازی توالی و علامت‌گذاری فواصل

در بخش گفتگوها، نسخه‌های ذخیره‌شده و لینک‌های «رکورد ژورنال شماره …» را بررسی کنید. در ژورنال، از «تمام منابع به‌علاوه ویرایش‌ها، حذف‌ها و پوشش» استفاده کنید. یک خط زمانی پرونده با تاریخ تلگرام ارائه‌شده و زمان مشاهدهٔ گردآورنده بسازید.

1. 09:00 · #101پست کانال ضبط شد

   مقصد اصلی حفظ می‌شود.

2. 09:12 · #146 / #151گروه لینک متفاوتی را معرفی می‌کند

   کاربر ۷۱۰۰۱ آن را ارسال می‌کند؛ دانلود پیوست کامل می‌شود.

3. 09:16 · #173ربات مقصد یکسانی را نشان می‌دهد

   متادیتای ذخیره شده صفحه‌کلید حاوی لینک است.

4. 09:20 · #188تغییرات اعلان کانال

   مشاهدات اصلی و ویرایش‌شده هر دو باقی می‌مانند.

5. 09:24 · #205 / #209پیگیری خصوصی آن را تکرار می‌کند

   پیوست ذخیره‌شده همان هش کامل SHA-256 را مانند #151 دارد.

6. 09:28 · #231اعلان حذف گروه دریافت شد

   مشاهدهٔ قبلی همچنان برقرار است؛ نه هویت حذف‌کننده و نه زمان دقیق حذف ارائه نشده است.

زمان‌ها و ارجاعات مشاهده‌ای نمایشی. سایر سوابق دفترچه بین این موارد قرار دارند.

ترتیب وقایع در ژورنال بر اساس دریافت است، نه لزوماً بر اساس اقدامات اصلی تلگرام. یک اسنپ‌شات قدیمی‌تر از تاریخچه ممکن است پس از یک پیام زنده جدیدتر برسد. مشاهدات زنده، اسنپ‌شات‌ها، پیام‌های بازیابی‌شده، اعلان‌های حذف و «غایب در بازبینی مجدد» را از هم متمایز نگه دارید. هر جا پوشش نشان دهد شکافی وجود دارد، یک بازهٔ ناشناختهٔ صریح اضافه کنید؛ اسنپ‌شات بعدی آن شکاف را پاک نمی‌کند.

۶. گسترش پرونده به سایر حساب‌های جمع‌آوری‌کننده

برای هر حساب مجزا یک فضای کاری اضافه کنید و فهرست دامنه و تاریخچه را تکرار کنید. عضویت/نقش و اثر انگشت کلید امضا را برای هر کدام ثبت کنید. شناسه‌ها را با ذکر فضای کاری و چت مشخص کنید: یک شماره پیام یکسان شناسهٔ جهانی بین‌حساب نیست.

مشاهدات مرتبط را در یادداشت‌های پرونده یا ابزارهای تحلیل خود مقایسه کنید و برای هر سطر، حساب کاربری و مرجع دفترچه را حفظ کنید. TgWitness در حال حاضر جستجوی جهانی، خط زمانی ادغام‌شده، گراف افراد یا آرشیو پرونده را در سراسر فضاهای کاری ارائه نمی‌دهد. خروجی‌گیری کامل چندحساب از یک کانال یا ابرگروه یک قابلیت جداگانه است؛ این یک ادغام از دفترچه‌های تمام حساب‌ها نیست.

در کارهای طولانی‌تر، یک شاهد مستقل اضافه کنید تا مرزهای اولیه حفظ شوند. از پایلوت تحویل کنترل‌شده برای تعیین مسیرهای ضبط و دیده‌شدن حساب‌ها استفاده کنید.

۷. ارائه یک بسته پرونده کامل و قابل بررسی

از هر فضای کاری یک فایل ZIP مجلهٔ امضا شده صادر کنید. این فایل شامل کل مجلهٔ ضبط‌شده است، بدون توجه به فیلترهای جستجوی پنل. پروفایل افراد مرتبط را به‌طور جداگانه صادر کنید، هر بستهٔ کامل تاریخچهٔ گفتگو را حفظ کنید و شواهد پیوست‌های تکمیل‌شده را نگهداری کنید.

CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files

اثرانگشت‌های مورد اعتماد را از طریق یک کانال جداگانه حفظ کنید. از یک نصب مورد اعتماد، هر اثر باقیمانده را با هویت فضای کاری خود تأیید کنید:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

نتایج واقعی اعتبارسنجی را بررسی کنید، نسخه‌های اصلی را حفظ کنید و گزارش پوشش، خطاهای جمع‌آوری و سوابق انتقال را همراه با یافته‌های خود نگهداری کنید. پوشه اصلی پرونده و نتیجه‌گیری‌های تحلیلگر به‌صورت خارجی گردآوری می‌شوند؛ هر یک از آثار TgWitness امضای خود را دارند.

از همین روش برای سایر تحقیقات استفاده کنید