حالت تحقیق

یک پرونده را در سراسر کانال‌ها، گروه‌ها، چت‌های خصوصی و ربات‌ها، از دریافت اولیه تا یک خط زمانی مستند و تحویل قابل تأیید دنبال کنید. نسخه وب‌سایت تعاملی در /docs/cases/ موجود است؛ دستورالعمل‌های پیش‌نمایش.

مورد بررسی: تغییر مقصد در چهار گفتگو#

یک اعلان به یک ربات اشاره می‌کند. یک گروه عملیاتی یک مقصد پرداخت جدید را بحث می‌کند، صفحه‌کلید ربات آن را نمایش می‌دهد و یک پیام خصوصی پیگیری آن را تکرار می‌کند. سپس اعلان ویرایش می‌شود و پیام گروهی ناپدید می‌شود.

سؤالات این هستند: چه چیزهایی قبل و بعد از تغییر مشاهده شد، کدام حساب‌های تلگرام هر مورد را ارسال کردند، مقصد در کجا ظاهر شد، کدام بایت‌های ضمیمه حفظ شدند و چه بازه‌های زمانی هنوز نامشخص هستند؟

تمام نام‌ها، شناسه‌ها، زمان‌ها و ارجاعات دفترچه در این مثال فرضی هستند. گردش کار از ویژگی‌های فعلی استفاده می‌کند؛ نقشه پرونده یک تصویر است، نه یک گراف خودکار تولیدشده توسط برنامه.

نمودار به صورت متن

1. کانال‌ها → مجلهٔ فضای کاری
2. گروه‌ها → مجلهٔ فضای کاری
3. چت‌های خصوصی → مجلهٔ فضای کاری
4. ربات‌ها → مجلهٔ فضای کاری
5. مجلهٔ فضای کاری → جستجو در همه منابع
6. مجلهٔ فضای کاری → پروفایل افراد همراه با ارجاعات سوابق
7. مجلهٔ فضای کاری → نسخه‌های ذخیره شده و رسیدهای پیوست
8. جستجو در همه منابع → خط زمانی تحلیلگر و ثبت منابع
9. پروفایل افراد همراه با ارجاعات سوابق → خط زمانی تحلیلگر و ثبت منابع
10. نسخه‌های ذخیره شده و رسیدهای پیوست → خط زمانی تحلیلگر و ثبت منابع
11. مجلهٔ فضای کاری → فایل ZIP شواهد امضا شده
12. خط زمانی تحلیلگر و ثبت منابع → واگذاری پرونده همراه با شواهد جداگانهٔ تأییدشده
13. فایل ZIP شواهد امضا شده → واگذاری پرونده همراه با شواهد جداگانهٔ تأییدشده

۱. پرونده را تعریف کنید و کل حساب را جمع‌آوری کنید#

1. حساب جمع‌آوری‌کننده را در فضای کاری اختصاصی خود متصل کنید. در یادداشت‌های خارجی پرونده، مرجع پرونده، شناسه حساب، فضای کاری، زمان شروع مشاهده و اثر انگشت کلید امضای مورد اعتماد را ثبت کنید.
2. منابع باز ← دامنه مشاهده ← حالت تحقیق. پیش‌تنظیم، کل حساب، کانال‌ها/گروه‌ها/چت‌های خصوصی/ربات‌ها، اقدامات خود، پروفایل‌های منبع و ۲۰۰ پیام قابل مشاهده اخیر برای منابع تازه‌کشف‌شده را انتخاب می‌کند. آن را بررسی کنید، دکمه «ذخیره دامنه» را فشار دهید و تأیید دامنه را تکمیل کنید.
3. گفت‌وگوها را بارگذاری کرده و منابع را با فهرست دیالوگ حساب کاربری مقایسه کنید. موارد مستثنی را بررسی کنید. پارامترها → چت‌های خوانده‌شده از لیست حساب به‌طور پیش‌فرض روی 1000 تنظیم شده و تا 20000 را مجاز می‌داند. منابعی که فراتر از حد لیست هستند، هنگام فعال شدن اضافه می‌شوند. آنچه واقعاً فهرست شده را ثبت کنید.
4. در تنظیمات ضبط، «تمام فعالیت‌های قابل مشاهده» را انتخاب کرده و تنظیمات نظارت را ذخیره کنید. انواع/محدودیت‌های پیوست‌ها و فضای آزاد دیسک را بررسی کنید.
5. شروع مشاهده. یک پیام جدید کنترل‌شده، ویرایش و حذف را اعتبارسنجی کنید، سپس مراجع آزمایشی و هرگونه خطا را نگهداری کنید.

دامنه کل حساب، فعالیت‌های قابل مشاهده در حساب را مطابق با تنظیمات ذخیره‌شده ثبت می‌کند. این ابزار به چت‌های مخفی دسترسی ندارد یا به طور خودکار به همه گروه‌های مرتبط نمی‌پیوندد. همچنین همه گفتگوهای موجود را به صورت کامل ثبت نمی‌کند. دامنه جمع‌آوری را ببینید.

۲. فهرست کردن هر منبع و به‌دست آوردن زمینهٔ تاریخی#

یک دفتر ثبت منابع را با یک سطر برای هر گفتگو نگهداری کنید:

برای هر منبع، روش ضبط مناسب را به‌کار ببرید:

• بارگذاری کامل تاریخچه در منابع (main فعلی) پیام‌های گذشتهٔ موجود از منابع فعال را در دفترچهٔ کار بارگذاری می‌کند. این قابلیت از توقف/از سرگیری و گزارش پیشرفت امضا‌شده پشتیبانی می‌کند. به بخش اکتساب تاریخچه مراجعه کنید.
• اسنپ‌شات تاریخچه پیام‌های قابل مشاهده اخیر را در دفتر مشاهدات ذخیره می‌کند. حداکثر پیش‌فرض آن ۵۰۰ است؛ در بخش پارامترها → بزرگ‌ترین اسنپ‌شات تاریخچه می‌توان آن را تا ۱۰٬۰۰۰ افزایش داد. این‌ها مشاهدات تاریخچه جاری هستند، نه ویرایش‌های بازسازی‌شده.
• صادرات کامل چت → خروجی گرفتن کل چت، یا چت‌ها → خروجی گرفتن چت، تاریخچهٔ در حال حاضر قابل مشاهدهٔ یک چت را در یک بستهٔ جداگانهٔ امضا شده با کلید chat.json / chat.html فراخوانی می‌کند. این کار را برای منابع پرونده تکرار کرده و هر نتیجه را نگه دارید.
• وقتی یک چت یا ربات جدید ظاهر می‌شود، می‌تواند پروفایل آن و تا ۱۰۰۰ پیام اخیر را ذخیره کند؛ حالت تحقیقاتی ۲۰۰ پیام را انتخاب می‌کند. چت‌های موجود هنگام فعال‌سازی این حالت به‌صورت گذشته‌نگر این حجم را دریافت نمی‌کنند.
• دانلود پیوست‌های قابل مشاهده، بایت‌ها را طبق سیاست پیکربندی‌شده حفظ می‌کند. نیاز به یک رسید تکمیل‌شده media.saved با SHA-256 و شمارش بایت دارد. یک job صف‌شده، تصویر بندانگشتی یا نام فایل، پیوست حفظ‌شده نیست.

خروجی کامل چت، دفترچه یادداشت یا پروفایل افراد را با تمام پیام‌های آن پر نمی‌کند. برای تاریخچه‌ای که نیاز به تحلیل آن در داخل TgWitness دارید، از «بارگذاری تاریخچه کامل» یا «اسنپ‌شات‌های محدود دفترچه یادداشت» استفاده کنید. پیش از شروع اجرای تاریخچه، فهرست منابع فعال را بررسی کنید. هیچ‌یک از این دو روش، محتوایی را که تلگرام دیگر بازنمی‌گرداند، بازیابی نمی‌کنند.

۳. حفظ روند پرونده در حال تحول و تعاملات سنجیده#

چت‌های فعال پرونده‌های ستاره دار را به عنوان منابع اولویت‌دار در نظر بگیرید. فواصل بازبینی مجدد، پیگیری مداوم و نتایج رسانه‌ای را بررسی کنید. هنگام استفاده از حساب کاربری، گردآورنده را در حال مشاهده نگه دارید. از مسیر چت‌ها → پروفایل → ذخیره کردن پروفایل اکنون استفاده کنید تا متادیتای منبع مانند توضیحات و دستورات ربات را حفظ کنید. این کار با پروفایل‌های افراد که از پیام‌های ذخیره شده استخراج می‌شوند، متفاوت است.

در مواردی که پرونده شامل دنبال کردن یک منبع یا تعامل با یک ربات باشد:

1. باز کردن لینک تلگرام ← ذخیره پیش‌نمایش لینک ارائه‌شده و پیش‌نمایش بازگردانده‌شده را پیش از انجام عملیات ذخیره می‌کند.
2. دستور /open و observe عمل join/open را انجام می‌دهد و در صورت ارائه پارامتر start، آن را برای بات ارسال می‌کند. یک درخواست پیوست که در انتظار تأیید است، به‌عنوان در انتظار ثبت می‌شود.
3. پاسخ‌های متنی صادرشده توسط پنل و دکمه‌های پشتیبانی‌شده، interaction.requested و interaction.result را حفظ می‌کنند. رسیدهای تماس بازگشتی می‌توانند متن پاپ‌آپ بازگشتی، وضعیت هشدار و URL را حفظ کنند.

این‌ها اقدامات واقعی حساب کاربری هستند. فشردن دکمه‌های کال‌بک در اپلیکیشن تلگرام دیگر برای گردآورنده قابل مشاهده نیست، هرچند پیام‌ها یا ویرایش‌های حاصل از آن ممکن است قابل مشاهده باشند. مینی-کلاینت گردش کارهای وب‌اپلیکیشن، پرداخت، تماس تلفنی یا مکان‌یابی را انجام نمی‌دهد. برای رفتار دقیق، به تعاملات پنل مراجعه کنید.

۴. پیوند مشاهدات در سراسر چت‌ها#

در «ژورنال»، «تمام منابع» را انتخاب کرده و محتوای ضبط‌شده را جستجو کنید. سوابق مطابقت‌یافته را باز کرده و فضای کاری، چت، شناسه پیام، توالی و هش رکورد را حفظ کنید.

در یک چت مرتبط، «افراد» را باز کنید → «پروفایل‌ها» را روشن کنید و یک شخص را بررسی کنید:

• نام‌ها/نام‌های کاربری مشاهده‌شده در طول زمان و شناسه عددی تلگرام.
• پاسخ با روابط مرجع به رکورد منبع.
• همچنین در… سایر گفتگوهای این دفترچهٔ کاری که آن شناسه در آن‌ها نوشته است.
• فعالیت‌ها، ویرایش‌ها/حذف‌ها و کیف‌پول‌ها، تلفن‌ها، نام‌های کاربری و لینک‌های ذکرشده.
• متادیتای آواتارهای ذخیره شده و آواتارهای کش‌شده مشابه، با منشأ جداگانهٔ هر یک.

پیش از استفاده از یک پروفایل استنتاج‌شده در یک یافته، سوابق استنادشده را باز کنید. پروفایل‌ها شامل افرادی می‌شوند که پیام‌های ذخیره‌شده دارند، نه هر عضو گروه. پارامترها → سوابق استنادشده بر اساس هر واقعیت، فهرست ارجاعات را محدود می‌کند، نه تعداد فعالیت‌های زمینه‌ای را. اشاره‌ها و شباهت آواتار سرنخ هستند؛ آن‌ها مالکیت یا هویت را اثبات نمی‌کنند.

در مثال عملی:

هش‌های پیوست‌ها و ارجاعات پیام مرتبط با آن‌ها را مقایسه کنید. فایل‌های یکسان، خالق، ارسال‌کننده یا اپراتور مشترک را مشخص نمی‌کنند. اسامی یکسان و آواتارهای مشابه به تنهایی دو شناسه تلگرام را به یک شخص واحد پیوند نمی‌زنند.

۵. ساخت خط زمانی میان‌گفتگوها#

از نسخه‌های ذخیره‌شده در چت‌ها و لینک‌های #… در سوابق ژورنال استفاده کنید. در ژورنال، «تمام منابع» را با «ویرایش‌ها»، «حذف‌ها» و «پوشش» ترکیب کنید. هم source_at (در صورت ارائه) و هم observed_at را حفظ کنید.

سوابق دیگری بین این مراجع نمونه وجود دارد. شماره‌های توالی، مشاهدات را مرتب می‌کنند؛ اسنپ‌شات‌های تاریخچه می‌توانند شامل تاریخ‌های منبع قدیمی‌تر باشند و دیرتر از رویدادهای زنده برسند. بین اسنپ‌شات‌ها، پیام‌های بازیابی‌شده، اعلان‌های حذف و نتایج «در بازبینی مجدد موجود نبودن» تمایز قائل شوید. فواصل پوشش را به عنوان بازه‌های ناشناخته علامت‌گذاری کنید. به‌دست‌آوردن تاریخچه در مراحل بعدی به صورت عطف به ماسبق، مشاهده‌ی بی‌وقفه را اثبات نمی‌کند.

۶. افزودن دیدگاه‌های حساب کاربری بدون از دست دادن منشأ آن‌ها#

برای هر حساب کاربری متمایز از یک فضای کاری جداگانه استفاده کنید و فهرست آن را تکرار کنید. شناسه حساب، نقش، اثر انگشت کلید امضا و مراجع منبع را در هر مقایسه همراه داشته باشید. شماره‌های پیام در سراسر چت‌ها/حساب‌ها شناسه جهانی نیستند.

همبستگی بین فضاهای کاری مختلف در یادداشت‌های پرونده خارجی یا ابزارهای تحلیل انجام می‌شود. TgWitness در حال حاضر فاقد قابلیت جستجوی سراسری بین فضاهای کاری، خط زمانی ادغام‌شده، گراف تحقیقاتی یا آرشیو پرونده ترکیبی است. خروجی‌گیری چندحساب برای یک کانال/ابر گروه، عملیاتی متفاوت است و نه ادغام دفترچه‌های حساب کاربری.

برای کارهای طولانی‌تر، مرزها را با یک شاهد مستقل حفظ کنید. از بررسی‌های تحویل کنترل‌شده برای اعتبارسنجی مسیر ضبط و دید هر حساب کاربری استفاده کنید.

۷. تحویل پرونده را مونتاژ و تأیید کنید#

این موارد را در یک پوشهٔ پرونده که توسط تحلیلگر گردآوری شده است، کنار هم نگه دارید:

از یک نصب مورد اعتماد، با نام‌های فایل و اثر انگشت واقعی هر فضای کاری:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

نتایج تأیید هویت واقعی و شواهد اصلی را حفظ می‌کند. دایرکتوری پرونده سطح بالا، ثبت‌نام منبع و نتیجه‌گیری‌های تحلیلگر به صورت خارجی نگهداری می‌شوند؛ هر شواهد TgWitness دارای امضا و رویه تأیید هویت خاص خود است.

تطبیق با تحقیق#

مرجع جمع‌آوری · تأیید پروفایل افراد · واگذاری شواهد · اعتبارسنجی کامل شد