תיעוד / 09

חקור בכל הצ'אטים

טפלו בתיק שלם על פני ערוצים, קבוצות, צ'אטים פרטיים ובוטים: אספו, קישרו, שחזרו והעבירו את הראיות.

מדריך זה עוקב אחר אירוע בדיוני אחד לאורך כל התהליך. הוא עושה שימוש בתכונות האיסוף, החיפוש, פרופיל האנשים והייצוא בפועל. מפת המקרה מהווה דוגמה לתיעוד; המסקנות ורישום המקרה שלכם נשמרים מחוץ ליישום.

למידע על טעינת היסטוריה, סקירת מקורות באמצעות בינה מלאכותית (AI) אופציונלית, MCP, OCR ו-webhooks יוצאים, ראו "עבודה עם הארכיון".

1. להבטיח כיסוי של כל החשבון

1. חברו את חשבון האיסוף לסביבת העבודה שלו. רשמו את מספר התיק, מזהה החשבון, שם סביבת העבודה וטביעת האצבע של מפתח החתימה בהערות התיק שלכם.
2. מקורות פתוחים → היקף התצפית → מצב חקירה. סקרו את החשבון כולו, את כל ארבעת סוגי המקורות ואת הפעולות שלכם. הגדרה קבועה מראש זו מאפשרת לשמור את פרופיל המקור החדש ואת 200 ההודעות הגלויות האחרונות שלו. לחצו על 'שמור היקף' והשלימו את אישור ההיקף.
3. לחץ על "טען צ'אטים". השווה את המקורות לרשימת השיחות של החשבון ובדוק את ההחרגות. תחת "פרמטרים" → "צ'אטים הנקראים מרשימת החשבון", התאם את מגבלת הרשימה הראשונית במידת הצורך: ברירת המחדל היא 1,000 שיחות, וניתן להגדיר עד 20,000. צ'אטים החורגים מהמגבלה מתגלים ברגע שהם הופכים לפעילים.
4. בהגדרות ההקלטה, בחר ושמור את האפשרות "כל הפעילות הגלויה". בדוק את סוגי הקבצים המצורפים, מגבלות הגודל ושטח הדיסק הפנוי. התחל את המעקב ואמת הודעה מבוקרת, עריכה ומחיקה לפני שתסתמך על ההגדרה.

"חשבון מלא" מכסה את הצ'אטים שאליהם חשבון זה יכול לגשת, עם סוגי המקורות וההחרגות שהוגדרו. צ'אטים סודיים אינם זמינים. דיאלוגים חדשים מתווספים עם קבלת העדכונים; הפעלת מצב זה אינה מורידה אוטומטית את ההיסטוריה המלאה של כל צ'אט קיים.

2. איסוף היסטוריה ושמירת הקבצים

הקימו רישום מקורות לכל אורך החקירה. הקצו לכל צ'אט שורה הכוללת את המזהה המספרי שלו, הכותרת, החשבון, הגישה/התפקיד, תחילת השיחה, איסוף ההיסטוריה, תוצאות המדיה ופערים ידועים. סמנו מקור כ"נאסף" רק לאחר בדיקת התוצאה הרלוונטית.

ייצוא צ'אט מלא הוא תמונת מצב נפרדת; הוא אינו מייבא את ההיסטוריה המלאה שלו ליומן או לפרופילים של אנשים. השתמש באפשרות "טען היסטוריה מלאה מכל המקורות המופעלים" או בתמונות מצב מוגבלות של היומן, עבור חומר היסטורי שאתה צריך לחפש בתוך TgWitness. בדוק את רשימת המקורות לפני תחילת הריצה.

במקרה הנדון, יש לאסוף את ערוץ ההודעות, קבוצת הפעולות, שיחת הבוט והמעקב הפרטי. יש לשמור על הבייטים וה-hash של קובץ החשבונית המצורף. ההיסטוריה הזמינה כיום אינה מאפשרת לשחזר הודעה שנמחקה לפני תיעודה או עריכה ביניים ש-Telegram כבר אינה מחזירה.

3. עקבו אחר התפתחות השיחה ופעולותיכם

המשך במעקב ככל שהתיק מתקדם. סמן בכוכבית את צ'אטי התיק הפעילים כמקורות בעדיפות; הגדר בדיקות חוזרות של מקורות בעדיפות ומקורות אחרים תחת הגדרות הקלטה → בדיקה חוזרת. בדוק את recheck.completed, המשך ההשלמה, FloodWait ותוצאות המדיה ככל שהעבודה מתקדמת.

השתמש ב"צ'אטים" → "פרופיל" → "שמור פרופיל עכשיו" כדי לשמור את תיאורי המקור הנוכחיים, פקודות הבוט ומטא-נתונים אחרים ש-Telegram מחזירה. פרופיל מקור זה נפרד מפרופילי האנשים שנבנים מהודעות היומן.

4. עקבו אחר אנשים, קישורים וקבצים בצ'אטים

1. פתחו את היומן, השאירו את מסנן המקורות על "כל המקורות" וחפשו ביטוי ייחודי, דומיין, שם משתמש או מזהה שמור. פתחו כל רשומה תואמת ורשמו את הצ'אט, מזהה ההודעה ומספר הרצף ביומן.
2. לצ'אט רלוונטי, פתחו "צ'אטים" → "אנשים" → "הפעל פרופילים", ואז בחרו אדם. עיינו בהיסטוריית השם/שם המשתמש, יחסי התגובות, הפעילות, וכן ב..."גם ב..." – צ'אטים אחרים שנצפו וקישורים, ארנקים או מספרי טלפון שחולצו. פתחו את רשומות היומן המצוטטות.
3. עקבו אחר אותו מזהה משתמש מספרי של טלגרם בצ'אטים אחרים במרחב העבודה הזה. התייחסו לשם תואם, לאזכור ארנק או לאווטאר דומה כאל קצה חוט שיש לבדוק. כתובת שהוזכרה אינה מהווה הוכחת בעלות; אווטאר דומה אינו מהווה הוכחה שמדובר באותו אדם.
4. השוו ערכי SHA-256 של קבצים מצורפים שנשמרו בין רשומות שונות. ערכי hash זהים מאשרים את זהות הבייטים של הקבצים שנשמרו. בדקו את ההודעה והרשומות הקשורות לשולח לפני שתסיקו מסקנות לגבי זהות מי ששיתף אותם.

פרופילי המשתמשים מכסים מחברים שיש להם הודעות שמורות באותו צ'אט, ומקשרים אותם לצ'אטים אחרים באותו יומן סביבת העבודה. הם אינם מהווים מדריך חברים מלא. חתימות האוואטרים (hash) מגיעות ממאגר מטמון מקומי נפרד; לציטוטים בפרופיל יש מגבלה הניתנת להגדרה תחת "פרמטרים" → "רשומות מצוטטות לכל עובדה".

5. לשחזר את הרצף ולסמן את החוסרים

ב"צ'אטים", בדקו את הגרסאות השמורות ואת הקישורים לרישומי היומן שלהן (#…). ב"יומן", השתמשו ב"כל המקורות" ובנוסף ב"עריכות", "מחיקות" ו"כיסוי". בנו ציר זמן של התיק תוך שימוש הן בתאריך ש-Telegram סיפק והן בזמן התצפית של האוסף.

1. 09:00 · #101פוסט בערוץ שנלכד

   היעד המקורי נשמר.

2. 09:12 · #146 / #151הקבוצה מציגה קישור אחר

   המשתמש 71001 מפרסם את ההודעה; הורדת הקובץ המצורף מסתיימת.

3. 09:16 · #173הבוט מציג את אותו היעד

   מטא-הנתונים של המקלדת שנשמרו מכילים את הקישור.

4. 09:20 · #188שינויים בהודעות הערוץ

   התצפיות המקוריות והערוכות נותרות שתיהן.

5. 09:24 · #205 / #209בהמשך פרטי חוזרים על כך

   לקובץ המצורף שנשמר יש אותו SHA-256 מלא כמו ל-#151.

6. 09:28 · #231הודעה על מחיקת קבוצה מתקבלת

   ההערה הקודמת נותרת בעינה; לא מצוין מי ביצע את המחיקה, ואף לא זמן המחיקה המדויק.

זמני תצפית והפניות להמחשה. בין רשומות אלה מופיעים רישומים נוספים ביומן.

סדר הרישומים ביומן הוא לפי סדר קבלתם, ולאו דווקא לפי סדר הפעולות המקורי ב-Telegram. תמונת מצב ישנה יותר מההיסטוריה עשויה להגיע לאחר הודעה חיה חדשה יותר. יש להבחין בבירור בין תצפיות בזמן אמת, תמונות מצב, הודעות ששוחזרו, הודעות מחיקה ו"נעדרים בבדיקה חוזרת". יש להוסיף מרווח זמן לא ידוע מפורש בכל מקום שבו הכיסוי מציג פער; תמונת מצב מאוחרת יותר אינה מוחקת את הפער הזה.

6. הרחבת הטיפול למקרים של חשבונות איסוף אחרים

יש להוסיף סביבת עבודה לכל חשבון נפרד ולחזור על פירוט ההיקף וההיסטוריה. יש לתעד את החברות/התפקיד ואת טביעת האצבע של מפתח החתימה עבור כל אחד מהם. יש לשמור על מזהים המותאמים לסביבת העבודה ולצ'אט: אותו מספר הודעה אינו מהווה מזהה גלובלי החוצה חשבונות.

השוו תצפיות רלוונטיות ברשימות המקרה או בכלי הניתוח שלכם, תוך שמירה על הפניה לחשבון וליומן עבור כל שורה. TgWitness אינו מספק כרגע חיפוש גלובלי אחד, ציר זמן מאוחד, גרף אנשים או ארכיון מקרים חוצה סביבות עבודה. ייצוא מלא של ערוץ אחד או סופר-קבוצה ממספר חשבונות הוא תכונה נפרדת; אין מדובר במיזוג של כל יומני החשבונות.

במהלך עבודה ממושכת, יש להוסיף עד עצמאי כדי לשמור על הגבולות שנקבעו קודם לכן. יש להשתמש בתוכנית הפיילוט למסירה מבוקרת כדי לאמת את נתיבי הלכידה והנראות של החשבונות.

7. לספק חבילת תיק מלאה וניתנת לאימות

ייצא קובץ ZIP של היומן החתום מכל סביבת עבודה. הקובץ מכיל את היומן המלא שהוקלט, ללא תלות במסנני החיפוש בלוח הבקרה. ייצא בנפרד את הפרופילים של האנשים הרלוונטיים, שמור כל חבילת היסטוריית צ'אט מלאה, ושמור את הראיות המלאות של הקבצים המצורפים.

CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files

שמרו טביעות אצבע מהימנות באמצעות ערוץ נפרד. מתוך התקנה מהימנה, אמתו כל ממצא מול זהות סביבת העבודה שלו:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

בדקו את תוצאות האימות בפועל, שמרו את המסמכים המקוריים, ושמרו את דוח הכיסוי, את תקלות הרכישה ואת תיעוד ההעברה יחד עם ממצאיכם. תיק התיק ברמה העליונה ומסקנות האנליסט נאספים באופן חיצוני; לכל אחד ממסמכי TgWitness יש חתימה משלו.

יש להשתמש באותה השיטה גם בחקירות אחרות