Dokumentasi / 09

Selidiki seluruh obrolan

Tangani seluruh kasus di berbagai saluran, grup, obrolan pribadi, dan bot: kumpulkan, hubungkan, rekonstruksi, dan serahkan bukti tersebut.

Panduan ini mengikuti satu insiden fiktif dari awal hingga akhir. Panduan ini menggunakan fitur pengumpulan, pencarian, profil pengguna, dan ekspor yang sebenarnya. Peta kasus hanyalah contoh dokumentasi; kesimpulan dan daftar kasus Anda disimpan di luar aplikasi.

Untuk pemuatan riwayat, tinjauan sumber AI opsional, MCP, OCR, dan webhook keluar, lihat "Work the archive".

1. Menjangkau seluruh akun

1. Hubungkan akun pengumpul ke ruang kerja tersendiri. Catat nomor referensi kasus, ID akun, nama ruang kerja, dan sidik jari kunci penandatanganan dalam catatan kasus Anda.
2. Sumber Terbuka → Cakupan pengamatan → Mode investigasi. Tinjau seluruh akun, keempat jenis sumber, dan tindakan sendiri. Pengaturan awal ini memungkinkan penyimpanan profil sumber baru beserta 200 pesan terbarunya yang terlihat. Tekan Simpan cakupan dan selesaikan konfirmasi cakupan.
3. Tekan "Muat obrolan". Bandingkan sumber-sumber tersebut dengan daftar percakapan akun dan tinjau pengecualian. Di bawah Parameter → Obrolan yang dibaca dari daftar akun, sesuaikan batas daftar awal jika diperlukan: nilai defaultnya adalah 1.000 percakapan, dapat dikonfigurasi hingga 20.000. Percakapan yang melebihi batas tersebut akan terdeteksi saat menjadi aktif.
4. Di pengaturan Perekaman, pilih dan simpan Semua aktivitas yang terlihat. Periksa jenis lampiran, batas ukuran, dan ruang disk kosong. Mulai pemantauan dan validasi pesan, pengeditan, serta penghapusan yang dikendalikan sebelum mengandalkan pengaturan tersebut.

“Seluruh akun” mencakup obrolan yang dapat diakses oleh akun ini, beserta jenis sumber dan pengecualian yang telah dikonfigurasi. Obrolan rahasia tidak tersedia. Dialog baru ditambahkan seiring dengan kedatangan pembaruan; mengaktifkan mode ini tidak secara otomatis mengunduh riwayat lama lengkap dari setiap obrolan yang ada.

2. Mengumpulkan riwayat dan menyimpan berkas-berkas tersebut

Buatlah daftar sumber untuk seluruh penyelidikan. Berikan setiap obrolan satu baris yang berisi ID numerik, judul, akun, akses/peran, waktu mulai real-time, perolehan riwayat, hasil media, dan celah yang diketahui. Tandai sumber sebagai telah diperoleh hanya setelah memeriksa hasil yang relevan.

Ekspor obrolan lengkap merupakan snapshot terpisah; ekspor ini tidak mengimpor seluruh riwayat obrolan ke dalam jurnal atau profil pengguna. Gunakan opsi "Muat riwayat lengkap dari semua sumber yang diaktifkan" atau "snapshot jurnal terbatas" untuk materi historis yang perlu Anda telusuri di dalam TgWitness. Periksa daftar sumber sebelum memulai proses.

Dalam kasus yang dianalisis, peroleh saluran pengumuman, grup operasional, percakapan bot, dan tindak lanjut pribadi. Simpan byte dan hash lampiran faktur. Riwayat yang tersedia saat ini tidak dapat merekonstruksi pesan yang dihapus sebelum penangkapan atau pengeditan sementara yang tidak lagi ditampilkan oleh Telegram.

3. Catat percakapan yang terus berkembang dan tindakan Anda sendiri

Pertahankan pemantauan agar tetap berjalan seiring perkembangan kasus. Tandai obrolan kasus yang aktif sebagai sumber prioritas; konfigurasikan pemeriksaan ulang prioritas dan sumber lain di bawah Pengaturan Perekaman → Pemeriksaan Ulang. Tinjau recheck.completed, kelanjutan penyesuaian, FloodWait, dan hasil media seiring berjalannya pekerjaan.

Gunakan Obrolan → Profil → Simpan profil sekarang untuk menyimpan deskripsi sumber saat ini, perintah bot, dan metadata lain yang dikembalikan oleh Telegram. Profil sumber ini terpisah dari profil orang yang dibuat berdasarkan pesan dalam jurnal.

4. Melacak orang, tautan, dan berkas di seluruh obrolan

1. Buka Jurnal, biarkan filter sumber pada "Semua sumber" dan cari frasa, domain, nama pengguna, atau pengenal yang tersimpan yang khas. Buka setiap catatan yang cocok dan catat obrolannya, ID pesan, serta nomor urut jurnal.
2. Untuk obrolan yang relevan, buka Obrolan → Orang → Aktifkan profil, lalu pilih seseorang. Tinjau riwayat nama/nama pengguna, hubungan balasan, aktivitas, serta "Juga di..." obrolan lain yang diamati dan tautan, dompet, atau nomor telepon yang diekstraksi. Buka catatan jurnal yang dikutip.
3. Ikuti ID pengguna Telegram numerik yang sama ke obrolan lain di ruang kerja ini. Anggap nama yang cocok, penyebutan dompet, atau avatar yang serupa sebagai petunjuk yang perlu diperiksa. Alamat yang disebutkan tidak membuktikan kepemilikan; avatar yang serupa tidak membuktikan bahwa itu adalah orang yang sama.
4. Bandingkan nilai SHA-256 lampiran yang disimpan di seluruh catatan. Nilai hash yang sama mendukung identitas byte dari file yang disimpan. Periksa catatan pesan dan pengirim yang terkait sebelum menarik kesimpulan tentang siapa yang membagikannya.

Profil pengguna mencakup penulis yang memiliki pesan tersimpan dalam obrolan tersebut dan menghubungkannya dengan obrolan lain dalam jurnal ruang kerja yang sama. Profil ini bukanlah direktori keanggotaan yang lengkap. Nilai hash avatar berasal dari cache lokal terpisah; kutipan profil memiliki batas yang dapat dikonfigurasi di bawah Parameter → Catatan yang dikutip per fakta.

5. Rekonstruksi urutan dan tandai celah-celahnya

Di bagian Chats, periksa versi yang disimpan beserta tautan catatan Jurnal #… yang menyertainya. Di bagian Jurnal, gunakan opsi Semua sumber ditambah Pengeditan, Penghapusan, dan Cakupan. Buat garis waktu kasus dengan menggunakan tanggal Telegram yang disediakan serta waktu pengamatan pengumpul data.

1. 09:00 · #101Postingan saluran yang direkam

   Tujuan asli tetap dipertahankan.

2. 09:12 · #146 / #151Grup memperkenalkan tautan yang berbeda

   Pengguna 71001 mempostingnya; unduhan lampiran selesai.

3. 09:16 · #173Bot menampilkan tujuan yang sama

   Metadata keyboard yang disimpan berisi tautan tersebut.

4. 09:20 · #188Perubahan pengumuman saluran

   Baik pengamatan asli maupun yang telah diedit tetap dipertahankan.

5. 09:24 · #205 / #209Tindak lanjut pribadi mengulanginya

   Lampiran yang disimpan memiliki nilai SHA-256 lengkap yang sama dengan #151.

6. 09:28 · #231Pemberitahuan penghapusan grup telah diterima

   Pengamatan sebelumnya tetap berlaku; baik pihak yang menghapus maupun waktu penghapusan yang tepat tidak disebutkan.

Contoh waktu pengamatan dan referensi. Catatan jurnal lainnya terdapat di antara entri-entri ini.

Urutan jurnal mengikuti urutan penerimaan, bukan urutan tindakan asli di Telegram. Cuplikan riwayat yang lebih lama dapat muncul setelah pesan langsung yang lebih baru. Pastikan untuk membedakan antara pengamatan langsung, cuplikan, pesan yang dipulihkan, pemberitahuan penghapusan, dan “tidak ditemukan saat diperiksa ulang”. Tambahkan interval “tidak diketahui” secara eksplisit di mana pun terdapat celah dalam cakupan; cuplikan yang lebih baru tidak akan menghapus celah tersebut.

6. Perluas penerapan ke akun pengumpul lainnya

Tambahkan ruang kerja untuk setiap akun yang berbeda dan ulangi inventarisasi cakupan serta riwayat. Catat keanggotaan/peran dan sidik jari kunci penandatanganan untuk masing-masing akun. Pastikan pengidentifikasi dikualifikasikan berdasarkan ruang kerja dan obrolan: nomor pesan yang sama bukanlah pengidentifikasi lintas akun secara global.

Bandingkan pengamatan yang relevan dalam catatan kasus atau alat analisis Anda, dengan tetap mencantumkan referensi akun dan jurnal untuk setiap baris. Saat ini, TgWitness belum menyediakan fitur pencarian global tunggal, garis waktu gabungan, grafik kontak, atau arsip kasus yang mencakup seluruh ruang kerja. Ekspor lengkap multi-akun dari satu saluran atau supergrup merupakan fitur terpisah; ini bukanlah penggabungan dari semua jurnal akun.

Selama proses kerja yang lebih lama, tambahkan saksi independen untuk mempertahankan batasan-batasan sebelumnya. Gunakan uji coba pengiriman terkontrol untuk memverifikasi jalur penangkapan dan visibilitas akun-akun tersebut.

7. Menyediakan paket kasus yang lengkap dan dapat diverifikasi

Ekspor berkas ZIP jurnal yang telah ditandatangani dari setiap ruang kerja. Berkas tersebut berisi jurnal lengkap yang terekam, terlepas dari filter pencarian panel. Ekspor profil orang-orang yang relevan secara terpisah, pertahankan setiap bundel riwayat obrolan lengkap, dan simpan bukti lampiran yang telah lengkap.

CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files

Simpan sidik jari tepercaya melalui saluran terpisah. Dari instalasi tepercaya, verifikasi setiap artefak berdasarkan identitas ruang kerjanya sendiri:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

Periksa hasil verifikasi yang sebenarnya, simpan salinan asli, dan pertahankan laporan cakupan, kegagalan akuisisi, serta catatan transfer bersama temuan Anda. Folder kasus tingkat atas dan kesimpulan analis disusun secara eksternal; setiap artefak TgWitness memiliki tanda tangan tersendiri.

Gunakan metode yang sama untuk penyelidikan lainnya