เอกสาร / 09

สืบสวนในทุกการสนทนา

จัดการคดีทั้งคดีผ่านช่องทางต่าง ๆ กลุ่ม แชทส่วนตัว และบอท: รวบรวม เชื่อมโยง สร้างภาพเหตุการณ์ใหม่ และส่งมอบหลักฐาน

คู่มือนี้ติดตามเหตุการณ์สมมติหนึ่งตั้งแต่ต้นจนจบ โดยใช้คุณสมบัติการเก็บรวบรวมข้อมูล การค้นหา การสร้างโปรไฟล์บุคคล และการส่งออกข้อมูลจริง แผนผังคดีเป็นตัวอย่างในเอกสารนี้; ข้อสรุปและทะเบียนคดีของคุณจะถูกเก็บไว้ภายนอกแอปพลิเคชัน

สำหรับการโหลดข้อมูลประวัติ การตรวจสอบแหล่งข้อมูลด้วย AI (ตามตัวเลือก) MCP OCR และ webhooks ที่ส่งออกไป โปรดดูที่ Work the archive.

1. กำหนดขอบเขตการบันทึกให้ครอบคลุมทั้งบัญชี

1. เชื่อมต่อบัญชีที่เก็บข้อมูลในพื้นที่ทำงานของตัวเอง บันทึกหมายเลขอ้างอิงคดี ID บัญชี ชื่อพื้นที่ทำงาน และลายนิ้วมือของกุญแจลงนามไว้ในบันทึกคดีของคุณ
2. แหล่งข้อมูลเปิด → ขอบเขตการสังเกต → โหมดการสืบสวน ตรวจสอบบัญชีทั้งหมด ทั้งสี่ประเภทแหล่งข้อมูล และกิจกรรมของตนเอง การตั้งค่าล่วงหน้านี้ช่วยให้สามารถบันทึกโปรไฟล์ของแหล่งข้อมูลใหม่และข้อความ 200 ข้อความล่าสุดที่มองเห็นได้ กด “บันทึกขอบเขต” และยืนยันขอบเขตให้เสร็จสิ้น
3. กด “Load chats” (โหลดการสนทนา) เปรียบเทียบแหล่งข้อมูลกับรายชื่อการสนทนาของบัญชี และตรวจสอบรายการที่ถูกยกเว้น ในส่วน “Parameters → Chats read from the account’s list” (พารามิเตอร์ → การสนทนาที่อ่านจากรายชื่อของบัญชี) ปรับขีดจำกัดรายชื่อเริ่มต้นหากจำเป็น: ค่าเริ่มต้นคือ 1,000 การสนทนา และสามารถปรับได้สูงสุดถึง 20,000 การสนทนาที่เกินขีดจำกัดจะถูกค้นพบเมื่อมีการใช้งาน
4. ในส่วนการตั้งค่าการบันทึก ให้เลือกและบันทึก “ทุกกิจกรรมที่มองเห็นได้” ตรวจสอบประเภทไฟล์แนบ ขีดจำกัดขนาด และพื้นที่ว่างบนดิสก์ เริ่มการสังเกตและตรวจสอบความถูกต้องของข้อความที่ควบคุม การแก้ไข และการลบ ก่อนที่จะใช้การตั้งค่านี้

“บัญชีทั้งหมด” ครอบคลุมการสนทนาที่บัญชีนี้สามารถเข้าถึงได้ ตามประเภทแหล่งข้อมูลและข้อยกเว้นที่ตั้งค่าไว้ การสนทนาแบบลับไม่สามารถเข้าถึงได้ การสนทนาใหม่จะถูกเพิ่มเข้ามาเมื่อมีการอัปเดต; การเปิดใช้งานโหมดนี้จะไม่ดาวน์โหลดประวัติเก่าทั้งหมดของการสนทนาที่มีอยู่ทุกครั้งโดยอัตโนมัติ

2. รวบรวมประวัติและเก็บรักษาไฟล์

สร้างทะเบียนแหล่งข้อมูลสำหรับทั้งการสืบสวน ให้ทุกการสนทนาเป็นแถวหนึ่ง พร้อมด้วย ID เลขที่ ชื่อบัญชี บัญชีผู้ใช้ สิทธิ์การเข้าถึง/บทบาท เวลาเริ่มบันทึกแบบเรียลไทม์ เวลาเก็บรวบรวมประวัติ ผลลัพธ์สื่อ และช่องว่างที่ทราบไว้ ให้ทำเครื่องหมายแหล่งข้อมูลว่า "ได้รับการเก็บรวบรวมแล้ว" ก็ต่อเมื่อตรวจสอบผลลัพธ์ที่เกี่ยวข้องแล้วเท่านั้น

การส่งออกบทสนทนาแบบเต็มเป็นภาพถ่ายแยกต่างหาก; มันไม่นำประวัติทั้งหมดมาใส่ในบันทึกหรือโปรไฟล์ผู้ใช้ ใช้ตัวเลือก “โหลดประวัติเต็มจากแหล่งข้อมูลที่เปิดใช้งาน” หรือ “ภาพถ่ายบันทึกแบบจำกัด” สำหรับข้อมูลประวัติที่คุณต้องการค้นหาภายใน TgWitness ตรวจสอบรายชื่อแหล่งข้อมูลก่อนเริ่มการดำเนินการ

ในตัวอย่างกรณีที่ดำเนินการแล้ว ให้เก็บรวบรวมช่องประกาศ กลุ่มปฏิบัติการ การสนทนาผ่านบอท และข้อความติดตามส่วนตัว เก็บรักษาไบต์และแฮชของไฟล์แนบในใบแจ้งหนี้ ประวัติที่มีอยู่ในปัจจุบันไม่สามารถสร้างข้อความที่ถูกลบก่อนการบันทึกใหม่ได้ หรือข้อความที่ผ่านการแก้ไขระหว่างทางซึ่ง Telegram ไม่ส่งคืนข้อมูลอีกต่อไป

3. ติดตามการสนทนาที่พัฒนาไปอย่างต่อเนื่องและพฤติกรรมของคุณเอง

ให้ดำเนินการติดตามต่อไปตามความคืบหน้าของคดี หมายเหตุแชทคดีที่กำลังดำเนินการเป็นแหล่งข้อมูลลำดับความสำคัญ; ตั้งค่าลำดับความสำคัญและการตรวจสอบซ้ำจากแหล่งข้อมูลอื่น ๆ ในส่วนการตั้งค่าการบันทึก → ตรวจสอบซ้ำ ตรวจสอบrecheck.completed การติดตามผลต่อเนื่อง FloodWait และผลลัพธ์สื่อตามความคืบหน้าของงาน

ใช้ Chats → Profile → Save profile now เพื่อเก็บรักษาคำอธิบายแหล่งข้อมูลปัจจุบัน คำสั่งบอต และข้อมูลเมตาดาต้าอื่น ๆ ที่ Telegram ส่งกลับมา โปรไฟล์แหล่งข้อมูลนี้แยกต่างหากจากโปรไฟล์บุคคลที่สร้างขึ้นจากข้อความในบันทึก

4. ติดตามบุคคล ลิงก์ และไฟล์ในทุกการสนทนา

1. เปิดสมุดบันทึก (Open Journal), ปล่อยตัวกรองแหล่งข้อมูล (source filter) ไว้ที่ "All sources" (ทุกแหล่งข้อมูล) และค้นหาวลีที่โดดเด่น, โดเมน, ชื่อผู้ใช้ หรือตัวระบุที่บันทึกไว้ เปิดแต่ละบันทึกที่ตรงกัน และบันทึกการสนทนา, ID ข้อความ และหมายเลขลำดับในสมุดบันทึก
2. เพื่อดูการสนทนาที่เกี่ยวข้อง ให้เปิด Chats → People → เปิดโปรไฟล์ แล้วเลือกบุคคลหนึ่ง ตรวจสอบประวัติชื่อ/ชื่อผู้ใช้ ความสัมพันธ์ในการตอบกลับ กิจกรรม รวมถึง “Also in…” ซึ่งแสดงการสนทนาอื่น ๆ ที่ถูกติดตามและลิงก์ที่สกัดได้ รวมถึงกระเป๋าเงินดิจิทัลหรือหมายเลขโทรศัพท์ เปิดบันทึกในสมุดบันทึกที่อ้างอิง
3. ติดตาม ID ผู้ใช้ Telegram ที่เป็นตัวเลขเดียวกันไปยังการสนทนาอื่น ๆ ในพื้นที่ทำงานนี้ ให้ถือว่าชื่อที่ตรงกัน การกล่าวถึงกระเป๋าเงิน หรือรูปโปรไฟล์ที่คล้ายกัน เป็นเบาะแสที่ควรตรวจสอบ ที่อยู่ที่ถูกกล่าวถึงไม่ได้ยืนยันความเป็นเจ้าของ และรูปโปรไฟล์ที่คล้ายกันไม่ได้ยืนยันว่าเป็นบุคคลเดียวกัน
4. เปรียบเทียบค่า SHA-256 ของไฟล์แนบที่เก็บรักษาไว้ระหว่างบันทึกต่าง ๆ ค่าแฮชที่เท่ากันยืนยันความตรงกันของไบต์ในไฟล์ที่บันทึกไว้ ตรวจสอบบันทึกข้อความและผู้ส่งที่เกี่ยวข้องก่อนที่จะสรุปว่าใครเป็นผู้แชร์ไฟล์เหล่านั้น

โปรไฟล์ผู้ใช้แสดงข้อมูลผู้เขียนที่มีข้อความที่บันทึกไว้ในแชทนั้น และเชื่อมโยงกับแชทอื่น ๆ ในบันทึกของพื้นที่ทำงานเดียวกัน โปรไฟล์เหล่านี้ไม่ใช่รายชื่อสมาชิกที่ครบถ้วน ค่าแฮชของอวาตาร์มาจากแคชท้องถิ่นที่แยกต่างหาก ส่วนการอ้างอิงโปรไฟล์มีขีดจำกัดที่สามารถปรับได้ในส่วน Parameters → Records cited per fact

5. สร้างลำดับเหตุการณ์ใหม่และระบุจุดที่ขาดข้อมูล

ในส่วน Chats (การสนทนา), ตรวจสอบเวอร์ชันที่บันทึกไว้และลิงก์บันทึกใน Journal #… ในส่วน Journal (บันทึก), ใช้ตัวเลือก All sources (ทุกแหล่งข้อมูล) พร้อมทั้ง Edits (การแก้ไข), Deletions (การลบ) และ Coverage (ขอบเขตการบันทึก). สร้างไทม์ไลน์ของคดีโดยใช้ทั้งวันที่จาก Telegram ที่ให้มาและเวลาที่ผู้เก็บข้อมูลสังเกตเห็น

1. 09:00 · #101บันทึกโพสต์ในช่อง

   จุดหมายปลายทางเดิมยังคงถูกเก็บรักษาไว้

2. 09:12 · #146 / #151กลุ่มได้แนะนำลิงก์อื่น

   ผู้ใช้ 71001 ได้โพสต์ข้อมูลนี้; การดาวน์โหลดไฟล์แนบเสร็จสิ้นแล้ว

3. 09:16 · #173บอทแสดงปลายทางเดียวกัน

   ข้อมูลเมตาดาต้าจากคีย์บอร์ดที่บันทึกไว้จะนำลิงก์ไปด้วย

4. 09:20 · #188การเปลี่ยนแปลงประกาศในช่อง

   ทั้งข้อสังเกตต้นฉบับและที่แก้ไขแล้วจะยังคงอยู่ทั้งสองส่วน

5. 09:24 · #205 / #209การติดตามผลแบบส่วนตัวจะซ้ำเนื้อหาดังกล่าว

   ไฟล์แนบที่บันทึกไว้มีค่า SHA-256 เต็มที่เหมือนกันกับ #151

6. 09:28 · #231ได้รับแจ้งการลบกลุ่ม

   ข้อสังเกตก่อนหน้านี้ยังคงมีอยู่; ไม่มีการระบุทั้งผู้ลบข้อความหรือเวลาการลบที่แม่นยำ

เวลาการสังเกตและข้อมูลอ้างอิงที่แสดงเป็นตัวอย่าง มีบันทึกอื่น ๆ ในสมุดบันทึกนี้ระหว่างรายการดังกล่าว

ลำดับในบันทึกจะเรียงตามลำดับการรับข้อความ ไม่ใช่ตามลำดับการดำเนินการเดิมใน Telegram เสมอไป ภาพถ่ายประวัติที่เก่ากว่าอาจปรากฏขึ้นหลังจากข้อความสดที่ใหม่กว่า ให้แยกการสังเกตการณ์แบบสด ภาพถ่ายประวัติ ข้อความที่กู้คืนได้ ประกาศการลบ และ “ไม่พบเมื่อตรวจสอบซ้ำ” ให้ชัดเจน เพิ่มช่วงเวลาที่ไม่ทราบอย่างชัดเจนทุกครั้งที่การบันทึกมีช่องว่าง; ภาพถ่ายประวัติที่ถ่ายในภายหลังจะไม่ลบช่องว่างนั้น

6. ขยายกรณีนี้ไปยังบัญชีอื่น ๆ ที่ใช้เก็บรวบรวมข้อมูล

เพิ่มพื้นที่ทำงาน (workspace) สำหรับแต่ละบัญชีที่แยกกัน และทำซ้ำการระบุขอบเขตและประวัติการบันทึกข้อมูล สำหรับแต่ละพื้นที่ทำงาน ให้บันทึกข้อมูลสมาชิก/บทบาท และลายนิ้วมือของกุญแจลงนาม (signing key fingerprint) สำหรับแต่ละบัญชี รักษาตัวระบุให้สอดคล้องกับพื้นที่ทำงานและห้องสนทนา: หมายเลขข้อความเดียวกันไม่ใช่ตัวระบุข้ามบัญชีแบบสากล

เปรียบเทียบข้อมูลที่เกี่ยวข้องในบันทึกคดีหรือเครื่องมือวิเคราะห์ของคุณ โดยเก็บรักษาข้อมูลอ้างอิงบัญชีและบันทึกสำหรับแต่ละแถว TgWitness ปัจจุบันยังไม่สนับสนุนการค้นหาแบบรวมเดียว ไทม์ไลน์ที่รวมกัน กราฟผู้ใช้งาน หรือคลังคดีที่ครอบคลุมทุกพื้นที่ทำงาน การส่งออกข้อมูลแบบเต็มจากหลายบัญชีของช่องหรือกลุ่มใหญ่เป็นฟีเจอร์ที่แยกต่างหาก ไม่ใช่การรวมบันทึกของทุกบัญชีเข้าด้วยกัน

ระหว่างการทำงานที่ยาวนานขึ้น ให้เพิ่มพยานอิสระเพื่อรักษาขอบเขตที่กำหนดไว้ก่อนหน้านี้ ใช้โครงการนำร่องการส่งข้อมูลแบบควบคุมเพื่อตรวจสอบเส้นทางบันทึกและระดับการมองเห็นของบัญชี

7. ส่งมอบชุดข้อมูลคดีที่ครบถ้วนและสามารถตรวจสอบได้

ส่งออกไฟล์ ZIP ของบันทึกที่ลงนามจากแต่ละพื้นที่ทำงาน ไฟล์นี้ประกอบด้วยบันทึกที่บันทึกไว้ทั้งหมด โดยไม่ขึ้นอยู่กับตัวกรองการค้นหาในแผงควบคุม ส่งออกโปรไฟล์บุคคลที่เกี่ยวข้องแยกกัน เก็บรักษาชุดประวัติการสนทนาทั้งหมดไว้ และรักษาหลักฐานไฟล์แนบที่เสร็จสมบูรณ์

CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files

เก็บลายนิ้วมือที่เชื่อถือได้ผ่านช่องแยกต่างหาก จากระบบที่ติดตั้งไว้อย่างเชื่อถือได้ ให้ตรวจสอบแต่ละหลักฐานเทียบกับตัวตนของพื้นที่ทำงานของมันเอง:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

ตรวจสอบผลการตรวจสอบจริง เก็บรักษาต้นฉบับ และเก็บรายงานการครอบคลุม ความล้มเหลวในการเก็บข้อมูล และบันทึกการโอนย้ายไว้พร้อมกับผลการค้นพบของคุณ โฟลเดอร์คดีระดับบนสุดและข้อสรุปของนักวิเคราะห์ถูกรวบรวมจากภายนอก ส่วนเอกสาร TgWitness แต่ละชิ้นมีลายเซ็นของตัวเอง

ใช้วิธีการเดียวกันสำหรับการสืบสวนอื่นๆ