โหมดการสืบสวน

ติดตามคดีผ่านช่องต่างๆ กลุ่ม แชทส่วนตัว และบอต ตั้งแต่ขั้นตอน การเก็บข้อมูลเบื้องต้น ไปจนถึงไทม์ไลน์ที่อ้างอิงได้ และการส่งต่อข้อมูลที่สามารถตรวจสอบได้ เวอร์ชันเว็บไซต์แบบโต้ตอบ อยู่ที่ /docs/cases/; ดูคำแนะนำการดูตัวอย่าง

กรณีตัวอย่าง: จุดหมายปลายทางเปลี่ยนแปลงไปตลอดการสนทนาสี่ครั้ง#

ประกาศหนึ่งชี้ไปยังบอท กลุ่มปฏิบัติการหารือเกี่ยวกับจุดหมายการชำระเงินใหม่ คีย์บอร์ดของบอทแสดงข้อมูลนั้น และข้อความติดตามผลในช่องส่วนตัวก็ซ้ำข้อมูลดังกล่าว จากนั้น ประกาศถูกแก้ไข และข้อความกลุ่มก็หายไป

คำถามคือ: สิ่งที่สังเกตได้ก่อนและหลังการเปลี่ยนแปลงคืออะไร, บัญชี Telegram ใดที่โพสต์แต่ละรายการ, จุดหมายปลายทางปรากฏอยู่ที่ใด, ไบต์ของไฟล์แนบ ใดที่ได้รับการเก็บรักษาไว้, และช่วงเวลาใดที่ยังไม่ทราบ?

ชื่อ ID เวลา และข้อมูลอ้างอิงในบันทึกทั้งหมดในตัวอย่างนี้เป็นข้อมูลสมมติ กระบวนการทำงานใช้คุณสมบัติที่มีอยู่ในปัจจุบัน ส่วนแผนที่คดีเป็นภาพประกอบ ไม่ใช่ กราฟที่สร้างขึ้นโดยอัตโนมัติจากแอปพลิเคชัน

แผนภาพในรูปแบบข้อความ

1. ช่อง → บันทึกพื้นที่ทำงาน
2. กลุ่ม → บันทึกพื้นที่ทำงาน
3. การสนทนาส่วนตัว → บันทึกพื้นที่ทำงาน
4. บอท → บันทึกพื้นที่ทำงาน
5. บันทึกพื้นที่ทำงาน → ค้นหาจากทุกแหล่งข้อมูล
6. บันทึกพื้นที่ทำงาน → โปรไฟล์บุคคลพร้อมข้อมูลอ้างอิงจากบันทึก
7. บันทึกพื้นที่ทำงาน → เวอร์ชันที่บันทึกไว้และใบยืนยันการรับไฟล์แนบ
8. ค้นหาจากทุกแหล่งข้อมูล → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล
9. โปรไฟล์บุคคลพร้อมข้อมูลอ้างอิงจากบันทึก → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล
10. เวอร์ชันที่บันทึกไว้และใบยืนยันการรับไฟล์แนบ → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล
11. บันทึกพื้นที่ทำงาน → ไฟล์ ZIP ของหลักฐานที่ลงนาม
12. ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล → การส่งต่อคดีพร้อมหลักฐานที่ได้รับการตรวจสอบแยกต่างหาก
13. ไฟล์ ZIP ของหลักฐานที่ลงนาม → การส่งต่อคดีพร้อมหลักฐานที่ได้รับการตรวจสอบแยกต่างหาก

1. กำหนดกรณีและรวบรวมข้อมูลทั้งหมด#

1. เชื่อมต่อบัญชีที่เก็บข้อมูลในพื้นที่ทำงานของตัวเอง ในบันทึกคดีภายนอก บันทึกหมายเลขอ้างอิงคดี, ID บัญชี, พื้นที่ทำงาน, เวลาเริ่มการสังเกต และ ลายนิ้วมือของกุญแจลงนามที่เชื่อถือได้
2. แหล่งข้อมูลเปิด → ขอบเขตการสังเกต → โหมดการสืบสวน การตั้งค่าล่วงหน้าจะเลือก "บัญชีทั้งหมด", ช่อง/กลุ่ม/การสนทนาส่วนตัว/บอท, การกระทำของตนเอง, โปรไฟล์แหล่งข้อมูล และข้อความ 200 ข้อความล่าสุดที่มองเห็นได้สำหรับแหล่งข้อมูลที่เพิ่งค้นพบ ตรวจสอบการตั้งค่า กด "บันทึกขอบเขต" และยืนยันขอบเขตให้เสร็จสิ้น
3. โหลดการสนทนาและเปรียบเทียบแหล่งข้อมูลกับรายชื่อการสนทนาของบัญชี ตรวจสอบ การยกเว้น. พารามิเตอร์ → จำนวนการสนทนาที่อ่านจากรายการของบัญชี ตั้งค่าเริ่มต้นเป็น 1,000 และอนุญาตได้สูงสุด 20,000. แหล่งข้อมูลที่เกินขีดจำกัดของรายการจะถูกเพิ่มเมื่อ มันกลายเป็นแอคทีฟ. บันทึกสิ่งที่ถูกนับจริง
4. ในส่วนการตั้งค่าการบันทึก ให้เลือก “กิจกรรมทั้งหมดที่มองเห็นได้” และบันทึก การตั้งค่าการติดตามตรวจสอบ ตรวจสอบประเภทและขีดจำกัดของไฟล์แนบ รวมถึงพื้นที่ว่างบนดิสก์
5. เริ่มการสังเกตการณ์ ตรวจสอบความถูกต้องของข้อความใหม่ที่ได้รับการควบคุม การแก้ไข และการลบ จากนั้น เก็บรักษาข้อมูลอ้างอิงการทดสอบและข้อผิดพลาดใดๆ ที่เกิดขึ้น

การบันทึกแบบครอบคลุมทั้งบัญชี (Whole-account scope) จะบันทึกกิจกรรมที่บัญชีสามารถมองเห็นได้ภายในตั้งค่าที่บันทึกไว้ เครื่องมือนี้ไม่เข้าถึงการสนทนาแบบลับ (secret chats) หรือเข้าร่วมกลุ่มที่เชื่อมโยงทุกกลุ่มโดยอัตโนมัติ นอกจากนี้ ยังไม่บันทึกย้อนหลังทุกการสนทนาที่มีอยู่ ดูส่วนขอบเขตการเก็บข้อมูล (collection scope)

2. บันทึกแหล่งข้อมูลทุกแหล่งและรวบรวมบริบททางประวัติศาสตร์#

เก็บทะเบียนแหล่งข้อมูล โดยแต่ละแถวแทนการสนทนาหนึ่งครั้ง:

ใช้วิธีการเก็บข้อมูลที่เหมาะสมสำหรับแต่ละแหล่งข้อมูล:

• การโหลดประวัติทั้งหมดในแหล่งข้อมูล (main ปัจจุบัน) จะโหลดข้อความในอดีตที่มีอยู่ จากแหล่งข้อมูลที่เปิดใช้งานแล้วเข้าสู่สมุดบันทึกในพื้นที่ทำงาน มันสนับสนุนการหยุดชั่วคราว/ต่อ และรายงานความคืบหน้าที่ลงนามแล้ว ดูการเก็บรวบรวมประวัติ
• ภาพถ่ายประวัติ (History snapshot) จะบันทึกข้อความที่แสดงล่าสุดลงในบันทึกการสังเกต ค่าสูงสุดตามค่าเริ่มต้นคือ 500; สามารถเพิ่มค่านี้ เป็น 10,000 ได้ผ่านเมนู Parameters → Largest history snapshot. ข้อมูลเหล่านี้เป็นบันทึกการสังเกตประวัติปัจจุบัน ไม่ใช่การแก้ไขที่สร้างขึ้นใหม่
• การส่งออกบทสนทนาทั้งหมด → ส่งออกบทสนทนาทั้งหมด หรือ บทสนทนา → ส่งออกบทสนทนา จะดึง ประวัติการสนทนาที่แสดงอยู่ปัจจุบันของบทสนทนาหนึ่งบทมาไว้ใน แพ็กเกจ chat.json / chat.html ที่ลงนามแล้วแยกต่างหาก ทำซ้ำขั้นตอนนี้สำหรับแหล่งข้อมูลของคดีและเก็บรักษาผลลัพธ์แต่ละรายการไว้
• เมื่อมีแชทหรือบอทใหม่ปรากฏขึ้น ระบบสามารถบันทึกโปรไฟล์และข้อความล่าสุดได้สูงสุด 1,000 ข้อความ; โหมดการสืบสวนจะเลือกบันทึก 200 ข้อความเท่านั้น แชทที่มีอยู่จะไม่ได้รับการบันทึก ย้อนหลังเมื่อเปิดใช้งานโหมดนี้
• การดาวน์โหลดไฟล์แนบที่มองเห็นได้จะรักษาขนาดข้อมูล (bytes) ตามนโยบายที่กำหนด ต้องใช้ใบเสร็จmedia.saved ที่สมบูรณ์ พร้อม SHA-256 และจำนวนไบต์ งานที่อยู่ในคิว ภาพขนาดย่อ หรือชื่อไฟล์ ไม่ถือเป็นไฟล์แนบที่ได้รับการเก็บรักษา

การส่งออกบทสนทนาแบบเต็มจะไม่เติมข้อมูลทั้งหมด ของข้อความลงในบันทึกหรือโปรไฟล์ผู้ใช้ ใช้ตัวเลือก “Load full history” หรือ “bounded journal snapshots” สำหรับประวัติที่คุณต้องการ วิเคราะห์ภายใน TgWitness ตรวจสอบรายชื่อแหล่งข้อมูลที่เปิดใช้งานก่อนเริ่ม การเรียกประวัติ ทั้งสองวิธีนี้ไม่สามารถกู้คืนข้อมูลที่ Telegram ไม่ส่งคืนอีกต่อไป

3. เก็บรักษาข้อมูลคดีที่พัฒนาอย่างต่อเนื่องและปฏิสัมพันธ์ที่ผ่านการพิจารณาอย่างรอบคอบ#

ทำเครื่องหมายแชทคดีที่กำลังดำเนินการอยู่เป็นแหล่งข้อมูลหลัก ตรวจสอบช่วงเวลาการตรวจสอบซ้ำ การติดตามผลอย่างต่อเนื่อง และผลลัพธ์ของสื่อ ให้เครื่องมือเก็บข้อมูลยังคงทำงานขณะใช้งานบัญชี ใช้ Chats → Profile → Save profile now เพื่อเก็บรักษาข้อมูลเมตาดาต้าของแหล่งข้อมูล เช่น คำอธิบายและคำสั่งบอท ซึ่งข้อมูลนี้แยกต่างหากจากโปรไฟล์บุคคลที่สร้างขึ้น จากข้อความที่บันทึกไว้

ในกรณีที่การสืบสวนเกี่ยวข้องกับการติดตามแหล่งข้อมูลหรือการโต้ตอบกับบอท:

1. เปิดลิงก์ Telegram → บันทึกตัวอย่างจะบันทึกลิงก์ที่ให้มาและ แสดงตัวอย่างก่อนดำเนินการ
2. คำสั่ง join / open and observe จะดำเนินการ join/open และส่งพารามิเตอร์ start ของบอทเมื่อมีข้อมูลดังกล่าว คำขอ join ที่กำลังรอการอนุมัติจะถูกบันทึกเป็น pending.
3. ข้อความตอบกลับที่ส่งจากแผงควบคุมและการกดปุ่มที่ได้รับการสนับสนุนจะเก็บรักษา interaction.requested และ interaction.result ไว้ ใบยืนยันการโทรกลับสามารถเก็บรักษา ข้อความป๊อปอัพที่ส่งกลับ สถานะการแจ้งเตือน และ URL ได้

นั่นคือการดำเนินการของบัญชีจริง การกดปุ่ม callback ในแอป Telegram อื่นจะไม่ ปรากฏต่อผู้เก็บข้อมูล แม้ว่าข้อความหรือการแก้ไขที่เกิดขึ้นอาจปรากฏได้ มินิ-ไคลเอนต์ นี้ไม่ดำเนินการเวิร์กโฟลว์ของเว็บแอป การชำระเงิน โทรศัพท์ หรือตำแหน่ง สำหรับพฤติกรรมที่แม่นยำ โปรดดูการโต้ตอบในแผงควบคุม

4. เชื่อมโยงข้อสังเกตจากต่าง ๆ ในแชท#

ใน Journal ให้เลือก All sources (ทุกแหล่ง) และค้นหาเนื้อหาที่บันทึกไว้ เปิด บันทึกที่ตรงกัน และบันทึกพื้นที่ทำงาน (workspace), ห้องสนทนา (chat), ID ข้อความ, ลำดับ (sequence) และ hash ของบันทึก

ในแชทที่เกี่ยวข้อง ให้เปิด People → เปิดโปรไฟล์ และตรวจสอบบุคคล:

• ชื่อ/ชื่อผู้ใช้ที่สังเกตเห็นตามเวลา และ ID Telegram แบบตัวเลข
• แสดงความสัมพันธ์ระหว่างข้อความตอบกลับกับแหล่งที่มาของบันทึก
• นอกจากนี้ยังมี… ในแชทอื่น ๆ ในบันทึกพื้นที่ทำงานนี้ ที่ ID ดังกล่าวได้เขียนข้อความไว้
• กิจกรรม การแก้ไข/การลบ รวมถึงกระเป๋าเงิน โทรศัพท์ ชื่อผู้ใช้ และลิงก์ที่ถูกกล่าวถึง
• ข้อมูลเมตาดาต้าของรูปโปรไฟล์ที่เก็บไว้ และรูปโปรไฟล์ที่เก็บไว้ในแคชที่คล้ายกัน พร้อมแหล่งที่มาที่แยกกัน

เปิดบันทึกที่อ้างอิงก่อนที่จะใช้โปรไฟล์ที่สร้างขึ้นจากข้อมูลดังกล่าวในผลการสืบสวน โปรไฟล์ครอบคลุม บุคคลที่มีข้อความที่บันทึกไว้ ไม่ใช่สมาชิกทุกคนในกลุ่ม พารามิเตอร์ → บันทึก ที่อ้างอิงต่อข้อเท็จจริง จะจำกัดรายการอ้างอิง ไม่ใช่จำนวนกิจกรรมพื้นฐาน การถูกกล่าวถึงและความคล้ายคลึงของภาพโปรไฟล์เป็นเพียงเบาะแส; ไม่สามารถยืนยันความเป็นเจ้าของหรือตัวตนได้

ในตัวอย่างที่แสดง:

เปรียบเทียบค่าแฮชของไฟล์แนบและข้อมูลอ้างอิงข้อความที่เกี่ยวข้อง ไฟล์ที่ เหมือนกันไม่ได้พิสูจน์ผู้สร้าง ผู้ส่งต่อ หรือผู้ดำเนินการร่วมกัน ชื่อที่เหมือนกันและ รูปโปรไฟล์ที่คล้ายกันเพียงอย่างเดียวไม่สามารถยืนยันว่า Telegram ID สองตัวเป็นของบุคคลเดียวกันได้

5. สร้างไทม์ไลน์ข้ามแชท#

ใช้เวอร์ชันที่บันทึกไว้ใน Chats และลิงก์ #… ของบันทึกใน Journal. ใน Journal, รวม All sources กับ Edits, Deletions และ Coverage. เก็บทั้ง source_at (หากมี) และ observed_at ไว้

บันทึกอื่นๆ เกิดขึ้นระหว่างตัวอย่างอ้างอิงเหล่านี้ หมายเลขลำดับจัดเรียง การสังเกตการณ์; ภาพถ่ายประวัติอาจมีวันที่แหล่งที่มาเก่ากว่าและมาถึง ช้ากว่าเหตุการณ์ที่กำลังเกิดขึ้น ให้แยกแยะระหว่างภาพถ่ายประวัติ ข้อความที่กู้คืนได้ ประกาศการลบ และ ผลลัพธ์ที่ "ไม่พบเมื่อตรวจสอบซ้ำ" ทำเครื่องหมายช่องว่างในการครอบคลุมเป็นช่วงเวลาที่ไม่ทราบ การ เก็บข้อมูลประวัติในภายหลังไม่สามารถสร้างการสังเกตการณ์ที่ไม่ขาดตอนย้อนหลังได้

6. เพิ่มมุมมองของบัญชีโดยไม่สูญเสียที่มาของข้อมูล#

ใช้พื้นที่ทำงานแยกต่างหากสำหรับบัญชีแต่ละบัญชีที่ต่างกัน และทำรายการตรวจสอบซ้ำ เก็บรักษา ID บัญชี บทบาท ลายนิ้วมือของกุญแจลงนาม และข้อมูลอ้างอิงแหล่งที่มาไว้ทุกครั้ง ที่ทำการเปรียบเทียบ หมายเลขข้อความไม่ใช่ตัวระบุสากลที่ใช้ร่วมกันระหว่างการสนทนาหรือบัญชีต่างๆ

การเชื่อมโยงข้อมูลระหว่างพื้นที่ทำงานต่าง ๆ ดำเนินการในบันทึกคดีหรือเครื่องมือวิเคราะห์ ภายนอก TgWitness ปัจจุบันยังไม่มีฟังก์ชันการค้นหาข้ามพื้นที่ทำงานแบบรวม, ไทม์ไลน์ที่รวมกัน, กราฟการสืบสวน หรือคลังคดีที่รวมกัน การส่งออกข้อมูลจากหลายบัญชีของ ช่อง/กลุ่มใหญ่ เป็นกระบวนการที่แยกต่างหาก ไม่ใช่การรวมบันทึกของบัญชีต่าง ๆ เข้าด้วยกัน

สำหรับงานที่มีระยะเวลา longer, ให้รักษาขอบเขตการทำงานร่วมกับพยานอิสระ ใช้การตรวจสอบการส่งข้อมูลที่ควบคุมได้เพื่อยืนยัน เส้นทางการบันทึกและระดับการมองเห็นของแต่ละบัญชี

7. รวบรวมและตรวจสอบการส่งต่อคดี#

เก็บข้อมูลเหล่านี้ไว้ร่วมกันในโฟลเดอร์คดีที่นักวิเคราะห์จัดเตรียม:

จากระบบที่ติดตั้งไว้อย่างเชื่อถือได้ พร้อมชื่อไฟล์และลายนิ้วมือจริงของแต่ละพื้นที่ทำงาน:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

เก็บรักษาผลการตรวจสอบจริงและหลักฐานต้นฉบับไว้อย่างครบถ้วน โดย โฟลเดอร์ระดับบนสุดของคดี ทะเบียนแหล่งข้อมูล และข้อสรุปของนักวิเคราะห์จะถูกเก็บรักษาไว้ภายนอกระบบ; หลักฐานแต่ละชิ้นของ TgWitness มีลายเซ็นและขั้นตอนการตรวจสอบเป็นของตัวเอง

ปรับการสืบสวนให้เหมาะสม#

อ้างอิงการเก็บรวบรวม · การตรวจสอบโปรไฟล์บุคคล · การส่งต่อหลักฐาน · การตรวจสอบความถูกต้องเสร็จสิ้นแล้ว