# โหมดการสืบสวน

Canonical page: https://phishdestroy.github.io/TgWitness/th/docs/reference/investigation/

การสืบสวนบัญชีทั้งหมด รวมถึงช่อง กลุ่ม การสนทนาส่วนตัว และบอต ตั้งแต่ขั้นตอนการกำหนดขอบเขตไปจนถึงการจัดทำชุดหลักฐานที่ได้รับการยืนยัน

ติดตามคดีผ่านช่องต่างๆ กลุ่ม แชทส่วนตัว และบอต ตั้งแต่ขั้นตอน การเก็บข้อมูลเบื้องต้น ไปจนถึงไทม์ไลน์ที่อ้างอิงได้ และการส่งต่อข้อมูลที่สามารถตรวจสอบได้ เวอร์ชันเว็บไซต์แบบโต้ตอบ อยู่ที่ `/docs/cases/`; [ดูคำแนะนำการดูตัวอย่าง](https://github.com/phishdestroy/TgWitness/blob/main/docs/internal/PUBLISHING.md#preview-the-website-locally)

## กรณีตัวอย่าง: จุดหมายปลายทางเปลี่ยนแปลงไปตลอดการสนทนาสี่ครั้ง

ประกาศหนึ่งชี้ไปยังบอท กลุ่มปฏิบัติการหารือเกี่ยวกับจุดหมายการชำระเงินใหม่ คีย์บอร์ดของบอทแสดงข้อมูลนั้น และข้อความติดตามผลในช่องส่วนตัวก็ซ้ำข้อมูลดังกล่าว จากนั้น ประกาศถูกแก้ไข และข้อความกลุ่มก็หายไป

คำถามคือ: สิ่งที่สังเกตได้ก่อนและหลังการเปลี่ยนแปลงคืออะไร, บัญชี Telegram ใดที่โพสต์แต่ละรายการ, จุดหมายปลายทางปรากฏอยู่ที่ใด, ไบต์ของไฟล์แนบ ใดที่ได้รับการเก็บรักษาไว้, และช่วงเวลาใดที่ยังไม่ทราบ?

ชื่อ ID เวลา และข้อมูลอ้างอิงในบันทึกทั้งหมดในตัวอย่างนี้เป็นข้อมูลสมมติ กระบวนการทำงานใช้คุณสมบัติที่มีอยู่ในปัจจุบัน ส่วนแผนที่คดีเป็นภาพประกอบ ไม่ใช่ กราฟที่สร้างขึ้นโดยอัตโนมัติจากแอปพลิเคชัน

แผนผังกระบวนการ · ช่อง → บันทึกพื้นที่ทำงาน; กลุ่ม → บันทึกพื้นที่ทำงาน; การสนทนาส่วนตัว → บันทึกพื้นที่ทำงาน; บอท → บันทึกพื้นที่ทำงาน; บันทึกพื้นที่ทำงาน → ค้นหาจากทุกแหล่งข้อมูล; บันทึกพื้นที่ทำงาน → โปรไฟล์บุคคลพร้อมข้อมูลอ้างอิงจากบันทึก; บันทึกพื้นที่ทำงาน → เวอร์ชันที่บันทึกไว้และใบยืนยันการรับไฟล์แนบ; ค้นหาจากทุกแหล่งข้อมูล → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล; โปรไฟล์บุคคลพร้อมข้อมูลอ้างอิงจากบันทึก → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล; เวอร์ชันที่บันทึกไว้และใบยืนยันการรับไฟล์แนบ → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล; บันทึกพื้นที่ทำงาน → ไฟล์ ZIP ของหลักฐานที่ลงนาม; ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล → การส่งต่อคดีพร้อมหลักฐานที่ได้รับการตรวจสอบแยกต่างหาก; ไฟล์ ZIP ของหลักฐานที่ลงนาม → การส่งต่อคดีพร้อมหลักฐานที่ได้รับการตรวจสอบแยกต่างหาก · ช่อง · กลุ่ม · การสนทนาส่วนตัว · บอท · บันทึกพื้นที่ทำงาน · ค้นหาจากทุกแหล่งข้อมูล · โปรไฟล์บุคคลพร้อมข้อมูลอ้างอิงจากบันทึก · เวอร์ชันที่บันทึกไว้และใบยืนยันการรับไฟล์แนบ · ไฟล์ ZIPของหลักฐานที่ลงนาม · ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล · การส่งต่อคดีพร้อมหลักฐานที่ได้รับการตรวจสอบแยกต่างหาก

**แผนภาพในรูปแบบข้อความ**

1. ช่อง → บันทึกพื้นที่ทำงาน
2. กลุ่ม → บันทึกพื้นที่ทำงาน
3. การสนทนาส่วนตัว → บันทึกพื้นที่ทำงาน
4. บอท → บันทึกพื้นที่ทำงาน
5. บันทึกพื้นที่ทำงาน → ค้นหาจากทุกแหล่งข้อมูล
6. บันทึกพื้นที่ทำงาน → โปรไฟล์บุคคลพร้อมข้อมูลอ้างอิงจากบันทึก
7. บันทึกพื้นที่ทำงาน → เวอร์ชันที่บันทึกไว้และใบยืนยันการรับไฟล์แนบ
8. ค้นหาจากทุกแหล่งข้อมูล → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล
9. โปรไฟล์บุคคลพร้อมข้อมูลอ้างอิงจากบันทึก → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล
10. เวอร์ชันที่บันทึกไว้และใบยืนยันการรับไฟล์แนบ → ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล
11. บันทึกพื้นที่ทำงาน → ไฟล์ ZIP ของหลักฐานที่ลงนาม
12. ไทม์ไลน์ของนักวิเคราะห์และทะเบียนแหล่งข้อมูล → การส่งต่อคดีพร้อมหลักฐานที่ได้รับการตรวจสอบแยกต่างหาก
13. ไฟล์ ZIP ของหลักฐานที่ลงนาม → การส่งต่อคดีพร้อมหลักฐานที่ได้รับการตรวจสอบแยกต่างหาก

## 1. กำหนดกรณีและรวบรวมข้อมูลทั้งหมด

1. เชื่อมต่อบัญชีที่เก็บข้อมูลในพื้นที่ทำงานของตัวเอง ในบันทึกคดีภายนอก บันทึกหมายเลขอ้างอิงคดี, ID บัญชี, พื้นที่ทำงาน, เวลาเริ่มการสังเกต และ ลายนิ้วมือของกุญแจลงนามที่เชื่อถือได้
2. **แหล่งข้อมูล**เปิด **→ ขอบเขตการสังเกต → โหมดการสืบสวน** การตั้งค่าล่วงหน้าจะเลือก **"บัญชีทั้งหมด**", ช่อง/กลุ่ม/การสนทนาส่วนตัว/บอท, การกระทำของตนเอง, โปรไฟล์แหล่งข้อมูล และข้อความ 200 ข้อความล่าสุดที่มองเห็นได้สำหรับแหล่งข้อมูลที่เพิ่งค้นพบ ตรวจสอบการตั้งค่า กด **"บันทึกขอบเขต**" และยืนยันขอบเขตให้เสร็จสิ้น
3. **โหลดการสนทนา**และเปรียบเทียบแหล่งข้อมูลกับรายชื่อการสนทนาของบัญชี ตรวจสอบ การยกเว้น. **พารามิเตอร์ → จำนวนการสนทนาที่อ่านจากรายการของบัญชี** ตั้งค่าเริ่มต้นเป็น 1,000 และอนุญาตได้สูงสุด 20,000. แหล่งข้อมูลที่เกินขีดจำกัดของรายการจะถูกเพิ่มเมื่อ มันกลายเป็นแอคทีฟ. บันทึกสิ่งที่ถูกนับจริง
4. ใน**ส่วนการตั้งค่าการบันทึก** ให้เลือก **“กิจกรรมทั้งหมดที่มองเห็นได้**” และบันทึก การตั้งค่าการติดตามตรวจสอบ ตรวจสอบประเภทและขีดจำกัดของไฟล์แนบ รวมถึงพื้นที่ว่างบนดิสก์
5. เริ่มการสังเกตการณ์ ตรวจสอบความถูกต้องของข้อความใหม่ที่ได้รับการควบคุม การแก้ไข และการลบ จากนั้น เก็บรักษาข้อมูลอ้างอิงการทดสอบและข้อผิดพลาดใดๆ ที่เกิดขึ้น

การบันทึกแบบครอบคลุมทั้งบัญชี (Whole-account scope) จะบันทึกกิจกรรมที่บัญชีสามารถมองเห็นได้ภายในตั้งค่าที่บันทึกไว้ เครื่องมือนี้ไม่เข้าถึงการสนทนาแบบลับ (secret chats) หรือเข้าร่วมกลุ่มที่เชื่อมโยงทุกกลุ่มโดยอัตโนมัติ นอกจากนี้ ยังไม่บันทึกย้อนหลังทุกการสนทนาที่มีอยู่ ดู[ส่วนขอบเขตการเก็บข้อมูล (collection scope](https://phishdestroy.github.io/TgWitness/th/docs/reference/collection/#observation-scope-chosen-chats-a-folder-or-the-whole-account))

## 2. บันทึกแหล่งข้อมูลทุกแหล่งและรวบรวมบริบททางประวัติศาสตร์

เก็บทะเบียนแหล่งข้อมูล โดยแต่ละแถวแทนการสนทนาหนึ่งครั้ง:

| Field | บันทึก |
| --- | --- |
| อัตลักษณ์ | พื้นที่ทำงาน, ID บัญชี, ID การสนทนาแบบตัวเลข, ชื่อ และประเภท |
| การมองเห็น | สมาชิก/บทบาท, สิทธิ์การเข้าถึงที่ได้รับการยืนยันหรือยังไม่ได้รับการยืนยัน, การยกเว้น |
| การบันทึกแบบเรียลไทม์ | เวลาเริ่มต้น ประเภทเหตุการณ์ที่เลือก และการเปลี่ยนแปลงนโยบายในภายหลัง |
| ประวัติของบันทึก | คำขอ/การดำเนินการสร้างภาพรวม (Snapshot) ที่เสร็จสิ้นแล้ว, ขีดจำกัด, เวลา และข้อมูลอ้างอิงของบันทึก |
| ประวัติโดยละเอียด | ชื่อไฟล์ส่งออกที่ลงนามตามแต่ละแชท, ขอบเขต และสถานะการเสร็จสิ้น/ล้มเหลว |
| ไฟล์แนบ | ข้อมูลที่บันทึกครบถ้วน ได้แก่ ใบเสร็จสื่อ, ค่าแฮช, ขนาดไฟล์ และผลลัพธ์ที่ข้ามไปหรือล้มเหลว |
| เนื้อหา | การหยุดให้บริการ การรับข้อมูลไม่ครบถ้วน FloodWait ข้อความที่เข้าถึงไม่ได้ และช่องว่างอื่นๆ |

ใช้วิธีการเก็บข้อมูลที่เหมาะสมสำหรับแต่ละแหล่งข้อมูล:

- **การโหลดประวัติทั้งหมด**ใน**แหล่งข้อมูล** (`main` ปัจจุบัน) จะโหลดข้อความในอดีตที่มีอยู่ จากแหล่งข้อมูลที่เปิดใช้งานแล้วเข้าสู่สมุดบันทึกในพื้นที่ทำงาน มันสนับสนุนการหยุดชั่วคราว/ต่อ และรายงานความคืบหน้าที่ลงนามแล้ว ดู[การเก็บรวบรวมประวัติ](https://phishdestroy.github.io/TgWitness/th/docs/reference/history/)
- **ภาพถ่ายประวัติ (History snapshot)** จะบันทึกข้อความที่แสดงล่าสุดลงในบันทึกการสังเกต ค่าสูงสุดตามค่าเริ่มต้นคือ 500; สามารถเพิ่มค่านี้ เป็น 10,000 ได้ผ่านเมนู **Parameters → Largest history snapshot**. ข้อมูลเหล่านี้เป็นบันทึกการสังเกตประวัติปัจจุบัน ไม่ใช่การแก้ไขที่สร้างขึ้นใหม่
- **การส่งออกบทสนทนาทั้งหมด → ส่งออกบทสนทนาทั้งหมด** หรือ **บทสนทนา → ส่งออกบทสนทนา** จะดึง ประวัติการสนทนาที่แสดงอยู่ปัจจุบันของบทสนทนาหนึ่งบทมาไว้ใน แพ็กเกจ `chat.json` / `chat.html` ที่ลงนามแล้วแยกต่างหาก ทำซ้ำขั้นตอนนี้สำหรับแหล่งข้อมูลของคดีและเก็บรักษาผลลัพธ์แต่ละรายการไว้
- **เมื่อมีแชทหรือบอทใหม่ปรากฏขึ้น** ระบบสามารถบันทึกโปรไฟล์และข้อความล่าสุดได้สูงสุด 1,000 ข้อความ; โหมดการสืบสวนจะเลือกบันทึก 200 ข้อความเท่านั้น แชทที่มีอยู่จะไม่ได้รับการบันทึก ย้อนหลังเมื่อเปิดใช้งานโหมดนี้
- **การดาวน์โหลดไฟล์แนบที่มองเห็นได้**จะรักษาขนาดข้อมูล (bytes) ตามนโยบายที่กำหนด ต้องใช้ใบเสร็จ`media.saved` ที่สมบูรณ์ พร้อม SHA-256 และจำนวนไบต์ งานที่อยู่ในคิว ภาพขนาดย่อ หรือชื่อไฟล์ ไม่ถือเป็นไฟล์แนบที่ได้รับการเก็บรักษา

การส่งออกบทสนทนาแบบเต็มจะไม่เติมข้อมูลทั้งหมด ของข้อความลงในบันทึกหรือโปรไฟล์ผู้ใช้ ใช้ตัวเลือก **“Load full history”** หรือ “bounded journal snapshots” สำหรับประวัติที่คุณต้องการ วิเคราะห์ภายใน TgWitness ตรวจสอบรายชื่อแหล่งข้อมูลที่เปิดใช้งานก่อนเริ่ม การเรียกประวัติ ทั้งสองวิธีนี้ไม่สามารถกู้คืนข้อมูลที่ Telegram ไม่ส่งคืนอีกต่อไป

## 3. เก็บรักษาข้อมูลคดีที่พัฒนาอย่างต่อเนื่องและปฏิสัมพันธ์ที่ผ่านการพิจารณาอย่างรอบคอบ

ทำเครื่องหมายแชทคดีที่กำลังดำเนินการอยู่เป็นแหล่งข้อมูลหลัก ตรวจสอบช่วงเวลาการตรวจสอบซ้ำ การติดตามผลอย่างต่อเนื่อง และผลลัพธ์ของสื่อ ให้เครื่องมือเก็บข้อมูลยังคงทำงานขณะใช้งานบัญชี ใช้ **Chats → Profile → Save profile now** เพื่อเก็บรักษาข้อมูลเมตาดาต้าของแหล่งข้อมูล เช่น คำอธิบายและคำสั่งบอท ซึ่งข้อมูลนี้แยกต่างหากจากโปรไฟล์บุคคลที่สร้างขึ้น จากข้อความที่บันทึกไว้

ในกรณีที่การสืบสวนเกี่ยวข้องกับการติดตามแหล่งข้อมูลหรือการโต้ตอบกับบอท:

1. **เปิดลิงก์ Telegram → บันทึกตัวอย่าง**จะบันทึกลิงก์ที่ให้มาและ แสดงตัวอย่างก่อนดำเนินการ
2. **คำสั่ง join / open and observe** จะดำเนินการ join/open และส่งพารามิเตอร์ start ของบอทเมื่อมีข้อมูลดังกล่าว คำขอ join ที่กำลังรอการอนุมัติจะถูกบันทึกเป็น pending.
3. ข้อความตอบกลับที่ส่งจากแผงควบคุมและการกดปุ่มที่ได้รับการสนับสนุนจะเก็บรักษา `interaction.requested` และ `interaction.result` ไว้ ใบยืนยันการโทรกลับสามารถเก็บรักษา ข้อความป๊อปอัพที่ส่งกลับ สถานะการแจ้งเตือน และ URL ได้

นั่นคือการดำเนินการของบัญชีจริง การกดปุ่ม callback ในแอป Telegram อื่นจะไม่ ปรากฏต่อผู้เก็บข้อมูล แม้ว่าข้อความหรือการแก้ไขที่เกิดขึ้นอาจปรากฏได้ มินิ-ไคลเอนต์ นี้ไม่ดำเนินการเวิร์กโฟลว์ของเว็บแอป การชำระเงิน โทรศัพท์ หรือตำแหน่ง สำหรับพฤติกรรมที่แม่นยำ โปรด[ดูการโต้ตอบในแผงควบคุม](https://phishdestroy.github.io/TgWitness/th/docs/reference/collection/#act-from-the-panel)

## 4. เชื่อมโยงข้อสังเกตจากต่าง ๆ ในแชท

ใน **Journal** ให้เลือก **All sources** (ทุกแหล่ง) และค้นหาเนื้อหาที่บันทึกไว้ เปิด บันทึกที่ตรงกัน และบันทึกพื้นที่ทำงาน (workspace), ห้องสนทนา (chat), ID ข้อความ, ลำดับ (sequence) และ hash ของบันทึก

ในแชทที่เกี่ยวข้อง ให้เปิด **People → เปิดโปรไฟล์** และตรวจสอบบุคคล:

- ชื่อ/ชื่อผู้ใช้ที่สังเกตเห็นตามเวลา และ ID Telegram แบบตัวเลข
- แสดงความสัมพันธ์ระหว่างข้อความตอบกลับกับแหล่งที่มาของบันทึก
- **นอกจากนี้ยังมี…** ในแชทอื่น ๆ ในบันทึกพื้นที่ทำงานนี้ ที่ ID ดังกล่าวได้เขียนข้อความไว้
- กิจกรรม การแก้ไข/การลบ รวมถึงกระเป๋าเงิน โทรศัพท์ ชื่อผู้ใช้ และลิงก์ที่ถูกกล่าวถึง
- ข้อมูลเมตาดาต้าของรูปโปรไฟล์ที่เก็บไว้ และรูปโปรไฟล์ที่เก็บไว้ในแคชที่คล้ายกัน พร้อมแหล่งที่มาที่แยกกัน

เปิดบันทึกที่อ้างอิงก่อนที่จะใช้โปรไฟล์ที่สร้างขึ้นจากข้อมูลดังกล่าวในผลการสืบสวน โปรไฟล์ครอบคลุม บุคคลที่มีข้อความที่บันทึกไว้ ไม่ใช่สมาชิกทุกคนในกลุ่ม **พารามิเตอร์ → บันทึก ที่อ้างอิงต่อข้อเท็จจริง** จะจำกัดรายการอ้างอิง ไม่ใช่จำนวนกิจกรรมพื้นฐาน การถูกกล่าวถึงและความคล้ายคลึงของภาพโปรไฟล์เป็นเพียงเบาะแส; ไม่สามารถยืนยันความเป็นเจ้าของหรือตัวตนได้

ในตัวอย่างที่แสดง:

| ลิงก์ | บันทึก | การสังเกตที่ได้รับการสนับสนุน |
| --- | --- | --- |
| บัญชีผู้ส่งเดียวกัน | กลุ่ม #146 และกลุ่มติดตามส่วนตัว #205 | ทั้งสองให้ ID ผู้ส่ง Telegram 71001 |
| ปลายทางเดียวกัน | #146, คีย์บอร์ดบอท #173, การแก้ไขช่อง #188, ข้อความส่วนตัว #205 | ทั้งหมดมี`pay.example.invalid/new`; ยังไม่มีการยืนยันสิทธิ์การเป็นเจ้าของหรือการควบคุม |
| ไฟล์ที่บันทึกไว้เดียวกัน | เสร็จสิ้นใบรับสื่อ #151 และ #209 | ค่า SHA-256 ทั้งหมดตรงกันสำหรับไบต์ที่เก็บรักษาไว้ |
| ที่มาของช่อง | #101 และ #188 | อย่าระบุโพสต์ในช่องว่าเป็นของผู้ใช้ 71001 โดยไม่มีข้อมูลผู้ส่งที่ระบุ |

เปรียบเทียบค่าแฮชของไฟล์แนบและข้อมูลอ้างอิงข้อความที่เกี่ยวข้อง ไฟล์ที่ เหมือนกันไม่ได้พิสูจน์ผู้สร้าง ผู้ส่งต่อ หรือผู้ดำเนินการร่วมกัน ชื่อที่เหมือนกันและ รูปโปรไฟล์ที่คล้ายกันเพียงอย่างเดียวไม่สามารถยืนยันว่า Telegram ID สองตัวเป็นของบุคคลเดียวกันได้

## 5. สร้างไทม์ไลน์ข้ามแชท

ใช้เวอร์ชันที่บันทึกไว้ใน Chats และลิงก์ #… ของบันทึกใน Journal. ใน Journal, รวม All sources กับ Edits, Deletions และ Coverage. เก็บทั้ง `source_at` (หากมี) และ `observed_at` ไว้

| เวลาสังเกตการณ์เพื่อประกอบภาพ | อ้างอิง | ข้อสังเกต |
| --- | --- | --- |
| 09:00 | ช่อง #101 | บันทึกปลายทางเดิม |
| 09:12 | กลุ่ม #146; สื่อ #151 | ได้โพสต์จุดหมายปลายทางใหม่แล้ว; การดาวน์โหลดไฟล์เสร็จสิ้นแล้ว |
| 09:16 | Bot #173 | คีย์บอร์ดชี้ไปยังจุดหมายปลายทางใหม่ |
| 09:20 | ช่อง #188 | ประกาศได้ถูกแก้ไขแล้ว; ทั้งสองเวอร์ชันที่บันทึกไว้ยังคงอยู่ |
| 09:24 | ส่วนตัว #205; สื่อ #209 | ID ผู้ส่งเดียวกันจะซ้ำกับผู้รับ; ขนาดไฟล์ (bytes) ที่เท่ากันจะถูกรักษาไว้ |
| 09:28 | กลุ่ม #231 | ได้รับแจ้งการลบข้อความ; ไม่ทราบผู้ลบและเวลาลบที่แน่นอน |

บันทึกอื่นๆ เกิดขึ้นระหว่างตัวอย่างอ้างอิงเหล่านี้ หมายเลขลำดับจัดเรียง การสังเกตการณ์; ภาพถ่ายประวัติอาจมีวันที่แหล่งที่มาเก่ากว่าและมาถึง ช้ากว่าเหตุการณ์ที่กำลังเกิดขึ้น ให้แยกแยะระหว่างภาพถ่ายประวัติ ข้อความที่กู้คืนได้ ประกาศการลบ และ ผลลัพธ์ที่ "ไม่พบเมื่อตรวจสอบซ้ำ" ทำเครื่องหมายช่องว่างในการครอบคลุมเป็นช่วงเวลาที่ไม่ทราบ การ เก็บข้อมูลประวัติในภายหลังไม่สามารถสร้างการสังเกตการณ์ที่ไม่ขาดตอนย้อนหลังได้

## 6. เพิ่มมุมมองของบัญชีโดยไม่สูญเสียที่มาของข้อมูล

ใช้พื้นที่ทำงานแยกต่างหากสำหรับบัญชีแต่ละบัญชีที่ต่างกัน และทำรายการตรวจสอบซ้ำ เก็บรักษา ID บัญชี บทบาท ลายนิ้วมือของกุญแจลงนาม และข้อมูลอ้างอิงแหล่งที่มาไว้ทุกครั้ง ที่ทำการเปรียบเทียบ หมายเลขข้อความไม่ใช่ตัวระบุสากลที่ใช้ร่วมกันระหว่างการสนทนาหรือบัญชีต่างๆ

การเชื่อมโยงข้อมูลระหว่างพื้นที่ทำงานต่าง ๆ ดำเนินการในบันทึกคดีหรือเครื่องมือวิเคราะห์ ภายนอก TgWitness ปัจจุบันยังไม่มีฟังก์ชันการค้นหาข้ามพื้นที่ทำงานแบบรวม, ไทม์ไลน์ที่รวมกัน, กราฟการสืบสวน หรือคลังคดีที่รวมกัน การส่งออกข้อมูลจากหลายบัญชีของ ช่อง/กลุ่มใหญ่ เป็นกระบวนการที่แยกต่างหาก ไม่ใช่การรวมบันทึกของบัญชีต่าง ๆ เข้าด้วยกัน

สำหรับงานที่มีระยะเวลา longer, ให้รักษาขอบเขตการทำงานร่วมกับพ[ยานอิสระ](https://phishdestroy.github.io/TgWitness/th/docs/reference/witness/) ใช้การตรวจสอบการส่งข้อมูลที่ควบคุมได้เพื่อยืนยัน เส้นทางการบันทึกและระดับการมองเห็นของแต่ละบัญชี

## 7. รวบรวมและตรวจสอบการส่งต่อคดี

เก็บข้อมูลเหล่านี้ไว้ร่วมกันในโฟลเดอร์คดีที่นักวิเคราะห์จัดเตรียม:

| เนื้อหา | วัตถุประสงค์ |
| --- | --- |
| บันทึกคดีและทะเบียนแหล่งข้อมูล | คำถาม, นโยบายการเก็บรวบรวมข้อมูล, การเข้าถึง/บทบาท, ผลค้นพบ, คำอธิบายทางเลือก และจุดที่ขาดข้อมูล |
| ไทม์ไลน์ | การระบุทั้งเวลาและพื้นที่ทำงาน/แชท/ข้อความ/ลำดับเหตุการณ์สำหรับแต่ละรายการ |
| ไฟล์ ZIP ของหลักฐานที่ลงนามแล้วสำหรับแต่ละพื้นที่ทำงาน | บันทึกสมุดบันทึกที่บันทึกไว้อย่างครบถ้วน, รายการเนื้อหา และสื่อที่เก็บรักษาไว้; ตัวกรองในแผงควบคุมไม่จำกัดการส่งออกสมุดบันทึก |
| ไฟล์โปรไฟล์บุคคลที่ลงนามแยกกัน | อ้างอิงที่สกัดมาได้รับการตรวจสอบให้ตรงกับหลักฐานในพื้นที่ทำงานที่เกี่ยวข้อง |
| ไฟล์ส่งออกบทสนทนาเต็มรูปแบบที่ลงนาม | การเก็บรวบรวมประวัติที่มองเห็นได้ในปัจจุบัน แยกต่างหากจากบันทึกการสังเกต |
| ลายนิ้วมือที่เชื่อถือได้และจุดตรวจสอบก่อนหน้านี้ | ขอบเขตของข้อมูลระบุตัวตนหลักและขอบเขตของบันทึกที่เก็บรักษา |
| หลักฐานจาก Witness (หากได้รับการตั้งค่า) | บันทึกแยกต่างหาก, โพสต์ที่ลงลายมือชื่อ และลายนิ้วมือของพยาน |
| ผลการตรวจสอบและค่าแฮชของไฟล์ที่ส่ง | ข้อมูลที่ได้รับการตรวจสอบ, ไบต์ใดที่ถูกส่งไป และส่งให้ใคร |

จากระบบที่ติดตั้งไว้อย่างเชื่อถือได้ พร้อมชื่อไฟล์และลายนิ้วมือจริงของแต่ละพื้นที่ทำงาน:

```
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256
```

เก็บรักษาผลการตรวจสอบจริงและหลักฐานต้นฉบับไว้อย่างครบถ้วน โดย โฟลเดอร์ระดับบนสุดของคดี ทะเบียนแหล่งข้อมูล และข้อสรุปของนักวิเคราะห์จะถูกเก็บรักษาไว้ภายนอกระบบ; หลักฐานแต่ละชิ้นของ TgWitness มีลายเซ็นและขั้นตอนการตรวจสอบเป็นของตัวเอง

## ปรับการสืบสวนให้เหมาะสม

| กรณี | Trace | ส่งมอบ |
| --- | --- | --- |
| ข้อพิพาทเกี่ยวกับการสั่งซื้อ/การชำระเงินที่ดำเนินการโดยบอท | ประกาศการเข้าสู่ระบบ → ดูตัวอย่างลิงก์ที่บันทึกไว้ → พารามิเตอร์เริ่มต้นของบอท → เวอร์ชันข้อความและคีย์บอร์ด → ใบเสร็จรับเงินจากการเรียกกลับของแผงควบคุม → การติดตามผลในแชทส่วนตัว/กลุ่ม | ได้ตรวจสอบไทม์ไลน์ของข้อเสนอ/การตอบกลับและแหล่งข้อมูลที่ได้รับการยืนยันแล้ว; ลิงก์การชำระเงินเพียงอย่างเดียวไม่สามารถพิสูจน์ได้ว่ามีการชำระเงิน |
| ข้อความที่ถูกลบหลังเกิดเหตุการณ์ | ทุกการสนทนาที่เกี่ยวข้อง → บันทึกต้นฉบับ/การแก้ไข → ผลลัพธ์จากการลบหรือการตรวจสอบซ้ำที่พบว่าข้อมูลหาย → สื่อที่เก็บรักษาไว้ → การรายงานและมุมมองจากบัญชีอื่น ๆ | เวอร์ชันที่เก็บรักษาไว้และช่วงเวลาที่ไม่ทราบอย่างชัดเจน; ไม่มีการสมมติผู้ลบข้อความ |
| ผู้เข้าร่วมเปลี่ยนชื่อในแชทต่าง ๆ | ID ผู้ส่งแบบตัวเลข → ประวัติชื่อ/ชื่อผู้ใช้ → คำตอบ → การสนทนาอื่น ๆ ที่ถูกสังเกต → จุดหมายปลายทาง/ไฟล์ที่ถูกอ้างอิง | ไทม์ไลน์กิจกรรมของบัญชี Telegram ที่ถูกอ้างอิง พร้อมทั้งสมมติฐานเกี่ยวกับตัวตนและความสัมพันธ์ในโลกจริงที่แยกไว้อย่างชัดเจน |

[อ้างอิงการเก็บรวบรวม](https://phishdestroy.github.io/TgWitness/th/docs/reference/collection/) · [การตรวจสอบโปรไฟล์บุคคล](https://phishdestroy.github.io/TgWitness/th/docs/reference/evidence/#people-profiles) · [การส่งต่อหลักฐาน](https://phishdestroy.github.io/TgWitness/th/docs/reference/evidence/#investigation-handoff) · [การตรวจสอบความถูกต้องเสร็จสิ้นแล้ว](https://phishdestroy.github.io/TgWitness/th/docs/reference/verification/)