Режим розслідування

Відстежуйте справу в різних каналах, групах, приватних чатах та ботах — від початкового збору даних до хронології з посиланнями та перевіреної передачі матеріалів. Інтерактивна версія веб-сайту знаходиться за адресою /docs/cases/; інструкції щодо попереднього перегляду.

Приклад із практики: зміна пункту призначення у чотирьох діалогах#

У повідомленні згадується бот. Оперативна група обговорює новий пункт призначення платежу, клавіатура бота відображає його, а в приватному повідомленні-підсумку це повторюється. Потім повідомлення редагується, і групове повідомлення зникає.

Питання такі: що спостерігалося до та після зміни, які акаунти Telegram опублікували кожен елемент, де з’явився пункт призначення, які байти вкладення були збережені, та які проміжки часу залишаються невідомими?

Усі імена, ідентифікатори, час та посилання на журнал у цьому прикладі є вигаданими. Робочий процес використовує поточні функції; карта справи є ілюстрацією, а не автоматичним графіком, згенерованим додатком.

Діаграма у вигляді тексту

1. Канали → Журнал робочого простору
2. Групи → Журнал робочого простору
3. Приватні чати → Журнал робочого простору
4. Боти → Журнал робочого простору
5. Журнал робочого простору → Пошук у всіх джерелах
6. Журнал робочого простору → Профілі осіб із посиланнями на записи
7. Журнал робочого простору → Збережені версії та підтвердження отримання вкладень
8. Пошук у всіх джерелах → Хронологія аналітика та реєстр джерел
9. Профілі осіб із посиланнями на записи → Хронологія аналітика та реєстр джерел
10. Збережені версії та підтвердження отримання вкладень → Хронологія аналітика та реєстр джерел
11. Журнал робочого простору → ZIP-архів із підписаними доказами
12. Хронологія аналітика та реєстр джерел → Передача справи з окремо перевіреними артефактами
13. ZIP-архів із підписаними доказами → Передача справи з окремо перевіреними артефактами

1. Описати ситуацію та зібрати повну інформацію#

1. Підключіть обліковий запис для збору даних у власному робочому просторі. У зовнішніх нотатках щодо справи зафіксуйте номер справи, ідентифікатор облікового запису, робочий простір, дату початку спостереження та надійний відбиток ключа підпису.
2. Відкриті джерела → Область спостереження → Режим розслідування. У налаштуваннях вибираються: весь обліковий запис, канали/групи/приватні чати/боти, власні дії, профілі джерел та останні 200 видимих повідомлень для щойно виявлених джерел. Перегляньте налаштування, натисніть «Зберегти область спостереження» та підтвердьте вибір області.
3. Завантажте чати та порівняйте джерела зі списком діалогів облікового запису. Перевірте виключення. Параметри → Кількість чатів, що зчитуються зі списку облікового запису, за замовчуванням становить 1 000 і може досягати 20 000. Джерела, що виходять за межі списку, додаються, коли вони стають активними. Запишіть те, що було фактично перелічено.
4. У налаштуваннях запису виберіть «Усі видимі дії» та збережіть налаштування моніторингу. Перевірте типи та обмеження вкладень, а також вільний простір на диску.
5. Почати спостереження. Перевірити контрольоване нове повідомлення, редагування та видалення, а потім зберегти тестові посилання та будь-які помилки.

Режим «Весь обліковий запис» фіксує всю видиму для облікового запису активність у межах збережених налаштувань. Він не отримує доступ до секретних чатів і не приєднується автоматично до всіх пов’язаних груп. Він також не заповнює дані за всіма існуючими розмовами. Див. «Обсяг збору даних».

2. Скласти перелік усіх джерел та з’ясувати історичний контекст#

Ведіть реєстр джерел, де кожен рядок відповідає одному чату:

Використовуйте правильний спосіб збору даних для кожного джерела:

• Функція «Завантажити повну історію з джерел» (поточний main) завантажує доступні минулі повідомлення з увімкнених джерел у журнал робочого простору. Вона підтримує паузу/відновлення та підписаний звіт про хід виконання. Див. розділ «Отримання історії».
• Знімок історії зберігає останні видимі повідомлення у журналі спостережень. За замовчуванням максимальна кількість становить 500; у розділі «Параметри» → «Найбільший знімок історії» її можна збільшити до 10 000. Це поточні спостереження за історією, а не відтворені редагування.
• Експорт повного чату → «Експорт повного чату» або «Чати» → «Експорт чату» завантажує поточну видиму історію одного чату в окремий підписаний пакет chat.json / chat.html. Повторіть цю процедуру для джерел справи та збережіть кожен результат.
• Коли з’являється новий чат або бот, можна зберегти його профіль та до 1 000 останніх повідомлень; у режимі розслідування вибирається 200. Існуючі чати не отримують цих даних ретроактивно після увімкнення режиму.
• Завантаження видимих вкладень зберігає байти відповідно до налаштованої політики. Потрібна заповнена квитанція media.saved із SHA-256 та кількістю байтів. Завдання в черзі, мініатюра або ім’я файлу не є збереженим вкладенням.

Повний експорт чату не заповнює журнал або профілі користувачів усіма повідомленнями. Для історії, яку потрібно проаналізувати в TgWitness, використовуйте функцію «Завантажити повну історію» або обмежені знімки журналу. Перед початком запуску історії перегляньте список увімкнених джерел. Жоден із цих способів не відновлює матеріали, які Telegram більше не надає.

3. Збереження динаміки справи та обміркованих взаємодій#

Позначте активні чати, пов’язані зі справами, як пріоритетні джерела. Переглядайте інтервали повторної перевірки, постійне наздоганяння та результати у ЗМІ. Під час користування обліковим записом залишайте колектор у режимі спостереження. Використовуйте «Чати» → «Профіль» → «Зберегти профіль зараз», щоб зберегти метадані джерела, такі як описи та команди бота. Це відрізняється від профілів осіб, отриманих на основі збережених повідомлень.

У випадках, коли справа пов’язана зі стеженням за джерелом або взаємодією з ботом:

1. Відкрити посилання Telegram → Зберегти попередній перегляд — ця функція записує надане посилання та попередній перегляд, що з’являється перед виконанням дії.
2. Команда «Join / open and observe» виконує приєднання/відкриття та надсилає параметр запуску бота, якщо він вказаний. Запит на приєднання, що очікує на затвердження, реєструється як «pending».
3. Текстові відповіді, надіслані через панель, та натискання підтримуваних кнопок зберігають interaction.requested та interaction.result. Квитанції про зворотний виклик можуть зберігати текст спливаючого вікна, стан сповіщення та URL-адресу.

Це реальні дії облікових записів. Натискання кнопки зворотного виклику в іншому додатку Telegram не видимі для збирача даних, хоча отримані в результаті повідомлення або редагування можуть бути видимими. Міні-клієнт не виконує робочі процеси, пов’язані з веб-додатками, платежами, телефоном або місцезнаходженням. Щоб дізнатися про точну поведінку, див. взаємодію з панеллю.

4. Пов’язування спостережень у різних чатах#

У розділі «Журнал» виберіть «Усі джерела» та здійсніть пошук серед записаного вмісту. Відкрийте відповідні записи та збережіть робочу область, чат, ідентифікатор повідомлення, послідовність та хеш запису.

У відповідному чаті відкрийте «Люди» → «Увімкнути профілі» та перегляньте інформацію про особу:

• Імена/імена користувачів, зафіксовані протягом певного періоду, та числовий ідентифікатор Telegram.
• Відповіді з посиланнями на вихідні записи.
• Також у… інших чатах цього робочого простору, де писав користувач із цим ID.
• Активність, редагування/видалення, а також згадані гаманці, телефони, імена користувачів та посилання.
• Збережені метадані аватарів та подібні кешовані аватари з зазначенням їхнього окремого походження.

Перед використанням похідного профілю у висновку відкрийте цитовані записи. Профілі охоплюють осіб, повідомлення яких збережено, а не всіх учасників групи. Параметри → Кількість записів, цитованих за кожним фактом, обмежує список посилань, а не кількість відповідних дій. Згадки та схожість аватарів є підказками; вони не підтверджують авторство чи особу.

У наведеному прикладі:

Порівнюйте хеші вкладень та пов’язані з ними посилання на повідомлення. Ідентичні файли не дозволяють встановити автора, пересилача чи спільного оператора. Одні лише однакові імена та схожі аватари не дозволяють об’єднати два ідентифікатори Telegram в одну особу.

5. Створити хронологію подій у різних чатах#

Використовуйте збережені версії в чатах та їхні посилання на записи в журналі №… У журналі об’єднайте всі джерела з редагуваннями, видаленнями та охопленням. Зберігайте як source_at (якщо вказано), так і observed_at.

Інші записи з’являються між наведеними прикладами. Послідовні номери впорядковують спостереження; знімки історії можуть містити давніші дати джерел і надходити пізніше, ніж поточні події. Розрізняйте знімки, відновлені повідомлення, повідомлення про видалення та результати, що відсутні при повторній перевірці. Позначте прогалини в охопленні як невідомі інтервали. Пізніше отримання історії не забезпечує ретроактивно безперервного спостереження.

6. Додавати перспективи облікових записів без втрати їхнього походження#

Використовуйте окремий робочий простір для кожного окремого облікового запису та повторюйте його інвентаризацію. Зберігайте ідентифікатор облікового запису, роль, відбиток ключа підпису та посилання на джерела під час кожного порівняння. Номери повідомлень не є глобальними ідентифікаторами для всіх чатів/облікових записів.

Кореляція між робочими просторами здійснюється у зовнішніх нотатках щодо справ або аналітичних інструментах. Наразі TgWitness не має глобального пошуку між робочими просторами, об’єднаної хронології, графіку розслідування чи об’єднаного архіву справ. Експорт даних з кількох облікових записів одного каналу/супергрупи є окремою операцією, а не об’єднанням журналів цих облікових записів.

У разі тривалої роботи дотримуйтесь меж, залучаючи незалежного свідка. Використовуйте перевірки контрольованої доставки, щоб оцінити шлях запису та видимість кожного облікового запису.

7. Збір та перевірка матеріалів справи, що передаються#

Зберігайте ці матеріали разом у каталозі справи, сформованому аналітиком:

З надійної інсталяції, із зазначенням імен файлів та фактичних відбитків кожного робочого простору:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

Зберігаються фактичні результати верифікації та оригінальні артефакти. Каталог справ найвищого рівня, реєстр джерел та висновки аналітиків ведуться зовні; кожен артефакт TgWitness має власний підпис та процедуру верифікації.

Адаптуйте розслідування#

Посилання на колекцію · Перевірка профілів користувачів · Передача доказів · Перевірка завершена