Tài liệu hướng dẫn / 09

Điều tra trên tất cả các cuộc trò chuyện

Xử lý toàn bộ vụ việc trên các kênh, nhóm, cuộc trò chuyện riêng tư và bot: thu thập, kết nối, tái tạo và bàn giao bằng chứng.

Hướng dẫn này sẽ theo dõi một vụ việc giả định từ đầu đến cuối. Hướng dẫn sử dụng các tính năng thu thập, tìm kiếm, lập hồ sơ cá nhân và xuất dữ liệu thực tế. Bản đồ vụ việc chỉ là một ví dụ minh họa trong tài liệu; các kết luận và sổ đăng ký vụ việc của quý vị sẽ được lưu trữ bên ngoài ứng dụng.

Để tải lịch sử, xem xét nguồn bằng AI (tùy chọn), MCP, OCR và webhook gửi đi, hãy xem phần "Quản lý kho lưu trữ".

1. Đảm bảo phạm vi bao quát toàn bộ tài khoản

1. Vui lòng kết nối tài khoản thu thập dữ liệu trong không gian làm việc riêng của nó. Ghi lại mã tham chiếu vụ việc, ID tài khoản, tên không gian làm việc và dấu vân tay khóa ký vào ghi chú vụ việc của quý vị.
2. Nguồn mở → Phạm vi quan sát → Chế độ điều tra. Xem xét toàn bộ tài khoản, cả bốn loại nguồn và các hành động của chính người dùng. Cài đặt sẵn này cho phép lưu hồ sơ của một nguồn mới cùng 200 tin nhắn hiển thị gần nhất của nguồn đó. Nhấn Lưu phạm vi và hoàn tất việc xác nhận phạm vi.
3. Nhấn vào “Tải các cuộc trò chuyện”. So sánh các nguồn với danh sách cuộc trò chuyện của tài khoản và xem xét các trường hợp loại trừ. Trong phần “Tham số” → “Các cuộc trò chuyện được đọc từ danh sách tài khoản”, hãy điều chỉnh giới hạn danh sách ban đầu nếu cần: giá trị mặc định là 1.000 cuộc trò chuyện, có thể cấu hình lên đến 20.000. Các cuộc trò chuyện vượt quá giới hạn sẽ được phát hiện khi chúng trở nên hoạt động.
4. Trong phần Cài đặt ghi lại, hãy chọn và lưu tùy chọn “Tất cả hoạt động hiển thị”. Kiểm tra các loại tệp đính kèm, giới hạn dung lượng và dung lượng đĩa trống. Bắt đầu quá trình giám sát và xác thực một tin nhắn, thao tác chỉnh sửa và xóa được kiểm soát trước khi tin tưởng vào cấu hình đã thiết lập.

“Toàn bộ tài khoản” bao gồm các cuộc trò chuyện mà tài khoản này có thể truy cập, cùng với các loại nguồn và các trường hợp loại trừ đã được cấu hình. Các cuộc trò chuyện bí mật không khả dụng. Các cuộc trò chuyện mới sẽ được thêm vào khi có bản cập nhật; việc kích hoạt chế độ này sẽ không tự động tải xuống toàn bộ lịch sử cũ của mọi cuộc trò chuyện hiện có.

2. Thu thập lịch sử và bảo quản các tệp tin

Xây dựng sổ đăng ký nguồn cho toàn bộ cuộc điều tra. Gán cho mỗi cuộc trò chuyện một hàng với ID số, tiêu đề, tài khoản, quyền truy cập/vai trò, thời điểm bắt đầu theo dõi trực tiếp, quá trình thu thập lịch sử, kết quả phương tiện truyền thông và các khoảng trống đã biết. Chỉ đánh dấu nguồn là đã thu thập sau khi kiểm tra kết quả liên quan.

Việc xuất toàn bộ cuộc trò chuyện là một bản chụp riêng biệt; nó không nhập toàn bộ lịch sử vào sổ ghi chép hoặc hồ sơ cá nhân. Sử dụng tính năng “Tải toàn bộ lịch sử từ các nguồn đã bật” hoặc các bản chụp sổ ghi chép có giới hạn để tìm kiếm tài liệu lịch sử mà bạn cần trong TgWitness. Kiểm tra danh sách nguồn trước khi bắt đầu quá trình chạy.

Trong trường hợp cụ thể, hãy thu thập kênh thông báo, nhóm hoạt động, cuộc trò chuyện với bot và các cuộc trao đổi riêng tư tiếp theo. Lưu giữ các byte và mã băm của tệp đính kèm hóa đơn. Lịch sử hiện có không thể tái tạo lại một tin nhắn đã bị xóa trước khi ghi lại hoặc một lần chỉnh sửa trung gian mà Telegram không còn cung cấp nữa.

3. Theo dõi diễn biến cuộc trò chuyện và các hành động của chính quý vị

Hãy duy trì quá trình theo dõi khi vụ việc tiếp tục diễn biến. Đánh dấu các cuộc trò chuyện liên quan đến vụ việc đang diễn ra làm nguồn ưu tiên; cấu hình mức độ ưu tiên và việc kiểm tra lại các nguồn khác trong phần Cài đặt ghi lại → Kiểm tra lại. Kiểm tra lại các mục recheck.completed, cập nhật tiếp theo, FloodWait và kết quả liên quan đến phương tiện truyền thông khi công việc tiến triển.

Vui lòng sử dụng Chats → Profile → Save profile now để lưu giữ các mô tả nguồn hiện tại, lệnh bot và các siêu dữ liệu khác mà Telegram trả về. Hồ sơ nguồn này độc lập với các hồ sơ cá nhân được xây dựng từ các tin nhắn trong nhật ký.

4. Theo dõi các cá nhân, liên kết và tệp tin trong các cuộc trò chuyện

1. Mở Sổ nhật ký, để bộ lọc nguồn ở chế độ “Tất cả nguồn” và tìm kiếm một cụm từ đặc trưng, tên miền, tên người dùng hoặc mã định danh đã lưu. Mở từng bản ghi phù hợp và ghi lại nội dung trò chuyện, ID tin nhắn cùng số thứ tự trong sổ nhật ký của bản ghi đó.
2. Để xem một cuộc trò chuyện cụ thể, hãy mở Chats → People → Bật hồ sơ, sau đó chọn một người. Xem lại lịch sử tên/tên người dùng, mối quan hệ trả lời, hoạt động, cũng như các mục “Cũng trong…” bao gồm các cuộc trò chuyện khác được theo dõi và các liên kết, ví tiền điện tử hoặc số điện thoại đã trích xuất. Mở các bản ghi nhật ký được trích dẫn.
3. Hãy theo dõi cùng một ID người dùng Telegram (dạng số) trong các cuộc trò chuyện khác thuộc không gian làm việc này. Hãy coi tên trùng khớp, việc đề cập đến ví tiền điện tử hoặc hình đại diện tương tự như một manh mối cần kiểm tra. Việc đề cập đến một địa chỉ không chứng minh quyền sở hữu; hình đại diện tương tự cũng không chứng minh đó là cùng một người.
4. So sánh các giá trị SHA-256 của tệp đính kèm được lưu giữ giữa các bản ghi. Các giá trị băm trùng khớp đảm bảo tính nhất quán về byte của các tệp đã lưu. Kiểm tra các bản ghi tin nhắn và người gửi liên quan trước khi đưa ra kết luận về người đã chia sẻ chúng.

Các hồ sơ cá nhân bao gồm thông tin về những người dùng có tin nhắn được lưu trữ trong cuộc trò chuyện đó và liên kết họ với các cuộc trò chuyện khác trong cùng một nhật ký không gian làm việc. Đây không phải là danh bạ thành viên đầy đủ. Các giá trị băm (hash) của ảnh đại diện được lấy từ bộ nhớ đệm cục bộ riêng biệt; số lượng trích dẫn trong hồ sơ có giới hạn có thể cấu hình tại mục Cài đặt → Số bản ghi được trích dẫn cho mỗi sự kiện.

5. Phục dựng trình tự và đánh dấu các khoảng trống

Trong phần “Chats”, quý vị có thể kiểm tra các phiên bản đã lưu cùng các liên kết “Journal record #…” tương ứng. Trong phần “Journal”, quý vị có thể sử dụng các mục “All sources” cùng với “Edits”, “Deletions” và “Coverage”. Xây dựng dòng thời gian vụ việc dựa trên cả ngày tháng từ Telegram được cung cấp và thời gian quan sát của người thu thập dữ liệu.

1. 09:00 · #101Bài đăng trên kênh đã được ghi lại

   Địa chỉ đích ban đầu được giữ nguyên.

2. 09:12 · #146 / #151Nhóm giới thiệu một liên kết khác

   Người dùng 71001 đã đăng tải nội dung này; quá trình tải xuống tệp đính kèm đã hoàn tất.

3. 09:16 · #173Bot hiển thị cùng một đích đến

   Dữ liệu siêu liên kết được lưu trữ trong thông tin siêu dữ liệu bàn phím.

4. 09:20 · #188Các thay đổi trong thông báo trên kênh

   Cả các quan sát ban đầu lẫn các quan sát đã được chỉnh sửa đều được giữ nguyên.

5. 09:24 · #205 / #209Phần tiếp theo dành cho đối tượng riêng tư cũng lặp lại nội dung này

   Tệp đính kèm đã lưu có mã SHA-256 đầy đủ trùng khớp với #151.

6. 09:28 · #231Thông báo về việc xóa nhóm đã được gửi đến

   Quan sát trước đó vẫn còn nguyên giá trị; thông tin về người xóa cũng như thời điểm xóa chính xác đều không được cung cấp.

Các mốc thời gian quan sát và tham chiếu mang tính minh họa. Các bản ghi nhật ký khác xuất hiện giữa các mục này.

Thứ tự trong nhật ký dựa trên thời điểm nhận được, không nhất thiết phải theo thứ tự các hành động ban đầu trên Telegram. Một bản chụp lịch sử cũ hơn có thể xuất hiện sau một tin nhắn trực tiếp mới hơn. Hãy phân biệt rõ ràng giữa các quan sát trực tiếp, bản chụp, tin nhắn đã khôi phục, thông báo xóa và các trường hợp “không tìm thấy khi kiểm tra lại”. Hãy thêm một khoảng thời gian “không xác định” rõ ràng vào bất kỳ vị trí nào mà phạm vi ghi nhận cho thấy có khoảng trống; một bản chụp sau đó sẽ không xóa bỏ khoảng trống đó.

6. Mở rộng phạm vi áp dụng sang các tài khoản thu thập khác

Thêm một không gian làm việc cho từng tài khoản riêng biệt và lặp lại quy trình xác định phạm vi cũng như lập danh mục lịch sử. Ghi lại thông tin về tư cách thành viên/vai trò và dấu vân tay khóa ký cho từng tài khoản. Đảm bảo các định danh được xác định rõ theo không gian làm việc và cuộc trò chuyện: cùng một số tin nhắn không phải là định danh chung áp dụng cho tất cả các tài khoản.

Quý vị có thể so sánh các quan sát có liên quan trong ghi chú vụ việc hoặc các công cụ phân tích của mình, đồng thời lưu giữ thông tin tài khoản và tham chiếu nhật ký cho từng hàng. Hiện tại, TgWitness chưa cung cấp tính năng tìm kiếm toàn cục, dòng thời gian hợp nhất, sơ đồ mối quan hệ giữa các cá nhân hoặc kho lưu trữ vụ việc trên các không gian làm việc. Tính năng xuất toàn bộ dữ liệu từ nhiều tài khoản của một kênh hoặc siêu nhóm là một tính năng riêng biệt; đây không phải là sự hợp nhất của tất cả các nhật ký tài khoản.

Trong quá trình làm việc kéo dài, hãy bổ sung một nhân chứng độc lập để duy trì các ranh giới đã thiết lập từ trước. Sử dụng chương trình thí điểm phân phối có kiểm soát để xác định các lộ trình thu thập và phạm vi hiển thị của các tài khoản.

7. Cung cấp một bộ hồ sơ vụ việc đầy đủ và có thể kiểm chứng

Xuất tệp ZIP chứa nhật ký đã được ký điện tử từ từng không gian làm việc. Tệp này chứa toàn bộ nhật ký đã ghi lại, bất kể các bộ lọc tìm kiếm trên bảng điều khiển. Xuất riêng các hồ sơ cá nhân có liên quan, lưu giữ từng gói lịch sử trò chuyện đầy đủ và bảo toàn các bằng chứng đính kèm đã hoàn chỉnh.

CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files

Lưu giữ các dấu vân tay đáng tin cậy thông qua một kênh riêng biệt. Từ một hệ thống cài đặt đáng tin cậy, hãy xác minh từng bằng chứng dựa trên danh tính không gian làm việc riêng của nó:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

Vui lòng kiểm tra kết quả xác minh thực tế, lưu giữ các bản gốc, đồng thời lưu lại báo cáo phạm vi, các trường hợp thu thập thất bại và bản ghi chuyển giao cùng với các phát hiện của quý vị. Thư mục cấp cao nhất của vụ việc và kết luận của nhà phân tích được tổng hợp bên ngoài; các bằng chứng riêng lẻ của TgWitness đều có chữ ký riêng.

Áp dụng phương pháp tương tự cho các cuộc điều tra khác