معظم التحقيقات الداخلية تنتج استنتاجات صحيحة وبلا فائدة، لأنه ما حد يكدر يبيّن من وين جات هاي الاستنتاجات.
الفرق بين ملاحظة مكتوبة بنافذة محادثة وبين دليل، مو نوعية التحليل. الفرق هو هل تكدر تثبت، بعد فترة ولشخص مو متعاون، إن اللي تعرضه عليه هو فعلاً اللي كان موجود بذاك الجهاز، وإنه ما تغيّر من ذاك الوقت.
فيه عادتان تضمنان لك هذا، وما وحدة منهن صعبة.
العادتان
اعمل هاش (Hash) لكل شي لحظة جمعه، وسجّل الهاش بمكان منفصل عن الشي اللي يصفه. صورة قرص (Disk Image) مكتوب عليها SHA-256 وقت الحصول عليها، تكدر تثبت إنها نفسها بعد أشهر. نفس الصورة بدون هاش تصير مجرد ملف يكدر أي شخص يكون عدّل فيه، وبمجرد ما يصير هذا احتمال وارد بغرفة النقاش، المحتوى التقني ما عاد يهم.
وبعدين احتفظ بسلسلة حفظ الأدلة (Chain of Custody)، وهي قائمة بسيطة: شنو تم جمعه، ومتى، بتوقيت UTC، ومن قبل من، ومن أي جهاز، ووين انخزن من ذاك الوقت. كل عملية نقل تصير سطر بالقائمة. يبان هذا شكلي روتيني لحد ما يسألونك أول مرة "شلون نعرف إن ما حد عدّل بهذا بشهر آذار"، ويكون الجواب عندك وثيقة مو هزّة كتف.
ترتيب التطاير (Order of Volatility)
اجمع الأدلة حسب ترتيب تطايرها، لأن بعض الأدلة تنتهي أسرع من غيرها. الذاكرة وحالة المعالج (CPU) تختفي بمجرد انقطاع الكهرباء. اتصالات الشبكة والعمليات الشغالة (Processes) تختفي بإعادة التشغيل. الملفات المؤقتة وملف الـ Swap تصمد بوجه إعادة التشغيل بس مو بوجه إعادة التهيئة (Reimage). القرص الصلب يصمد بالحالتين. أما السجلات (Logs) الموجودة على سيرفر بعيد تصمد حتى لو الجهاز نفسه انتهى، وهذا بالضبط سبب أهمية إرسالها (Forwarding) اللي حكينا عنه بالدرس الأول.
اشتغل على نسخ، مو على الأصل أبداً. اعمل تحميل (Mount) للصور بوضع قراءة فقط (Read-Only). وإذا اضطريت تفحص نظام شغال فعلياً، اعرف إن أوامرك هذي نفسها راح تغيّر بالنظام، فسجّل شنو سويت بالضبط، حتى الشخص اللي يجي بعدك يكدر يميّز آثارك عن آثار المهاجم.
الطوابع الزمنية تكذب بثلاث طرق بنفس الوقت
شي واحد يوقع الناس بالغلط: الطوابع الزمنية (Timestamps) تكذب بثلاث طرق مختلفة بنفس الوقت. أنظمة الملفات تسجل عدة طوابع زمنية، والبرمجيات الخبيثة عادة تعيد كتابة الطابع الظاهر منها. وأنظمة مختلفة تسجل مناطق زمنية مختلفة. وأي مهاجم قاعد بالشبكة من شهر، صار عنده شهر كامل يرتب فيه آثاره. لازم تتأكد من أي تسلسل زمني عبر مصدرين مستقلين على الأقل — أثر من الجهاز نفسه وسجل من الشبكة، يفضّل هذا النوع — قبل ما تبني عليه أي استنتاج.
Four timestamps on one file and two lines from a proxy. Put them all on one axis and the question answers itself — then ask which of the four a person can set, and which one they cannot.
-- file metadata, host ws-044 ---------------------------------- path C:\\Users\\Public\\report-final.docx Modified (M) 2026-01-18T11:02:40Z Accessed (A) 2026-01-18T11:02:40Z Created (B) 2026-01-18T11:02:40Z MFT changed (C) 2026-02-27T23:51:08Z -- proxy log ---------------------------------------------------- 2026-02-27T23:50:52Z ws-044 -> files.partner.example GET 2026-02-27T23:51:19Z ws-044 -> files.partner.example PUT 8.1MB
وأخيراً، وهذا الجزء اللي يفرّق بين تقرير مفيد وتقرير يبان تقنياً بس مو أكثر: اذكر مستوى ثقتك بالمعلومة وقول شنو ما كدرت تتحقق منه. جملة "الحساب استخدم من هذا العنوان" وجملة "نعتقد إن الحساب استخدم من هذا العنوان، استناداً على مصدر سجل واحد ما كدرنا نتأكد منه"، جملتان مختلفتان، ووحدة منهن بس تصمد إذا طلعت غلط.