الأدلة وتفسيرها

لا يقتصر التحليل الجنائي الرقمي على قراءة الحقول. بل هو تحديد الملاحظة التي يدعمها الحقل، ومدى قوة هذا الدعم، وما الذي يمكن أن ينتج الملاحظة نفسها بصورة بريئة.

أربع فئات مفيدة من الأدلة

الفئة	المعنى	أمثلة
الوجود	كان المسار أو الملف معروفًا لدى Windows	سجل ملف في Amcache، إدخال في ShimCache، سجل في $MFT
التنفيذ	سجّل Windows تشغيل برنامج أو حالة تنفيذ	وقت تشغيل في Prefetch؛ علامة تنفيذ مدعومة في ShimCache
تفاعل المستخدم	أشار مستخدم أو تطبيق إلى عنصر أو فتحه	RecentDocs، Jump List، ملف LNK في مجلد Recent
نشاط النظام	سجّل Windows استخدام الموارد أو التكوين	عدّادات SRUM، تكوين الخدمات، إجراء في TaskCache

يمكن للأثر الرقمي أن يدعم أكثر من فئة، لكن لا ترفع تصنيفه تلقائيًا أبدًا. فعلى سبيل المثال، يدعم إدخال Amcache ذو المسار المريب الوجود. ويضيف وقت تشغيل مطابق في Prefetch دليلًا أقوى على التنفيذ. ويمكن لسجل إنشاء في USN ومسار في $MFT أن يثبتا وجود الملف على القرص، ويمكن لحجر Defender أن يفسر سبب اختفائه.

الطوابع الزمنية إفادات، لا حقائق مطلقة

اسأل عمّا تسبب في كل طابع زمني:

• تصف أوقات $STANDARD_INFORMATION و$FILE_NAME البيانات الوصفية لنظام NTFS، وقد تتباين.
• يصف وقت التشغيل في Prefetch عملية تشغيل مسجلة، لكن لا يُحتفظ إلا بأوقات التشغيل الأخيرة.
• وقت ShimCache هو عادةً وقت آخر تعديل للملف المخزن مؤقتًا—وليس وقت التنفيذ.
• ينطبق وقت آخر كتابة لمفتاح سجل Windows على المفتاح ككل، لا على قيمة بعينها.
• يمنح RecentDocs وقت المفتاح لأحدث عنصر؛ أما العناصر الأقدم فلها ترتيب، لكن عادةً دون وقت فتح.
• كثيرًا ما تحدد الطوابع الزمنية في SRUM فترة تجميع بدلًا من عملية الشبكة الدقيقة.

استخدم UTC أثناء التحليل، واحتفظ بالقيمة الأصلية عند توفرها، ووثّق أي تحويل.

الأدلة الإيجابية والسلبية

يمكن أن يكون وجود سجل مفهوم جيدًا دليلًا إيجابيًا قويًا. أما الغياب فهو عادةً أضعف، لأن الآثار الرقمية تُستبدل بأحدث منها، وذاكرات التخزين المؤقت محدودة الحجم، وقد يكون الجمع غير مكتمل، والإعدادات تتفاوت، وأدوات التنظيف موجودة. قل "لم يُلاحَظ في الأثر الرقمي المجمّع" بدلًا من "لم يحدث".

سلّم التعزيز

1. تحقق من صحة ملف المصدر ومسار الجمع.
2. تأكد من أن المحلل لم يُبلغ عن أي تلف ذي صلة أو سجلات معاملات غير مطبّقة.
3. فسّر الحقل وفقًا لصفحة الأثر الرقمي.
4. ابحث عن أثر رقمي مستقل يدعم الإجراء نفسه.
5. تحقق من سجلات الأحداث، وبيانات القياس عن بُعد للشبكة، والذاكرة، أو محتوى الملفات عند توفرها.
6. سجّل إصدار Juntei الدقيق، والأمر، وعوامل التصفية، وتجزئة المصدر.

اكتب الاستنتاجات بقدر قوة الأدلة

فضّل عبارة "يسجل Prefetch تشغيل tool.exe في 10:02:11Z" على عبارة "نفّذ المهاجم البرنامج الضار في 10:02:11Z بالضبط". فالعبارة الثانية تضيف هوية ونية لا يستطيع Prefetch وحده إثباتهما.