အထောက်အထားနှင့် အဓိပ္ပာယ်ဖော်ခြင်း

ဒစ်ဂျစ်တယ် မှုခင်းဆေးပညာ (digital forensics) သည် field များကို ဖတ်ရုံသာ မဟုတ်ပါ။ Field က မည်သည့် လေ့လာတွေ့ရှိချက်ကို ထောက်ခံသည်၊ ထိုထောက်ခံမှု မည်မျှခိုင်မာသည်နှင့် အပြစ်ကင်းသော အကြောင်းရင်းဖြင့် တူညီသော လေ့လာတွေ့ရှိချက်ကို မည်သည့်အရာက ဖြစ်ပေါ်စေနိုင်သည်ကို ဆုံးဖြတ်ခြင်း ဖြစ်သည်။

အသုံးဝင်သော အထောက်အထား အမျိုးအစား လေးမျိုး

အမျိုးအစား	အဓိပ္ပာယ်	ဥပမာများ
တည်ရှိမှု (Presence)	Path သို့မဟုတ် ဖိုင်တစ်ခုကို Windows က သိရှိခဲ့သည်	Amcache ဖိုင်မှတ်တမ်း၊ ShimCache entry၊ $MFT မှတ်တမ်း
လုပ်ဆောင်မှု (Execution)	Windows က ပရိုဂရမ်စတင်ဖွင့်မှု သို့မဟုတ် လုပ်ဆောင်မှုအခြေအနေကို မှတ်တမ်းတင်ခဲ့သည်	Prefetch run အချိန်၊ ထောက်ပံ့ထားသော ShimCache execution flag
အသုံးပြုသူ ထိတွေ့ဆောင်ရွက်မှု	အသုံးပြုသူ သို့မဟုတ် အပလီကေးရှင်းက item တစ်ခုကို ရည်ညွှန်း/ဖွင့်ခဲ့သည်	RecentDocs၊ Jump List၊ Recent ဖိုင်တွဲရှိ LNK
စနစ် လှုပ်ရှားမှု	Windows က resource အသုံးပြုမှု သို့မဟုတ် ပြင်ဆင်မှုကို မှတ်တမ်းတင်ခဲ့သည်	SRUM counter များ၊ ဝန်ဆောင်မှု ပြင်ဆင်မှု၊ TaskCache action

အထောက်အထားတစ်ခုသည် အမျိုးအစားတစ်ခုထက်ပို၍ ထောက်ခံနိုင်သော်လည်း ၎င်းကို အလိုအလျောက် အဆင့်မြှင့်ခြင်း ဘယ်တော့မှ မပြုပါနှင့်။ ဥပမာ- သံသယဖြစ်ဖွယ် path ပါသော Amcache entry သည် တည်ရှိမှု ကို ထောက်ခံသည်။ ကိုက်ညီသော Prefetch run အချိန်က ပိုမိုခိုင်မာသော လုပ်ဆောင်မှု အထောက်အထားကို ထပ်ဖြည့်သည်။ USN create မှတ်တမ်းနှင့် $MFT path က ဖိုင်ကို disk ပေါ်တွင် ရှိခဲ့ကြောင်း ပြနိုင်ပြီး Defender quarantine က ၎င်း အဘယ်ကြောင့် ပျောက်သွားသည်ကို ရှင်းပြနိုင်သည်။

Timestamp များသည် ထုတ်ပြန်ချက်များ ဖြစ်ပြီး စကြာဝဠာအမှန်တရား မဟုတ်ပါ

Timestamp တစ်ခုစီကို မည်သည့်အရာက ဖြစ်ပေါ်စေခဲ့သည်ကို မေးပါ-

• $STANDARD_INFORMATION နှင့် $FILE_NAME အချိန်များသည် NTFS metadata ကို ဖော်ပြပြီး တစ်ခုနှင့်တစ်ခု ကွဲလွဲနိုင်သည်။
• Prefetch run အချိန်သည် မှတ်တမ်းတင်ထားသော စတင်ဖွင့်မှုကို ဖော်ပြသော်လည်း မကြာသေးမီ run အချိန်များသာ ကျန်ရှိသည်။
• ShimCache အချိန်သည် များသောအားဖြင့် cache ထဲရှိ ဖိုင်၏ နောက်ဆုံးပြင်ဆင်ချိန်ဖြစ်ပြီး—လုပ်ဆောင်ချိန် မဟုတ်ပါ။
• Registry key ၏ last-write အချိန်သည် value တစ်ခုချင်းစီအတွက် မဟုတ်ဘဲ key တစ်ခုလုံးနှင့် သက်ဆိုင်သည်။
• RecentDocs သည် key ၏ အချိန်ကို နောက်ဆုံး item အား ပေးသည်။ အဟောင်း item များတွင် အစီအစဉ်ရှိသော်လည်း များသောအားဖြင့် ဖွင့်ချိန် မရှိပါ။
• SRUM timestamp များသည် အတိအကျ ကွန်ရက်လုပ်ဆောင်ချက်ထက် စုစည်းမှုကာလ (aggregation interval) ကို ဖော်ပြလေ့ရှိသည်။

ခွဲခြမ်းစိတ်ဖြာစဉ်အတွင်း UTC ကို အသုံးပြုပါ၊ ရရှိနိုင်ပါက မူရင်းတန်ဖိုးကို ထိန်းသိမ်းထားပြီး မည်သည့် ပြောင်းလဲမှုကိုမဆို မှတ်တမ်းတင်ပါ။

အပြုသဘောနှင့် အနုတ်သဘော အထောက်အထား

ကောင်းစွာနားလည်ထားသော မှတ်တမ်းတစ်ခု တည်ရှိခြင်းသည် ခိုင်မာသော အပြုသဘော အထောက်အထား ဖြစ်နိုင်သည်။ အထောက်အထားများ အစားထိုးရေးသားခံရခြင်း (roll over)၊ cache များ အရွယ်အစားကန့်သတ်ထားခြင်း၊ စုဆောင်းမှု မပြည့်စုံခြင်း၊ ဆက်တင်များ ကွဲပြားခြင်းနှင့် cleanup tool များ ရှိနေခြင်းတို့ကြောင့် မရှိခြင်း (absence) သည် များသောအားဖြင့် ပိုအားနည်းသည်။ “မဖြစ်ခဲ့ပါ” ဟု မဆိုဘဲ “စုဆောင်းထားသော အထောက်အထားတွင် မတွေ့ရှိရပါ” ဟု ဆိုပါ။

အတည်ပြုချက် လှေကားထစ်

1. Source ဖိုင်နှင့် စုဆောင်းမှု path ကို စစ်ဆေးအတည်ပြုပါ။
2. Parser က သက်ဆိုင်သော ပျက်စီးမှု သို့မဟုတ် အသုံးမချရသေးသော transaction log များကို အစီရင်ခံခြင်းမရှိကြောင်း အတည်ပြုပါ။
3. Field ကို အထောက်အထား စာမျက်နှာအတိုင်း အဓိပ္ပာယ်ဖော်ပါ။
4. တူညီသော လုပ်ဆောင်ချက်ကို ထောက်ခံသည့် သီးခြားလွတ်လပ်သော အထောက်အထားတစ်ခုကို ရှာပါ။
5. ရရှိနိုင်ပါက event log များ၊ ကွန်ရက် telemetry၊ memory သို့မဟုတ် ဖိုင်အကြောင်းအရာကို စစ်ဆေးပါ။
6. Juntei ဗားရှင်းအတိအကျ၊ ညွှန်ကြားချက်၊ filter များနှင့် source hash ကို မှတ်တမ်းတင်ပါ။

ကောက်ချက်များကို အထောက်အထား၏ ခိုင်မာမှုအတိုင်းသာ ရေးပါ

“တိုက်ခိုက်သူက malware ကို 10:02:11Z တွင် အတိအကျ လုပ်ဆောင်ခဲ့သည်” ထက် “Prefetch က tool.exe ကို 10:02:11Z တွင် run နေကြောင်း မှတ်တမ်းတင်ထားသည်” ကို ဦးစားပေးပါ။ ဒုတိယ ထုတ်ပြန်ချက်သည် Prefetch တစ်ခုတည်းဖြင့် မသတ်မှတ်နိုင်သော ကိုယ်ပိုင်အမှတ်အသားနှင့် ရည်ရွယ်ချက်ကို ထပ်ဖြည့်ထားသည်။