หลักฐานและการตีความ

นิติวิทยาศาสตร์ดิจิทัลไม่ได้เป็นเพียงการอ่านฟิลด์ แต่คือการตัดสินว่าฟิลด์นั้นสนับสนุนข้อสังเกตใด การสนับสนุนนั้นมีน้ำหนักเพียงใด และมีสิ่งใดบ้างที่อาจก่อให้เกิดข้อสังเกตเดียวกันได้โดยไม่มีเจตนาร้าย

หลักฐานสี่ประเภทที่มีประโยชน์

ประเภท	ความหมาย	ตัวอย่าง
การมีอยู่	Windows รู้จักพาธหรือไฟล์นั้น	เรคคอร์ดไฟล์ใน Amcache, รายการใน ShimCache, เรคคอร์ดใน $MFT
การเรียกใช้งาน	Windows บันทึกการเปิดโปรแกรมหรือสถานะการเรียกใช้งาน	เวลาที่รันใน Prefetch; แฟล็กการเรียกใช้งานของ ShimCache ที่รองรับ
ปฏิสัมพันธ์ของผู้ใช้	ผู้ใช้หรือแอปพลิเคชันอ้างอิง/เปิดรายการนั้น	RecentDocs, Jump List, LNK ในโฟลเดอร์ Recent
กิจกรรมของระบบ	Windows บันทึกการใช้ทรัพยากรหรือการกำหนดค่า	ตัวนับของ SRUM, การกำหนดค่าบริการ, action ใน TaskCache

อาร์ติแฟกต์หนึ่งรายการอาจสนับสนุนได้มากกว่าหนึ่งประเภท แต่อย่ายกระดับประเภทโดยอัตโนมัติ ตัวอย่างเช่น รายการใน Amcache ที่มีพาธน่าสงสัยสนับสนุน การมีอยู่ เวลาที่รันใน Prefetch ที่ตรงกันจะเพิ่มหลักฐาน การเรียกใช้งาน ที่หนักแน่นขึ้น เรคคอร์ดการสร้างใน USN และพาธใน $MFT สามารถยืนยันว่าไฟล์อยู่บนดิสก์ และ ข้อมูลที่ Defender กักกันสามารถอธิบายได้ว่าเหตุใดไฟล์จึงหายไป

Timestamp คือข้อความที่บันทึกไว้ ไม่ใช่ความจริงสากล

ให้ถามว่าอะไรเป็นสาเหตุของแต่ละ timestamp:

• เวลาใน $STANDARD_INFORMATION และ $FILE_NAME อธิบายเมทาดาทาของ NTFS และอาจไม่ตรงกัน
• เวลาที่รันใน Prefetch อธิบายการเปิดโปรแกรมที่ถูกบันทึกไว้ แต่จะเหลือเพียงเวลาที่รันล่าสุดเท่านั้น
• เวลาใน ShimCache โดยปกติคือเวลาแก้ไขล่าสุดของไฟล์ที่ถูกแคชไว้ ไม่ใช่เวลาที่เรียกใช้งาน
• เวลาเขียนล่าสุดของคีย์รีจิสทรีใช้กับคีย์ทั้งคีย์ ไม่ใช่ค่าใดค่าหนึ่ง
• RecentDocs ให้เวลาของคีย์แก่รายการล่าสุด รายการที่เก่ากว่ามีลำดับแต่โดยปกติไม่มีเวลาที่เปิด
• timestamp ของ SRUM มักระบุช่วงเวลาที่รวบรวมข้อมูล แทนที่จะเป็นเวลาที่แน่นอนของการทำงานบนเครือข่าย

ให้ใช้ UTC ระหว่างการวิเคราะห์ เก็บค่าเดิมไว้เมื่อทำได้ และบันทึกการแปลงค่าใด ๆ ที่ทำ

หลักฐานเชิงบวกและเชิงลบ

การมีอยู่ของเรคคอร์ดที่เข้าใจกลไกดีแล้วอาจเป็นหลักฐานเชิงบวกที่หนักแน่น ส่วนการไม่มีอยู่มักมีน้ำหนัก น้อยกว่า เพราะอาร์ติแฟกต์ถูกเขียนทับวนรอบ แคชมีขนาดจำกัด การเก็บรวบรวมอาจไม่ครบถ้วน การตั้งค่าแตกต่างกัน และมีเครื่องมือทำความสะอาดอยู่ ให้กล่าวว่า “ไม่พบในอาร์ติแฟกต์ที่เก็บรวบรวมมา” แทนที่จะกล่าวว่า “ไม่ได้เกิดขึ้น”

ลำดับขั้นการยืนยันหลักฐาน

1. ตรวจสอบความถูกต้องของไฟล์ต้นทางและพาธที่เก็บรวบรวม
2. ยืนยันว่าพาร์เซอร์ไม่ได้รายงานความเสียหายที่เกี่ยวข้องหรือ transaction log ที่ยังไม่ได้นำไปใช้
3. ตีความฟิลด์ตามหน้าของอาร์ติแฟกต์นั้น
4. หาอาร์ติแฟกต์อิสระที่สนับสนุนการกระทำเดียวกัน
5. ตรวจสอบ event log, telemetry เครือข่าย หน่วยความจำ หรือเนื้อหาไฟล์เมื่อมีให้ใช้
6. บันทึกเวอร์ชันของ Juntei คำสั่ง ตัวกรอง และแฮชของต้นทางอย่างแม่นยำ

เขียนข้อสรุปให้ตรงกับน้ำหนักของหลักฐาน

ควรเขียนว่า “Prefetch บันทึกว่า tool.exe ทำงานเมื่อเวลา 10:02:11Z” แทนที่จะเขียนว่า “ผู้โจมตีเรียกใช้ มัลแวร์เมื่อเวลา 10:02:11Z พอดี” ข้อความที่สองเพิ่มเรื่องตัวตนและเจตนา ซึ่ง Prefetch เพียงอย่างเดียว ไม่สามารถยืนยันได้