جمع الأدلة الرقمية دون المساس بسلامتها

هدف الجمع

في هذه المرحلة، يتم تحديد الأدلة المطلوبة للإجابة على سؤال التحقيق. لجمع الأدلة الرقمية، النقاط الأساسية هي مصدر الدليل، وقت الجمع والمنطقة الزمنية، Hash وسلسلة الحيازة (Chain of Custody)، الأداة والإصدار. لكل مصدر، يتم توثيق المالك، نطاق الاحتفاظ، المنطقة الزمنية، تأخير الاستقبال والحقول التي قد تكون مفقودة.

جودة الجمع لا تُقاس بوصول السجل (Log). يجب التحقق من الاكتمال (Completeness)، الكمون (Latency)، التحليل (Parsing)، الأحداث المكررة (Duplicate events) ومزامنة الوقت. يتيح فحص Canary أو حدث مختبر معروف التأكد من ظهور النشاط في المصدر، مروره عبر خط الأنابيب (Pipeline) وإمكانية البحث عنه في الحقول الصحيحة.

ترتيب الإجراءات والصلاحيات

في جمع الأدلة الرقمية، الهوية والصلاحية سؤالان مختلفان: من هو العميل، وماذا يُسمح له بتنفيذه على المورد. يتم فحص الأدوار (Roles)، المطالبات (Claims)، الجلسات (Session)، ملكية الكائنات (Object ownership) والتغييرات خلال دورة الحياة، ولا يكتفى بأن المستخدم 'متصل'.

تتضمن مصفوفة الاختبار مستخدمًا مجهولًا، مستخدمًا عاديًا، مالكًا للكائن، مستخدمًا آخر ومديرًا. لكل إجراء، تتم مقارنة الاستجابة والتأثير على جانب الخادم. تغيير المعرف أو الرأس (Header) هو مجرد وسيلة اختبار؛ الدليل هو أن الخادم وافق أو رفض إجراءً يتعارض مع السياسة.

البيانات الحية مقابل صورة القرص

لفهم الفرق في سياق جمع الأدلة الرقمية، من المهم مقارنة الأهداف وليس الأدوات فقط. أحد الخيارات يوفر سعة أو سرعة، وآخر يوفر تحققًا عميقًا أو سياقًا. يعتمد الاختيار الصحيح على السؤال: هل هناك حاجة للاكتشاف، التحقيق، إثبات التأثير، الاحتواء أو الإبلاغ.

يجب أن يتضمن جدول مقارنة احترافي على الأقل: نوع الإدخال، مستوى اليقين، التكلفة التشغيلية، التأثير المحتمل، القيود والخطوات المطلوبة التالية. في حالة الشك، يتم استخدام النهج الأقل تدخلاً ويتم إضافة مصدر تكميلي بدلاً من استخلاص استنتاج واسع جدًا.

Hash والنزاهة

موضوع 'Hash والنزاهة' هو جزء أساسي من العمل على جمع الأدلة الرقمية. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما هو القرار الذي تريد اتخاذه، وما هو الدليل الكافي لتبرير ذلك. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل الذاكرة المتطايرة (volatile memory)، حالة الشبكة (network state)، العمليات قيد التشغيل (running processes)، صورة القرص (disk image)، الهاش (hash)، قارنها بالسلوك المتوقع وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل إضافي، بما في ذلك القيود وخطوات المتابعة.

التخزين، النقل والتوثيق

يجب أن يسمح توثيق جمع الأدلة الرقمية لشخص لم يشارك في العمل بفهم ما حدث وإعادة إنتاج الاستنتاج. يتم الفصل بين الحقائق، التفسيرات، الافتراضات والقرارات، ويتم ربط كل ادعاء بدليل، استعلام أو لقطة شاشة.

يتضمن الهيكل المفيد الملخص (Summary)، النطاق (Scope)، الجدول الزمني (Timeline)، الأدلة (Evidence)، التأثير (Impact)، الإجراءات (Actions)، القيود (Limitations) والخطوات التالية (Next steps). في تقرير اختبار الاختراق (PT)، يتم إضافة الإصلاح (Remediation) وإعادة الاختبار (Retest)؛ في التحقيق، يتم إضافة الاحتواء (Containment)، الاسترداد (Recovery) والدروس المستفادة (Lessons learned).

نقاط فحص فريدة

في هذا الموضوع، يوصى ببناء خريطة أدلة مركزة مسبقًا. نقاط الفحص المركزية هي: الذاكرة المتطايرة (volatile memory)، حالة الشبكة (network state)، العمليات قيد التشغيل (running processes)، صورة القرص (disk image)، الهاش (hash)، المجمع/الوقت (collector/time). القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان، إجراء ووقت أو يشرح سلوكًا مشروعًا.

• الذاكرة المتطايرة (volatile memory): حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• حالة الشبكة (network state): حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• العمليات قيد التشغيل (running processes): حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• صورة القرص (disk image): حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• الهاش (hash): حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• المجمع/الوقت (collector/time): حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.

عندما لا تتوفر إحدى النقاط، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان معرف العملية (Process identifier) غير مستقر، يمكن استخدام الوقت، المضيف (Host)، المستخدم (User) والأصل (Parent)؛ إذا كان الحمولة (Payload) مشفرة، يتم استخدام البيانات الوصفية (Metadata)، الحجم (volume)، التردد (frequency) وسياق TLS/DNS.

عملية عمل موصى بها

1. حدد نطاقًا (Scope) وسؤال عمل واحدًا حول جمع الأدلة الرقمية.
2. سجل مصادر البيانات والأدلة المطلوبة: الذاكرة المتطايرة (volatile memory)، حالة الشبكة (network state)، العمليات قيد التشغيل (running processes)، صورة القرص (disk image).
3. أنشئ خطًا أساسيًا قصيرًا (Baseline) لسلوك طبيعي أو نتيجة متوقعة.
4. قم بإجراء الفحص الأدنى في بيئة مختبرية وحفظ الوقت والمدخلات والمخرجات.
5. أنشئ جدولًا زمنيًا (Timeline) أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بإجراء نقطة محورية (Pivot) لمصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، القيود، الإجراء الموصى به ومعيار إعادة الاختبار (Retest).

سيناريو عملي

السيناريو المختار هو قائمة تحقق لجمع ملف، سجل (Log) وتفريغ الذاكرة (Memory dump) في المختبر. ليس الهدف من التمرين إثبات القدرة على الهجوم، بل ممارسة الجمع والمقارنة والتوثيق بطريقة آمنة. قبل بدء العمل، يتم تحديد بيانات وهمية، نافذة زمنية ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم ناتج يمكن لمحلل أو فاحص آخر مراجعته: لقطة شاشة أو تصدير (Export) للدليل، جدول زمني قصير، افتراض أولي، دليل مؤكد، قيود وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يتم إثباته.

قائمة تحقق عملية

• ✓فحص وتوثيق: مصدر الدليل.
• ✓فحص وتوثيق: وقت الجمع والمنطقة الزمنية.
• ✓فحص وتوثيق: Hash وسلسلة الحيازة (Chain of Custody).
• ✓فحص وتوثيق: الأداة والإصدار.
• ✓فحص وتوثيق: إجراءات الاستجابة التي تم تنفيذها.
• ✓فحص وتوثيق: الجدول الزمني (Timeline) وافتراضات العمل.
• ✓حدد المنطقة الزمنية (Time zone)، إصدار الأداة ووقت الجمع.
• ✓احفظ البيانات الخام قبل التصفية أو التغيير.
• ✓اكتب ما يثبته الاكتشاف وما هو غير معروف بعد.
• ✓حدد المالك والإجراءات التالية مع الموعد المحدد.

أخطاء شائعة

• تغيير النظام قبل الحفاظ على الأدلة.
• عدم توثيق المنطقة الزمنية.
• عدم حساب الهاش (Hash).
• خلط الحقائق بالافتراضات.
• عدم توثيق من حاز على الدليل.
• تفضيل السلامة النظرية على احتواء الضرر الفوري.

ملخص ودعوة للعمل

جمع الأدلة الرقمية دون المساس بسلامتها هو موضوع يربط المعرفة التقنية بالانضباط العملي. ابدأ بسؤال، اجمع فقط الأدلة ذات الصلة، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره ومراجعته.

في مسار Cybersecurity & AI في HPI، يتم ممارسة هذه المبادئ من خلال الأنظمة والسجلات والمختبرات. الخطوة الطبيعية التالية هي الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر وحفظ الناتج كجزء من ملف عمل مهني.

الأسئلة الشائعة