סייבר ואבטחת מידע · incident-response

Disk Forensics למתחילים: קבצים, Metadata ו-Timeline

מאת תאיר מלכא 6 דק׳ קריאהפורסם: 5 באוגוסט 2026

המחשה חזותית מקצועית בנושא Disk Forensics למתחילים בתחום Incident Response ו-DFIR

תשובה מהירה

Disk Forensics למתחילים הוא תהליך מבוקר שמאזן בין בלימת נזק לשימור ראיות. מתעדים מקור, זמן וכלי, שומרים Hash, בונים Timeline ומפרידים בין עובדה, פרשנות והחלטה.

Incident Response ו-DFIR דורשים איזון בין מהירות, שימור ראיות, רציפות עסקית ותיעוד. פעולה נכונה היא פעולה שאפשר להסביר, לשחזר ולבקר לאחר האירוע. המאמר הנוכחי מתמקד ב-Disk Forensics למתחילים ומיועד ל-תלמידי DFIR ואנליסטים. המטרה היא לתת שיטת עבודה שאפשר ליישם בתרגול, בראיון מקצועי ובסביבת עבודה, בלי להסתפק בהגדרה מילונית.

האתגר המרכזי הוא שהנתונים כמעט תמיד חלקיים. filesystem metadata, MFT, timestamps יכולים להצביע על כיוון, אך המשמעות שלהם תלויה בזמן, בנכס, במשתמש ובפעילות הצפויה. לכן נבנה את הבדיקה סביב שאלת חקירה, ראיות נדרשות וקריטריון ברור לסיום.

התרחיש המעשי במאמר הוא: בניית MACB timeline ממערכת מעבדה.. כל הדוגמאות הן נתוני מעבדה או תיאור תהליכי. כאשר מדובר ב-Penetration Testing, Web או Cloud, יש לעבוד רק עם אישור מפורש, Scope מוגדר ויכולת לעצור את הבדיקה.

Image מול Live disk

כדי להבין את ההבדל בהקשר של Disk Forensics למתחילים, חשוב להשוות מטרות ולא רק כלים. אפשרות אחת נותנת רוחב או מהירות, ואחרת נותנת אימות עמוק או הקשר. הבחירה הנכונה תלויה בשאלה: האם נדרש גילוי, חקירה, הוכחת השפעה, בלימה או דיווח.

טבלת השוואה מקצועית צריכה לכלול לפחות: סוג הקלט, רמת הוודאות, עלות תפעולית, השפעה אפשרית, מגבלות והמשך נדרש. במקרה של ספק, משתמשים בגישה הפחות פולשנית ומוסיפים מקור משלים במקום להסיק מסקנה רחבה מדי.

File system ו-Metadata

השדות החשובים אינם בהכרח אלה שמוצגים בראש המסך. ב-Disk Forensics למתחילים יש לזהות מזהים יציבים, זמן, מקור, יעד, תוצאה והקשר. דוגמאות שימושיות הן filesystem metadata, MFT, timestamps, deleted files, browser artifacts, timeline. המטרה היא לאפשר Correlation בין רשומות ולא רק קריאה של Event בודד.

מומלץ ליצור Data dictionary קטן: שם השדה, משמעות, פורמט, מקור, ערכי Null צפויים והאם הוא אמין לקישור. כך ניתן להבדיל בין שדה תצוגה לבין מזהה חקירתי, ולזהות כאשר Connector או גרסה שינו Schema.

Timestamps ו-Timeline

Timeline הוא עמוד השדרה של Disk Forensics למתחילים. מנרמלים זמנים ל-UTC או מציינים במפורש את אזור הזמן, שומרים גם Event time וגם Ingestion time, ומחברים אירועים לפי מזהים יציבים. השורה צריכה לכלול זמן, מקור, ישות, פעולה, תוצאה ואמינות.

פער או סתירה אינם תקלה במסמך אלא ממצא. Clock drift, עיכוב קליטה, NAT, reuse של PID או Session מתמשך יכולים לשנות סדר. לכן מציינים טווחי אי-ודאות ומחזיקים קישור חזרה לראיה הגולמית.

Deleted data ו-Artifacts

הנושא 'Deleted data ו-Artifacts' הוא חלק מרכזי בעבודה על Disk Forensics למתחילים. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את filesystem metadata, MFT, timestamps, deleted files, browser artifacts, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Correlation עם Logs

הנושא 'Correlation עם Logs' הוא חלק מרכזי בעבודה על Disk Forensics למתחילים. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: filesystem metadata, MFT, timestamps, deleted files, browser artifacts, timeline. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

filesystem metadata: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
MFT: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
timestamps: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
deleted files: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
browser artifacts: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
timeline: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

הגדירו Scope ושאלת עבודה אחת בנושא Disk Forensics למתחילים.
רשמו את מקורות הנתונים והראיות הדרושים: filesystem metadata, MFT, timestamps, deleted files.
צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא בניית MACB timeline ממערכת מעבדה. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

שלב	מה מבצעים	תוצר
הכנה	הגדירו Scope, זמן ויעד. רשמו אילו שדות או ראיות מתוך filesystem metadata, MFT, timestamps צפויים להופיע.	תוכנית בדיקה קצרה
יצירת נתון	בצעו פעולה בטוחה ומדומה הקשורה ל-Disk Forensics למתחילים, ללא מידע אמיתי או השפעה על מערכת ייצור.	אירוע/Request/Flow מבוקר
איסוף	אספו את הראיה הגולמית ואת ההקשר ממקור נוסף. ודאו Time zone, מזהים ושלמות.	שתי ראיות מקושרות
ניתוח	כתבו מה כל ראיה מוכיחה, מה אינה מוכיחה ומהו ההסבר הלגיטימי האפשרי.	מסקנת ביניים
סיום	בחרו סגירה, הסלמה, Finding או Tuning; הוסיפו המלצה ו-Retest.	תוצר מתועד

Checklist מעשי

בדקו ותעדו: מקור הראיה.
בדקו ותעדו: זמן איסוף ואזור זמן.
בדקו ותעדו: Hash ו-Chain of Custody.
בדקו ותעדו: כלי וגרסה.
בדקו ותעדו: פעולות תגובה שבוצעו.
בדקו ותעדו: Timeline והנחות עבודה.
ציינו Time zone, גרסת כלי ושעת איסוף.
שמרו את הנתון הגולמי לפני סינון או שינוי.
כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

לשנות את המערכת לפני שימור ראיות.
לא לתעד אזור זמן.
לא לחשב Hash.
לערבב עובדה והשערה.
לא לתעד מי החזיק בראיה.
להעדיף שלמות תאורטית על בלימת נזק מיידי.

סיכום ו-CTA

Disk Forensics למתחילים: קבצים, Metadata ו-Timeline הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

האם Disk Forensics למתחילים לבדו מוכיח תקיפה או חולשה?

לא. הוא מספק אות או ממצא שצריך הקשר, אימות ומקור נוסף. מסקנה מקצועית נשענת על רצף ראיות ועל התאמה להתנהגות הצפויה.

מה עושים כאשר חלק מהנתונים חסרים?

מתעדים את החסר, בודקים מקור חלופי ומצמצמים את רמת הביטחון. אין להשלים שדות בהשערה או להציג Unknown כתקין.

כמה זמן צריך לשמור את הראיות?

הזמן תלוי במדיניות, רגולציה, עלות וסוג האירוע. חשוב להגדיר מראש Retention, Legal hold ויכולת לייצא ראיה בפורמט שניתן לאמת.

איך מתרגלים בלי לסכן מערכת אמיתית?

משתמשים במכונות וירטואליות, נתונים מדומים, CTF או מעבדה ייעודית. בבדיקות מורשות מגדירים Scope, Stop conditions וגיבוי לפני תחילת העבודה.

מקורות

רוצים לבדוק אם המסלול מתאים לכם?

השאירו פרטים ונציג של HPI יחזור אליכם לשיחת התאמה קצרה וללא התחייבות.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI

רוצים לשמוע פרטים על התוכנית? השאירו פרטים ונחזור אליכם.

ללימודי SOC וסייבר במסגרת תוכנית Cybersecurity & AI יצירת קשר

על הכותב

תאיר מלכא

מייסד ומנכ״ל HPI ומרצה לסייבר

תאיר מלכא הוא מייסד ומנכ״ל HPI – המכללה למקצועות ההייטק, ומרצה לסייבר במסלולי ההכשרה של המכללה. במסגרת תפקידיו הוא אחראי על בניית תוכניות הלימוד המקצועיות של HPI בתחומי סייבר, IT ורשתות, ומוביל את הליווי המקצועי של הסטודנטים לאורך המסלול.

לפרופיל הכותב ↗

הקודם באשכול

Memory Forensics למתחילים: מה אפשר ללמוד מזיכרון מחשב

הבא באשכול

Malware Triage: בדיקה ראשונית בטוחה של קובץ חשוד