سجّلت محطة عمل بنظام Windows 11 تحمل الاسم WKS-ACCT-23 عملية تسجيل دخول “مستحيلة” (منطقياً) في الساعة 09:12 بالتوقيت العالمي المنسق (UTC) بتاريخ 2026-10-14، تلاها تنفيذ عمليات مشبوهة استمر حتى الساعة 10:05 UTC. ربما لم يحتج المهاجم سوى إلى بيانات اعتماد صالحة ومسار لتسجيل الدخول عن بُعد، دون الحاجة إلى برمجيات خبيثة تتسبب في تعطل محطة العمل بشكل ظاهر. وفي إطار نطاق الاستجابة للحوادث المصرح به، يتعين علينا تحديد ما يمكن استخلاصه من القرص والذاكرة، مع الحفاظ على الأدلة ليتسنى لفاحص آخر التحقق من صحة كل استنتاج. تتمثل عناصر الأدلة في EVD-2026-1014-001 (وهي صورة للقرص) وEVD-2026-1014-002 (وهي نسخة للذاكرة). ويوضح مسار الأدلة أدناه النقاط التي يجب فيها تطبيق ضوابط الحيازة:
يفصل هذا المخطط محطة العمل الأصلية عن بيئة المحلل ومستودع الأدلة. تخلق كل مرحلة انتقالية (سواء كانت تتعلق بالاستحواذ أو النقل أو التخزين أو التحليل) احتمالاً لتغيير الأدلة أو فقدانها أو نسبها بشكل خاطئ؛ لذا تتطلب كل مرحلة تسجيل هوية الشخص المسؤول عن التعامل مع الدليل، والوقت، والمكان، وإجراء فحص للسلامة (النزاهة).
تحوّل عملية التحقيق الجنائي الرقمي الملفات التي تم جمعها إلى نتائج قابلة للإثبات والدفاع عنها، وذلك عبر مراحل: التحديد، والحفظ، والجمع، والفحص، والتحليل، وإعداد التقارير. تحدد مرحلة “التحديد” نطاق الحادثة، بما في ذلك الجهاز WKS-ACCT-23 والفترة الزمنية المشبوهة وصلاحية التعامل مع الجهاز. وتمنع مرحلة “الحفظ” إجراء أي تغييرات على الأدلة الأصلية، بينما تنشئ مرحلة “الجمع” نسخاً خاضعة للرقابة. وتستخرج مرحلة “الفحص” الآثار الرقمية (artifacts) مثل سجلات أحداث Windows، والبيانات الوصفية للعمليات (process metadata)، وهياكل الذاكرة. وتربط مرحلة “التحليل” تلك الآثار بالادعاءات، في حين تميز مرحلة “إعداد التقارير” بين الاستنتاجات المدعومة بالأدلة والأسئلة التي لم تجد إجابة بعد.
يُعد ترتيب الجمع أمراً بالغ الأهمية لأن البيانات المتطايرة (التي تزول بزوال الطاقة) قد تضيع أثناء بقاء محطة العمل قيد التشغيل. وتُرسّخ المعايير RFC 3227 وBCP 55 مبدأ “ترتيب التطاير”: أي جمع المعلومات الأكثر عرضة للتغيير أولاً، ثم الانتقال إلى الأدلة الأكثر ديمومة. فبالنسبة للجهاز WKS-ACCT-23 مثلاً، يمكن لعملية التقاط محتويات الذاكرة (EVD-2026-1014-002) حفظ العمليات قيد التشغيل، واتصالات الشبكة، وبيانات الاعتماد المخزنة في الذاكرة، وهي أمور قد تضيع وتُدمر بمجرد إيقاف تشغيل الجهاز. أما صورة القرص (EVD-2026-1014-001) فتحفظ الملفات الدائمة والبيانات الوصفية لنظام الملفات، لكنها لا تستطيع استعادة عملية (process) انتهت بالفعل وتوقفت عن العمل.
يؤدي تخطي مرحلة الحفظ إلى كسر “سلسلة العهدة” (chain of custody) قبل بدء الفحص، لأن أنشطة المحلل قد تغير الطوابع الزمنية أو تؤدي إلى الكتابة فوق الآثار المؤقتة. كما أن تخطي مرحلة الفحص ينتج عنه كومة من البيانات دون استخلاص أدلة فعلية، وتخطي مرحلة التحليل يحوّل الملاحظات المستمدة من الآثار الرقمية إلى مجرد سرد قصصي غير مدعوم بأدلة. لا تُعد هذه العملية قاعدة جامدة تفرض اتباع خطوات متطابقة في كل حادثة، ولكن يجب تسجيل أي انحراف عن هذا المسار مع توضيح سببه ونتائجه.
قاعدة للاختبار
قم بالتقاط الأدلة ذات الصلة والأكثر تطايراً (عرضة للزوال) أولاً، ووثّق الأسباب التي استدعت اتباع ترتيب مختلف.
بمجرد توفر العنصرين EVD-2026-1014-001 وEVD-2026-1014-002، تصبح سلسلة العهدة (chain of custody) هي السجل الزمني الذي يوضح ماهية كل عنصر، ومن تعامل معه، ومكان حفظه، وكيفية التحقق من سلامته ونزاهته. يُخصص السجل معرفات ثابتة للأدلة قبل بدء التحليل. وتعمل الأوصاف الدقيقة على التمييز بين صورة القرص ونسخة الذاكرة، بينما تتيح الطوابع الزمنية (وفق التوقيت العالمي المنسق UTC) مطابقة عمليات النقل مع الفترة الزمنية التي وقع فيها النشاط المشبوه.
تعتمد سلامة البيانات على “التجزئة التشفيرية” (cryptographic hash)، وهي عبارة عن قيمة ملخصة (digest) ذات طول ثابت تُستخرج من ملف الدليل. فإذا أنتجت صورة القرص المأخوذة قيمة SHA-256 معينة، بينما أنتجت عملية تحقق لاحقة قيمة مختلفة، فلن يتمكن الفاحص من الادعاء بأن الملف اللاحق لم يطرأ عليه أي تغيير. ومن الأخطاء الشائعة التي يتم اختبارها الاكتفاء بإجراء عملية التجزئة مرة واحدة فقط عند مرحلة الحصول على الدليل؛ لذا يجب التحقق من قيمة التجزئة عند الحصول على الدليل، وقبل وبعد نقله، وعند استرجاعه للتحليل، وكذلك عند إعادته إلى مكان التخزين الخاضع للرقابة.
تُبيّن سجلات تتبع الحيازة (custody entries) الخاصة بكلا عنصري الدليل الحد الأدنى من البيانات المسجلة اللازمة للمراجعة اللاحقة: