Windows 11 वर्कस्टेशन WKS-ACCT-23 पर 2026-10-14 09:12 UTC को एक असंभव लॉगिन दर्ज हुआ, जिसके बाद 10:05 UTC तक संदिग्ध प्रोसेस चली। हमलावर को शायद सिर्फ़ सही क्रेडेंशियल और रिमोट लॉगऑन पाथ की ज़रूरत रही होगी, न कि ऐसे मैलवेयर की जो वर्कस्टेशन को साफ़ तौर पर खराब कर दे। अधिकृत इंसिडेंट-रिस्पॉन्स दायरे में, हमें यह पता लगाना होगा कि डिस्क और मेमोरी क्या सपोर्ट कर सकते हैं, और साथ ही सबूतों को सुरक्षित रखना होगा ताकि कोई दूसरा परीक्षक हर निष्कर्ष की जांच कर सके। सबूत की चीज़ें हैं: EVD-2026-1014-001 (एक डिस्क इमेज) और EVD-2026-1014-002 (एक मेमोरी कैप्चर)। नीचे दिया गया सबूत का पाथ दिखाता है कि कस्टडी कंट्रोल कहाँ लागू होने चाहिए:
यह डायग्राम ओरिजिनल वर्कस्टेशन को एनालिस्ट एनवायरनमेंट और एविडेंस वॉल्ट से अलग करता है। हर एक्विजिशन, ट्रांसफर, स्टोरेज और एनालिसिस की सीमा पर सबूतों में बदलाव, उनके खोने या गलत तरीके से जोड़ने की संभावना होती है, इसलिए हर सीमा पर हैंडलर, समय, जगह और इंटीग्रिटी चेक का रिकॉर्ड होना ज़रूरी है।
फोरेंसिक प्रोसेस दो इकट्ठा की गई फाइलों को पहचान, संरक्षण, संग्रह, जांच, विश्लेषण और रिपोर्टिंग के ज़रिए ऐसे नतीजों में बदलता है जिन्हें साबित किया जा सके। पहचान से घटना का दायरा तय होता है, जिसमें WKS-ACCT-23, संदिग्ध समय और डिवाइस को संभालने का अधिकार शामिल है। संरक्षण से ओरिजिनल सबूतों में बदलाव नहीं होता। संग्रह से कंट्रोल्ड कॉपी बनती हैं। जांच से विंडोज इवेंट रिकॉर्ड, प्रोसेस मेटाडेटा और मेमोरी स्ट्रक्चर जैसे आर्टिफैक्ट्स निकाले जाते हैं। विश्लेषण उन आर्टिफैक्ट्स को दावों से जोड़ता है, जबकि रिपोर्टिंग समर्थित नतीजों को बिना जवाब वाले सवालों से अलग करती है।
संग्रह का क्रम मायने रखता है क्योंकि वर्कस्टेशन के चालू रहने पर वोलाटाइल डेटा गायब हो जाता है। RFC 3227, BCP 55, वोलाटिलिटी के क्रम का सिद्धांत स्थापित करते हैं: पहले उस जानकारी को इकट्ठा करें जिसके बदलने की संभावना है, फिर ज़्यादा स्थायी सबूतों की ओर बढ़ें। WKS-ACCT-23 के लिए, मेमोरी कैप्चर EVD-2026-1014-002 चल रही प्रोसेस, नेटवर्क कनेक्शन और इन-मेमोरी क्रेडेंशियल्स को सुरक्षित रख सकता है जिन्हें शटडाउन से नुकसान पहुँच सकता है। डिस्क इमेज EVD-2026-1014-001 स्थायी फाइलों और फाइल-सिस्टम मेटाडेटा को सुरक्षित रखती है, लेकिन डिस्क इमेज उस प्रोसेस को दोबारा नहीं बना सकती जो पहले ही बंद हो चुकी है।
संरक्षण को छोड़ने से जांच शुरू होने से पहले ही चेन टूट जाती है, क्योंकि एनालिस्ट की गतिविधि टाइमस्टैम्प बदल सकती है या अस्थायी आर्टिफैक्ट्स को ओवरराइट कर सकती है। जांच छोड़ने से बिना निकाले गए सबूतों वाला डेटा का ढेर बन जाता है। विश्लेषण छोड़ने से आर्टिफैक्ट ऑब्जर्वेशन बिना आधार वाली कहानी में बदल जाते हैं। यह प्रोसेस कोई सख्त दावा नहीं है कि हर घटना में एक जैसे कदम उठाए जाएँ, लेकिन हर बदलाव को उसके कारण और परिणाम के साथ रिकॉर्ड किया जाना चाहिए।
परीक्षा का नियम
सबसे ज़्यादा वोलाटाइल संबंधित सबूत को पहले कैप्चर करें, और डॉक्यूमेंट करें कि अलग क्रम क्यों ज़रूरी था।
एक बार जब EVD-2026-1014-001 और EVD-2026-1014-002 मौजूद होते हैं, तो चेन ऑफ़ कस्टडी वह क्रोनोलॉजिकल रिकॉर्ड होता है जो दिखाता है कि हर आइटम क्या है, उसे किसने संभाला, वह कहाँ था और उसकी इंटीग्रिटी की जाँच कैसे की गई। एनालिसिस शुरू होने से पहले रिकॉर्ड में एविडेंस के लिए पक्के ID दिए जाते हैं। एक सही जानकारी वाला विवरण डिस्क इमेज और मेमोरी कैप्चर के बीच अंतर बताता है, जबकि UTC टाइमस्टैम्प से संदिग्ध गतिविधि के समय के साथ ट्रांसफर का मिलान किया जा सकता है।
इंटीग्रिटी (डेटा की असलियत) एक क्रिप्टोग्राफ़िक हैश पर निर्भर करती है, जो एविडेंस फ़ाइल से निकाला गया एक निश्चित लंबाई का डाइजेस्ट होता है। अगर ली गई डिस्क इमेज से एक SHA-256 डाइजेस्ट बनता है और बाद में जांच करने पर अलग डाइजेस्ट मिलता है, तो जांच करने वाला यह दावा नहीं कर सकता कि बाद वाली फ़ाइल में कोई बदलाव नहीं हुआ है। अक्सर होने वाली एक गलती यह है कि हैशिंग सिर्फ़ डेटा लेते समय (एक्विजिशन के समय) ही की जाती है। हम डेटा लेते समय, ट्रांसफर से पहले और बाद में, एनालिसिस के लिए आइटम निकालते समय और उसे कंट्रोल किए गए स्टोरेज में वापस रखते समय हैश की जांच करते हैं।
दोनों एविडेंस आइटम के लिए कस्टडी एंट्रीज़ में बाद में समीक्षा के लिए ज़रूरी कम से कम रिकॉर्ड दिखाए गए हैं: