ونڈوز 11 ورک اسٹیشن WKS-ACCT-23 پر 2026-10-14 09:12 UTC کو ایک ناممکن (یا غیر معمولی) لاگ ان ریکارڈ ہوا، جس کے بعد 10:05 UTC تک مشکوک عمل (process) کی انجام دہی دیکھی گئی۔ حملہ آور کو شاید صرف درست اسناد (credentials) اور ریموٹ لاگ آن کے راستے کی ضرورت پڑی ہو، نہ کہ ایسے میلویئر کی جو ورک اسٹیشن کو ظاہری طور پر خراب کر دے۔ واقعے پر ردعمل (incident-response) کے مجاز دائرہ کار کے اندر، ہمیں یہ تعین کرنا ہوگا کہ ڈسک اور میموری کن شواہد کی معاونت کر سکتے ہیں، اور ساتھ ہی شواہد کو محفوظ بھی رکھنا ہوگا تاکہ کوئی دوسرا تفتیش کار ہر نتیجے کی جانچ کر سکے۔ شواہد میں EVD-2026-1014-001 (ایک ڈسک امیج) اور EVD-2026-1014-002 (ایک میموری کیپچر) شامل ہیں۔ ذیل میں دیا گیا شواہد کا راستہ (path) یہ ظاہر کرتا ہے کہ تحویل کے کنٹرولز (custody controls) کا اطلاق کہاں ہونا ضروری ہے:
یہ خاکہ اصل ورک اسٹیشن کو تجزیہ کار کے ماحول اور شواہد کے محفوظ خانے (vault) سے الگ کرتا ہے۔ حصول، منتقلی، ذخیرہ کرنے اور تجزیے کا ہر مرحلہ شواہد میں تبدیلی، ان کے ضائع ہونے یا غلط انتساب کا امکان پیدا کرتا ہے؛ لہٰذا ہر مرحلے پر اسے سنبھالنے والے شخص، وقت، مقام اور سالمیت (integrity) کی جانچ کا ریکارڈ رکھنا ضروری ہے۔
فورنسک عمل جمع کی گئی فائلوں کو شناخت، تحفظ، حصول، جانچ، تجزیہ اور رپورٹنگ کے ذریعے قابلِ دفاع نتائج میں تبدیل کرتا ہے۔ شناخت کے مرحلے میں واقعے کے دائرہ کار کا تعین کیا جاتا ہے، جس میں WKS-ACCT-23، مشکوک دورانیہ، اور ڈیوائس کو سنبھالنے کا اختیار شامل ہیں۔ تحفظ کا عمل اصل شواہد میں تبدیلی کو روکتا ہے۔ حصول کے مرحلے میں کنٹرول شدہ کاپیاں تیار کی جاتی ہیں۔ جانچ کے دوران ونڈوز ایونٹ ریکارڈز، پروسیس میٹا ڈیٹا اور میموری اسٹرکچرز جیسے شواہد (artifacts) اخذ کیے جاتے ہیں۔ تجزیہ ان شواہد کا تعلق دعووں سے جوڑتا ہے، جبکہ رپورٹنگ ٹھوس نتائج اور غیر حل شدہ سوالات کے درمیان فرق واضح کرتی ہے۔
حصول کی ترتیب اہم ہے کیونکہ ورک اسٹیشن کے آن رہنے کے دوران عارضی (volatile) ڈیٹا غائب ہو سکتا ہے۔ RFC 3227 اور BCP 55 “ترتیبِ تغیر پذیری” (order-of-volatility) کا اصول وضع کرتے ہیں: پہلے وہ معلومات جمع کریں جن کے تبدیل ہونے کا امکان ہو، اور پھر زیادہ دیرپا شواہد کی طرف بڑھیں۔ WKS-ACCT-23 کے معاملے میں، میموری کیپچر EVD-2026-1014-002 چلنے والے پروسیسز، نیٹ ورک کنکشنز اور میموری میں موجود اسناد (credentials) کو محفوظ کر سکتا ہے جو سسٹم بند کرنے (shutdown) سے ضائع ہو جاتے۔ ڈسک امیج EVD-2026-1014-001 مستقل فائلوں اور فائل سسٹم کے میٹا ڈیٹا کو محفوظ کرتی ہے، لیکن ڈسک امیج اس پروسیس کو دوبارہ تخلیق نہیں کر سکتی جو پہلے ہی ختم (exit) ہو چکا ہو۔
تحفظ کے مرحلے کو چھوڑنے سے جانچ شروع ہونے سے پہلے ہی (شواہد کی) کڑی ٹوٹ جاتی ہے، کیونکہ تجزیہ کار کی سرگرمی ٹائم اسٹیمپس (timestamps) کو تبدیل کر سکتی ہے یا عارضی شواہد (artifacts) پر نیا ڈیٹا لکھ سکتی ہے۔ جانچ کو چھوڑنے سے بغیر اخذ شدہ شواہد کے ڈیٹا کا ڈھیر تو بن جاتا ہے لیکن ٹھوس نتائج نہیں ملتے۔ تجزیے کو چھوڑنے سے شواہد کے مشاہدات محض غیر مصدقہ بیانیے میں بدل جاتے ہیں۔ یہ عمل کوئی ایسا سخت اصول نہیں ہے کہ ہر واقعے میں یکساں اقدامات کی پیروی کی جائے، لیکن طریقہ کار سے کسی بھی انحراف کو اس کی وجہ اور نتیجے کے ساتھ ریکارڈ کرنا ضروری ہے۔
امتحانی اصول
سب سے زیادہ تغیر پذیر (volatile) متعلقہ شواہد کو پہلے حاصل کریں، اور اس بات کو دستاویزی شکل دیں کہ مختلف ترتیب کیوں ضروری تھی۔
ایک بار جب EVD-2026-1014-001 اور EVD-2026-1014-002 وجود میں آ جائیں، تو تحویل کا تسلسل (chain of custody) وہ زمانی ریکارڈ ہوتا ہے جو ظاہر کرتا ہے کہ ہر آئٹم کیا ہے، اسے کس نے سنبھالا، وہ کہاں موجود رہا، اور اس کی سالمیت (integrity) کی جانچ کیسے کی گئی۔ تجزیہ شروع ہونے سے پہلے ریکارڈ میں شواہد کے لیے مستقل شناخت کنندگان (IDs) تفویض کیے جاتے ہیں۔ ایک بامقصد تفصیل ڈسک امیج اور میموری کیپچر کے درمیان فرق واضح کرتی ہے، جبکہ UTC ٹائم اسٹیمپس (time stamps) منتقلی کے عمل کو مشکوک سرگرمی کے دورانیے سے ہم آہنگ کرنے میں مدد دیتے ہیں۔
ڈیٹا کی سالمیت (integrity) کا انحصار ‘کرپٹوگرافک ہیش’ پر ہوتا ہے، جو شواہد کی فائل سے اخذ کردہ ایک مخصوص لمبائی کا ‘ڈائجسٹ’ (خلاصہ) ہوتا ہے۔ اگر حاصل کردہ ڈسک امیج سے ایک SHA-256 ڈائجسٹ حاصل ہو اور بعد میں کی جانے والی تصدیق کے دوران کوئی مختلف ڈائجسٹ ملے، تو معائنہ کار یہ دعویٰ نہیں کر سکتا کہ بعد والی فائل میں کوئی تبدیلی نہیں ہوئی ہے۔ حصولِ ڈیٹا کے وقت صرف ایک بار ہیشنگ کرنا ایک عام غلطی ہے۔ ہم حصول کے وقت، منتقلی سے پہلے اور بعد میں، تجزیے کے لیے آئٹم کو نکالتے وقت، اور اسے محفوظ اسٹوریج میں واپس رکھتے وقت ہیش کی تصدیق کرتے ہیں۔
شواہد کے دونوں آئٹمز کے لیے تحویل (custody) کے اندراجات اس کم از کم ریکارڈ کو ظاہر کرتے ہیں جو بعد میں جائزہ لینے کے لیے درکار ہوتا ہے: