PROBLEM
Analiza zaczyna się od narzędzia, a kończy się plikiem bez źródła i bez czasu.
PODEJŚCIE
Powtarzalny intake w labie: skąd materiał, jaka kopia, jakie obserwacje.
ARCHITEKTURA
- stacja analityczna
- materiał ćwiczebny (obrazy / logi własne)
WDROŻENIE
- arkusz obserwacji
- kilka artefaktów Windows / Linux
- rozdział fakt / hipoteza
REZULTAT
- arkusz forensics jako zasób
- procedura intake w notatkach
- brak „spraw wygranych w sądzie”
WNIOSKI
- hipoteza zapisana jako fakt psuje cały raport
Cel
Forensics w portfolio to trening procedury: intake, kopia, obserwacja. Nie jest listą spraw karnych i nie jest certyfikatem biegłego.
Dwa problemy, które rozwiązałem
1. Narzędzie przed łańcuchem czynności
Otwierałem obraz w narzędziu, zanim zapisałem skąd pochodzi, kto przekazał i czy pracuję na kopii. Po tygodniu nie dało się obronić ścieżki.
Co zyskałem: sztywny intake: pochodzenie, hash/kopia, strefa czasu, zakaz pracy na oryginale. Arkusz obserwacji wymusza te pola zanim pojawią się wnioski.
2. Hipoteza zapisana jak fakt
W notatkach mieszały się „widziałem w Prefetch” z „więc użytkownik na pewno…”. Raport tracił wiarygodność.
Co zyskałem: rozdział fakt / hipoteza / brak danych. Wnioski mają limity; domysł nie awansuje do faktu bez drugiego źródła.
Co ćwiczę
- materiał własny (obrazy testowe, logi labu) — nigdy „jedyna kopia”,
- oś czasu z artefaktów Windows/Linux w wąskim zakresie,
- dzielenie obserwacji od interpretacji,
- przekazanie: co da się stwierdzić, czego nie.
Powiązane materiały
Granice
Brak zeznań biegłego, brak pracy na jedynej kopii cudzego dowodu, brak obietnicy odzyskania wszystkiego.
Stan
Status research: zestaw ćwiczeń i arkusz są w budowie. Nie publikuję zrzutów z prywatnych dysków.