معظم التحقيقات الداخلية تنتهي إلى نتائج صحيحة لكنها عديمة الفائدة، لأن لا أحد يستطيع أن يبيّن من أين جاءت.
الفرق بين ملاحظة في نافذة محادثة والدليل ليس في جودة التحليل، بل في قدرتك على أن تثبت، لاحقاً وأمام جهة غير متعاونة، أن ما تعرضه عليهم هو نفس ما كان موجوداً على ذلك الجهاز، وأنه لم يتغيّر منذ ذلك الحين.
هناك عادتان تمنحانك هذا، وكلاهما ليس صعباً.
اعمل هاش (Hash) لكل شيء لحظة جمعه، وسجّل قيمة الهاش في مكان منفصل عن الشيء الذي يصفه. صورة قرص مكتوب عليها SHA-256 وقت الحصول عليها يمكن إثبات أنها مطابقة بعد أشهر. أما نفس الصورة بلا هاش فهي ملف يمكن لأي شخص أن يدّعي أنه عُدِّل، وبمجرد أن يصبح هذا محل جدل في الغرفة، يتوقف المحتوى التقني عن أن يكون ذا أهمية.
بعد ذلك احتفظ بسلسلة حيازة (chain of custody)، وهي ببساطة قائمة: ما الذي تم جمعه، ومتى، بتوقيت UTC، ومن قِبل من، ومن أي جهاز، وأين تم تخزينه منذ ذلك الحين. كل عملية نقل تُسجَّل كسطر. يبدو هذا شكلياً إلى أن يأتي أول سؤال "كيف نعرف أن أحداً لم يُعدّل هذا في شهر آذار؟"، فيكون الجواب وثيقة لا هزّة كتف.
اجمع الأدلة بحسب ترتيب تطايرها (volatility)، لأن بعض الأدلة تنتهي صلاحيتها أسرع من غيرها. الذاكرة وحالة المعالج تختفي عند انقطاع الطاقة. اتصالات الشبكة والعمليات الجارية تختفي عند إعادة التشغيل. الملفات المؤقتة وملف الـ swap تنجو من إعادة التشغيل لكن لا تنجو من إعادة تهيئة النظام (reimage). القرص ينجو من الاثنين. أما السجلات الموجودة على خادم بعيد فتنجو حتى من زوال الجهاز نفسه، وهذا بالضبط سبب أهمية إرسالها (forwarding) الذي ذكرناه في الدرس الأول.
اعمل دائماً على نسخ، لا على الأصل أبداً. اربط الصور (mount) للقراءة فقط. وإذا اضطررت إلى فحص نظام يعمل فعلياً، فاعلم أن أوامرك أنت نفسها تُغيّر فيه، فسجّل كل ما نفّذته، حتى يستطيع من يأتي بعدك أن يميّز بصماتك عن بصمات المهاجم.
أمر واحد يُوقِع كثيرين في الخطأ: الطوابع الزمنية (timestamps) تكذب بثلاث طرق مختلفة في آن واحد. فأنظمة الملفات تسجّل عدة طوابع زمنية، والبرمجيات الخبيثة تعيد كتابة الطابع الظاهر منها بشكل روتيني. كما أن أنظمة مختلفة تسجّل مناطق زمنية مختلفة. وأخيراً، المهاجم الذي بقي داخل الشبكة شهراً كاملاً كان أمامه شهر كامل لترتيب آثاره. لذلك تحقّق من أي تسلسل زمني عبر مصدرين مستقلّين على الأقل — أثر من الجهاز وسجل من الشبكة، إن أمكن — قبل أن تبني عليه أي استنتاج.
وأخيراً، وهذا هو الجزء الذي يفرّق بين تقرير مفيد وتقرير يبدو تقنياً مبهراً فقط: صرّح بمستوى ثقتك، وبيّن ما لم تستطع التحقق منه. فالجملتان "تم استخدام الحساب من هذا العنوان" و"نعتقد أن الحساب استُخدم من هذا العنوان، استناداً إلى مصدر سجل واحد لم نتمكن من تأكيده" جملتان مختلفتان، ولا تنجو من الخطأ إلا واحدة منهما.