Sunday, January 26, 2025

Digital Forensics: Computer forensics Investigations Course (2 Day)

Digital Forensics: Computer forensics Investigations Course (2 Day)

หลักสูตรอบรมเตรียมพร้อมเป็นพนักงานเจ้าหน้าที่ตามพ.ร.บ.ไซเบอร์ฯ
Photo credit: Orion forensics lab

หลักสูตรอบรมการพิสูจน์หลักฐานทางคอมพิวเตอร์ 2 วัน

หลักสูตรเตรียมความพร้อมเป็นพนักงานเจ้าหน้าที่ตามพรบ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์

วัตถุประสงค์เพื่อให้พนักงานเจ้าหน้าที่ได้มีความรู้ความเข้าใจในการพิสูจน์หลักฐาน ทางคอมพิวเตอร์สามารถนำไปประยุกต์ใช้ในการปฏิบัติงานได้อย่างถูกต้อง และเพิ่มประสิทธิภาพการช่วยเหลือประชาชนด้านคดีและภัยออนไลน์

Course Level:
The course is aimed at people who are responsible for digital forensic investigations or are wishing to become digital forensic investigators, To be used as a guideline for organizing short-term, intensive training for individuals who will be appointed as digital forensics officers. including: IT security professionals and law enforcement officers.

Day 1 – Computer Forensics


Day 2: Network/Internet Forensics


Day 3: Website Investigation

           Website Investigation  & OSINT  พื้นฐานการสืบสวนเว็บไซต์ & ขั้นตอนการตรวจสอบเว็บไซต์

  1. Case Study ตัวอย่างจริง:
    • เว็บไซต์ฟิชชิ่งปลอมธนาคาร
    • เว็บไซต์ขายสินค้าละเมิดลิขสิทธิ์
    • เว็บไซต์เผยแพร่ภาพยนตร์/ละครละเมิดลิขสิทธิ์
  2. วิธีการแจ้งรายงานช่องใน YouTube
  3. การเก็บหลักฐานเว็บไซต์ละเมิดลิขสิทธิ์และขั้นตอนการร้องขอระงับหรือปิดกั้นเว็ปไซต์
  4. ความท้าทายในการสืบสวนเว็บไซต์


      COURSE REQUIREMENTS
      In preparation for the course, participants should download and install the following tools:

      Laptop requirements:

      • OS: Windows 10
      • CPU: Core i3 or better
      • RAM: 4GB

      Digital Forensics: Computer forensics Investigations Course (2 Day)
      Computer forensics Investigations Course (2 Day) QR Code


      Link กําหนดการจัดอบรมเตรียมความพร้อมผู้ที่จะได้รับการแต่งตั้งเป็นพนักงานเจ้าหน้าที่

      ตามพระราชบัญญัติว่าด้วยการกระทําความผิดเกี่ยวกับคอมพิวเตอร์ฯ


      คำถาม-ตอบ

      Q. การแก้ไข Metadata ทำให้ค่า hash เปลี่ยนแปลงหรือไม่ ?

      A. Metadata

      Q. แนวทางการตรวจพิสูจน์หลักฐานทางดิจิทัลมีแนวทางหรือเอกสารอ้างอิงใดบ้าง?

      A.  แนวทางการตรวจพิสูจน์หลักฐานทางดิจิทัลที่เกี่ยวข้อง

      Q. มีเอกสารอ้างอิงเรื่อง ทำมัยต้องดึงปลั๊กไฟเพื่อปิดเครื่ืองคอมพิวเตอร์ที่เปิดอยู่ หรือไม่? 

      A. SWGDE Best Practices for Digital Evidence Collection Version: 1.0

      SWGDE Best Practices for Digital Evidence Collection Version: 1.0 (July 11, 2018),Page 6.

      SWGDE Best Practices for Computer Forensics Version 2.1 (July 2006)
      SWGDE Best Practices for Computer Forensics Version 2.1 (July 2006)

      Collection and the handling of digital evidence
      GUIDELINES FOR DIGITAL FORENSICS FIRST RESPONDERS ,InterPol, Page 17.

      ACPO Good Practice Guide for Digital Evidence, Version 5 (October 2011) ,Page 32.


      ข้อเสอนแนะมาตราฐานการจัดการอุปกรณ์ดิจิทัลในงานตรวจพิสูจน์พยานหลักฐาน
      ข้อเสอนแนะมาตราฐานการจัดการอุปกรณ์ดิจิทัลในงานตรวจพิสูจน์พยานหลักฐาน ก.ย.2559 ,หน้า 6.


      Q  วิธีชั่งน้ำหนักพยานหลักฐานทางวิทยาศาสตร์ หรือคอมพิวเตอร์.?

      A. โจทก์ต้องยืนยันได้ว่า.. ข้อเท็จจริงที่ได้ เกิดจากพยานที่นำมาตรวจวิเคราะห์ว่า.. เป็นพยานที่เกี่ยวข้องกับเหตุการณ์จริง.. ไม่ถูกแทรกแซงโดยบุคคลที่ไม่เกี่ยวข้อง..

      พยานหลักฐานยังคงสภาพและเนื้อหาตรงตามจริง ไม่ถูกแก้ไขเปลี่ยนแปลงเพราะธรรมชาติ หรือการกระทำของบุคคลใด รวมทั้ง เจ้าหน้าที่เอง..
      ศาลในต่างประเทศจะชั่งน้ำหนัก โดยมีหลักว่า.. เจ้าหน้าที่ต้องรวบรวมพยานหลักฐาน.. เก็บรักษา.. ตรวจวิเคราะห์.. และส่งต่อกัน โดยใช้ขั้นตอนหลักปฏิบัติและเครื่องมือที่เป็นมาตรฐานสากล..
      หากไม่ปฏิบัติตามขั้นตอน หรือใช้เครื่องมือ ซอล์ฟแวร์ไม่ได้มาตรฐาน.. ศาลจะไม่รับฟังพยานหลักฐานนั้น..
      เช่น ไม่ใส่ถุงมือขณะรวบรวมพยาน.. หรือไม่ใส่เครื่องโทรศัพท์ในถุงฟาราเดย์..
      เก็บหลักฐานไว้ในที่อุณหภูมิสูงเกินไป.. ไม่ทำสำเนาข้อมูลคอมพิวเตอร์.
      หรือขณะทำสำเนาก่อนตรวจพิสูจน์ ไม่มีการตรวจสอบความผิดพลาดด้วยโปรแกรม MD5.. เป็นต้น

      วิธีชั่งน้ำหนักพยานหลักฐานทางวิทยาศาสตร์ หรือคอมพิวเตอร์

      ข้อมูลจาก: "หลักกฎหมายพยานหลักฐานเบื้องต้น" โพสต์นี้เหมาะกับนักศึกษากฎหมายใหม่.. และประชาชนที่สนใจเรื่องพยานหลักฐาน.. โดยจะเน้นพยานในคดีอาญานะครับ.. ดร.ธีร์รัฐ บุนนาค

      Q.  ระยะเวลาที่ใช้ทำสำเนาหลักฐาน (Forensic image ) เวลาเท่าไหร่ ขึนอยู่กับปัจจัยอะไรบ่้าง?

      A. กระบวนการนิติวิทยาศาสตร์ดิจิทัล (Digital Forensics) โดยทั่วไปแล้ว เวลาที่ใช้ในการสร้างสำเนาหลักฐานจะขึ้นอยู่กับความจุของอุปกรณ์เก็บข้อมูลและปัจจัยอื่น ๆ อีกหลายประการ ดังนี้

      การทำสำเนาหลักฐานแบบ Forensic Image หรือ Bit-stream Copy คือการคัดลอกข้อมูลแบบ bit-for-bit ทั้งหมดจากอุปกรณ์ต้นฉบับไปยังอุปกรณ์เป้าหมาย เวลาที่ใช้จะขึ้นอยู่กับความจุและปัจจัยหลัก ๆ ดังตารางสรุปด้านล่าง:
      ความจุและประเภทอุปกรณ์ความเร็วโดยประมาณ (เทียบกับ HDD)ปัจจัยที่เกี่ยวข้อง
      HDD SATA 500 GBช้า (เป็นพื้นฐานในการเปรียบเทียบ)จำกัดด้วยความเร็วรอบ (RPM) และอินเทอร์เฟซ SATA
      ---
      SSD 500 GBเร็วกว่า HDD SATA 500 GB มากความเร็วในการอ่าน/เขียนสูงกว่าฮาร์ดดิสก์จานหมุน (HDD)
      SSD 1 TBเร็วกว่า HDD SATA 1 TB มากแม้ความจุสูง แต่ยังเร็วกว่าSATA  HDD ในขนาดเท่ากัน

      คอขวด (Bottleneck): หากอุปกรณ์ปลายทาง (Destination) ที่ใช้เก็บไฟล์ Image มีความเร็วในการเขียนต่ำกว่าความเร็วในการอ่านของอุปกรณ์ต้นฉบับ (Source) กระบวนการจะถูกจำกัดด้วยอุปกรณ์ที่ช้ากว่า

      1.ความจุและชนิดของอุปกรณ์ (Source & Destination Media)

      ความจุ: เป็นตัวกำหนดปริมาณข้อมูลทั้งหมดที่ต้องถูกคัดลอก แม้แต่พื้นที่ว่างที่ไม่ได้ใช้งาน (Unallocated Space) ก็ถูกคัดลอกทั้งหมด

      ประเภทอุปกรณ์:

      SSD (Solid State Drive): มีอัตราการถ่ายโอนข้อมูลที่สูงกว่า มักใช้เวลาน้อยกว่า

      2.เครื่องมือและช่องทางการเชื่อมต่อ (Tool & Interface)

      • อุปกรณ์ Imagers/Write Blockers:

      การใช้ Hardware Write Blockers (เช่น Tableau) มักจะให้ความเร็วและเสถียรภาพที่ดีกว่า และที่สำคัญคือ ป้องกันการแก้ไขข้อมูลต้นฉบับ

      • อินเทอร์เฟซ:

      การเชื่อมต่อผ่านพอร์ตที่ให้ความเร็วสูงกว่า เช่น USB 3.x, SATA III, NVMe Enclosures จะเร็วกว่า USB 2.0 หรือ SATA รุ่นเก่า

      3. กระบวนการเสริม (Ancillary Processes)

      • การคำนวณ Hash: เครื่องมือจะทำการคำนวณค่า Hash Value (เช่น MD5, SHA-256) ไปพร้อมกันเพื่อยืนยันความสมบูรณ์ของหลักฐาน (Data Integrity) ซึ่งต้องใช้พลังประมวลผลของ CPU การคำนวณนี้เพิ่มเวลาโดยรวมขึ้นเล็กน้อย
      • สถานะอุปกรณ์: หากอุปกรณ์ต้นฉบับมี Bad Sectors หรือมีปัญหาทางกายภาพ เครื่องมือจะต้องใช้ความพยายามในการอ่านซ้ำ (Retries) ซึ่งจะทำให้กระบวนการช้าลงอย่างมากและอาจต้องใช้เครื่องมือเฉพาะทางในการกู้คืนข้อมูล


      Q. ยกตัวอย่างปัญหาการตรวจสอบไอพี (IP Address) จากผู้ให้บริการอินเทอร์เน็ต? 

      A. มีกรณีที่ผู้กระทำความผิดใช้งาน VPN (Virtual Private Network) เพื่อปกปิดหมายเลขไอพี (IP Address) ไว้ หากเจอกรณีดังกล่าวนี้ก็จะก่อให้เกิดความยุ่งยากในการค้นหาตัวผู้กระทำความผิดเพิ่มมากขึ้น เพราะการใช้เครือข่ายอินเทอร์เน็ตผ่าน VPN นี้ จะทำให้ผู้ใช้บริการอินเทอร์เน็ตสามารถเชื่อมต่ออินเทอร์เน็ตกับเครือข่ายอินเทอร์เน็ตในประเทศใดก็ได้ เช่น ผู้กระทำความผิดอาศัยอยู่ที่ประเทศมาเลเซีย แต่ได้เชื่อมต่อบริการ VPN ให้เครือข่ายเน็ตเวิร์คของตนไปอยู่ที่ประเทศออสเตรเลีย ดังนั้นกระบวนการตรวจสอบจากไอพี (IP Address) ของผู้กระทำความผิดก็จะไม่แสดงว่าผู้กระทำความผิดอยู่ที่ประเทศมาเลเซีย แต่จะแสดงผลลัพธ์ว่าผู้กระทำความผิดอยู่ที่ประเทศออสเตรเลีย เป็นต้น หากเกิดกรณีดังกล่าวข้างต้นนี้ ก็จะทำให้ไม่สามารถตามตัวผู้กระทำความผิดได้เลย (ยกเว้นในประเทศที่มีการพัฒนาของเทคโนโลยีไปในขั้นสูงแล้วเท่านั้น)


      Q. ในการทำ Digital Forensics เมื่อเจ้าหน้าที่อยู่คนละพื้นที่ หรือต้องการลดการเดินทาง (Remote Forensics) มีแนวทางและเทคโนโลยีที่ช่วยให้ทำงานได้อย่างมีประสิทธิภาพและยังคงรักษาความถูกต้องของพยานหลักฐาน (Evidence Integrity) (22-23 ม.ค 2569)

      A. แนวทางดังต่อไปนี้

      1. Remote Data Acquisition (การเก็บพยานหลักฐานระยะไกล)

      วิธีนี้ช่วยให้เจ้าหน้าที่ไม่ต้องเดินทางไปยังที่เกิดเหตุ แต่สามารถดึงข้อมูลผ่านเครือข่ายได้:

      • Agent-based Collection: ใช้เครื่องมือประเภท EDR (Endpoint Detection and Response) หรือเครื่องมือทางนิติวิทยาศาสตร์ที่มี Agent ติดตั้งอยู่ที่เครื่องเป้าหมาย (เช่น F-Response, Magnet , Beklasoft) เพื่อดึงข้อมูล RAM หรือ Disk Image ผ่านเน็ตเวิร์ก

      • Live Response Tools: ส่งสคริปต์หรือเครื่องมือประเภท "Portable" ให้เจ้าหน้าที่หน้างาน (On-site non-technical staff) รันเพื่อเก็บข้อมูลที่เป็น (Volatile Data) แล้วส่งกลับมาผ่านระบบ Cloud ที่มั่นคงปลอดภัย

      • หมายเหตุ:ยังต้องมีเจ้าหน้าที่ที่มีอำนาจหน้าที่อยู่หน้างานส่วนหนึ่ง

      2. Cloud Forensics & Centralized Analysis (การวิเคราะห์บนคลาวด์)


      แทนที่จะส่งฮาร์ดไดรฟ์พยานหลักฐานไปมา เราใช้การวิเคราะห์บนระบบส่วนกลาง:

      • Evidence Upload to Secure Cloud: เมื่อทำ Image เสร็จแล้ว ให้ Upload ไฟล์พยานหลักฐานขึ้นไปยัง Cloud Storage ที่มีการเข้ารหัสและทำ Checksum (Hash) เพื่อตรวจสอบความถูกต้อง

      • Collaborative Platforms: ใช้ซอฟต์แวร์นิติวิทยาศาสตร์ที่รองรับระบบ Multi-user เช่น FTK (Forensic Toolkit) Central หรือ Magnet AXIOM Cyber ซึ่งช่วยให้นักสืบสวนหลายคนล็อกอินเข้ามาวิเคราะห์เคสเดียวกันจากคนละจังหวัดหรือคนละประเทศได้พร้อมกัน

      • Digital Chain of Custody (การจัดการโซ่พยานหลักฐานแบบดิจิทัล)

        • ใช้ระบบ e-Discovery หรือซอฟต์แวร์จัดการเคสออนไลน์ในการบันทึกว่า "ใคร" เข้าถึงหลักฐาน "เมื่อไหร่" และ "ทำอะไรไปบ้าง" เพื่อให้สอดคล้องกับมาตรฐานทางกฎหมาย แม้ทีมงานจะไม่ได้เจอหน้ากันเลยก็ตาม

      ข้อควรระวังในการทำงานระยะไกล:

      1. Bandwidth: การโอนย้ายไฟล์ Image ขนาดใหญ่ (หลัก Terabytes) อาจใช้เวลานานมาก

      2. Chain of Custody: ต้องมีมาตรการยืนยันตัวตนเจ้าหน้าที่หน้างานอย่างเข้มงวด

      3. Data Privacy: การส่งข้อมูลข้ามเครือข่ายต้องผ่าน VPN หรือการเข้ารหัส (Encryption) ที่แข็งแกร่งเท่านั้น

      Q.  ในการเป็นพยานในชั้นศาล (Expert witness ) ท่านสามารถยืนยันขั้นตอนการเก็บหลักฐานดิจิทัล และกระบวนวิเคราะห์หลักฐานดิจิทัลอย่างไรว่า ไม่ถูกแก้ไข เปลี่ยนแปลง และไม่ปนเปื้อน ? (22-23 ม.ค 2569)

      A. ในการปฏิบัติหน้าที่เป็น พยานผู้เชี่ยวชาญ (Expert Witness) สิ่งสำคัญที่สุดไม่ใช่เพียงแค่ "ผลลัพธ์" ของการสืบสวน แต่คือ "กระบวนการที่ได้มาซึ่งหลักฐาน" ซึ่งคุณต้องพิสูจน์ให้ศาลเห็นถึงความบริสุทธิ์ของหลักฐานดังนี้

      1. การรักษาโซ่พยานหลักฐาน (Chain of Custody)

      คุณต้องแสดงเอกสารที่บันทึก "เส้นทาง" ของหลักฐานอย่างละเอียดตั้งแต่วินาทีแรกที่ตรวจพบจนถึงวันที่นำมาแสดงต่อศาล

      • รายละเอียดที่ต้องระบุ: ใครเป็นคนเก็บ, เก็บที่ไหน, วันเวลาใด, สภาพอุปกรณ์เป็นอย่างไร, และใครเป็นผู้ถือครองในลำดับถัดไป

      • การยืนยันในศาล: ยืนยันว่าหลักฐานถูกเก็บไว้ในที่ปลอดภัย (เช่น ตู้เซฟควบคุมอุณหภูมิและความชื้น หรือห้องเก็บหลักฐาน) และมีการลงลายมือชื่อทุกครั้งที่มีการเปลี่ยนมือ

      2. การใช้ค่าแฮชยืนยันความถูกต้อง (Digital Fingerprinting)

      นี่คือหลักฐานทางวิทยาศาสตร์ที่แข็งแกร่งที่สุดในการยืนยันว่าหลักฐาน "ไม่ถูกแก้ไข"

      • กระบวนการ: เมื่อเข้าถึงหลักฐานต้นฉบับ คุณต้องคำนวณค่า Hash Value (เช่น MD5, SHA-1 หรือ SHA-256) ทันที

      • การยืนยันในศาล: อธิบายว่าค่า Hash เปรียบเสมือน "ลายนิ้วมือดิจิทัล" หากมีการเปลี่ยนแปลงข้อมูลแม้เพียง 1 บิต (1 Bit) ค่า Hash จะเปลี่ยนไปโดยสิ้นเชิง การที่ค่า Hash ของ หลักฐานต้นฉบับ ตรงกับ หลักฐานจำลอง (Image) และตรงกับ วันที่นำเสนอในศาล เป็นการพิสูจน์ความสมบูรณ์ของข้อมูล 100%

      3. การทำสำเนาแบบบิตต่อบิต (Forensic Imaging & Write Blocker)

      คุณต้องยืนยันว่าคุณไม่ได้ทำงานบน "เครื่องต้นฉบับ" แต่ทำงานบน "สำเนา"

      • Write Blocker: ต้องยืนยันว่าใช้เครื่องมือ Hardware Write Blocker เพื่อป้องกันไม่ให้ระบบปฏิบัติการเขียนข้อมูลใดๆ ลงไปในหลักฐานต้นฉบับขณะทำสำเนา

      • Bit-by-Bit Copy: ยืนยันว่าเป็นการสำเนาทุกเซกเตอร์ (Sector) รวมถึงพื้นที่ว่าง (Unallocated Space) ไม่ใช่การ Copy-Paste ไฟล์ปกติ

      • การยืนยันในศาล: "ข้าพเจ้าปฏิบัติงานบนภาพจำลองหลักฐาน (Forensic Image) โดยเครื่องต้นฉบับถูกเก็บรักษาไว้ในสภาพเดิมทุกประการตั้งแต่วินาทีแรกที่เข้ายึด"

      4. การใช้เครื่องมือและระเบียบวิธีวิจัยที่เป็นมาตรฐาน (Standard Methodology)

      ศาลจะเชื่อถือหากกระบวนการของคุณเป็นไปตามมาตรฐานสากล เช่น ISO/IEC 27037 หรือหลักการของ ACPO หรือแนวทางปฎิบัติอืนๆที่เกี่ยวข้อง

      • Validated Tools: เครื่องมือที่ใช้ (เช่น EnCase, FTK, Autopsy) ต้องเป็นเครื่องมือที่ได้รับการยอมรับในระดับสากลและผ่านการตรวจสอบ (Validation) ว่าไม่ทำให้ข้อมูลเปลี่ยนแปลง

      • Repeatability & Reproducibility: ยืนยันว่าหากผู้เชี่ยวชาญคนอื่นใช้วิธีการเดียวกันและเครื่องมือแบบเดียวกันกับหลักฐานชุดนี้ จะต้องได้ผลลัพธ์แบบเดียวกันเสมอ


      Video By PreventOnlineCrime_MDES 
      "บรรยากาศงานอบรมเพื่อเตรียมความพร้อมฯ ครั้งที่ 1 (วันที่ 6 ก.พ. 2568)"

      Video By PreventOnlineCrime_MDES 
      "บรรยากาศงานอบรมเพื่อเตรียมความพร้อมฯ ครั้งที่ 1 (วันที่ 7 ก.พ. 2568)"

      Video By PreventOnlineCrime_MDES 

      บรรยากาศงานอบรมเพื่อเตรียมความพร้อมฯ ครั้งที่ 2 (วันที่ 13 มี.ค. 2568)

      Video By PreventOnlineCrime_MDES 

      บรรยากาศงานอบรมเพื่อเตรียมความพร้อมฯ ครั้งที่ 2 (วันที่ 14 มี.ค. 2568)

       

      อ่านเพิ่มเติม :

      ที่มา: Orion forensics Lab ,@PreventOnlineCrime_MDES

      หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น


      * หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
      ขอบคุณครับ

      #WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #คดีอาชญากรรมคอมพิวเตอร์ #พยานหลักฐานดิจิทัล

      at
      Labels:

      No comments:

      Post a Comment

      Subscribe to: Post Comments (Atom)

      Essential Linux Commands for Log Analysis

      Essential Linux Commands for Log Analysis Prepare Sample SSH Log Files Log download    the log files contain relevant SSH events, including ...

      • DIGITAL FORENSICS:How to analyze WebCacheV01.dat
        DIGITAL FORENSICS:How to analyze WebCacheV01.dat When you visit any website, a web browser writes internet history. In Internet Explorer 10 ...
      • Digital Forensics:Using FTK Imager on CLI with Mac OS, Macbook
        Digital Forensics: Using FTK Imager on CLI with Mac OS, Macbook การทำสำเนาพยานหลักฐานดิจิทัล โดยใช้โปรแกรม  FTK Imager ผ่านคำสั่ง command li...
      • DIGITAL FORENSICS: BINWALK CTF
         DIGITAL FORENSICS: BINWALK CTF วันนี้แอดมาแนะนำหลักสูตร ด้านความมั่นคงปลอดภัยไซเบอร์ (Basic Cyber security) สำหรับผู้เริ่มต้นศึกษามี Lab ให...