Digital Forensic Data Acquisition Course 

       วันนี้แอดจะมาแนะนำ Course  หลักสูตรเก็บรวบรวมพยานหลักฐานดิจิทัลภาคปฎิบัติ  สำหรับช่างเทคนิคทางนิติวิทยาศาสตร์ดิจิทัลที่ต้องการเรียนรู้ วิธีการได้มาซึ่งข้อมูลทางนิติวิทยาศาสตร์ดิจิทัล และหลักการจัดการและการเก็บรักษาหลักฐานดิจิทัล และสามารถนำไปทำงานได้จริง

เป็นการรวบรวมและกู้คืนข้อมูล ในระหว่างการสืบสวนทางนิติวิทยาศาสตร์ดิจิทัลเรียกว่าการได้มาซึ่งข้อมูล อาชญากรรมทางไซเบอร์มักเกี่ยวข้องกับการแฮ็กหรือความเสียหายของข้อมูล นักวิเคราะห์ทางนิติวิทยาศาสตร์ดิจิทัลจำเป็นต้องรู้วิธีเข้าถึง และกู้คืนข้อมูลนั้น ตลอดจนวิธีปกป้องข้อมูลเพื่อการจัดการในอนาคต สิ่งนี้เกี่ยวข้องกับ(forensics Image)การสร้างภาพทางนิติวิทยาศาสตร์จากอุปกรณ์ดิจิทัลและเทคโนโลยีคอมพิวเตอร์อื่นๆ

ผู้ตรวจสอบคอมพิวเตอร์จะต้องได้รับการฝึกอบรมเกี่ยวกับวิธีการได้มาซึ่งข้อมูล (Data Acquisition) เนื่องจากสถานการณ์ที่แตกต่างกันอาจต้องใช้เทคนิคที่แตกต่างกัน ผู้ตรวจสอบทางนิติวิทยาศาสตร์ดิจิทัลจำเป็นต้องทราบวิธีการได้มาซึ่งข้อมูลประเภทต่างๆ และควรรู้ว่าเมื่อใดควรเลือกใช้วิธีใดวิธีหนึ่ง เหนือสิ่งอื่นใด พวกเขาต้องแน่ใจว่าวิธีการที่เลือกไม่ทำให้หลักฐานที่เป็นปัญหาเสียหาย ท่านสามารถเรียนรู้ได้จากหลักสูตรนี้

การพิสูจน์หลักฐานดิจิทัลจะใช้ในการกู้คืนและตรวจสอบหลักฐานดิจิทัลที่จะใช้ในศาลสำหรับคดีอาชญากรรม รวมถึงการฉ้อโกง การจารกรรม การสะกดรอยตามทางไซเบอร์ การโจรกรรมข้อมูล หรืออาชญากรรมรุนแรง หลักฐานทางนิติวิทยาศาสตร์ดิจิทัลถือเป็นมาตรฐานเดียวกับหลักฐานทางกายภาพ ซึ่งหมายความว่าจะต้องเป็นของจริง ยอมรับได้ และได้มาอย่างน่าเชื่อถือ สิ่งสำคัญคือผู้เชี่ยวชาญด้านการพิสูจน์หลักฐานดิจิทัลต้องเข้าใจความท้าทายด้านเทคนิค กฎหมาย และการบริหารที่ต้องเผชิญกับการพิสูจน์หลักฐานของข้อมูล เพื่อปกป้องข้อมูลที่รวบรวมได้ก่อนที่จะถูกส่งไปวิเคราะห์เพื่อให้แน่ใจว่าหลักฐานจะอยู่ในชั้นศาล

หลักสูตรนี้เหมาะกับใคร

ผู้เชี่ยวชาญทางไซเบอร์ ,เจ้าหน้าที่จัดเก็บหลักฐานทางดิจิทัล ,ช่างเทคนิคไอที ที่มีความรุ้เบื่้องต้นเกี่ยวกับแนวคิดทางนิติวิทยาศาสตร์ดิจิทัล ทุกคนที่อยากเริ่มต้นสายอาชีพ Digital forensics ,Incident Response

Course content

• Identification & Seizure of Digital Equipment
• Evidence Handling & Chain of Custody
• Identifying Electronic Sources of Evidence
• Seizure of Electronic Devices
• Forensic Acquisitions
• Source Integrity
• Forensic Image
• Forensic Clone
• FTK Imager
• Hash Values(Digital fingerprint)
• Advance Acquisitions Techniques
• Acquisition of Network Share
• Remote Network Acquisition Tools
• Processing Data Centers with RAID Systems
• Dealing with Live Systems
• Capturing RAM Memory
• How to Create a USB Bootable Drive

Mobile Forensic Acquisitions Tools

Photo by: Orionforensics 

Forensic Acquisitions

Photo by: Orionforensics 

Photo by: Orionforensics 

 

* ผู้ปฎิบัติงานในสถานที่เกิดเหตุ ควรผ่านการฝึกอบรม และมีความรู้ เพื่อประโยชน์ในการเก็บรวบรวมหรือสำเนาพยานหลักฐานให้ถูกต้องครบถ้วน

อ่านเพิ่มเติม: 

• Seized Forensic data collection
• การถ่ายภาพในที่เกิดเหตุ 
• การปฎิบัติงานในสถานที่เกิดเหตุ 
• การตรวจค้นและยึดพยานหลักฐานดิจิทัล 
• การตรวจยึดพยานหลักฐานทางคอมพิวเตอร์
• วิธียึดคอมพิวเตอร์
• วิธีการปฏิบัติต่อของกลางประเภทอุปกรณ์คอมพิวเตอร์ และอุปกรณ์อิเลคทรอนิกส์ เพื่อนำส่งตรวจพิสูจน์

ความเข้าใจเกี่ยวกับ ห่วงโซ่การคุ้มครอง-พยานหลักฐาน (chain of custody) รายงานทางนิติวิทยาศาสตร์

อ้างอิง:   Digital Forensic Data Acquisition Course 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #MagnetForensic

Digital Forensics:การเก็บพยานหลักฐานทางดิจิทัล (Digital Evidence Collection)

การเก็บพยานหลักฐานพยานหลักฐานทางดิจิทัลอื่นๆ

ข้อแนะนำเกี่ยวกับการนำส่งพยานหลักฐานเพื่อตรวจพิสูจน์

ตัวอย่างประเด็นคำถามในการตรวจพิสูจน์พยานหลักฐานทางดิจิทัล 

• มีไฟล์ภาพ รูปถ่าย หรือไฟล์วิดีโอที่มีลักษณะลามกอนาจาร/ลามกอนาจารตรงตาม ไฟล์ภาพหรือไฟล์วิดีโอที่ส่งมาด้วยนี้ ในวัตถุพยานหรือไม่ (อาจระบุค่าแฮซ (HashValue) ที่ต้องการ หรือภาพประกอบมาด้วย)
• มีไฟล์ภาพ การทำธุรกรรมทางการเงินในวัตถุพยานหรือไม่
• มีไฟล์ประเภท doc(x), xls(x), pdf ในวัตถุพยานหรือไม่
• มีไฟล์ที่ที่ปรากฏข้อความ “…” ในวัตถุพยานหรือไม่ (ระบุคำสำคัญที่ต้องการ)
• มีไฟล์ที่มีค่า Hash ตรงตามรายการที่ส่งมาด้วยนี้หรือไม่
• มีประวัติการเข้าถึงเว็บไซต์ ในวัตถุพยานหรือไม่ (ควรระบุ URLs หรือวันเวลาที่ต้องการ)
• มีประวัติการสนทนาผ่านโปรแกรม Messenger หรือ LINE หรือไม่ (อาจระบุชื่อที่ต้องการ)
• ข้อมูลการรับ-ส่งอีเมล ในวัตถุพยาน (อาจระบุชื่อผู้รับ-ส่ง หรือ ชื่ออีเมลที่ต้องการ)
• มีข้อมูลรายชื่อและเบอร์โทรศัพท์ในวัตถุพยานหรือไม่ (อาจระบุชื่อบุคคล หรือ เบอร์โทรศัพท์ที่ต้องการ)
• มีข้อมูลการโทรศัพท์ของวัตถุพยานหรือไม่ ข้อมูล การรับส่งข้อความสั้น (SMS) หรือ ข้อความสื่อผสม (MMS) ในวัตถุพยาน (อาจระบุชื่อบุคคล หรือ เบอร์โทรศัพท์ที่ต้องการ)
• สามารถกู้คืนไฟล์วิดีโอจากของกลางได้หรือไม่ (อาจระบุวันที่ เวลาที่ต้องการ)

การเก็บพยานหลักฐานจากเครื่องคอมพิวเตอร์

ควรจัดเก็บสายต่อหรืออุปกรณ์ต่อพ่วงมาด้วย

• ระบุรายละเอียดในเอกสารลำดับการครอบครองวัตถุพยาน
• เอกสารข้อมูลและลำดับการครอบครองวัตถุพยาน
• โดยบันทึกข้อมูลให้ครบถ้วน

การเก็บพยานหลักฐานจากโทรศัพท์

ห้ามถอดแบตเตอรี่ออกจากตัวเครื่อง

•  ระบุรายละเอียดในเอกสารลำดับการครอบครองวัตถุพยาน
• เอกสารข้อมูลและลำดับการครอบครองวัตถุพยาน
• โดยบันทึกข้อมูลให้ครบถ้วน

Credit: 29 มิถุนายน 2565 ,กองคุ้มครองแรงงานนอกระบบ, คู่มือการดำเนินคดี สำหรับคดีแรงงานเด็กและแรงงานบังคับ

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น ช่วยเตือนความจำ

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD 

Digital Forensics:Seized Forensic data collection

Step by Step Checklist สำหรับเตรียมอุปกรณ์เก็บหลักฐานดิจิทัล

เตรียมความพร้อมก่อนไป Onsite

Data Collection

Phase 1 Initial preparation

•         ตั้งชื่อ Case name + Evidence  + ชื่อเจ้าของเครื่อง   > มีชื่อซ่้ำทำอย่างไร John wick  CF-205-JW01
• เตรียม เอกสารใบรับ-ส่ง ของ (Log),Exhibit Reference ,Property Receipt ,Mobile Phone Consent Form, Description 
• Forensic equipment , Faraday bag
  
  
  
  
  
  
• TD2 + Write blocker + Adapter m.2 ,nvme ,usb
  

  

  
  
  
  
•         Wipe a Hard Drive   for disk image 
  
  
  
  
  
•         Hard Drive Enclosure
  
  
  
  
  
  
  
• USB Boot Imager ,Deft ,Paladin + Caine-live , Windows To Go
  

  

  
  

  

  
  
  
  
• Update forensics workstation software
  
  
  
• ปลั๊กไฟฟ้า+ถุงพลาสติก +label + ปากกา + กรรไกร ,Tamper-proof stickers ,Permanent markers
•         USB dongle key
  
  
  
• เครื่อง Notebook สำหรับ ทำ Forensic workstation
• กล้องถ่ายรูป Camera, video recorder + ฺCamera Batteries
  
  
  
•         ชุดไขขวง (Screwdrivers) &Toolkit
  
  
  
• รายละเอียดของงาน (case requirements)  รุ่นคอมพิวเตอร์ + จำนวนเครื่องและขนาด HDD  ,เบอร์ติดต่อ Contact ,แผนที่ , วันเวลา
• กรณี Onsite  Forensic Imager ประมาณเวลาที่ใช้ทำ Imager  ใน 1 วัน และเสร็จสิ้น   เช่น เริ่มงาน 9.00 เสร็จ 17.00  อยู่ได้ถึงกี่โมง สถานที่-ปิดกี่โมง  

Phase 2 Onsite

• ลำดับหลักฐานที่สำคัญ    เครื่องคอมพิวเตอร์+โทรศัทพ์เคลื่อนที่ ทำก่อน
• ถ่ายรูปหลักฐานอุปกรณ์  อะไรบ้าง + บันทึกวันเวลา
  
• Serial number +Label name
• Model +Label name
• Notebook +Label name
• อุปกรณ์ที่นำกลับ    เช่น Notebook + Adapter + mouse +Label name
• State  On  or Off    + Time
  
• Check Username  + Password   สอบถามเรื่อง Encryption and data protection & MDM
  
  
  
• Document แต่ละเครื่อง + Document รวม + Chain of custody form
•  หากไม่สามารถเก็บข้อมูลโทรศัพท์ได้ จำเป็นต้องใช้วิธีการ ถ่ายรูป (Chat Capture)
  
  
  
  อุปกรณ์   กล้องถ่ายรูป + ถุงมือ  , พลาสติกซีลของ +สำรอง ,กระดาษโน๊ต , Marker + กรรไกร
• 
• โฟมใส่ โทรศัพท์ ป้องกันจอแตก
  
  
  
  
• รถเข็น และลังใส่ของ หรือถุงหิ้ว ,ถุงพลาสติกใส่หลักฐาน
  
  
• ตรวจสอบรอยแตก หรือรอยขีดข่วน ของหลักฐาน และบันทึก ก่อน seize 
  
  
  
• ตรวจสอบ เอกสาร  เอกสารใบรับ-ส่ง ของ (Log),Exhibit Reference ,Property Receipt ,Mobile Phone Consent Form ลายเซ็นใบรับของ  ความครบถ้วน
  
  
  
• สรุปจำนวนหลักฐานที่ทำการตรวจยึดทั้งหมด และจัดทำรายงาน

Phase 3  On lab ,Analyze 

• เตรียม Storage  เก็บ Image  หรือ HDD  ที่เราเก็บไว้สำหรับวิเคราะห์  ต้องซื้อเพิ่มหรือไม่
• ใช้เวลา Acquisition  กี่วัน Forensic Image  + Time  ที่ใช้
  
• ใช้เวลา Analyze   กี่วัน
• ลำดับหลักฐานที่สำคัญ    เครื่องคอมพิวเตอร์+โทรศัทพ์ที่สำคัญ 
  
• ต้องส่งเครื่องคอมพิวเตอร์+โทรศัทพ์คืนภายในกี่วัน 
• ใช้วิธีการใดในการทำ Acquisition เช่น  TD2 ,USB Boot Deft ,Paladin ,FTK Imager with write blocker
• เตรียม คำถามในที่ประชุม ?
• ตรวจสอบรอยแตก หรือรอยขีดข่วน ของหลักฐาน และบันทึก (ในแบบฟอร์ม)
  
• ใบส่งของ & ติดตามและUpdate สถานะ

CHECKLIST OF BASIC DFL EQUIPMENT

The following is a suggested list of basic equipment that a DFL should own. The reader should

note that the list is non-exhaustive and more may be required depending on the nature of cases

received.

1 Laptop    = 3  

2 Computer analysis software  = 3  

3 Data recovery software = 2

4 Mobile device analysis software = 1

5 Internet artefacts analysis software = 3

6 Virtual machine software = 2

virtualbox and  VMWare 

7 Imaging Hardware = 2

8 Write blocker = 1

9 Empty storage media – to store data extracted from electronic evidence in the short and long term:

  Pen drive  = ?

  External hard disk  = ?

  Hard disk  = ?

  Server = ?

10 Power cable extension =OK

11 Camera, video recorder =OK

12 Printer = OK

13 Document shredder = Not

14 Storage box or container for carrying equipment = ok

15 Tools

    glove

    Permanent markers

    Screwdrivers

    Magnifying glass = Not

    Evidence sealing or evidence bags

    Tamper-proof stickers

16 Monitor the lab environment regularly – temperature, humidity,cleanliness.= 

17 Network Switch = Not

18 Power Backup System (UPS) =? 

Ref:

INTERPOL Global Guidelines for Digital Forensics Laboratory

https://digitalforensicexaminer.wordpress.com/2020/08/08/seized-forensic-data-collection/

https://digitalforensicexaminer.wordpress.com/2019/12/22/global-guidelines-for-digital-forensicslaboratories/

หมายเหตุ :  เป็นขั้นตอนการทำงาน และข้อควรระวัง

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

DIGITAL FORENSICS:Search And Seizure Requirements For Mobile Devices

DIGITAL FORENSICS:Search And Seizure Requirements For Mobile Devices

ข้อกำหนดในการค้นหาและยึดอุปกรณ์โทรศัพท์มือถือ

ข้อกำหนดในการค้นหาและยึดอุปกรณ์เคลื่อนที่  (Mobile Devices) เช่นเดียวกับคอมพิวเตอร์และข้อมูลดิจิทัลบนคลาวด์  เริ่มต้นด้วยหมายค้นหรือหมายเรียกที่ศาลออกให้ ใบสำคัญแสดงสิทธิจะระบุรายการอุปกรณ์หรือพื้นที่เฉพาะของโทรศัพท์มือถือหรืออุปกรณ์มือถือที่อาจตรวจสอบได้ เมื่อยึดอุปกรณ์มือถือได้ตามหมายค้นแล้วจะมีการปฏิบัติตามขั้นตอนมาตรฐานสำหรับการรวบรวมหลักฐานที่เกิดเหตุจากอุปกรณ์พกพามือถือ ขั้นตอนเหล่านี้ระบุไว้ด้านล่างเพื่อให้แน่ใจว่าคุณปฏิบัติตามขั้นตอนที่เป็นไปตามมาตรฐานการยอมรับในศาล

Is There Additional Evidence?

มีหลักฐานเพิ่มเติมหรือไม่? 

ก่อนที่จะจัดการกับอุปกรณ์มือถือใด ๆ ให้ตัดสินใจว่าต้องการข้อมูลอื่นจากโทรศัพท์เช่น DNA หรือลายนิ้วมือ หากเป็นเช่นนั้นให้ปฏิบัติตามขั้นตอนการเก็บหลักฐานในสถานที่เกิดเหตุ  เพื่อรวบรวมดีเอ็นเอและเก็บรักษาหลักฐานนั้นก่อนดำเนินการใด ๆ จัดการกับหลักฐานดิจิทัลเพื่อรักษาความน่าเชื่อถือของพยานหลักฐาน

Turn Off The Device

 มีความเป็นไปได้สูงที่ข้อมูลจะสูญหายหากแบตเตอรี่หมดหรือมีสัญญาณเครือข่ายเกิดขึ้นทำให้บันทึกการโทร (call log) หรือข้อมูลอื่น ๆ ที่กู้คืนได้ถูกเขียนทับ อย่าลืมบันทึกไว้ในบันทึกว่าโทรศัพท์อยู่ในสถานะใดเมื่อคุณมาถึงที่เกิดเหตุ

Charge The Device

ชาร์จอุปกรณ์หากมีความจำเป็นต้องเปิดโทรศัพท์ไว้ควรชาร์จโทรศัพท์ไว้   จากนั้นควรปิดก่อนการขนส่ง

Transport The Devices

การขนส่งอุปกรณ์หลักฐานเพื่อปกป้องอุปกรณ์และป้องกันการใช้งานโดยไม่ได้ตั้งใจในระหว่างการขนส่งโทรศัพท์ควรบรรจุในภาชนะที่แข็งและปลอดภัย 

The Evidence Bag

ถุงเก็บหลักฐาน (evidence bag) ใช้สำหรับใส่หลักฐาน ที่ปิดสนิทเพื่อ จำกัดการเข้าถึงและขั้นตอนการติดฉลากสำหรับแสดงรายละเอียดของหลักฐานในแบบฟอร์ม ใส่โทรศัพท์มือถือ ไว้ในถุงฟาราเดย์(Faraday bag)แล้วใส่ในกระเป๋าเก็บหลักฐาน

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

Digital Forensics:การเก็บรวบรวมหลักฐานโทรศัพท์เคลื่อนที่ (Evidence collection)

Digital Forensics:การเก็บรวบรวมหลักฐานโทรศัพท์เคลื่อนที่ (Evidence collection)

(1) ห้ามบุคคลที่ไม่มีส่วนเกี่ยวข้องเข้าไปในสถานที่เกิดเหตุ 

(2) ควรสวมถุงมือระหว่างการปฏิบัติงานในสถานที่เกิดเหตุ 

(3) กำหนดรูปแบบการตรวจค้นสถานที่เกิดเหตุและดำเนินการตามที่กำหนดอย่างถี่ถ้วน 

(4) กำหนดหมายเลขและวางป้ายหมายเลขกำกับหลักฐานแต่ละชิ้น

(5) ถ่ายภาพรายละเอียดต่อไปนี้ 

(5.1) หากพบเครื่องมือสื่อสารเคลื่อนที่ ให้ถ่ายภาพทุกด้านและพื้นที่รอบ ๆ หลักฐานที่จะจัดเก็บ อุปกรณ์เชื่อมต่อภายนอกและจุดเชื่อมต่อ รวมทั้งสภาพโดยรวมให้ เห็นว่าหลักฐานแต่ละชิ้นวางไว้ในตำแหน่งใด 

(5.2) ข้อมูลเฉพาะของหลักฐาน เช่น หมายเลข Serial number ผู้ผลิต รุ่น ความเสียหายที่พบ เป็นต้น

(5.3) สิ่งอื่นที่อาจเป็นประโยชน์เพิ่มเติม เช่น สิ่งพิมพ์ กระดาษบันทึกข้อความ หรือหนังสือ เกี่ยวกับความรู้ทางคอมพิวเตอร์เพื่อบ่งบอกถึงระดับความรู้ทางคอมพิวเตอร์ของผู้ต้อง สงสัย

(6) จดบันทึกรายละเอียดต่อไปนี้

(6.1) สิ่งที่พบ สิ่งที่ได้ดำเนินการ รวมถึงสิ่งผิดปกติเช่น ร่องรอยความเสียหายภายนอกของ หลักฐาน 

(6.2) สภาพและรายการอุปกรณ์ภายนอกที่เชื่อมต่อกับหลักฐาน 

(6.3) สิ่งอื่นที่อาจเป็นประโยชน์เพิ่มเติม เช่น สิ่งพิมพ์ กระดาษบันทึกข้อความ หรือหนังสือ เกี่ยวกับความรู้ทางคอมพิวเตอร์เพื่อบ่งบอกถึงระดับความรู้ทางคอมพิวเตอร์ของผู้ต้อง สงสัย 

(7) กรณีพบหลักฐานอยู่ภายนอกอาคาร และสภาพอากาศขณะนั้นอาจส่งผลต่อหลักฐาน ควร พิจารณาดำเนินการกับหลักฐานนั้นเป็นลำดับแรก 

(8) รวบรวมข้อมูลที่เกี่ยวข้อง เช่น ชื่อผู้ใช้ รหัสผ่าน ข้อมูลในการเข้าใช้งานระบบปฏิบัติการ หรือ ระบบเครือข่าย การใช้เทคโนโลยีเฉพาะ เช่น   การเข้ารหัสลับข้อมูล (Encryption) เป็นต้น

 

กรณีหลักฐานเป็นเครื่องมือสื่อสารเคลื่อนที่ 

(1) หากทำได้ ให้สอบถามรหัสผ่านเพื่อปลดล็อคเครื่องและซิมการ์ด และจดบันทึกโดยให้ระบุด้วย ว่าเป็น PIN หรือ Pattern lock 

(2) ในกรณีที่หลักฐานเปิดใช้งานอยู่ และสามารถเข้าใช้งานได้ ควรดำเนินการดังนี้ 

(2.1) ตรวจสอบรายละเอียดเกี่ยวกับหลักฐาน และตั้งค่าเครื่องมือสื่อสาร ดังนี้ 

ก. บันทึกภาพหลักฐานและเนื้อหาที่ปรากฏบนหน้าจอแสดงผล และจดบันทึกข้อมูล โดยละเอียด 

ข. ตรวจสอบข้อมูลเฉพาะของหลักฐาน เช่น IMEI รุ่น ผู้ให้บริการ เป็นต้น 

iPhone IMEI Check  (Photo by Jarod Lee).

ค. เปิดการใช้งานโหมดเครื่องบิน (Airplane mode) เพื่อตัดการรับสัญญาณ 

(Photo by Jakub Porzycki/NurPhoto via Getty Images).

ง. ปิดการใช้งานสัญญาณไร้สาย (Wi-Fi) เพื่อตัดการสื่อสารผ่านระบบเน็ตเวิร์ก 

จ. ปิดการใช้งานสัญญาณบลูทูธ (Bluetooth) 

ฉ. ปิดการใช้รหัสผ่าน เพื่อให้สามารถเข้าถึงเครื่องได้ภายหลัง 

ช. ปิดการล็อคหน้าจอแสดงผล (Disable screen lock) 

(2.2) ดำเนินการบรรจุและเคลื่อนย้ายหลักฐาน 

(3) กรณีที่ไม่สามารถเข้าใช้งานหลักฐานได้ เช่น ติดล็อครหัสผ่าน ให้บันทึกภาพหลักฐานและ เนื้อหาที่ปรากฏบนหน้าจอแสดงผล และจดบันทึกโดยละเอียด หลังจากนั้นจึงดำเนินการบรรจุ และเคลื่อนย้ายหลักฐาน 

(4) กรณีที่หลักฐานอยู่ในสถานะปิดการใช้งาน ให้ดำเนินการบรรจุและเคลื่อนย้ายหลักฐาน 

(5) ไม่ควรถอดแบตเตอรี่ออกจากตัวเครื่องเนื่องจากอาจทำให้สูญเสียข้อมูล เช่น ประวัติการโทร การ ตั้งค่าวันเวลาในหลักฐาน เป็นต้น เว้นแต่ในกรณีที่จำเป็นต้องเก็บเครื่องเป็นระยะเวลานาน ควร ถอดแบตเตอรี่ออกเพื่อป้องกันแบตเตอรี่เสื่อมสภาพซึ่งอาจทำให้สารที่อยู่ในแบตเตอรี่รั่วซึมและ ก่อให้เกิดความเสียหายแก่หลักฐานนั้นได้ 

(6) เก็บอุปกรณ์เสริมทั้งหมด เช่น สายเคเบิลสำหรับชาร์จไฟ สายเคเบิลข้อมูลสำหรับต่อเชื่อม SD card ซิมการ์ด เป็นต้น รวมทั้งตรวจดูบริเวณรอบ ๆ ว่ามีการจดรหัสผ่านไว้หรือไม่ หากพบให้ รวบรวมไว้

(7) หากพบเครื่องมือสื่อสารเคลื่อนที่อยู่ในน้ำ ให้รีบถอดแบตเตอรี่ออกทันที แล้วจัดเก็บอุปกรณ์ ในสภาพที่มีน้ำในแหล่งที่พบหลักฐานอยู่ และนำกลับไปตรวจวิเคราะห์ในห้องปฏิบัติการ โดยเร็ว 

การบรรจุและการเคลื่อนย้าย (Packaging and Transportation)

(1)กรณีหลักฐานเป็นเครื่องมือสื่อสารเคลื่อนที่ซึ่งสถานะของเครื่องเปิดใช้งานและติดรหัสผ่าน ทำให้ ไม่สามารถตั้งค่าอุปกรณ์เพื่อตัดสัญญาณได้ ให้บรรจุหลักฐานลงในอุปกรณ์ป้องกันคลื่นสัญญาณ ก่อน แล้วจึงดำเนินการในขั้นตอนต่อไป 

(2)จัดเก็บหลักฐานลงในบรรจุภัณฑ์ ใช้เทปปิดผนึกปิดผนึกหลักฐานให้เรียบร้อย ไม่ให้มีรอยชำรุดฉีก ขาด ลงชื่อผู้ปฏิบัติงานและวันเวลาคร่อมทับเทปปิดผนึกกำกับไว้ 

Flasher box forensics. Using a UFS box to access mobile phone

(3)ติดป้ายหมายเลขกำกับ (Label) หลักฐานลงบนบรรจุภัณฑ์ทุกชิ้น โดยห้ามติดบนหลักฐานโดยตรง

(4)ในการดำเนินการควรระบุรายละเอียดใน Chain of custody โดยบันทึกข้อมูลให้ครบถ้วน

(5)ควรขนย้ายหลักฐานมายังยานพาหนะเป็นลำดับสุดท้ายก่อนที่จะออกจากสถานที่เกิดเหตุและขน ย้ายหลักฐานไปเก็บในที่ปลอดภัยทันทีที่ถึงจุดหมายปลายทาง 

(6)เคลื่อนย้ายหลักฐานด้วยความระมัดระวังเป็นพิเศษ หลีกเลี่ยงการกระทบกระเทือน การวาง หลักฐานซ้อนทับกัน บริเวณที่มีสนามแม่เหล็กไฟฟ้าหรือไฟฟ้าสถิต เช่น ใกล้ลำโพงและวิทยุสื่อสาร เป็นต้น บริเวณที่มีแสงแดดจัดหรือมีความชื้นและการเปลี่ยนแปลงของอุณหภูมิหรือความชื้น กะทันหัน 

(7)ในการรับและส่งมอบหลักฐาน ก่อนส่งมอบให้สังเกตสภาพบรรจุภัณฑ์ว่าชำรุดหรือไม่ เทปปิดผนึก ฉีกขาดหรือไม่ และถ่ายภาพสภาพหลักฐานที่ได้รับมา 

ภาคผนวก ข ข้อมูลเพิ่มเติมทางเทคนิค 

ข.1 การเทียบเวลา ระหว่างกระบวนการเก็บหรือสำเนาหลักฐานดิจิทัล ผู้ปฏิบัติงานจำเป็นต้องเทียบเวลาของหลักฐาน ดิจิทัล กับเวลามาตรฐาน และให้บันทึกความคลาดเคลื่อนจากเวลามาตรฐาน โดยให้บันทึกเป็นหน่วย ของเวลาระดับที่ละเอียดที่สุดที่จะทำได้ ตัวอย่างของเวลามาตรฐาน ได้แก่ เวลาจากนาฬิกามาตรฐาน ของสถาบันมาตรวิทยาแห่งชาติ (รายละเอียดของนาฬิกาอ้างอิงสามารถดูเพิ่มเติมได้ที่ http://www.nimt.or.th/index.php?menu=time) 

ข.2 การตรวจสอบข้อมูลที่สำคัญในเครื่องมือสื่อสารเคลื่อนที่ ตามหลักการแล้ว ผู้ปฏิบัติงานไม่ควรเปิดดูข้อมูลในเครื่องมือสื่อสารเคลื่อนที่โดยไม่จำเป็น เพราะจะทำ ให้ข้อมูลในหลักฐานเปลี่ยนแปลง แต่เพื่อประโยชน์ในการสืบสวน ก่อนที่จะสำเนาข้อมูลหรือส่งตรวจ ในห้องปฏิบัติการ ผู้รับผิดชอบคดีอาจพิจารณาตรวจดูเฉพาะข้อมูลที่สำคัญอย่างระมัดระวัง และทำให้ ข้อมูลเปลี่ยนแปลงน้อยที่สุด โดยตรวจสอบข้อมูลดังนี้ 

(1) ตรวจสอบ IMEI โดยกด *#06# 

(2) ตรวจสอบหมายเลขโทรศัพท์ โดย 

ก. สำหรับเครือข่าย AIS กด *545# แล้วกดโทรออก 

ข. สำหรับเครือข่าย DTAC กด *102# แล้วกดโทรออก 

ค. สำหรับเครือข่าย TRUE กด *933# แล้วกดโทรออก 

(3) ตรวจสอบชื่อบัญชีของแอปพลิเคชันที่ใช้ติดต่อสื่อสาร เช่น อีเมล, LINE และ Facebook เป็นต้น

 

อ่านเพิ่มเติม: 

• การถ่ายภาพในที่เกิดเหตุ 
• การปฎิบัติงานในสถานที่เกิดเหตุ 
• การเก็บหลักฐานอิเล็กทรอนิกส์ คดีละเมิดลิขสิทธิ์และพนันออนไลน์
• นิติวิทย์ฯ ร่วมกับ DSI เข้าร่วมตรวจค้นและจัดเก็บพยานหลักฐาน ตามกฎหมายฟอกเงินและกฏหมายปราบปรามยาเสพติด
• การตรวจค้นและยึดพยานหลักฐานดิจิทัล 
  
• การตรวจยึดพยานหลักฐานทางคอมพิวเตอร์
• วิธียึดคอมพิวเตอร์
• วิธีการปฏิบัติต่อของกลางประเภทอุปกรณ์คอมพิวเตอร์ และอุปกรณ์อิเลคทรอนิกส์ เพื่อนำส่งตรวจพิสูจน์
• Case study Forensic Acquisition DIGITAL FORENSICS:CASE STUDY FORENSIC ACQUISITION 

ที่มา:ข้อเสนอแนะมาตรฐานการจัดการอุปกรณ์ดิจิทัล ในงานตรวจพิสูจน์พยานหลักฐาน (สํานักพัฒนาธุรกรรมทางอิเล็กทรอนิกส์)

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud #พยานหลักฐานดิจิทัล