DIGITAL FORENSICS:บทบาทของนักพิสูจน์หลักฐานทางดิจิทัล (Digital Forensics Investigator)

DIGITAL FORENSICS:บทบาทของนักพิสูจน์หลักฐานทางดิจิทัล (Digital Forensics Investigator)

 

1. ดำเนินการสอบสวน Incident ประเภทต่างๆ ทั้งการเจาะระบบเครือข่าย การใช้ซอฟต์แวร์เถื่อน การปลอมตัวเป็นผู้อื่น การล่วงเกินทางเพศ การจารกรรมข้อมูล การละเมิดทรัพย์สินทางปัญญา การลักลอบขโมยข้อมูล หรือแม้แต่การแอบทำผิดกฏระเบียบบริษัท ทั้งหมดนี้ล้วนเป็นหน้าที่ของ Forensic Investigator แทบทั้งสิ้น

2. ทำการค้นหา วิเคราะห์ และนำเสนอข้อมูลเพื่อเป็นหลักฐาน โดยที่ข้อมูลดังกล่าวจะได้จากอุปกรณ์ต่างๆ ทั้งระบบคอมพิวเตอร์ กล้องถ่ายรูป โทรศัพท์มือถือ Flash Drive ฮาร์ดดิส และอื่นๆ นอกจากนี้ยังต้องรู้จักมองหาหลักฐานที่ไม่ได้ดิจิทัลแวดล้อมอื่นๆ อีกด้วย

3. ทำการกู้ข้อมูลเช่น พาสเวิร์ด ไฟล์ที่ถูกเข้ารหัสลับ หรือไฟล์ที่ถูกลบไปแล้ว อีเมล หรือหลักฐานที่บ่งชี้ถึงการบุกรุกทั้งหมด

4. เมือได้หลักฐานแล้วดำเนินการเพื่อนำเสนอหลักฐานดังกล่าวต่อศาล (ต้องคงไว้ซึ่ง Chain of Custody นะครับ)

5. สำหรับองค์กรขนาดใหญ่นั้น ผู้เชี่ยวชาญด้านนี้จะมีหน้าที่ทดสอบความมั่นคงปลอดภัยของระบบเพื่อป้องกันการถูกเจาะเข้ามายังเครือข่ายด้วย


นี่เป็นข้อมูลเบื้องต้นนะครับ คุณจะเห็นได้ว่าการเป็นผู้เชี่ยวชาญทางด้านนี้ทำเป็นต้องได้รับการฝึกฝนในหลายหลายด้าน แต่การได้รับการศึกษาอย่างมีหลักการจะทำได้เรามี skill ทางด้านเพิ่มขึ้นอย่างถูกต้องแน่นอน 

ที่มา: acinfotec

 

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #MobileForensics

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics: Casey's Certainty Scale และความน่าเชื่อถือของพยานหลักฐานทางคอมพิวเตอร์

Digital Forensics: Casey's Certainty Scale และความน่าเชื่อถือของพยานหลักฐานทางคอมพิวเตอร์

ในคำพิพากษายกฟ้องคดีนายสุรภักดิ์ ศาลอุทธรณ์ได้พูดถึงความน่าเชื่อถือของพยานหลักฐานทางคอมพิวเตอร์ โดยระบุว่าการสร้างหรือได้มา เส้นทางการเก็บรักษา และความครบถ้วน ล้วนส่งผลต่อความน่าเชื่อถือของพยานหลักฐานทางคอมพิวเตอร์ทั้งสิ้น

ในทางนิติวิทยาศาสตร์คอมพิวเตอร์ มีเกณฑ์ในการวัดระดับความน่าเชื่อถือของพยานหลักฐานทางคอมพิวเตอร์อยู่เกณฑ์หนึ่ง เรียกว่า Casey's Certainty Scale ตามชื่อของนาย Eoghan Casey นักนิติวิทยาศาสตร์คอมพิวเตอร์ที่คิดเกณฑ์การวัดระดับนี้ขึ้น

ระดับความน่าเชื่อถือของพยานหลักฐานทางคอมพิวเตอร์อยู่เกณฑ

ระดับความน่าเชื่อถือของพยานหลักฐานทางคอมพิวเตอร์

 สเกลดังกล่าว มีทั้งหมด 7 ขั้น ไล่จากต่ำสุด C0 ไปหาสูงสุด C6 เลขยิ่งน้อย หมายถึงความน่าเชื่อถือที่ยิ่งต่ำ

ผู้เขียนระบุว่า C6 นั้นเป็นระดับความน่าเชื่อถือขั้นสูงสุด ที่ "หลักฐานทั้งหมดถูกป้องกันจากการแก้ไขและไม่มีข้อสงสัยใดๆ" ซึ่งเทคโนโลยีปัจจุบันยังไม่สามารถทำได้ ดังนั้นในทางปฏิบัติ ระดับ C5 คือความน่าเชื่อถือสูงสุดที่เป็นไปได้ในขณะนี้

พยานหลักฐานทางคอมพิวเตอร์ในคดีของสุรภักดิ์นั้น หากลองจัดระดับ อาจจะพูดได้ว่า ตัวหลักฐานพยานจากเครื่องโน๊ตบุ๊กนั้น อยู่ในระดับ C0 ถึง C1 เนื่องจากพบว่ามีการเปิดใช้งานโน๊ตบุ๊กหลังจากที่จำเลยถูกจับกุมและเจ้าหน้าที่ได้ยึดโน๊ตบุ๊กไปแล้ว ทำให้สงสัยได้ว่าอาจมีการแก้ไขข้อมูลในเครื่อง

(ตารางนี้ตัดมาจากเอกสารอบรมทนายสิทธิมนุษยชน ที่ iLaw เครือข่ายพลเมืองเน็ต และเครือข่ายนักกฎหมายสิทธิมนุษยชน ร่วมกันจัดขึ้นเมื่อปี 2012 โดยการสนับสนุนของมูลนิธิไฮน์ริคเบิลล์ สำนักงานเอเชียตะวันออกเฉียงใต้)

ที่มา:

Thai Netizen มูลนิธิเพื่ออินเทอร์เน็ตและวัฒนธรรมพลเมือง (เครือข่ายพลเมืองเน็ต)

 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #พยานหลักฐานดิจิทัล

DIGITAL FORENSICS:Naming Case Files & Folder

DIGITAL FORENSICS:Naming Case Files & Folder

  Download

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics & Legal Considerations

Update July 2025.

Digital Forensics ไม่ใช่แค่การกู้ข้อมูล แต่คือ กระบวนการพิสูจน์หลักฐานดิจิทัลที่สามารถนำไปใช้ในชั้นศาล ได้อย่างถูกต้องตามกฎหมาย ทั้งในคดีอาญา แพ่ง วินัย หรือการละเมิดลิขสิทธิ์

การดำเนินการต้องอยู่ภายใต้กรอบกฎหมายเพื่อให้หลักฐานนั้น "น่าเชื่อถือ" และ "ไม่ถูกโต้แย้งในชั้นศาล"

---

🔎 1. National Legislation (กฎหมายระดับประเทศ)

✳️ ความสำคัญ:

กฎหมายภายในประเทศคือฐานของการดำเนินคดี การเข้าถึง ตรวจสอบ หรือยึดอุปกรณ์ดิจิทัลต้องอ้างอิงกฎหมายเหล่านี้ เช่น กฎหมายอาญา, กฎหมายพยานหลักฐาน, กฎหมายวิธีพิจารณาความอาญา

🧑‍⚖️ ตัวอย่างไทย:

• ประมวลกฎหมายวิธีพิจารณาความอาญา มาตรา 131
  อนุญาตเจ้าหน้าที่ "ตรวจ ค้น หรือยึด" หากมีหมายค้นจากศาล

• 
  
  

• มาตรา 226 วรรค 2
  กำหนดให้หลักฐานดิจิทัลสามารถใช้ในการพิจารณาคดีได้ แต่ต้องผ่านกระบวนการที่ถูกต้อง

• 
  
  

• ในกรณีที่มีการแบล็กเมล์ ข่มขู่ เรียกร้องทรัพย์สินกับผู้เสียหายผ่านทางโทรศัพท์ ให้บันทึกเสียงไว้ตอนพูดข่มขู่ แต่หากพูดกันตัวต่อตัวต้องหาพยาน มีความผิดประมวลกฎหมายอาญา มาตรา 338

• พยานหลักฐาน ตามกฎหมายฟอกเงินและกฏหมายปราบปรามยาเสพติด

---

🔐 2. Industry-Specific Legislation & Employment Laws

✳️ ความสำคัญ:

การสอบสวนภายในบริษัท โดยเฉพาะในภาคการเงิน, สุขภาพ หรือการจ้างงาน ต้องอิงกฎหมายเฉพาะ เช่น พ.ร.บ.แรงงาน, พ.ร.บ.สถาบันการเงิน, หรือระเบียบ ก.ล.ต.

🧑‍⚖️ ตัวอย่าง:

• นายจ้างต้องแจ้งพนักงานล่วงหน้า หากติดตั้งระบบ monitoring

• หลักฐานจากการสอดส่องที่ไม่ได้รับอนุญาต อาจเป็นการละเมิดสิทธิ (พรบ.คุ้มครองข้อมูลส่วนบุคคล)

• กรณีศึกษาลูกจ้างออกจากบริษัทแล้ว ยังเข้าใช้อีเมลบริษัท เป็นการเข้าถึงข้อมูลคอมพิวเตอร์โดยมิชอบ

• ลูกจ้างลบข้อมูลคอมพิวเตอร์

---

3. Cybersecurity Act (พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562)

✳️ ความสำคัญ:

ให้อำนาจหน่วยงานรัฐเข้าถึงระบบคอมพิวเตอร์ของโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CI) หากมีภัยคุกคาม

🧑‍⚖️ ตัวอย่าง:

• หากพบ Malware หรือ Ransomware บนระบบของหน่วยงาน CII เจ้าหน้าที่สามารถสั่งกู้ดิสก์หรือดึง Log เพื่อตรวจสอบได้

• อำนาจหน้าที่ของพนักงานเจ้าหน้าที่: ในการทำ  Digital Forensics 

• พ.ร.บ. กำหนดให้พนักงานเจ้าหน้าที่สามารถเข้าถึงข้อมูลในระบบคอมพิวเตอร์เพื่อตรวจสอบและสืบสวนหาข้อเท็จจริงในกรณีที่เกิดภัยคุกคามทางไซเบอร์หรือเหตุการณ์ที่เกี่ยวข้องกับความมั่นคงของชาติ โดยมีวัตถุประสงค์หลักเพื่อปกป้องความมั่นคงของรัฐและผลประโยชน์ของประชาชน 

---

💻 4. Computer Crime Act B.E. 2550 (แก้ไข 2560)

✳️ ความสำคัญ:

เป็นกฎหมายแม่บทในการดำเนินคดีที่เกี่ยวกับอาชญากรรมทางคอมพิวเตอร์ เช่น การแฮ็ก, การปลอมแปลง, การละเมิดสิทธิ

 ตัวอย่างมาตราที่เกี่ยวข้อง:

• เจ้าหน้าที่ต้องมี "หมายศาล" ก่อนเข้าตรวจระบบคอมพิวเตอร์

• มาตรา 18: การเข้าถึงข้อมูลดิจิทัลเพื่อตรวจสอบต้องได้รับอนุญาตจากศาล

❗ หลักฐานที่ได้โดยไม่มีหมายศาล อาจถูกตีตกในชั้นศาล

Photo credit : iLaw การค้นทั่วไปต้องมีหมายศาล

---

🌐 5. International Legislation

✳️ ความสำคัญ:

การสืบสวนข้ามประเทศ เช่น การหลอกลวงออนไลน์, การฟอกเงิน, หรือการใช้ Cloud ต่างประเทศ ต้องเข้าใจข้อจำกัดของเขตอำนาจศาล และใช้อนุสัญญานานาชาติ

ตัวอย่าง:

• Mutual Legal Assistance (MLAT) 
  กรมการกงสุล กระทรวงการต่างประเทศ ให้ความร่วมมือทางอาญาระหว่างไทยกับประเทศต่าง ๆ ประเทศที่มีความตกลงหรือมีสนธิสัญญาความร่วมมือระหว่างประเทศในเรื่องทางอาญา (Mutual Legal Assistance Treaty-MLAT) กับไทย 15 ประเทศ

Photo credit:กรมการกงสุล กระทรวงการต่างประเทศ MLAT

• หากข้อมูลอยู่บน Server ในอเมริกา ต้องใช้ช่องทางผ่าน INTERPOL หรือสนธิสัญญาความร่วมมือ

---

6. Data Protection Laws (PDPA, GDPR)

✳️ ความสำคัญ:

Digital Forensics ต้องไม่ละเมิดความเป็นส่วนตัวของบุคคล โดยเฉพาะเมื่อมีการเก็บ log, email หรือภาพกล้องวงจรปิด

ตัวอย่างไทย:

• PDPA มาตรา 22–28: การเก็บ ใช้ เปิดเผยข้อมูลต้องได้รับ "ความยินยอม"

  

• Photo credit:ทนายใกล้ตัว 10 เรื่องที่ประชนต้องรู้เกี่ยวกับ PDPA

• การดึงข้อมูลพนักงานมาตรวจสอบ ต้องมี “นโยบายภายในที่ชัดเจน” และขอ consent หากไม่อยู่ในระเบียบงาน

---

📌 7. ตัวอย่างเคส Digital Forensics ที่เชื่อมโยงกฎหมายไทย

🎯 เคส 1: พนักงานลอบโหลดข้อมูลลูกค้าออกจากระบบ

• ตรวจพบจาก Log และ File Transfer History

• อ้าง Computer Crime Act   (เจาะระบบ/เอาข้อมูลไปใช้)

• ต้องขอหมายค้นจากศาลเพื่อยึดเครื่องคอมพิวเตอร์

🎯 เคส 2: เว็บไซต์ปลอมแอบอ้างธนาคาร (Phishing) ผู้ใช้ได้รับอีเมลปลอมแอบอ้างเป็นธนาคาร พร้อมลิงก์ไปเว็บไซต์ปลอม

• ตรวจพบโดยผู้ใช้งาน ส่ง URL ให้กับทีม Forensics

• สืบ IP, Hosting และขอข้อมูลจากผู้ให้บริการโดเมน (ใช้ร่วมกับ CERT)

• ใช้ พ.ร.บ.คอมพิวเตอร์  มาตรา 8  ผู้ใดกระทำด้วยประการใดโดยมิชอบด้วยวิธีการทางอิเล็กทรอนิกส์เพื่อดักรับไว้ซึ่งข้อมูลคอมพิวเตอร์ของผู้อื่นที่อยู่ระหว่างการส่งในระบบคอมพิวเตอร์ และข้อมูลคอมพิวเตอร์นั้นมิได้มีไว้เพื่อประโยชน์สาธารณะหรือเพื่อให้บุคคลทั่วไปใช้ประโยชน์ได้ ต้องระวางโทษจำคุกไม่เกิน 3 ปี หรือปรับไม่เกิน 6 หมื่นบาท หรือทั้งจำทั้งปรับ

• พ.ร.บ.คอมพิวเตอร์ มาตรา 14 ผู้ใดกระทำความผิดดังนี้ (1) โดยทุจริต หรือโดยหลอกลวง นำเข้าสู่ระบบคอมพิวเตอร์ซึ่งข้อมูลคอมพิวเตอร์ที่บิดเบือนหรือปลอมไม่ว่าทั้งหมดหรือบางส่วน หรือข้อมูลคอมพิวเตอร์อันเป็นเท็จ โดยประการที่น่าจะเกิดความเสียหายแก่ประชาชน

•  ประมวลกฎหมายอาญา ความผิดฐานฉ้อโกง มาตรา 341,344

🎯 เคส 3กรณี ฟิชชิ่ง (Phishing) รหัสผ่าน (Password) บัญชีอินสตาแกรม

🎯 เคส 4 : โดนโจมตีเว็บไซต์ล่ม (DDos) ( มาตรา 10 )

• ตัวอย่าง : การโจมตีแบบ DDoS ทำให้เว็บไซต์ล่ม, การใช้มัลแวร์ทำให้คอมพิวเตอร์ทำงานช้าลง
• โทษปรับ : ไม่เกิน 100,000 บาท
• โทษจำคุก : ไม่เกิน 5 ปี

---

สรุป: เหตุใด Digital Forensics ต้องยึดกฎหมาย

1. เพื่อให้ หลักฐานสามารถใช้ในศาลได้

2. เพื่อไม่ให้ ละเมิดสิทธิบุคคลหรือองค์กร

3. เพื่อให้การดำเนินคดี มีความชอบด้วยกฎหมายและไม่ถูกโต้แย้ง

อ่านเพิ่มเติม

• การสืบพยานหลักฐานดิจิทัล หรือพยานหลักฐานข้อมูลคอมพิวเตอร์ ในคดีอาญาภาคปฏิบัติ
• พิสูจน์หลักฐานดิจิทัล: ไขคดีอาชญากรรมไซเบอร์

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

Digital Forensics: เวลา UTC คือ

Digital Forensics: เวลา UTC คือ

เวลา UTC คือ

เวลาสากลเชิงพิกัด (อังกฤษ: Coordinated Universal Time; ตัวย่อ: UTC) คือ หน่วยเวลาที่ใช้ในการอ้างอิงการหมุนของโลก โดยใช้เครื่องบวก (+) หรือลบ (-) เทียบจากหน่วยเวลาสากลซึ่งเป็นระบบอ้างอิงจากเวลามาตรฐานกรีนิช (GMT) 

GMT ย่อมาจาก

Greenwich mean time หรือเวลามาตรฐานกรีนิช ซึ่งจุดเริ่มต้นอยู่ทีเมืองกรีนิชประเทศอังกฤษ

ตัวอย่าง โปรแกรม Registry Viewer

เปิดไฟล์ Software โดยโปรแกรม Registry Viewer  พบว่าค่า วัน windows install date  = 5077BBE7

OS Install Date (UTC)   Fri, 12 October 2012 06:42:47   ค่าเวลามาตราฐาน กรีนิช ลอนดอน สหราชอาณาจักร คือเวลาที่ 0  (Universal Time Coordinated) หรือ UTC 0

OS Install Date (Local) Fri, 12 October 2012 13:42:47    ค่าเวลาประเทศไทย   (UTC +7)

ใช้โปรแกรม DCode Format  Unix:32 bit Hex Value- Hexadecimal (Big-Endian) พบว่าค่าจาก registry windows install date  = 5077BBE7

ได้ผลลัพถ์ คือ Fri, 12 October 2012 13:42:47 +0700

Credit:

  wikipedia.org/wiki/เวลาสากลเชิงพิกัด

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #วิชาชีพนิติวิทยาศาสตร์

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล ,ช่วยเตือนความจำขณะเรียนและเพื่อการศึกษาเท่านั้น  

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

DIGITAL FORENSICS:Flash Drive จับโจร

DIGITAL FORENSICS:Flash Drive จับโจร

ฉายแวว [by Mahidol] ซีรีย์ งานวิจัยนักศึกษา : Flash Drive จับโจร

 เมื่อโจรใช้เทคโนโลยีในการทำความผิด ตำรวจก็ต้องอัพเดท "เครื่องมือ" เพื่อจับโจรไฮเทค นักศึกษาจากภาควิชาวิศวกรรมคอมพิวเตอร์ คณะวิศวกรรมศาสตร์ ม.มหิดล มิ้ง - นฤนาถ ลาภปริสุทธิ์ และ โบ - เกศินี แดงคง ได้คิดค้นเครื่องมือเพื่อช่วยตำรวจจับโจรไฮเทค นั่นคือ Flash Drive ที่สามารถคัดลอก "ข้อมูลสำคัญแต่ยากในการเข้าถึง" จากคอมพิวเตอร์ต้องสงสัย เพื่อค้นหาหลักฐานในการทำความผิด ซึ่งเป็นส่วนหนึ่งของงานด้านนิติวิทยาดิจิทัล (Digital Forensic Science) เราเคยชินกับคำว่านิติวิทยาศาสตร์ (Forensic Science) กันมานานแล้ว ตอนนี้แพร พิมพ์ลดา จะพาไปรู้จักกับ "นิติวิทยาดิจิทัล" ผ่านผลงานของนักศึกษาที่ผลิต "Flash Drive จับโจร"

 

อ่านเพิ่มเติม "นิติวิทยาดิจิทัล"

 

 

ที่มา:

Mahidol Channel มหิดล แชนแนล
https://channel.mahidol.ac.th

 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #Digital Forensic มหิดล

Digital Forensics:Forensic Imaging with DD command

Forensic Imaging with DD command

Using the DD (Dataset Definition) command is a foundational skill in digital forensics for creating Bit-stream Images. This process ensures that every single bit—including deleted files and unallocated space—is captured for analysis.

Step 1: Identify the Source and Destination

Before running any commands, you must identify the correct drive identifiers to avoid the "Data Destroyer" accidental overwrite.

1.List all block devices:

lsblk

2.Verify drive details (Size, Model):

Source: /dev/sdb (The suspect's drive)

Destination: /dev/sda (Your forensic workstation's storage)

Step 2: Prevent Data Overwriting (Write-Blocking)

ISO/IEC 27037

Option A: Hardware Write-Blocker (Recommended)

Use a physical hardware write-blocker (like Tableau or WiebeTech) between the suspect drive and your workstation. This is the gold standard in forensics.

Photo by Gemini (Last update March 2026)

Option B: Software Write-Block (Forensics Mode) 

Step 3: Execute the Forensic Image (dd)

sudo dd if=/dev/sdb of=/evidence/suspect_drive.dd bs=4K  conv=noerror,sync

Command Breakdown:

• if=/dev/sdb: Input File (The source evidence).

• of=...: Output File (The destination image file).

• bs=4K: Block Size. 4KB is generally efficient for modern drives.

• conv=noerror,sync:

  • noerror: Instructs dd to continue if it hits a bad sector (crucial for damaged drives).

  • sync: Pads any bad sectors with zeros to keep the image size identical to the source.

  • 

Step 4: Integrity Verification (Hashing)

Per RFC 3227, you must prove that the copy is identical to the original. We use cryptographic hashes (SHA-256) to create a "digital fingerprint."

1. Hash the Source Disk:

sudo sha256sum /dev/sdb > source_CF005.txt

    2.Hash the Forensic Image:

sha256sum suspect_drive.dd > image_CF005.txt

Compare: If the strings in both .txt files match, your evidence is verified and admissible.

Summary of Standards Reference

• ISO/IEC 27037: Focuses on the "Digital Evidence First Responder" role—emphasizing write-protection and identification.

• NIST SP 800-86: Provides the technical framework for the "Collection" phase—ensuring the data is captured as a complete bit-stream.

dd – Linux Command คำสั่ง backup ข้อมูลใน harddisk ในทาง digital forensics ใช้คำสั่ง DD ในการทำสำเนาหลักฐาน Forensic Imaging

 คำสั่ง

dd if=<source file name> of=<target file name> [Options]

• if=<source> – กำหนดตำแหน่ง directory ต้นทางที่ต้องการ Forensic Image ข้อมูล โดย “if” คือ input-file
• of=<destination> –กำหนดตำแหน่ง file ปลายทางที่ต้องการ  Image file ทำการเขียนข้อมูลลงไป โดย “of” คือ output-file

1. ทำการ clone hardisk จากลูกหนึ่งไปอีกลูกหนึ่ง
dd if=/dev/sda of=/dev/sdb

2. ทำการ backup partition ที่ต้องการ ไปยัง file ที่กำหนด
dd if =/dev/sda2 of=~/hdadisk.img

3. ทำการ restore จาก Image file

dd if=hdadisk.img of=/dev/sdb3

4.  คำสั่งลบข้อมูล (WIPE Disk) บน Harddisk

dd if=/dev/zero of=/dev/hda bs=4K conv=noerror,sync 

5.  Hash > Hashing the evidence for integrity checking

sha1sum /dev/hda | tee ForensicImage_sha1.txt 
md5sum /dev/hda | tee ForensicImage_md5.txt

6. example 
dd if=/dev/hda bs=4K conv=sync,noerror | tee ForensicImage.img | md5sum > ForensicImage.md5

 เมื่อทำ ForensicImage แล้ว ควรทำการ hash ไฟล์ข้อมูลทุกครั้งด้วย md5 หรือ SHA-1  

DD command

ที่มา:

saixiii

www.forensicswiki

howtoforge

packtpub

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud