ماذا ستتعلم في هذه الغرفة؟

• فهم مفهوم تطاير البيانات (Order of Volatility) وترتيب الأولوية عند استخراجها من الأجهزة الشغالة.

• تطبيق معياري RFC 3227 في أسرع طرق حفظ الأدلة المهددة بالضياع.

• التمييز بين الاستجابة المباشرة (Live Response) والاستجابة الخاملة (Dead Acquisition).

• تحديد البيانات الحية المعرضة للفقد بمجرد إغلاق الجهاز (مثل الذاكرة الرام الاتصالات الشبكية الحالية).

محتوى الدرس:

أثناء الاستجابة للحوادث الرقمية ومسح مسرح الجريمة، تُعتبر عامل الوقت حاسماً. البيانات الرقمية ليست متساوية في فترة بقائها؛ فبعضها يختفي فوراً بمجرد فصل التيار الكهربائي أو حتى بمجرد استمرار تشغيل الجهاز، بينما يبقى البعض الآخر مخزناً على الأقراص الصلبة لسنوات.

1. ترتيب تطاير البيانات (Order of Volatility – RFC 3227): حدد معيار RFC 3227 التسلسل الميداني المستهدف لجمع البيانات من الأكثر تطايراً (الأسرع زوالاً) إلى الأقل تطايراً:

• الذاكرة العشوائية وسجلات المعالج (Registers & Cache): تضيع في ميكرو-ثوانٍ عند التغيير.

• الذاكرة الرئيسية (System RAM): تضيع تماماً فور إغلاق الجهاز أو فصل الكهرباء.

• حالة الشبكة والعمليات الجارية (Network State & Running Processes): اتصالات TCP/UDP والمنافذ المفتوحة.

• المساحات المؤقتة (Swap/Pagefile): ملفات التبادل الصادرة من الذاكرة على القرص الصلب.

• وسائط التخزين الدائمة (Hard Drives & SSDs): الأقراص الصلبة والأقراص المدمجة.

• السجلات البعيدة والنسخ الاحتياطية (Remote Logs & Archival Media): سجلات السيرفرات والأشرطة الممتدة.

2. الاستجابة الحية (Live Response): هي عملية جمع الأدلة الرقمية من جهاز يعمل حالياً وموصول بالطاقة.

• الهدف: التقاط البيانات المؤقتة التي لا يمكن استرجاعها بعد إغلاق الجهاز (مثل مفاتيح التشفير المحفوظة في الـ RAM، والعمليات الخبيثة المخفية).

• المخاطرة: كل أداة تشغلها على النظام الحي تترك أثراً (Artifacts) وتعدل جزءاً بسيطاً من الذاكرة الرام؛ لذا يجب استخدام أدوات خفيفة ومثبتة على وحدة ذاكرة خارجية (USB) مجهزة مسبقاً.

الخلاصة الميدانية: ابدأ دائماً بجمع أكثر البيانات تطايراً أولاً، ولا تقم بإيقاف تشغيل الجهاز أو سحب كابل الكهرباء قبل سحب الذاكرة الرام وحالة الشبكة الحية.