01
المراقبة
تسجّل مستشعرات الهاتف نشاط الجهاز على الهاتف نفسه. ويرصد Guardian نشاط الشبكة على شبكة تشغّلها أنت وصرّحت بمراقبتها. ولا يشترط أحدهما الآخر — غير أنهما معًا يريان أكثر مما يرى كل منهما وحده.
المنصة
منظومة واحدة، من الرصد إلى ملف القضية
يمثّل ForensicsGuard منصة واحدة متكاملة. ترصد المستشعرات النشاط المصرح بمراقبته، وتربطه بيئة المحلل، وتحمل القضية الناتجة عن ذلك سلامتها وبيانات منشئها. وكل جزء منها مصمَّم ليعمل داخل بيئتك أنت.
يمر سير العمل في المنصة بثلاث مراحل: الجمع، ثم الربط، ثم القرار.
-
01 الجمع
يسجّل الملاحظات على الجهاز نفسه.
يرصد نشاط الشبكة المصرح بمراقبته على شبكة تحت سيطرتكم.
-
02 الربط
تستوعب المصدرين ضمن قضية واحدة، وتربط بينهما، وتحفظ النتيجة.
-
03 القرار
المحلل
يراجع النتائج المترابطة ويصوغ الاستنتاج المُبلَّغ عنه.
المنهج
مراقبة ← اكتشاف ← ربط ← حفظ ← تقرير
هذه الحركات الخمس هي العمود الفقري للمنصة. وكل واحدة منها مرحلة مستقلة لها سجلها الخاص، حتى يمكن دائمًا تتبع أي نتيجة رجوعًا إلى الملاحظة التي جاءت منها.
02
الاكتشاف
تُقارَن الملاحظات بمجموعات المؤشرات وبقواعد السلوك — مؤشرات اختراق معروفة، وأنماط اتصال غير معتادة، واتصال دوري متكرر، واتصالات تبرز عن خط الأساس الراسخ للجهاز نفسه.
03
الربط
تجمع محطة التحليل المصادر معًا. فتُطابَق ملاحظات الجهاز وملاحظات الشبكة التي تصف النشاط نفسه في رواية واحدة لما جرى، عبر الأجهزة وعبر الزمن.
04
الحفظ
تُحسب قيمة تجزئة للأدلة وتُختم عند استلامها. ويبقى ما جُمع، ووقت جمعه، والمستشعر الذي جمعه، والقضية التي جُمع في إطارها، مرفقًا بالمادة طوال عمر القضية.
05
التقرير
تُجمَّع النتائج في تقارير تخاطب القارئ التقني وغير التقني، مع الإحالة إلى الأدلة الأساسية بدل اختزالها في ملخص.
المكوّنات
مما تتكوّن عملية النشر
يُحدَّد حجم النشر بحجم العمل. فجهاز Guardian واحد ومحطة تحليل واحدة منظومة كاملة عاملة، وتُضاف مستشعرات الهاتف بواقع مستشعر لكل جهاز محل التحقيق.
الجمع · من جهة الجهاز
مستشعر الهاتف
تطبيق يُثبَّت على الجهاز محل التحقيق، على Android أو iOS. يسجّل ما يتيحه له نظام التشغيل، وينتج ملف تصدير لمحطة التحليل. ويختلف Android عن iOS اختلافًا جوهريًا، وننشر تفاصيل هذا الاختلاف بدقة.
الجمع · من جهة الشبكة
Guardian
جهاز يُركَّب داخل مقر الجهة، يرصد الحركة المصرح بمراقبتها على شبكة تسيطر عليها. ويحمل هوية تشفيرية خاصة به مرتبطة بعتاده، ويعمل دون أي اعتماد على خدمة خارجية.
التحليل
محطة التحليل
بيئة المحلل. القضايا، واستيراد الأدلة، والربط بين المصادر، والتحليل التاريخي، والمؤشرات ومعلومات الشبكة، والتقارير، وصلاحيات الأدوار — كلها تعمل على عتاد تشغّله أنت.
الضمان
السلامة والثقة
هوية Guardian، والترخيص المرتبط بالعتاد، وبيانات سلامة البرمجيات الموقَّعة، وختم الأدلة وبيانات منشئها. وهي الآليات التي تجعل النتيجة تصمد أمام المساءلة.
لماذا مصدران
الجهاز يصف نفسه. والشبكة تصفه أيضًا.
الرصد من داخل الجهاز يخبرك بما طلبه التطبيق. ورصد الشبكة يخبرك بما غادر الجهاز فعلًا. ولكل منهما نقاط عمياء لا توجد عند الآخر.
والربط بينهما هو غاية المنصة: فحين يصف المصدران النشاط نفسه، تستند النتيجة إلى مصدرين جُمعا بطريقتين مختلفتين — وهو موقف أقوى جوهريًا من أي منهما منفردًا.
ما يستطيع الجهاز إظهاره
- التطبيقات المثبتة وأذوناتها
- النشاط الخلفي والمتقطع
- ترجمة أسماء النطاقات من داخل الجهاز
- مطابقات المؤشرات المقيَّمة على الهاتف نفسه
ما تستطيع الشبكة إظهاره
- الاتصالات التي أُنشئت فعلًا
- ترجمة أسماء النطاقات كما ظهرت على الشبكة
- خصائص الجلسات المشفَّرة، دون فك التشفير
- التوقيت والحجم والتكرار عبر جلسة كاملة
نموذج التشغيل
تشغّلها أنت، وتبقى لك
صُممت المنصة بحيث لا تعتمد الأجزاء المهمة جنائيًا علينا، ولا على اتصال بالإنترنت، ولا على أي شيء خارج سيطرتك.
داخل مقرك
يعمل جهاز Guardian ومحطة التحليل على عتاد داخل بيئتك. وتُكتب القضايا وعمليات الالتقاط وملفات التصدير في وحدات تخزين تشغّلها أنت.
العمل دون اتصال بحكم التصميم
لا يتطلب الجمع والتحليل والربط وإعداد التقارير اتصالًا بالإنترنت. والاتصال بالشبكة يضيف التحديثات والمؤشرات، لكنه ليس شرطًا للتشغيل.
مستويات منفصلة
تُعامَل حركة الإدارة وحركة الأدلة على أنهما مستويان متمايزان، فلا تكون إدارة الجهاز والتعامل مع مواد القضية صلاحية واحدة.
برمجيات قابلة للتحقق
تُوزَّع الإصدارات ومعها بيانات سلامة موقَّعة، فتستطيع أي منظومة منشورة أن تثبت أنها تشغّل البرمجيات التي يُفترض أن تشغّلها.
جرّبوها على شبكتكم
يضع النشر التجريبي جهاز Guardian ومحطة تحليل داخل بيئتكم، على شبكة تحت سيطرتكم، ويشغّل فريقكم سير العمل بنفسه.