01Sekiz bölüm
01Kapak ve dosya kimliği
Bu raporun ne olduğunu ve hangi meseleye ait olduğunu belirtmek.
- Dosya ya da esas numarası, talep eden makam, inceleyici, laboratuvar, tarih.
- Benzersiz bir rapor tanımlayıcısı ve sürüm numarası.
ÖnlediğiTarihsiz ya da numarasız bir rapor, bir sürüme ya da revizyon geçmişine bağlanamaz.
02Yetki ve kapsam
İşin hangi yetkiyle yapıldığını ve yanıtlaması istenen soruları belirtmek.
- Dayanılan mahkeme kararı, talimat ya da onay.
- İnceleyiciye yöneltilen tam sorular, alıntılanmış.
ÖnlediğiSorulandan fazlasını yanıtlayan ya da yetki dışına çıkan bir rapor kendini zayıflatır.
03Alınan delil
İncelenen her öğeyi listelemek ve el konulan şey olduğunu kanıtlamak.
- Her öğe, delil numarası, tanımı, edinim hash değeri ve ona eşlik eden formla.
- Gözetim zinciri özeti ve alındığındaki mühür durumu.
ÖnlediğiKaydedilip hiç doğrulanmayan bir hash ya da gözetimde bir boşluk, delili itiraza açık bırakır.
04Yöntemler ve araçlar
İşi tekrarlanabilir kılmak.
- Her araç, tam sürümüyle ve her artefakt sınıfı için uygulanan yöntem.
- Dayanılan her doğrulama ve bir aracın bu delil için bilinen sınırları.
Önlediği"Adli bir araçla çözümlendi" tekrarlanabilir değildir; sonucu sürüm ve yöntem belirler.
05Bulgular
Gözlemleneni, anlamından ayrı olarak belirtmek.
- Her gözlem, kaynak artefaktına, dosyasına ve ofsetine ya da olayına bağlı, zamanlar UTC'de.
- Her yorumlayıcı ifade için bir güven düzeyi ve bunun dayanağı.
ÖnlediğiGözlemle yorumu birleştirmek, verinin nerede bittiğini ve inceleyicinin çıkarımının nerede başladığını gizler.
06Sınırlılıklar
Delilin neyi gösteremediğini açıkça belirtmek.
- Eksik delil, kapatılmış günlükleme, değiştirilmiş saatler, boşluklar ve nedenleri.
- Yanıtlanamayan sorular ve nedeni.
ÖnlediğiSınırları atlamak, bir raporun abartmasının en yaygın yoludur; bir bulgu yokluğu, yokluk değildir.
07Sonuç
Sorulan her soruyu, delilin desteklediği güvende yanıtlamak.
- Her kapsam sorusuna doğrudan bir yanıt, güven düzeyiyle.
- Yeni delil yok; sonuç yalnızca bulguları bir araya getirir.
ÖnlediğiBulgularda olmayan olguları ortaya atan bir sonuç geri izlenemez ve güvenilmemelidir.
08Ekler ve tekrarlanabilirlik
Okura işi denetleyecek malzemeyi vermek.
- Hash listeleri, araç günlükleri, çıkarılan artefaktlar, tam kronoloji ve kullanılan formlar.
- Bağımsız bir inceleyicinin ana adımları tekrarlayabileceği kadar.
ÖnlediğiAltındaki malzeme olmadan sonuçlar, okurdan inceleyicinin sözüne güvenmesini ister.
02Güven ölçeği
Bir rapordaki her yorumlayıcı ifade bu dört düzeyden birini taşır. Aynı ölçek vaka incelemelerinin içinden geçer.
| Düzey | Anlamı | İfade |
|---|---|---|
| Sağlam | Birbirinden bağımsız birkaç kayıt uyuşur ve sınanmış masum bir açıklama uymaz. | "Kayıtlar … olduğunu ortaya koyar." |
| Olası | Desteklenir ve alternatiflerden daha olasıdır, ama daha az ya da kısmen birbirine bağlı kayıtlarla. | "Delil, … olmasını olası kılar." |
| Mümkün | Delille tutarlı ama kanıtlanmış değil; başka açıklamalar açık kalır. | "Delil … ile tutarlıdır, ancak bunu ortaya koymaz." |
| Belirlenemedi | Delil her iki yönde de sonuca varmaya elvermez. | "Delil, … hakkında bir sonuca varmaya elvermez." |
03Dürüst ifade
Bir eylemi bir kişiye bağlamak
Abartır"Şüpheli dosyaları USB sürücüye kopyaladı."
Dürüst"Mühendisin etkileşimli oturum açmış hesabı, dosyalara çıkarılabilir birimden erişmek için kullanıldı; kayıtlar etkinliği adı geçen bir kişiye değil, hesaba atfeder."
Günlükler hesaplara atıf yapar; bir kişi, günlükten fazlasını gerektiren ayrı bir çıkarımdır.
Baz istasyonu konumu
Abartır"Telefon 14:20'de adresteydi."
Dürüst"14:20 UTC'de telefon, kapsama sektörü adresi içeren ve çevresinde yaklaşık 1,8 km²'yi de kapsayan bir hücre kullandı; telefon o alanın içindeydi."
Bir hücre alandır, nokta değil; nokta belirtmek, verinin sahip olmadığı bir kesinliği iddia eder.
Kurtarılamayan silinmiş veri
Abartır"O tarihten önce mesaj yoktu."
Dürüst"O tarihten önceki mesajlar, veri tabanı sayfaları yeniden kullanıldığı için kurtarılamadı; bu bir boşluktur, mesaj olmadığının kanıtı değildir."
Kurtarılamama ile var olmama farklıdır; ikisini karıştırmak abartır.
Zaman damgaları
Abartır"Belge, gösterdiği tarihte oluşturuldu."
Dürüst"Belgenin düzenlenebilir oluşturma alanı o tarihi gösterir, ancak uygulama sürümü ve paket giriş zamanları daha geçtir; dosya, taşıdığı tarihten daha sonra oluşturuldu."
Düzenlenebilir bir alan tek bir kaynaktır; bir sonuç, kolayca hizalanamayan kaynaklara dayanır.
04Rapor kontrol listesi
- Her bulgu; kaynak artefaktını, dosya/ofsetini ya da olayını ve özgün değeriyle bir UTC zamanını taşır.
- Gözlem ve yorum ayrı ifadelerdedir.
- Her yorumlayıcı ifadenin bir güven düzeyi ve dayanağı vardır.
- Sınırlılıklar bölümü; eksik delili, kapatılmış günlüklemeyi ve değiştirilmiş saatleri adıyla belirtir.
- Bulgu yoklukları, nedeniyle birlikte boşluk olarak yazılır; asla yokluğun kanıtı olarak değil.
- Sonuç her kapsam sorusunu yanıtlar ve yeni olgu ortaya atmaz.
- Araçlar tam sürümleriyle adlandırılır; ana adımlar eklerden tekrarlanabilir.
- İkinci bir inceleyici, rapor düzenlenmeden önce onu delile karşı okudu (akran değerlendirmesi).