Ubuntu Forensics
คู่มือครบวงจร 8 บท

เป้าหมาย: เปิด Ubuntu Forensics ให้ถูกหน้าต่าง และยืนยันว่าเราอยู่ในพื้นที่ฝึก

1. ดับเบิลคลิกไอคอน Ubuntu Forensics บน Desktop
2. รอให้เห็น prompt ซึ่งลงท้ายด้วยเครื่องหมาย $
3. พิมพ์ pwd แล้วกด Enter
4. ควรเห็นตำแหน่ง ~/forensics/work

หยุดก่อน: ถ้าไม่เห็นพื้นที่ฝึก ให้พิมพ์ cd ~/forensics/work แล้วตรวจด้วย pwd อีกครั้ง อย่าเริ่มกับไฟล์จริงจนกว่าจะรู้ตำแหน่งแน่นอน

ทำงานทีละบรรทัด: อ่านคำสั่ง → ตรวจชื่อไฟล์ → กด Enter → อ่านผล → จดสิ่งที่เกิดขึ้น ถ้าผลไม่ตรงที่คาด ให้หยุดก่อนรันบรรทัดถัดไป

Windows และ Ubuntu อาจมองไฟล์ชุดเดียวกันผ่านคนละ path การแก้จากฝั่งหนึ่งจึงมีผลกับอีกฝั่งได้ ใช้พื้นที่ฝึกใน Ubuntu สำหรับแบบฝึกหัดทั้งหมด

ยังไม่ใช้: rm ลบโดยไม่ผ่านถังขยะ และ sudo เพิ่มสิทธิ์เกินจำเป็น มือใหม่ไม่ใช้สองคำนี้แก้ปัญหาแบบเดา

สูตรจำ: hash ก่อน → ต้นฉบับอยู่นิ่ง → ตรวจ working copy → เก็บ output + log → ตรวจ hash ซ้ำ

1. ต้นฉบับมี hash ตั้งต้น
2. ต้นฉบับไม่ถูกเปลี่ยนชื่อ ย้าย หรือแก้
3. เครื่องมือทำงานกับ working copy
4. ผลและ log อยู่คนละโฟลเดอร์
5. ตรวจ hash ต้นฉบับอีกครั้งเมื่อจบ

อย่าเชื่อนามสกุลเพียงอย่างเดียว เริ่มจากคำสั่งอ่านโครงสร้าง ขนาด และลายนิ้วมือของสำเนา

ขอบเขตผล: เครื่องมือตรวจพบสิ่งใด ให้รายงานสิ่งนั้น การพบ metadata หรือกฎ YARA ตรง ไม่ได้พิสูจน์เจ้าของ เจตนา หรือความผิดโดยลำพัง

1. ตรวจ hash ต้นฉบับกับค่าตั้งต้น
2. ยืนยันว่าตรวจบน working copy
3. เก็บ output และ log ครบ
4. บันทึกคำสั่ง เวลา และข้อผิดพลาด
5. แยกข้อเท็จจริง การแปลผล และสิ่งที่ยังไม่รู้

ถ้า hash ไม่ตรง ไฟล์หาย หรือ WSL ไม่เปิด: หยุด จดข้อความเต็ม เวลา และสิ่งที่ทำไปแล้ว จากนั้นเปิดศูนย์ช่วยเหลือ อย่า unregister, reset, reinstall, ลบ หรือเขียนทับเอง