Digital Forensic Timeline & Investigative Presentation
สร้าง Timeline หลักฐานพร้อมขึ้นศาล จากเหตุพนักงานขโมยข้อมูล
🎯 ภารกิจของผู้เรียน
ดาวน์โหลด Event Log คัดลอก Prompt ไปวางใน AI พร้อมแนบไฟล์ แล้วตรวจสอบว่า AI สร้าง Timeline ตามลำดับเวลา, คำนวณปริมาณข้อมูลที่รั่วไหล และระบุพฤติกรรมต่อต้านการพิสูจน์หลักฐานได้ครบหรือไม่
✅ ตัวอย่าง: สร้าง Timeline การลักลอบส่งข้อมูลออกโดยคนใน เพื่อใช้ฟ้องคดี 📥 Download Mock Data
📋 สถานการณ์ (Scenario)
เครื่องคอมพิวเตอร์ในแผนกการเงินถูกสงสัยว่าเกี่ยวข้องกับการขโมยข้อมูลโดยคนใน การทำสำเนาทางนิติวิทยาศาสตร์ได้ Event Log ครอบคลุมหนึ่ง session นอกเวลางาน ผู้ตรวจพิสูจน์ต้องสร้างเหตุการณ์ขึ้นมาใหม่ทั้งหมด คำนวณปริมาณข้อมูลที่ออกจากองค์กร ระบุพฤติกรรมต่อต้านการพิสูจน์หลักฐาน และจัดทำลำดับเหตุการณ์ที่พร้อมขึ้นศาล
📊 ตัวอย่างข้อมูลดิบ (Mock Raw Data) — snake_case schema
event_time,host,user,event_type,object,bytes,device_serial
2026-02-20 18:45:10,WS-FIN-07,m.wong,LOGON,-,-,-
2026-02-20 19:02:33,WS-FIN-07,m.wong,USB_INSERT,removable_disk_E,-,USB-KINGSTON-4C9
2026-02-20 19:05:00,WS-FIN-07,m.wong,FILE_COPY,\\fileserver\finance\Q2_forecast.xlsx,4582000,USB-KINGSTON-4C9
2026-02-20 19:06:12,WS-FIN-07,m.wong,FILE_COPY,\\fileserver\finance\client_list_master.csv,9120000,USB-KINGSTON-4C9
2026-02-20 19:20:45,WS-FIN-07,m.wong,CLOUD_UPLOAD,personal-drive.example/upload,13702000,-
2026-02-20 19:35:02,WS-FIN-07,m.wong,LOG_CLEAR,security_eventlog,-,-
2026-02-20 19:36:50,WS-FIN-07,m.wong,USB_REMOVE,removable_disk_E,-,USB-KINGSTON-4C9
2026-02-20 19:38:00,WS-FIN-07,m.wong,LOGOFF,-,-,-
📝 Prompt สำหรับผู้เรียน (คัดลอกไปใช้กับ AI)
You are a digital forensic examiner preparing an exhibit for the prosecution. Using the attached host event log: 1. Reconstruct the session as a chronological, plain-language timeline of actions from logon to logoff. 2. Identify the exact files exfiltrated and calculate the total volume of data copied; then verify whether the cloud-upload size corresponds to the copied files (show the arithmetic linking them). 3. Flag any anti-forensic behavior and explain its evidentiary significance. 4. Tie the physical removable device to the activity using the device_serial field. Produce a court-ready timeline narrative with a one-line conclusion stating what the evidence demonstrates, written so a non-technical jury can follow it.