בנו ציר זמן

ציר זמן עוזר לך להסביר כיצד התרחש אירוע. קרא את האירועים לפי סדר הזמן והפרד בין מה שקרה לפני הניקוי לבין מה שקרה אחריו.

היומנים של מחשב התרגול מראים שתוכנית הופעלה לפני העברת נתונים:

seclab logs

חפש את השורות האלה:

2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv

רשומת התהליך מקשרת בין demo-helper לתהליך האב שלו, demo-browser. יחד, הרשומות תומכות בהסבר קצר: הדפדפן הפעיל את תוכנית העזר, ואז החיבור של תוכנית העזר העביר קובץ.

אל תהפוך ניחוש לממצא. אם הרשומות מראות רק חיבור, אינך יכול לטעון שנתונים יצאו. תעד את התהליך שהתחיל ראשון בדוגמה הזאת:

seclab answer first demo-browser

אתה אמור לראות:

Recorded your answer to first.

ראיות קודמות מועברות לכרטיסים מאוחרים יותר כקובץ שמור בשם evidence ולאחריו שם המחשב. כך הרשומה המקורית נשארת זמינה גם לאחר הניקוי.