CSU — Official HQ
Crime Scene Unit · Secure AccessField Action Order
SQL Query Terminal
استعد الماك الأصلي، ثم استعلم من access_logs بالماك الأصلي لاستخراج عنوان IP.
Analysis Results
Device Owner Query
Device Owner Query — Locked
Recover the session IP in Stage 1 before correlating the registered device owner.
يلزم استعلمان مترابطان (0/2 → 2/2). صاحب الجهاز ليس فاعل الجلسة.
Local Workstation Lock
Local Workstation Lock — Locked
Complete Stage 2 owner correlation (devices + employees) before unlocking the workstation.
Confirm the registered workstation account and recovery PIN before mounting the device environment.
أدخل اسم مستخدم الجهاز ورمز الاسترداد المستخرج من ملفات القضية.
Visible session usernames are not always registered workstation accounts.
Device Environment
Device Environment — Locked
Workstation access must be confirmed before environment inspection.
Read-only workstation environment mounted. Review local files and traces carefully — attribution may be incomplete. Do not name a culprit yet.
راجع الملفات والآثار المحلية بعناية — الإسناد قد يكون ناقصاً. لا تُسمِّ متهماً بعد.
Mail Archive Review
Mail Archive Review — Locked
Device environment access required to review archived correspondence.
Local mail cache mounted. Reconstruct the archive index before attempting protected correspondence access.
استخدم بطاقة فهرسة البريد وعلامات المستندات المتأخرة للوصول إلى الرسالة المحمية.
Timestamp Match: 0/1
File Type: .eml
Final Report / التقرير النهائي
Final Report — Locked
Complete all investigation stages before submitting the final report.
Evidence review is complete. Identify the true session actor — not merely the registered device owner.
اكتمل مراجعة الأدلة. حدّد الفاعل الحقيقي للجلسة — وليس فقط صاحب الجهاز المسجّل.