USE WHEN
ควรใช้เมื่อใด
ใช้เมื่อมีหลาย identifiers หรือหลาย datasets และคำถามสำคัญอยู่ที่ความสัมพันธ์ ไม่ใช่แค่ค่ารายการเดี่ยว
LINK ANALYSIS & HYPOTHESIS TESTING
Maltego Graph
รวม Entities และ Links จากหลายแหล่งเพื่อมองเห็น cluster, bridge, timeline และช่องว่างของข้อมูล
Inputs
- Search export
- CSV / XLSX
- Domains and IPs
- Internal entities
- Transform results
Outputs
- Relationship graph
- Cluster map
- Evidence gap list
- Action view
OPERATIONAL WORKFLOW
ขั้นตอนปฏิบัติ
ขยายผลอย่างมีคำถามและตรวจ provenance ทุกช่วง
- 01
วาง seed ที่ตรวจสอบแล้ว
เริ่มด้วยชุดเล็ก ตั้งชื่อ graph/case และบันทึก objective ก่อนรัน Transform
- 02
ขยายทีละ hypothesis
รัน Transform ตามคำถาม เช่น domain→certificate หรือ email→account ไม่ใช้ Run All โดยไม่มีเหตุผล
- 03
จัดกลุ่มและลด noise
ใช้ filters, bookmarks, collections และ layouts เพื่อแยก confirmed cluster จาก background infrastructure
- 04
ตรวจ data lineage
ทุก link สำคัญต้องย้อนกลับได้ว่าเกิดจาก source และ Transform ใด
- 05
Export action view
สร้าง graph สำเนาที่มีเฉพาะ nodes สนับสนุนข้อค้นพบ พร้อม source table และ confidence
RED FLAGS
จุดเสี่ยงที่ต้องหยุดตรวจ
- กราฟใหญ่ไม่ได้แปลว่าหลักฐานมาก
- shared hosting ทำให้เกิด false linkage
- เส้นเชื่อมจาก provider เดียวอาจเป็น circular confirmation
RELEASE GATE
เกณฑ์ก่อนส่งต่อ
Attribution ระดับสูงต้องมีตัวบ่งชี้อิสระ 3 ประเภทขึ้นไปและเวลาใช้งานสอดคล้องกัน