終於來到 DAY 30 了。

一開始參加這次鐵人賽，是想把以前在學校學過的數位鑑識內容，和到加拿大研習時接觸到的數位鑑識實作整理成一套比較完整的筆記。也很謝謝教育部提供這次到加拿大研習的機會，讓我可以接觸不同的課程和實作方式，剛好也成為這次鐵人賽很多內容的來源。

不過真的開始寫之後，才發現參加鐵人賽比想像中累很多 XD

除了每天都要想文章怎麼整理，實作也幾乎都要重新操作、重新截圖，有些工具隔一段時間沒用，連操作方式都要重新熟悉。中間也常常遇到事情比較多，很怕當天來不及把文章寫完。

這 30 天裡，有些內容是以前上課實際做過的，有些則是老師曾經提過概念，但當時沒有安排操作，所以這次就趁寫文章的機會，自己找資料、找工具來試。

對我來說，這次鐵人賽是一次完整的複習。以前看到 $MFT、Prefetch、Volatility、Event Log 這些名詞，大概知道它們的定義和用途，但真的要自己從頭做一次，還是會發現有些地方沒有想像中熟。

而且因為最後要把操作過程寫成文章，很多原本只有印象的地方都必須重新確認。像是資料到底存在哪裡、某個欄位代表什麼、工具為什麼會解析出這個結果。寫著寫著，也會發現自己對原本學過的內容又熟悉了一點。

這 30 天，寫了些什麼？

這次沒有只集中在單一工具或 Artifact，而是從最基本的數位鑑識流程開始，一路看到 Memory、Disk、Windows Artifacts，最後再延伸到 Browser 和 Mobile Forensics。

現在回頭看，前面學的內容看起來差很多，但其實都在做很類似的事情：

從裝置留下來的資料裡找線索，再理解這些線索到底代表什麼。

我一直覺得數位鑑識很像在玩偵探遊戲，也有點像在拼拼圖。

有時候手上只有一筆瀏覽紀錄、一個檔名、一筆 Event Log，或是一個 Database Record，單獨看可能沒有辦法說明太多事情。但當不同地方找到的線索慢慢對起來，就有機會把原本發生過的事情一點一點拼回來。

而且這 30 天重新操作之後，也更有感覺到工具跑出結果只是第一步。真正分析的時候，還是要知道資料從哪裡來、它代表什麼，以及能不能和其他 Artifact 對得起來。

30 天當然不可能把 Digital Forensics 全部寫完，還有很多東西可以繼續學。不過至少透過這次鐵人賽，把原本散在不同課程、筆記和實作裡的內容整理在一起，也真的重新做過一次。

從一開始只是想整理自己的筆記，到最後真的一路寫到 DAY 30，還是滿有成就感的。

也謝謝一路看到最後的大家。

鐵人賽，完賽！