Keuntungan:
- Memahami bahwa langkah-langkah pengumpulan seperti urutan volatilitas, akuisisi gambar, hash, dan lacak balak adalah tanggung jawab manusia, dan kecerdasan buatan hanya menghasilkan rencana dan templat di sini
- Kemampuan untuk menggunakan kecerdasan buatan dengan aman untuk mempercepat peninjauan dengan triase file, OCR, ringkasan, dan ekstraksi aset setelah gambar diambil
- Mampu membedakan bahwa triase bukanlah eliminasi melainkan penentuan prioritas, dan pengambilan sampel dari kelompok berprioritas rendah diperlukan untuk menghindari risiko negatif palsu.
Anda telah tiba di TKP: komputer terbuka di atas meja, drive eksternal, dua telepon, dan ruang server. Setiap perangkat merupakan sumber bukti potensial; Setiap langkah yang salah adalah bukti yang akan ditolak di pengadilan. Akuisisi bukti adalah proses pengambilan dan penyalinan bukti digital secara utuh, dapat diverifikasi, dan sesuai dengan hukum. Dalam unit ini, Anda akan mempelajari langkah mana dalam proses ini yang dapat dibantu dengan aman oleh AI dan langkah mana yang harus ditinggalkan. Aturan penting sejak awal: AI tidak mengumpulkan bukti dan tidak mengambil gambar; Hal ini membantu meninjau dan mempercepat perolehan bukti yang dikumpulkan dan diverifikasi.
Urutan pengumpulan dan data yang mudah menguap
Ada prinsip prioritas dalam pengumpulan bukti: urutan volatilitas — pengumpulan dari data yang paling cepat menghilang hingga yang paling permanen. Di bagian atas adalah data yang mudah menguap — isi RAM hilang saat perangkat dimatikan, koneksi jaringan terbuka, proses yang berjalan; Lalu datanglah disk, lalu rekaman eksternal. Data yang mudah menguap, sekali hilang, tidak akan kembali lagi; Oleh karena itu, dalam sistem yang sedang berjalan, RAM dibuang sebelum disk.
AI tidak membuat keputusan pada tahap ini, namun berguna dalam menghasilkan daftar periksa dan garis besar prosedur: “Apa yang harus saya kumpulkan, dalam urutan apa, dengan alat apa, apa yang harus saya dokumentasikan dalam skenario ini?” Proses pengumpulannya sendiri (penjilidan pemblokiran tulis, akuisisi gambar, verifikasi hash, penyegelan) berada di tangan manusia dan setiap langkah didokumentasikan.
Tip: Sebelum Anda mulai memilih, jelaskan skenario Anda kepada AI dan buatlah "rencana pengambilan sekuensial volatilitas"; kemudian bandingkan rancangan ini dengan prosedur standar institusi Anda (misalnya peraturan daerah dan SOP laboratorium). AI adalah pengingat, bukan otoritas.
Pencitraan dan hashing: rantai yang tidak dapat diganggu gugat
Gambar persisnya diambil dari setiap perangkat yang dikumpulkan. Saat gambar sedang diimpor, sumbernya dilindungi oleh pemblokir tulis; Ketika gambar selesai, hash (SHA-256 lebih disukai; MD5 saja sekarang dianggap lemah) dihitung. Hash ini adalah sidik jari dari gambar: harus sama pada setiap pemeriksaan hash selama pemeriksaan, jika tidak, gambar akan rusak. Formulir lacak balak (oleh siapa, kapan, di mana barang bukti diambil, di mana ditempatkan, kepada siapa barang bukti diserahkan) diperbarui setiap kali berpindah tangan.
AI melakukan dua pekerjaan aman di sini: (1) menghasilkan lacak balak dan templat tag bukti untuk diisi selama pengumpulan; (2) mengatur hash dan stempel waktu yang Anda kumpulkan untuk pemeriksaan konsistensi (“apakah ketiga hash ini sama, gambar mana yang dimiliki perangkat mana?”). AI tidak menghitung hash itu sendiri — AI menjadikannya alat forensik; AI hanya mengedit catatan.
Tinjau akselerasi: Kekuatan AI yang sebenarnya
Setelah bukti diverifikasi dan gambar diambil, AI benar-benar bersinar. Area akselerasi yang umum:
- Klasifikasi file: Mengelompokkan puluhan ribu file berdasarkan jenis, konten, dan kemungkinan relevansi serta prioritas rekomendasi.
- Ringkasan teks dan dokumen: Ekstraksi subjek dan pihak untuk kontrak panjang, email, transkrip obrolan.
- OCR dan konten visual: Mengekstrak teks dari dokumen yang dipindai (OCR — pengenalan karakter optik, mengonversi teks dalam gambar) dan menandai objek/teks dalam gambar.
- Ekstraksi entitas (NER — pengenalan entitas bernama, menemukan entitas bernama seperti orang, institusi, akun, IP dari teks): daftar orang, IBAN, telepon, email, alamat dompet kripto dari ribuan dokumen.
- Deskripsi kode dan perintah: Jelaskan dalam bahasa sederhana apa yang dilakukan skrip atau riwayat perintah yang ditemukan (untuk diverifikasi).
Di masing-masingnya, keluarannya adalah titik awal; Keputusan mengenai relevansi dan nilai pembuktian ada di tangan ahli.
Perhatian: AI yang mengatakan "file ini tidak relevan" tidak cukup untuk menghilangkan file tersebut tanpa memeriksanya. Triage menurunkan prioritas, namun dalam kasus kritis, pengambilan sampel juga dilakukan dari cluster dengan prioritas rendah. Negatif palsu (menghilangkan bukti nyata sebagai “tidak relevan”) adalah kesalahan paling mahal dalam forensik komputer.
tiga kasus mini
Kasus 1 — Dokumen rahasia dengan OCR. Satu investigasi korupsi memiliki 14.000 halaman yang dipindai; tidak satupun dari mereka adalah teks yang dapat dicari. Dengan OCR yang didukung AI, semua halaman ditranskripsi dan dicari pola seperti "luar negeri", nama perusahaan tertentu, dan IBAN. 9 halaman penting ditemukan dalam 40 menit; Membaca dengan tangan akan memakan waktu berminggu-minggu. Setiap halaman kemudian diverifikasi secara ahli.
Kasus 2 — Jaringan hubungan inferensi entitas. Satu file penipuan berisi 6.200 email. Dengan NER, semua kontak, akun, dan telepon diekstraksi dan daftar hubungan dibuat; Dengan demikian, dua akun pialang yang sebelumnya tidak diperhatikan muncul. AI menandai koneksi; Jaksa mengkonfirmasi sendiri bukti dalam email tersebut.
Kasus 3 — Bahaya negatif palsu. Satu tim ingin sepenuhnya menghilangkan 30.000 file yang disebut AI sebagai "berminat rendah". Pakar senior secara acak mengambil sampel 2% dari cluster ini dan menemukan catatan penting di dalamnya: AI telah salah mengklasifikasikan file karena ekstensi yang tidak biasa. Disiplin pengambilan sampel menyelamatkan kasus ini.
Empat templat yang dapat disalin
1) Draf rencana pengumpulan:
Peran Anda: spesialis pengumpulan forensik TKP. Skenario: [di PC, 2 ponsel, 1 NAS, server berjalan]. Buat garis besar rencana pengumpulan untuk saya berdasarkan volatilitas: apa yang harus dikumpulkan untuk setiap perangkat, alat apa yang direkomendasikan, apa yang harus didokumentasikan. Harap dicatat bahwa ini adalah rancangan dan memerlukan konfirmasi sesuai dengan undang-undang setempat.
2) Templat lacak balak:
Buatkan saya templat formulir lacak balak: sertakan nomor bukti, deskripsi perangkat, nomor seri, pengumpul, tanggal/waktu, metode pengumpulan, hash (SHA-256), penerima, pengirim, lokasi penyimpanan, dan jalur untuk setiap penyerahan.
3) Permintaan triase file massal:
Saya akan memberi Anda daftar file (nama, ukuran, tanggal, ekstensi). Kelompokkan berdasarkan kemungkinan minat forensik tinggi/sedang/rendah dan tulis JUSTIFIKASI. Catatan: "rendah" tidak dihilangkan, hanya diprioritaskan. Tandai yang memiliki ketidakcocokan konten ekstensi secara terpisah.
4) Jelaskan skrip yang ditemukan:
Jelaskan riwayat skrip/perintah ini dalam konteks forensik: apa fungsinya, akses file/jaringan apa yang dimilikinya, apakah ada jejak persistensi atau eksfiltrasi data? Tautkan setiap pernyataan ke satu baris dalam skrip. Jika Anda tidak yakin, tandai sebagai "harus diverifikasi".
Perintah lemah / Perintah kuat
Perintah yang lemah:
Pisahkan file-file tersebut menurut yang penting.
"Substansial" tidak terdefinisi; AI menyaring asumsinya sendiri dan mungkin kehilangan bukti penting.
Perintah yang kuat:
Peran Anda: analis triase forensik. Konteks: Kami sedang menyelidiki insiden ransomware, enkripsi, dan penyelundupan data. Saya akan memberi Anda daftar file dengan nama, ukuran, tanggal pembuatan/modifikasi dan ekstensi. Tugas: alat enkripsi, kompresi/arsip, ekstensi yang tidak biasa, diubah dalam 72 jam terakhir, dan menandai file ekspor besar sebagai prioritas tinggi; Tuliskan alasan untuk setiap keputusan. Jika ekstensi tidak sesuai dengan konten yang diharapkan, peringatkan juga. Jangan katakan "hapus/buang" file apa pun; prioritaskan saja.
Konteks, target, dan batasan "jangan katakan hapus" membuat keluarannya berguna dan aman.
Koleksi vs. ulasan: bagan peran AI
Panggung
Apakah AI aman?
pekerjaan AI
pekerjaan manusia
Pengumpulan data yang mudah berubah
Tidak (keputusan)
rancangan rencana
Koleksi, dokumentasi
akuisisi gambar
tidak
templat
Pemblokir tulis, hash
Verifikasi hash
tidak
pesanan rekaman
Perhitungan dan konfirmasi melalui kendaraan
Triase file
Ya
prioritas
keputusan, pengambilan sampel
OCR/ekstraksi teks
Ya
konversi
verifikasi akurasi
inferensi entitas
Ya
Pembuatan daftar
Keputusan relevansi
Kesalahan umum
- Mencoba membuat AI "melakukan" pemetikan. AI tidak menambahkan; Itu hanya menghasilkan rencana dan templat. Gambar dan hash adalah karya manusia.
- Salah mengira hasil triase sebagai eliminasi definitif. Jangan lewatkan pengambilan sampel dari kelompok "minat rendah".
- Mengutip keluaran OCR tanpa memverifikasinya. OCR dapat mencampur huruf (0/0, 1/l); Konfirmasikan nilai-nilai kritis dengan sumber.
- Mempercayai ekstensi secara membabi buta. Ekstensinya mungkin telah diubah; Periksa jenis konten.
- Mengunggah data pribadi ke kendaraan tanpa masker. Data TC/IBAN/kesehatan mungkin bocor dalam inferensi massal.
Singkatnya
Pengumpulan bukti adalah tanggung jawab manusia: urutan volatilitas, citra, hash, dan lacak balak berada di tangan manusia; Di sini AI hanya menghasilkan rencana dan template. Setelah bukti diverifikasi dan gambar diambil, AI menambahkan nilai nyata dalam mempercepat peninjauan (triase, OCR, ringkasan, ekstraksi entitas, anotasi kode). Namun setiap keluaran adalah tanda yang harus diverifikasi; Keputusan mengenai relevansi dan nilai pembuktian ada di tangan ahli, yang juga mempertimbangkan risiko negatif palsu.
Tugas aplikasi
Jelaskan skenario kejadian fiktif (misalnya, seorang karyawan diduga melakukan pengambilalihan data). Pertama-tama gambarlah rencana dengan templat "Draf rencana pengumpulan" dan bandingkan dengan prosedur lokal. Kemudian siapkan daftar file sampel sebanyak 20 baris dan prioritaskan dengan template "triase file massal"; sampel tangan minimal 10% dan verifikasi klasifikasi AI.
daftar periksa
- [ ] Saya mengatur rencana pengumpulan berdasarkan volatilitas dan membandingkannya dengan prosedur.
- [] Saya mendapatkan gambar dan hash melalui manusia/alat; Saya tidak menyelesaikannya dengan AI.
- [ ] Saya memperbarui formulir lacak balak setiap kali berpindah tangan.
- [ ] Saya mengambil sampel dari cluster "rendah" dari hasil triase.
- [ ] Saya memverifikasi OCR dan keluaran aset dengan sumbernya; Saya menutupi data pribadi.