المكاسب:
- افهم أن الفرز هو نظام تحديد ترتيب الفحص دون حذف أي شيء، والقدرة على إجراء بحث دلالي وتجميع المحتوى باستخدام الذكاء الاصطناعي.
- القدرة على تقليل الضوضاء من خلال الإزالة المستندة إلى التجزئة (NSRL) وإزالة الازدواجية ومراقبة حدود هذه الأساليب (تغيير البت الواحد)
- القدرة على تأكيد الإيجابيات الخاطئة للبحث الدلالي يدويًا وتوثيق قرارات الفرز مع المبررات لجعلها قابلة للدفاع عنها
لم يعد التحقيق الجنائي الحديث يقتصر على جهاز كمبيوتر واحد. في إحدى حوادث الشركات، قد تواجه عشرات الأقراص، ومئات الجيجابايت من أرشيفات البريد الإلكتروني، والنسخ الاحتياطية السحابية، وتطبيقات الدردشة، وتيرابايت من الملفات. ومن المستحيل فيزيائيًا فحصها جميعًا، واحدًا تلو الآخر، من البداية إلى النهاية. وهنا يأتي دور الفرز (وهو مفهوم مستعار من الطب؛ تخصيص موارد محدودة للحالة الأكثر أهمية أولاً، أي اتخاذ قرار سريع بشأن "ما يجب النظر إليه أولاً"). في هذه الوحدة، سنرى كيف يقوم الذكاء الاصطناعي بإعطاء الأولوية بذكاء لأكوام كبيرة من البيانات، وما هي الأخطاء المعرضة لها، وكيف يتوافق الفرز مع سلامة الطب الشرعي.
لماذا يعتبر الفرز ضروريا؟
في الطب الشرعي الحاسوبي، هناك حقيقتان متعارضتان: (1) جميع الأدلة ذات قيمة ولا ينبغي تفويت أي شيء؛ (2) الوقت والقوى العاملة محدودة. يعمل الفرز على حل هذا الصراع — من خلال عدم حذف أي شيء، فقط من خلال تحديد ترتيب الفحص. وبعبارة أخرى، فإن الفرز ليس "إزالة" بل "تحديد الأولويات". يتم فحص البيانات ذات الاحتمالية الأعلى للأدلة أولاً؛ يتم تخزين البيانات ذات الاحتمالية المنخفضة ولكنها تأتي في قائمة الانتظار لاحقًا.
يحدث الفرز على مستويين: الفرز المباشر (تحديد الجهاز الذي سيتم تصويره أولاً في مكان الحادث) وفرز البيانات (بمجرد التقاط الصور، أي ملف/مجموعة بيانات سيتم فحصها أولاً). ويتسم الذكاء الاصطناعي بالقوة بشكل خاص في المجال الأخير، أي تحديد الأولويات على أساس المحتوى لمجموعات البيانات الكبيرة.
الجانب الحساس من الناحية الجنائية في الفرز هو أن قرار الأمر يحدد اتجاه التحقيق. يمكن أن تؤدي المجموعة التي تم تحديد أولوياتها بشكل غير صحيح إلى العثور على أدلة مهمة متأخرة أسابيع، أو حتى عدم فحصها على الإطلاق بسبب انتهاء التحقيق. لذا فإن الفرز ليس "خدعة سريعة" بل هو قرار منهجي ويجب توثيقه مع التبرير، تمامًا مثل أي خطوة جنائية أخرى. في الحالات عالية الخطورة، لا يحل الفرز محل التحقيق الكامل؛ فهو يحدد فقط الجزء الذي سيتم النظر فيه أولاً، مع الحفاظ على المبدأ القائل بأن المجموعة بأكملها سيتم تقييمها في النهاية.
نصيحة: احتفظ بسجل لقرارات الفرز وأسبابها. "لماذا نظرنا إلى هذه المجموعة أولا، لماذا تركنا هذا حتى النهاية؟" يمكن طرح السؤال في المحكمة. تضمين الأساس المنطقي لتحديد أولويات الذكاء الاصطناعي في هذا السجل؛ الشفافية هي إمكانية الدفاع عنها.
تحديد الأولويات على أساس المحتوى باستخدام الذكاء الاصطناعي
ينظر الفرز الكلاسيكي إلى اسم الملف وحجمه وتاريخه. يضيف الذكاء الاصطناعي فهمًا للسياق إلى هذا: يمكنه فهم موضوع المستند، وما تحتويه الصورة، ونبرة المحادثة. بهذه الطريقة:
- البحث الدلالي - العثور على محتوى مشابه في المعنى حتى لو كانت الكلمة غير متطابقة تمامًا: يؤدي البحث عن "تحويل الأموال" أيضًا إلى ظهور مستندات تحتوي على "تحويل الأموال"، و"الشحن"، و"تعليمات الدفع".
- تجميع المواضيع: فرز آلاف المستندات تلقائيًا إلى مواضيع (المالية، والموارد البشرية، والتقنية، والشخصية).
- وضع العلامات العاطفية/النغمية: تسليط الضوء على الرسائل التي تنقل نغمات مثل التهديد والذعر وانتهاك الخصوصية.
- الفرز المرئي: تجميع آلاف الصور حسب علامة الكائن/المشهد (ضمن الحدود القانونية، على سبيل المثال، المحتوى المصرح به والمناسب فقط).
- إزالة النسخ المكررة وغير المرغوب فيها: فصل النسخ المكررة لنفس الملف وملفات النظام (مع قوائم التجزئة المعروفة) وتوجيه النظرة البشرية إلى محتوى جديد حقًا.
إزالة الملفات المعروفة: NSRL ومجموعات التجزئة
المسرّع الأكثر عملية لفرز البيانات الضخمة هو قوائم التجزئة الجيدة/السيئة المعروفة. تحتوي المكتبات مثل NSRL (المكتبة المرجعية الوطنية للبرامج) على تجزئات لملايين ملفات نظام التشغيل والتطبيقات القياسية. يتم حذف هذه الملفات "المعروفة جيدًا" من خلال عملية الفرز، مما يسمح للمرء بالتركيز فقط على الملفات المشبوهة والمنشأة من قبل المستخدم. وبالمثل، يتم وضع علامة تلقائيًا على التجزئة "السيئة المعروفة" (البرامج الضارة المعروفة). يأتي دور الذكاء الاصطناعي في المجموعة المتبقية بعد هذا الإزالة، وهو ما يتطلب معنى حقيقيًا.
تحذير: تعتبر عملية الإزالة المستندة إلى التجزئة فعالة، ولكن تغيير بت واحد يؤدي إلى تغيير التجزئة تمامًا. من خلال تعديل ملف قياسي بشكل طفيف، يمكن للمهاجم إزالته من قائمة "الملفات الجيدة المعروفة" أو، على العكس من ذلك، إخفاء الملف السيئ. فالإزالة ليست مطلقة، بل هي وسيلة للأولوية.
ثلاث حالات صغيرة
الحالة 1 - قسم البحث الدلالي الوقت على 20. ووجد تحقيق داخلي 480 جيجابايت من رسائل البريد الإلكتروني. أدى البحث عن الكلمات الرئيسية الكلاسيكية إلى ظهور 3 نتائج لـ "الرشوة". كما اكتشف البحث الدلالي المدعوم بالذكاء الاصطناعي عبارات ملطفة مثل "رسوم الاستشارة"، و"التسهيلات"، و"دفعة الشكر"، واستخرج 61 رسالة ذات صلة. تم الانتهاء من المراجعة في يومين بدلاً من أسابيع؛ تم تأكيد كل نتيجة يدويًا.
الحالة 2 - أدى إلغاء الازدواجية إلى توفير القوى العاملة. في مجموعة مكونة من 1.7 مليون ملف، بعد التنظيف المكرر القائم على التجزئة وإزالة NSRL، تم تقليل ملفات المستخدم الفريدة المطلوب فحصها إلى 92000. ركز الفريق على المحتوى الفعلي بدلاً من الكومة التي كانت 95% من ضجيج النظام.
الحالة الثالثة – ثمن الثقة المفرطة. لم يفتح أحد الفرق مطلقًا ما يسميه الذكاء الاصطناعي المجموعة "غير المالية". كما اتضح، تم إخفاء عقد مهم داخل ألبوم صور شخصي (وليس إخفاء المعلومات، فقط المجلد الخطأ). تأخرت الأدلة لأنه لم يتم أخذ عينات من المجموعة ذات الأولوية المنخفضة. الدرس المستفاد: الفرز يحدد الترتيب، وليس إلغاء الامتحان.
أربعة قوالب قابلة للنسخ
1) مشروع استراتيجية الفرز:
دورك: أخصائي أول في فرز الطب الشرعي. البيانات: [على سبيل المثال. بريد إلكتروني بسعة 480 جيجابايت + مشاركة ملفات بسعة 1.2 تيرابايت]. موضوع الاستفسار: [على سبيل المثال. تسرب البيانات + الرشوة). قم برسم استراتيجية الفرز بالنسبة لي: أي مجموعة يجب النظر إليها وبأي ترتيب، وبأي معايير؛ كيفية استخدام إزالة التجزئة والبحث الدلالي. أكد على أنه لن يتم "إلغاء" أي مجموعات، بل سيتم فرزها فقط.
2) توسيع مصطلح البحث الدلالي:
الموضوع: [الرشوة / تسرب البيانات / التحرش]. للعثور على المستندات المتعلقة بهذا الموضوع، قم بإدراج التعبيرات الضمنية/المرادفة (بما في ذلك اللغة العامية والكلمات المشفرة والكلام غير المباشر) بالإضافة إلى الكلمات الأساسية الحرفية. الهدف هو توسيع نطاق البحث. تصنيف كل مصطلح.
3) تجميع المحتوى:
سأقدم لك عناوين/ملخصات المستندات. قم بتجميعها في موضوعات ذات معنى (المالية، والموارد البشرية، والتقنية، والقانونية، والشخصية) وأعط موضوعًا + مبررًا موجزًا لكل مستند. حدد بشكل منفصل المجموعة "الغامضة" التي لا يمكنك وضعها في الموضوع؛ لن يتم تخطي هذه المجموعة، سيتم فحصها يدويًا.
4) تقرير أولويات ما بعد الإزالة:
يتم حذف الملفات المكررة والملفات المكررة المعروفة (NSRL). بالنسبة لملفات المستخدم الفريدة المتبقية: قم بتعيين أولوية عالية/متوسطة/منخفضة وفقًا لموضوع التحقيق واكتب التبرير. يتم أيضًا تسليط الضوء أيضًا على عدم تطابق محتوى الامتداد والملفات المشفرة/كلمات المرور والملفات التي تغيرت خلال آخر 30 يومًا.
موجه ضعيف / موجه قوي
حث ضعيف:
ابحث عن الملفات المهمة في هذه البيانات.
لا يوجد منطق للموضوع والنطاق والأولويات؛ قد يفتقد الذكاء الاصطناعي المحتوى المهم من خلال تعريفه الخاص لكلمة "مهم".
مطالبة قوية:
دورك: محلل فرز الطب الشرعي. التحقيق: يُزعم أن أحد الموظفين قام بتسريب قائمة العملاء قبل المغادرة. سأزودك بالبيانات الوصفية للملف (الاسم والحجم والتاريخ والامتداد والمسار) وملخصات موجزة للمحتوى. المهمة: وضع علامة على بيانات العميل، والتصدير/الأرشفة، وتتبع التحميل السحابي، وقرص USB/الخارجي، والملفات التي تم تغييرها في آخر 60 يومًا كأولوية عالية؛ اكتب أسباب كل قرار. لا تقل أنه لا يمكن فحص أي مجموعة؛ مجرد فرز. قائمة الشكوك بشكل منفصل.
إن الموضوع الملموس والمعايير المستهدفة وقيد "عدم المراجعة" يجعل المخرجات فعالة وآمنة.
جدول مقارنة طرق الفرز
الطريقة
ماذا يفعل
نقطة قوية
خطر
إزالة التجزئة (NSRL)
يخصص الملف المعروف
سريع جدا ودقيق
يهرب الملف المعدل
إزالة الازدواجية
نسخ واحدا تلو الآخر
توفير القوى العاملة
يمكن تخطي نسخة قريبة
الكلمة الرئيسية
يبحث عن المصطلحات الدقيقة
بسيطة وقابلة للتدقيق
يفتقد البيان الضمني
البحث الدلالي (الذكاء الاصطناعي)
يجد الأقرب في المعنى
يلتقط المحتوى الضمني
تنتج نتائج إيجابية كاذبة
تجميع المحتوى (الذكاء الاصطناعي)
يقسم إلى موضوعات
يقدم نظرة عامة
خطر موضوع خاطئ
الأخطاء الشائعة
- الخلط بين الفرز والإزالة. الأولوية المنخفضة ليست "عدم المراجعة"؛ أخذ العينات أمر ضروري.
- الثقة المطلقة في القضاء على التجزئة. تغيير بت واحد يغير التجزئة؛ قد تتطلب الحالة الحرجة فحصًا كاملاً.
- فقط الاعتماد على الكلمة الرئيسية. تهرب البيانات الضمنية والمشفرة؛ كاملة مع البحث الدلالي.
- عدم التأكد من الإيجابية الكاذبة للبحث الدلالي. يمكن للذكاء الاصطناعي إظهار المستند غير ذي الصلة على أنه "ذو صلة"؛ اقرأ وتحقق.
- عدم توثيق مبررات الفرز. في المحكمة "لماذا نظرت إلى هذا أولاً؟" يجب أن يكون لديك إجابة على السؤال.
باختصار
فرز البيانات الضخمة هو نظام توجيه وقت محدود إلى أعلى احتمالية للأدلة - من خلال عدم حذف أي شيء، فقط تحديد الترتيب. منظمة العفو الدولية. فهو يوفر سرعة كبيرة في البحث الدلالي، وتجميع المحتوى، ووضع علامات على النغمات وتحديد الأولويات بعد الحذف. لكن الخبير يلاحظ حدود إزالة التجزئة، وخطر الإيجابيات/السلبيات الكاذبة، ومبدأ "الأولوية المنخفضة لا يتم فحصها". وتوثيق قرارات الفرز مع المبررات يجعل النتيجة قابلة للدفاع عنها في المحكمة.
مهمة التطبيق
قم بإعداد نموذج لقائمة البيانات الوصفية للملف (الاسم، الحجم، التاريخ، الامتداد، ملخص موجز) من 30 إلى 40 سطرًا؛ ضع بعض الملفات "المضللة" فيه (مستند مهم في المجلد الخطأ، ملف بامتداد تم تغييره). قم بتحديد الأولويات باستخدام قالب "تقرير أولوية ما بعد الإزالة"، ثم قم بعينة 15% على الأقل من المجموعة ذات الأولوية المنخفضة لمعرفة ما إذا كان الذكاء الاصطناعي قد فاته أي شيء.
قائمة مرجعية
- [ ] لقد قمت بإعداد الفرز كأولوية؛ لم ألغ أي مجموعات.
- [ ] لقد قمت بتقليل التشويش من خلال إزالة التجزئة وإزالة الازدواج، مع مراعاة حدودها.
- [ ] أكملت الكلمة الرئيسية بالبحث الدلالي.
- [ ] لقد قمت يدويًا بتأكيد الإيجابيات الخاطئة للمخرجات الدلالية/التجميعية.
- [ ] قمت بتوثيق قرارات الفرز ومبرراتها.