Dobici:
- Razumijevanje da su koraci prikupljanja kao što su redoslijed volatilnosti, prikupljanje slika, hash i lanac nadzora ljudska odgovornost, a umjetna inteligencija ovdje proizvodi samo planove i predloške
- Sposobnost sigurne upotrebe umjetne inteligencije za ubrzavanje pregleda s trijažom datoteka, OCR-om, sažetkom i izdvajanjem sredstava nakon snimanja slike
- Biti u stanju razlikovati da trijaža nije eliminacija nego određivanje prioriteta, te da je uzorkovanje iz skupine niskog prioriteta neophodno kako bi se izbjegao rizik od lažno negativnih rezultata.
Stigli ste na mjesto zločina: računalo otvoreno na stolu, vanjski pogon, dva telefona i soba za poslužitelje. Svaki je uređaj potencijalni izvor dokaza; Svaki krivi potez je dokaz koji će biti odbijen na sudu. Prikupljanje dokaza je proces snimanja i kopiranja digitalnih dokaza netaknutih, provjerljivih iu skladu sa zakonom. U ovoj ćete jedinici naučiti u kojim koracima ovog procesa umjetna inteligencija može sigurno pomoći, a koje korake svakako treba zadržati. Kritično pravilo od početka: AI ne prikuplja dokaze i ne snima slike; Pomaže u pregledu i ubrzavanju izvođenja prikupljenih i provjerenih dokaza.
Nalog za prikupljanje i nepostojani podaci
U prikupljanju dokaza postoji načelo prioriteta: redoslijed promjenjivosti — prikupljanje od podataka koji najbrže nestaju do najtrajnijih. Na vrhu su nestabilni podaci — sadržaj RAM-a izgubljen kada se uređaj isključi, otvorene mrežne veze, pokrenuti procesi; Zatim dolazi disk, pa eksterne snimke. Nestalni podaci, kada se jednom izgube, više se ne vraćaju; Stoga se u sustavu koji radi RAM izbacuje prije diska.
AI ne donosi odluke u ovoj fazi, ali je koristan u izradi popisa za provjeru i nacrta postupaka: "Što bih trebao prikupiti, kojim redoslijedom, s kojim alatom, što bih trebao dokumentirati u ovom scenariju?" Sam proces prikupljanja (uvezivanje za blokiranje pisanja, preuzimanje slike, provjera hashiranja, pečaćenje) je u ljudskim rukama i svaki korak je dokumentiran.
Savjet: Prije nego počnete birati, objasnite svoj scenarij AI-u i nacrtajte "plan sekvencijalnog odabira volatilnosti"; zatim usporedite ovaj nacrt sa standardnim postupkom vaše ustanove (npr. lokalno zakonodavstvo i laboratorijski SOP). AI je podsjetnik, a ne autoritet.
Imaging i hashiranje: nepovredivi lanac
Sa svakog prikupljenog uređaja uzima se točna slika. Dok se slika uvozi, izvor je zaštićen blokadom pisanja; Kada je slika gotova, izračunava se hash (preferira se SHA-256; sam MD5 se sada smatra slabim). Ovaj hash je otisak prsta slike: mora biti isti pri svakoj provjeri hash-a tijekom pregleda, inače je slika oštećena. Obrazac lanca nadzora (tko, kada, gdje je dokaz uzet, gdje je stavljen, kome je dostavljen) ažurira se svaki put kada promijeni vlasnika.
AI ovdje obavlja dva sigurna posla: (1) generira lanac nadzora i predloške oznaka dokaza koji se popunjavaju tijekom prikupljanja; (2) organizira hashove i vremenske oznake koje ste prikupili za provjeru dosljednosti ("jesu li ova tri hash-a ista, koja slika pripada kojem uređaju?"). AI ne izračunava sam hash — to ga čini forenzičkim alatom; AI samo uređuje zapis.
Ubrzanje pregleda: Prava moć umjetne inteligencije
Nakon što su dokazi provjereni i slika snimljena, AI uistinu blista. Tipična područja ubrzanja:
- Klasifikacija datoteka: Grupiranje desetaka tisuća datoteka prema vrsti, sadržaju i mogućoj relevantnosti i preporuci prioriteta.
- Sažetak teksta i dokumenta: Izdvajanje predmeta i strana za duge ugovore, e-poštu, transkripte razgovora.
- OCR i vizualni sadržaj: Izdvajanje teksta iz skeniranih dokumenata (OCR — optičko prepoznavanje znakova, pretvaranje teksta u sliku) i označavanje objekata/teksta na slikama.
- Izdvajanje entiteta (NER — prepoznavanje imenovanog entiteta, pronalaženje imenovanih entiteta kao što su osoba, institucija, račun, IP iz teksta): navođenje osobe, IBAN-a, telefona, e-pošte, adrese kripto novčanika iz tisuća dokumenata.
- Opis koda i naredbi: Objasnite jednostavnim jezikom što radi pronađena skripta ili povijest naredbi (treba provjeriti).
U svakom je ishod početna točka; O relevantnosti i dokaznoj vrijednosti odlučuje vještak.
Pažnja: AI kaže "ova datoteka je nevažna" nije dovoljna da eliminira tu datoteku bez pregleda. Trijaža smanjuje prioritet, ali u kritičnim slučajevima, uzorkovanje se također vrši iz klastera niskog prioriteta. Lažni negativi (izostavljanje pravih dokaza kao "irelevantnih") najskuplja su pogreška u računalnoj forenzici.
tri mini kućišta
Slučaj 1 — Povjerljivi dokument s OCR-om. Jedna istraga o korupciji imala je 14.000 skeniranih stranica; nijedan od njih nije bio pretraživi tekst. Uz AI-powered OCR, sve stranice su transkribirane i tražene uzorke kao što su "offshore", određeni naziv tvrtke i IBAN. 9 kritičnih stranica pronađeno u 40 minuta; Čitanje iz ruke trajalo bi tjednima. Svaka stranica je zatim stručno verificirana.
Slučaj 2 — Mreža odnosa zaključivanja entiteta. Jedna datoteka prijevare sadržavala je 6200 e-poruka. S NER-om su izdvojeni svi kontakti, računi i telefoni te je kreirana lista odnosa; Tako su se pojavila dva dosad nezapažena brokerska računa. AI je označio vezu; Tužitelj je potvrdio dokaze u samim mailovima.
Slučaj 3 — Opasnost od lažno negativnih rezultata. Jedan tim želio je u potpunosti eliminirati skup od 30.000 datoteka koje je AI nazvao "niskim interesom". Viši stručnjak nasumično je uzorkovao 2% iz ovog klastera i pronašao kritični zapis u njemu: AI je krivo klasificirao datoteku zbog neobičnog proširenja. Disciplina uzorkovanja spasila je slučaj.
Četiri predloška za kopiranje
1) Nacrt plana prikupljanja:
Vaša uloga: stručnjak za forenzičko prikupljanje na mjestu zločina. Scenarij: [na računalu, 2 telefona, 1 NAS, pokrenuti poslužitelj]. Nacrtajte plan prikupljanja za mene prema redoslijedu volatilnosti: što prikupiti za svaki uređaj, koji se alat preporučuje, što dokumentirati. Imajte na umu da je ovo nacrt i zahtijeva potvrdu u skladu s lokalnim zakonodavstvom.
2) Predložak lanca nadzora:
Generirajte mi predložak obrasca lanca nadzora: uključite broj dokaza, opis uređaja, serijski broj, sakupljača, datum/vrijeme, metodu prikupljanja, hash (SHA-256), primatelja, dostavljača, mjesto pohrane i linije za svaku primopredaju.
3) Skupni zahtjev za trijažu datoteka:
Dat ću vam popis datoteka (naziv, veličina, datum, ekstenzija). Grupirajte prema visokoj/srednjoj/niskoj vjerojatnosti forenzičkog interesa i napišite OBRAZLOŽENJE. Napomena: "nisko" se ne eliminira, samo ima prioritet. Zasebno označite one s nepodudaranjem sadržaja proširenja.
4) Objasnite pronađenu skriptu:
Objasnite ovu skriptu/povijest naredbi u forenzičkom kontekstu: što radi, kakav pristup datoteci/mreži ima, ima li ikakvih tragova postojanosti ili krađe podataka? Povežite svaku tvrdnju s retkom u skripti. Ako niste sigurni, označite to kao "mora se provjeriti".
Slab upit / Jak upit
Slab upit:
Odvojite ove datoteke prema onima važnima.
"Značajan" je nedefiniran; AI prebira po vlastitim pretpostavkama i može propustiti kritične dokaze.
Snažan upit:
Vaša uloga: analitičar forenzičke trijaže. Kontekst: istražujemo incident s ransomwareom, enkripciju i eksfiltraciju podataka. Dat ću vam popis datoteka s nazivom, veličinom, datumom stvaranja/izmjene i ekstenzijom. Zadatak: alat za šifriranje, kompresija/arhiva, neobična ekstenzija, promijenjena u posljednja 72 sata, i označite velike izvozne datoteke kao visoki prioritet; Za svaku odluku napišite obrazloženje. Ako proširenje ne odgovara očekivanom sadržaju, također upozorite. Nemojte reći "izbriši/odbaci" bilo koju datoteku; samo odredi prioritete.
Kontekst, cilj i ograničenje "nemoj reći brisanje" čine izlaz korisnim i sigurnim.
Zbirka nasuprot pregledu: dijagram uloga umjetne inteligencije
Pozornica
Je li umjetna inteligencija sigurna?
AI-ov posao
čovjekov posao
Nestalno prikupljanje podataka
Ne (odluka)
nacrt plana
Zbirka, dokumentacija
dobivanje slike
br
šablona
Blokator pisanja, hash
Provjera raspršivanja
br
redoslijed zapisa
Obračun i potvrda putem vozila
Trijaža datoteka
da
određivanje prioriteta
odluka, uzorkovanje
OCR/ekstrakcija teksta
da
obraćenje
provjera točnosti
zaključivanje entiteta
da
Generiranje popisa
Odluka o relevantnosti
Uobičajene greške
- Pokušavam natjerati AI da "radi" branje. AI ne dodaje; Izrađuje samo planove i predloške. Slika i hash su ljudska djela.
- Zamjena rezultata trijaže kao konačne eliminacije. Nemojte preskočiti uzorkovanje iz klastera "niskog interesa".
- Citiranje OCR izlaza bez provjere. OCR može miješati slova (0/0, 1/l); Potvrdite kritične vrijednosti s izvorom.
- Slijepo vjerujući produžetku. Ekstenzija je možda promijenjena; Provjerite vrstu sadržaja.
- Učitavanje osobnih podataka u vozilo bez maske. TC/IBAN/zdravstveni podaci mogu procuriti u grupnom zaključivanju.
Ukratko
Prikupljanje dokaza ljudska je odgovornost: redoslijed volatilnosti, slika, hash i lanac nadzora su u ljudskim rukama; Ovdje AI proizvodi samo planove i predloške. Nakon što su dokazi provjereni i slika snimljena, AI dodaje stvarnu vrijednost u ubrzavanju pregleda (trijaža, OCR, sažetak, izdvajanje entiteta, označavanje koda). Ali svaki izlaz je znak koji treba provjeriti; Odluka o relevantnosti i dokaznoj vrijednosti je na vještaku, koji također uzima u obzir rizik od lažno negativnih rezultata.
Zadatak aplikacije
Opišite fiktivni scenarij incidenta (npr. zaposlenik je osumnjičen za eksfiltraciju podataka). Prvo nacrtajte plan s predloškom "Nacrt plana prikupljanja" i usporedite ga s lokalnim postupkom. Zatim pripremite ogledni popis datoteka od 20 redaka i odredite mu prioritet pomoću predloška "Bulk file triage"; ručno uzorkujte najmanje 10% i provjerite klasifikaciju umjetne inteligencije.
popis za provjeru
- [ ] Postavio sam plan prikupljanja prema redoslijedu volatilnosti i usporedio ga s postupkom.
- [ ] Dobio sam sliku i hash putem human/alata; Nisam to dao napraviti AI.
- [ ] Ažurirao sam obrazac za lanac nadzora svaki put kad bi promijenio vlasnika.
- [ ] Uzorkovao sam iz "niskog" klastera rezultata trijaže.
- [ ] Ovjerio sam OCR i izlaz sredstava s izvorom; Maskirao sam osobne podatke.