Nyereség:
- Annak megértése, hogy az olyan gyűjtési lépések, mint a volatilitási sorrend, a képszerzés, a hash és a felügyeleti lánc emberi felelősség, és a mesterséges intelligencia itt csak terveket és sablonokat készít.
- Lehetőség a mesterséges intelligencia biztonságos használatára az áttekintés felgyorsítására fájlosztályozással, OCR-rel, összefoglalóval és a kép elkészítése utáni eszközök kivonásával
- Meg kell különböztetni, hogy a triage nem elimináció, hanem prioritás, és hogy az alacsony prioritású csoportból való mintavétel szükséges a hamis negatívok kockázatának elkerülése érdekében.
Egy tetthelyre érkezett: egy számítógép nyitva van az asztalon, egy külső meghajtó, két telefon és egy szerverszoba. Minden eszköz potenciális bizonyítékforrás; Minden rossz lépés bizonyíték, amelyet a bíróság elutasít. A bizonyítékszerzés a digitális bizonyítékok sértetlen, ellenőrizhető és a jogszabályoknak megfelelő rögzítésének és másolásának folyamata. Ebből a részből megtudhatja, hogy ennek a folyamatnak mely lépéseiben tud biztonságosan segíteni az AI, és melyek azok a lépései, amelyeket feltétlenül hátra kell hagynia. A kritikus szabály a kezdetektől: a mesterséges intelligencia nem gyűjt bizonyítékokat és nem készít képeket; Segít áttekinteni és felgyorsítani az összegyűjtött és ellenőrzött bizonyítékok levezetését.
Beszedési megbízás és változékony adatok
A bizonyítékok gyűjtése során érvényesül a prioritás elve: a volatilitás sorrendje – a leggyorsabban eltűnő adatoktól a legmaradandóbbakig történő gyűjtés. A tetején az illékony adatok láthatók – az eszköz leállásakor elveszett RAM-tartalom, a hálózati kapcsolatok megnyitása, a folyamatok futtatása; Aztán jön a lemez, majd a külső felvételek. Az illékony adatok, ha elvesznek, nem jönnek vissza; Ezért egy futó rendszerben a RAM a lemez elé kerül.
A mesterséges intelligencia ebben a szakaszban nem hoz döntéseket, de hasznos ellenőrzőlisták és eljárási vázlatok elkészítésében: „Mit gyűjtsek, milyen sorrendben, milyen eszközzel, mit dokumentáljak ebben a forgatókönyvben?” Maga a gyűjtési folyamat (írást blokkoló kötés, képfelvétel, hash ellenőrzés, lezárás) emberi kézben van, és minden lépése dokumentált.
Tipp: Mielőtt elkezdené a komissiózást, magyarázza el a forgatókönyvet az AI-nak, és készítsen egy „volatilitási szekvenciális komissiózási tervet”; majd hasonlítsa össze ezt a tervezetet intézménye szokásos eljárásával (pl. helyi jogszabályok és laboratóriumi SOP). Az AI emlékeztető, nem tekintély.
Képalkotás és hash: sérthetetlen lánc
Minden összegyűjtött eszközről pontos kép készül. A kép importálása közben a forrást írásblokkoló védi; Amikor a kép elkészült, a rendszer kiszámítja a hash-t (az SHA-256-ot részesítjük előnyben; az MD5 önmagában gyengének számít). Ez a hash a kép ujjlenyomata: a vizsgálat során minden hash-ellenőrzéskor azonosnak kell lennie, különben a kép megsérül. A felügyeleti láncra vonatkozó nyomtatvány (ki, mikor, hol gyűjtötte be a bizonyítékot, hol helyezte el, kinek adták át) minden alkalommal frissül, amikor gazdát cserél.
A mesterséges intelligencia két biztonságos feladatot lát el itt: (1) felügyeleti láncot és bizonyítékcímke-sablonokat hoz létre, amelyeket az adatgyűjtés során kell kitölteni; (2) rendszerezi a konzisztencia-ellenőrzéshez összegyűjtött kivonatokat és időbélyegeket („ez a három hash azonos, melyik kép melyik eszközhöz tartozik?”). Az AI nem számítja ki magát a hash-t – törvényszéki eszközzé teszi; Az AI csak a rekordot szerkeszti.
Felülvizsgálati gyorsulás: Az AI valódi ereje
Ha a bizonyítékokat ellenőrizzük és a képet rögzítjük, az AI valóban ragyog. Tipikus gyorsulási területek:
- Fájlok osztályozása: Fájlok tízezreinek csoportosítása típus, tartalom és lehetséges relevancia szerint, valamint prioritások ajánlása.
- Szöveg és dokumentum összefoglaló: Tárgy és fél kivonat hosszú szerződésekhez, e-mailekhez, chat-átiratokhoz.
- OCR és vizuális tartalom: Szöveg kinyerése beolvasott dokumentumokból (OCR – optikai karakterfelismerés, szöveg képpé alakítása) és objektumok/szöveg címkézése a képeken.
- Entitás kinyerése (NER – elnevezett entitás felismerése, megnevezett entitások, például személy, intézmény, fiók, IP keresése szövegből): személy, IBAN, telefon, e-mail, kriptotárca cím listázása több ezer dokumentumból.
- Kód- és parancsleírás: Magyarázza el közérthető nyelven, hogy mit csinál egy talált szkript vagy parancselőzmény (ellenőrizendő).
Mindegyikben a kimenet egy kiindulópont; A relevánsságról és a bizonyító erejről a szakértő dönt.
Figyelem: A mesterséges intelligencia, ha azt mondja, hogy "ez a fájl irreleváns", nem elegendő a fájl eltávolításához anélkül, hogy megvizsgálná. A triage csökkenti a prioritást, de kritikus esetekben a mintavétel az alacsony prioritású klaszterből is történik. A hamis negatívumok (a valódi bizonyítékok „irrelevánsként való kihagyása”) a számítógépes kriminalisztika legdrágább hibája.
három mini tok
1. eset – Bizalmas dokumentum OCR-rel. Egy korrupciós nyomozásban 14 000 szkennelt oldal volt; egyik sem volt kereshető szöveg. Az AI-alapú OCR-rel minden oldalt átírtak, és olyan mintákat kerestek, mint például az "offshore", egy adott cégnév és az IBAN. 9 kritikus oldalt találtunk 40 perc alatt; A kézi olvasás hetekig tart. Ezután minden oldalt szakértelemmel ellenőriztek.
2. eset – Entitáskövetkeztetési kapcsolati hálózat. Az egyik csalási fájl 6200 e-mailt tartalmazott. A NER segítségével az összes névjegyet, fiókot és telefont kibontották, és létrehoztak egy kapcsolati listát; Így két korábban észrevétlen brókerszámla keletkezett. Az AI megjelölte a kapcsolatot; Az ügyész magukban az e-mailekben megerősítette a bizonyítékokat.
3. eset – Hamis negatívok veszélye. Az egyik csapat teljesen ki akarta küszöbölni azt a 30 000 fájlból álló készletet, amelyeket a mesterséges intelligencia "alacsony kamatozásúnak" nevezett. A vezető szakértő véletlenszerűen kiválasztott 2%-ot ebből a klaszterből, és egy kritikus rekordot talált benne: az AI rosszul minősítette a fájlt a szokatlan kiterjesztése miatt. A mintavételi fegyelem megmentette az esetet.
Négy másolható sablon
1) Begyűjtési terv tervezet:
Az Ön szerepe: bűnügyi helyszínelő igazságügyi gyűjtőszakértő. Forgatókönyv: [PC-n, 2 telefon, 1 NAS, futó szerver]. Vázoljon fel nekem egy gyűjtési tervet volatilitási sorrendben: mit kell gyűjteni az egyes eszközökhöz, milyen eszköz ajánlott, mit kell dokumentálni. Kérjük, vegye figyelembe, hogy ez tervezet, és a helyi jogszabályok szerint megerősítésre van szükség.
2) A felügyeleti lánc sablonja:
Hozzon létre egy felügyeleti lánc űrlapsablont: adja meg a bizonyíték számát, az eszköz leírását, a sorozatszámot, a gyűjtőt, a dátumot/időt, a gyűjtési módot, a hash-t (SHA-256), a vevőt, a kézbesítőt, a tárolási helyet és a sorokat minden egyes átadáshoz.
3) Tömeges fájl-osztályozási kérelem:
Adok egy listát a fájlokról (név, méret, dátum, kiterjesztés). Csoportosítsa az igazságügyi szakértői érdeklődés magas/közepes/alacsony valószínűsége szerint, és írja be az INDOKLÁST. Megjegyzés: az "alacsony" nem kerül kiküszöbölésre, csak prioritást kap. Külön jelölje meg azokat, amelyeknél a bővítmény-tartalom nem egyezik.
4) Magyarázza el a talált szkriptet:
Magyarázza el ezt a szkriptet/parancselőzményeket törvényszéki kontextusban: mit csinál, milyen fájl-/hálózati hozzáféréssel rendelkezik, van-e nyoma a fennmaradásnak vagy az adatok kiszűrésének? Kapcsoljon minden állítást egy sorhoz a szkriptben. Ha nem biztos benne, jelölje be, hogy "ellenőriznie kell".
Gyenge felszólítás / Erős felszólítás
Gyenge felszólítás:
Különítse el ezeket a fájlokat a fontosak szerint.
A "lényeges" nem definiált; A mesterséges intelligencia átszűri saját feltételezéseit, és elmulaszthatja a kritikus bizonyítékokat.
Erőteljes felszólítás:
Az Ön szerepe: törvényszéki osztályozási elemző. Kontextus: Egy ransomware incidenst, titkosítást és adatszivárgást vizsgálunk. Adok egy listát a fájlokról névvel, mérettel, létrehozási/módosítási dátummal és kiterjesztéssel. Feladat: titkosító eszköz, tömörítés/archiválás, szokatlan kiterjesztésű, az elmúlt 72 órában megváltozott, és a nagy exportfájlok megjelölése kiemelt prioritásként; Minden döntéshez írjon indoklást! Ha a kiterjesztés nem egyezik a várt tartalommal, szintén figyelmeztesse. Semmilyen fájlt ne mondjon „töröl/eldob”; csak rangsorolni.
A kontextus, a cél és a "ne mondd törölni" megszorítás hasznossá és biztonságossá teszi a kimenetet.
Gyűjtemény és áttekintés: AI szerepkör táblázat
Színpad
Biztonságos az AI?
Az AI feladata
férfi munkája
Illékony adatgyűjtés
Nem (döntés)
tervtervezet
Gyűjtemény, dokumentáció
képszerzés
nem
sablon
Írásblokkoló, hash
Hash ellenőrzés
nem
rekord sorrend
Számítás és visszaigazolás járművel
Fájlok osztályozása
Igen
rangsorolás
döntés, mintavétel
OCR/szövegkivonás
Igen
átalakítás
pontosság ellenőrzése
entitás következtetés
Igen
Listagenerálás
Relevancia döntés
Gyakori hibák
- Megpróbálja rávenni az MI-t a komissiózásra. Az AI nem ad hozzá; Csak terveket és sablonokat készít. A kép és a hash emberi alkotások.
- Az osztályozás eredményének tévedése végleges kiesésként. Ne hagyja ki a mintavételt az „alacsony érdeklődésű” klaszterből.
- Az OCR-kimenet idézése ellenőrzés nélkül. Az OCR képes keverni a betűket (0/0, 1/l); Erősítse meg a kritikus értékeket a forrással.
- Vakon bízva a kiterjesztésben. Lehet, hogy a kiterjesztés módosult; Ellenőrizze a tartalom típusát.
- Személyes adatok feltöltése maszk nélküli járműre. A TC/IBAN/egészségügyi adatok tömeges következtetésként kiszivároghatnak.
Összefoglalva
A bizonyítékgyűjtés emberi felelősség: az ingadozás, a kép, a hash és a felügyeleti lánc rendje emberi kézben van; Itt az AI csak terveket és sablonokat készít. A bizonyítékok ellenőrzése és a kép rögzítése után a mesterséges intelligencia valódi értéket ad az áttekintés felgyorsításában (triage, OCR, összegzés, entitás kivonás, kód megjegyzés). De minden kimenet egy jel, amelyet ellenőrizni kell; A relevancia és a bizonyítási érték kérdésében a szakértő dönt, aki figyelembe veszi a hamis negatívumok kockázatát is.
Pályázati feladat
Ismertessen egy fiktív incidens forgatókönyvet (pl. egy alkalmazottat azzal gyanúsítanak, hogy adatokat szivárog ki). Először készítsen tervet a „Gyűjtési terv tervezet” sablonnal, és hasonlítsa össze a helyi eljárással. Ezután készítsen egy 20 sorból álló mintafájllistát, és állítsa be a prioritásokat a "Tömeges állományok osztályozása" sablonnal; legalább 10%-ot kézi mintával, és ellenőrizze az AI besorolását.
ellenőrző lista
- [ ] A gyűjtési tervet a volatilitás sorrendjében állítottam fel és összehasonlítottam az eljárással.
- [ ] A képet és a hash-t emberen/eszközön keresztül kaptam; Nem MI-vel csináltattam.
- [ ] Valahányszor gazdát cserélt, frissítettem a felügyeleti lánc űrlapját.
- [ ] Az osztályozás eredményének "alacsony" klaszteréből mintát vettem.
- [ ] Ellenőriztem az OCR-t és az eszközkimenetet a forrással; Elfedtem a személyes adatokat.