Ieguvumi:
- Izpratne par to, ka par vākšanas soļiem, piemēram, nepastāvības secību, attēlu iegūšanu, jaukšanu un uzraudzības ķēdi, ir atbildīgs cilvēks, un mākslīgais intelekts šeit veido tikai plānus un veidnes.
- Spēja droši izmantot mākslīgo intelektu, lai paātrinātu pārskatīšanu ar failu šķirošanu, OCR, kopsavilkumu un līdzekļu izgūšanu pēc attēla uzņemšanas
- Spēja atšķirt, ka šķirošana nav izslēgšana, bet gan prioritāšu noteikšana, un ka paraugu ņemšana no zemas prioritātes grupas ir nepieciešama, lai izvairītos no viltus negatīvu rezultātu riska.
Jūs esat nonācis nozieguma vietā: uz galda atvērts dators, ārējais diskdzinis, divi tālruņi un servera telpa. Katra ierīce ir potenciāls pierādījumu avots; Katrs nepareizs gājiens ir pierādījums, kas tiesā tiks noraidīts. Pierādījumu iegūšana ir digitālo pierādījumu iegūšanas un kopēšanas process neskartu, pārbaudāmu un saskaņā ar likumu. Šajā nodaļā jūs uzzināsit, kuros šī procesa posmos AI var droši palīdzēt un kuri posmi tam noteikti jāatstāj. Kritiskais noteikums no sākuma: AI nevāc pierādījumus un neuzņem attēlus; Tas palīdz pārskatīt un paātrināt savākto un pārbaudīto pierādījumu iegūšanu.
Iekasēšanas pasūtījums un nepastāvīgi dati
Pierādījumu vākšanā ir prioritātes princips: nepastāvības secība — datu apkopošana no visstraujāk izzūdošajiem datiem līdz vispastāvīgākajiem. Augšpusē ir nepastāvīgi dati — RAM saturs, kas tiek zaudēts, kad ierīce tiek izslēgta, atvērti tīkla savienojumi, darbojas procesi; Tad nāk disks, tad ārējie ieraksti. Nepastāvīgi dati, kas pazaudēti, neatgriežas; Tāpēc darbojošā sistēmā RAM tiek izmests pirms diska.
AI šajā posmā nepieņem lēmumus, bet ir noderīgs kontrolsarakstu un procedūru izklāstu sastādīšanā: “Kas man jāsavāc, kādā secībā, ar kādu rīku, kas jādokumentē šajā scenārijā?” Pats savākšanas process (rakstīšanas bloķēšanas iesiešana, attēlu iegūšana, hash verifikācija, aizzīmogošana) ir cilvēka rokās, un katrs solis ir dokumentēts.
Padoms. Pirms sākat izvēlēties, izskaidrojiet savu scenāriju AI un izveidojiet "nepastāvīguma secīgās atlases plānu"; pēc tam salīdziniet šo projektu ar savas iestādes standarta procedūru (piemēram, vietējie tiesību akti un laboratorijas SOP). AI ir atgādinājums, nevis autoritāte.
Attēlveidošana un jaukšana: neaizskarama ķēde
No katras savāktās ierīces tiek ņemts precīzs attēls. Kamēr attēls tiek importēts, avotu aizsargā rakstīšanas bloķētājs; Kad attēls ir pabeigts, tiek aprēķināts jaukums (vēlams SHA-256; tagad tikai MD5 tiek uzskatīts par vāju). Šis sajaukums ir attēla pirksta nospiedums: tam ir jābūt vienādam katrā jaukšanas pārbaudē visā pārbaudes laikā, pretējā gadījumā attēls tiek bojāts. Piegādnības ķēdes veidlapa (kurš, kad, kur pierādījumus ieguvis, kur tos ievietojis, kam tie piegādāti) tiek atjaunināta katru reizi, kad tā maina īpašnieku.
AI šeit veic divus drošus darbus: (1) ģenerē uzraudzības ķēdes un pierādījumu tagu veidnes, kas jāaizpilda savākšanas laikā; (2) sakārto konsekvences pārbaudei savāktās jaucējzīmes un laikspiedolus (“vai šīs trīs jaucējzīmes ir vienādas, kurš attēls pieder kādai ierīcei?”). AI neaprēķina pašu jaucējkodu — tas padara to par kriminālistikas rīku; AI rediģē tikai ierakstu.
Pārskatīšanas paātrinājums: AI patiesais spēks
Kad pierādījumi ir pārbaudīti un attēls ir uzņemts, AI patiešām spīd. Tipiski paātrinājuma apgabali:
- Failu klasifikācija: desmitiem tūkstošu failu grupēšana pēc veida, satura un iespējamās atbilstības un prioritāšu ieteikšana.
- Teksta un dokumentu kopsavilkums: priekšmeta un puses izvilkšana gariem līgumiem, e-pastiem, tērzēšanas atšifrējumiem.
- OCR un vizuālais saturs: teksta izvilkšana no skenētiem dokumentiem (OCR — optiskā rakstzīmju atpazīšana, teksta konvertēšana attēlā) un objektu/teksta marķēšana attēlos.
- Entītijas izvilkšana (NER — nosaukto entītiju atpazīšana, nosauktu entītiju, piemēram, personas, iestādes, konta, IP atrašana no teksta): personas, IBAN, tālruņa, e-pasta, šifrēšanas maka adreses uzskaitīšana no tūkstošiem dokumentu.
- Koda un komandas apraksts: Paskaidrojiet vienkāršā valodā, ko dara atrastais skripts vai komandu vēsture (jāpārbauda).
Katrā izvade ir sākumpunkts; Lēmumu par atbilstību un pierādījuma vērtību pieņem eksperts.
Uzmanību: mākslīgais intelekts, sakot "šis fails nav būtisks", nav pietiekami, lai noņemtu šo failu, to nepārbaudot. Šķirošana pazemina prioritāti, bet kritiskos gadījumos paraugu ņemšana tiek veikta arī no zemas prioritātes klastera. Viltus negatīvi (izlaižot reālus pierādījumus kā “nesvarīgus”) ir visdārgākā kļūda datoru tiesu ekspertīzē.
trīs mini futrāļi
1. gadījums — konfidenciāls dokuments ar OCR. Vienā korupcijas izmeklēšanā bija 14 000 skenētu lapu; neviens no tiem nebija meklējams teksts. Izmantojot AI darbinātu OCR, visas lapas tika transkribētas un meklētas, piemēram, "ārzona", konkrēts uzņēmuma nosaukums un IBAN. 40 minūtēs atrastas 9 kritiskas lapas; Lasīšana ar roku prasīs nedēļas. Pēc tam katra lapa tika profesionāli pārbaudīta.
2. gadījums — entītiju secinājumu attiecību tīkls. Vienā krāpšanas failā bija 6200 e-pastu. Izmantojot NER, tika izvilkti visi kontakti, konti un tālruņi un izveidots attiecību saraksts; Tādējādi radās divi iepriekš nepamanīti brokeru konti. AI atzīmēja savienojumu; Prokurors apstiprināja pierādījumus pašos e-pastos.
3. gadījums — viltus negatīvu rezultātu risks. Viena komanda vēlējās pilnībā likvidēt 30 000 failu kopu, ko mākslīgais intelekts sauca par "zemu procentu". Vecākais eksperts nejauši atlasīja 2% no šīs kopas un atrada tajā kritisku ierakstu: AI bija nepareizi klasificējis failu neparastā paplašinājuma dēļ. Izlases disciplīna lietu izglāba.
Četras kopējamas veidnes
1) Iekasēšanas plāna projekts:
Jūsu loma: nozieguma vietas kriminālistikas kolekcijas speciālists. Scenārijs: [personālajā datorā, 2 tālruņi, 1 NAS, darbojas serveris]. Ieskicējiet man savākšanas plānu nepastāvības secībā: ko savākt katrai ierīcei, kāds rīks ir ieteicams, ko dokumentēt. Lūdzu, ņemiet vērā, ka šis ir melnraksts, un tas ir jāapstiprina saskaņā ar vietējiem tiesību aktiem.
2) Piegādes ķēdes veidne:
Izveidojiet man uzraudzības ķēdes veidlapas veidni: iekļaujiet pierādījumu numuru, ierīces aprakstu, sērijas numuru, savācēju, datumu/laiku, savākšanas metodi, jaucējkodu (SHA-256), uztvērēju, piegādātāju, glabāšanas vietu un rindas katrai nodošanai.
3) Lielapjoma failu šķirošanas pieprasījums:
Es jums iedošu failu sarakstu (nosaukums, lielums, datums, paplašinājums). Grupējiet pēc lielas/vidējas/zemas kriminālistikas intereses iespējamības un uzrakstiet PAMATOJUMS. Piezīme: "zems" netiek izslēgts, tam ir tikai prioritāte. Atzīmējiet atsevišķi tos, kuriem paplašinājuma saturs neatbilst.
4) Izskaidrojiet atrasto skriptu:
Izskaidrojiet šo skriptu/komandu vēsturi kriminālistikas kontekstā: ko tas dara, kādai failam/tīklam tai ir piekļuve, vai ir kādas noturības vai datu eksfiltrācijas pēdas? Saistiet katru apgalvojumu ar skripta rindiņu. Ja neesat pārliecināts, atzīmējiet to kā "jāpārbauda".
Vāja uzvedne / spēcīga uzvedne
Vāja uzvedne:
Atdaliet šos failus atbilstoši svarīgākajiem.
"Būtisks" nav definēts; AI izsijā savus pieņēmumus un var palaist garām kritiskus pierādījumus.
Spēcīga uzvedne:
Jūsu loma: tiesu ekspertīzes analītiķis. Konteksts: mēs izmeklējam incidentu ar izspiedējvīrusu, šifrēšanu un datu eksfiltrāciju. Es sniegšu jums failu sarakstu ar nosaukumu, lielumu, izveides/modifikācijas datumu un paplašinājumu. Uzdevums: šifrēšanas rīks, saspiešana/arhīvs, neparasts paplašinājums, mainīts pēdējo 72 stundu laikā, un atzīmēt lielus eksporta failus kā augstu prioritāti; Uzrakstiet katra lēmuma pamatojumu. Ja paplašinājums neatbilst paredzētajam saturam, arī brīdiniet. Nesakiet "dzēst/izmest" nevienu failu; tikai noteikt prioritātes.
Konteksts, mērķis un ierobežojums “nesaki dzēst” padara izvadi gan noderīgu, gan drošu.
Kolekcija salīdzinājumā ar apskatu: AI lomu diagramma
Skatuves
Vai AI ir drošs?
AI darbs
vīrieša darbs
Nepastāvīgu datu vākšana
Nē (lēmums)
plāna projekts
Kolekcija, dokumentācija
attēla iegūšana
nē
veidni
Rakstīt bloķētājs, hash
Hash verifikācija
nē
ieraksta pasūtījums
Aprēķins un apstiprinājums, izmantojot transportlīdzekli
Failu šķirošana
Jā
prioritāšu noteikšana
lēmums, paraugu ņemšana
OCR/teksta izvilkšana
Jā
konversiju
precizitātes pārbaude
entītijas secinājums
Jā
Sarakstu ģenerēšana
Lēmums par atbilstību
Biežas kļūdas
- Mēģina likt AI "veikt" atlasi. AI nepievieno; Tas veido tikai plānus un veidnes. Attēls un hash ir cilvēku darbi.
- Šķirošanas rezultāta maldināšana kā galīgā izslēgšana. Neizlaidiet izlases ņemšanu no klastera “zemas intereses”.
- Citējot OCR izvadi, to nepārbaudot. OCR var sajaukt burtus (0/0, 1/l); Apstipriniet kritiskās vērtības ar avotu.
- Akli uzticoties pagarinājumam. Iespējams, ka paplašinājums ir mainīts; Pārbaudiet satura veidu.
- Personas datu augšupielāde transportlīdzeklī bez maskas. TC/IBAN/veselības dati var tikt nopludināti, veicot lielapjoma secinājumus.
Rezumējot
Pierādījumu vākšana ir cilvēka atbildība: nepastāvības, attēla, jaukšanas un uzraudzības ķēdes kārtība ir cilvēku rokās; Šeit AI veido tikai plānus un veidnes. Kad pierādījumi ir pārbaudīti un attēls ir uzņemts, AI piešķir patiesu vērtību, paātrinot pārskatīšanu (šķirošana, OCR, kopsavilkums, entītiju izvilkšana, koda anotācija). Bet katrs rezultāts ir zīme, kas jāpārbauda; Lēmumu par atbilstību un pierādījuma vērtību pieņem eksperts, kurš ņem vērā arī viltus negatīvu risku.
Lietojumprogrammas uzdevums
Aprakstiet fiktīvu incidenta scenāriju (piemēram, darbinieks tiek turēts aizdomās par datu izfiltrēšanu). Vispirms uzzīmējiet plānu, izmantojot veidni "Savākšanas plāna projekts" un salīdziniet to ar vietējo procedūru. Pēc tam sagatavojiet parauga failu sarakstu ar 20 rindiņām un piešķiriet tam prioritāti, izmantojot veidni "Lielapjoma failu šķirošana"; rokas paraugu vismaz 10% un pārbaudiet AI klasifikāciju.
kontrolsaraksts
- [ ] Es izveidoju savākšanas plānu nepastāvības secībā un salīdzināju to ar procedūru.
- [ ] Es ieguvu attēlu un hash, izmantojot cilvēku/rīku; Es to nedarīju AI.
- [ ] Es atjaunināju piegādes ķēdes veidlapu ikreiz, kad tā mainīja īpašnieku.
- [ ] Es izņēmu paraugu no šķirošanas rezultāta "zemās" kopas.
- [ ] Es pārbaudīju OCR un līdzekļu izvadi ar avotu; Es maskēju personas datus.