Добивки:
- Разбирањето дека чекорите за собирање, како што се нарачката за нестабилност, стекнување слики, хаш и синџир на притвор се човечка одговорност, а вештачката интелигенција произведува само планови и шаблони овде
- Способност за безбедно користење вештачка интелигенција за да се забрза прегледот со тријажа на датотеки, OCR, резиме и екстракција на средства по сликањето
- Да се биде способен да се разликува дека тријажата не е елиминација, туку приоритизација, и дека земање примероци од групата со низок приоритет е неопходно за да се избегне ризикот од лажни негативни резултати.
Стигнавте на местото на злосторството: отворен компјутер на масата, надворешен диск, два телефони и серверска соба. Секој уред е потенцијален извор на докази; Секој погрешен потег е доказ кој ќе биде отфрлен на суд. Добивањето докази е процес на фаќање и копирање на дигитални докази недопрени, проверливи и во согласност со законот. Во оваа единица, ќе научите во кои чекори од овој процес вештачката интелигенција може безбедно да помогне и кои чекори дефинитивно треба да остане зад себе. Критичкото правило од самиот почеток: ВИ не собира докази и не фотографира; Тоа помага да се прегледаат и забрзаат изведувањето на доказите собрани и потврдени.
Налог на наплата и испарливи податоци
Постои принцип на приоритет при собирањето докази: редослед на нестабилност - собирање од податоците што најбрзо исчезнуваат до најтрајните. На врвот има испарливи податоци — содржината на RAM меморијата се губи кога уредот се исклучува, се отвораат мрежни врски, се извршуваат процеси; Потоа следува диск, па надворешни снимки. Нестабилните податоци, откако ќе се изгубат, не се враќаат; Затоа, во системот што работи, RAM меморијата се фрла пред дискот.
Вештачката интелигенција не донесува одлуки во оваа фаза, но е корисна во производството на листи за проверка и прегледи на процедурите: „Што треба да соберам, по кој редослед, со која алатка, што треба да документирам во ова сценарио? Самиот процес на собирање (врзување со блокирање на пишување, стекнување слика, хаш-верификација, запечатување) е во човечки раце и секој чекор е документиран.
Совет: Пред да започнете со бирање, објаснете му го вашето сценарио на вештачката интелигенција и изгответе „план за секвенцијален избор на нестабилност“; потоа споредете го овој нацрт со стандардната процедура на вашата институција (на пр. локално законодавство и лабораториски СОП). ВИ е потсетник, а не авторитет.
Снимање и хаширање: неприкосновен синџир
Од секој собран уред се зема точна слика. Додека сликата се увезува, изворот е заштитен со блокатор за пишување; Кога сликата е завршена, се пресметува хаш (се претпочита SHA-256; само MD5 сега се смета за слаб). Овој хаш е отпечатокот од прстот на сликата: мора да биде ист при секоја хаш проверка во текот на испитувањето, инаку сликата е оштетена. Формуларот за синџир на притвор (од кого, кога, каде се земени доказите, каде се поставени, кому му се доставени) се ажурира секогаш кога ќе се менува.
Вештачката интелигенција прави две безбедни работи овде: (1) генерира синџир на притвор и шаблони за ознаки за докази што треба да се пополнат при собирањето; (2) ги организира хашовите и временските ознаки што сте ги собрале за проверка на конзистентноста („дали овие три хаши се исти, која слика му припаѓа на кој уред?“). Вештачката интелигенција не го пресметува самиот хаш - ја прави форензичка алатка; Вештачката интелигенција само го уредува записот.
Прегледајте го забрзувањето: вистинската моќ на вештачката интелигенција
Откако ќе се потврдат доказите и ќе се сними сликата, вештачката интелигенција навистина блеска. Типични области за забрзување:
- Класификација на датотеки: Групирање на десетици илјади датотеки по вид, содржина и можна релевантност и препораки за приоритети.
- Резиме на текст и документи: Извлекување на тема и партија за долги договори, е-пошта, транскрипти за разговори.
- OCR и визуелна содржина: вадење текст од скенирани документи (OCR — оптичко препознавање знаци, конвертирање текст во слика) и означување на објекти/текст во слики.
- Екстракција на ентитет (NER — препознавање на именуван ентитет, наоѓање именувани ентитети како што се лице, институција, сметка, IP од текст): лице со список, IBAN, телефон, е-пошта, адреса на криптопаричник од илјадници документи.
- Опис на код и команда: Објаснете на едноставен јазик што прави пронајдената скрипта или историјата на команди (да се потврди).
Во секој, излезот е почетна точка; Одлуката за релевантноста и доказната вредност е на вештакот.
Внимание: вештачката интелигенција да каже „оваа датотека е ирелевантна“ не е доволна за да се елиминира таа датотека без да се испита. Тријажата го намалува приоритетот, но во критичните случаи, земање примероци се врши и од кластерот со низок приоритет. Лажните негативи (изоставувајќи вистински докази како „неважни“) се најскапата грешка во компјутерската форензика.
три мини футроли
Случај 1 - Доверлив документ со OCR. Една истрага за корупција имаше 14.000 скенирани страници; ниту еден од нив не беше текст за пребарување. Со OCR напојуван со вештачка интелигенција, сите страници беа транскрибирани и пребарувани за шеми како што се „офшор“, одредено име на компанија и IBAN. Пронајдени 9 критични страници за 40 минути; Читањето на рака би траело неколку недели. Секоја страница потоа беше стручно проверена.
Случај 2 - Мрежа за односи со заклучоци на ентитети. Една датотека со измама содржела 6.200 е-пошта. Со NER, сите контакти, сметки и телефони беа извлечени и беше креирана листа на врски; Така, се појавија две претходно незабележани брокерски сметки. ВИ ја означи врската; Обвинителот ги потврди доказите во самите мејлови.
Случај 3 - Опасност од лажни негативи. Еден тим сакаше целосно да елиминира сет од 30.000 датотеки што вештачката интелигенција ги нарече „мал интерес“. Високиот експерт по случаен избор зеде примерок од 2% од овој кластер и најде критичен рекорд во него: вештачката интелигенција погрешно ја класифицирала датотеката поради необичното проширување. Дисциплината за земање примероци го спаси случајот.
Четири шаблони за копирање
1) Нацрт план за собирање:
Вашата улога: специјалист за форензичка наплата на местото на злосторството. Сценарио: [на компјутер, 2 телефони, 1 NAS, сервер кој работи]. Наведете ми план за собирање по редослед на нестабилност: што да соберам за секој уред, која алатка се препорачува, што да документирам. Ве молиме имајте предвид дека ова е нацрт и бара потврда според локалното законодавство.
2) Шаблон за синџир на притвор:
Создадете ми образец за синџир на притвор: вклучете број на доказ, опис на уредот, сериски број, собирач, датум/време, метод на собирање, хаш (SHA-256), примач, доставувач, локација за складирање и линии за секое предавање.
3) Барање за тријаж на масовни датотеки:
Ќе ви дадам список на датотеки (име, големина, датум, наставка). Групирајте по висока/средна/ниска веројатност за форензички интерес и напишете ОПРАВДУВАЊЕ. Напомена: „ниско“ не се елиминира, само е приоритетно. Обележете ги одделно оние со несовпаѓање на наставката и содржината.
4) Објаснете ја пронајдената скрипта:
Објаснете ја оваа историја на скрипта/команда во форензички контекст: што прави, каков пристап до датотеката/мрежа има, дали има трага од упорност или ексфилтрација на податоци? Поврзете го секое тврдење со линија во сценариото. Ако не сте сигурни, означете го како „мора да се потврди“.
Слаб промпт / Силен промпт
Слаба навестување:
Одделете ги овие датотеки според важните.
„Значајно“ е недефинирано; ВИ ги пробива сопствените претпоставки и може да пропушти критични докази.
Моќен потсетник:
Вашата улога: форензички аналитичар. Контекст: истражуваме инцидент со откупнина, шифрирање и ексфилтрација на податоци. Ќе ви дадам листа на датотеки со име, големина, датум на создавање/измена и продолжување. Задача: алатка за шифрирање, компресија/архива, необична екстензија, променета во последните 72 часа и означување на големи извозни датотеки како висок приоритет; Напишете оправдување за секоја одлука. Ако наставката не се совпаѓа со очекуваната содржина, исто така предупредувајте. Не кажувајте „избриши/отфрли“ ниедна датотека; само дадете приоритет.
Контекстот, целта и ограничувањето „не кажувај бришење“ го прават излезот корисен и безбеден.
Колекција наспроти преглед: Табела со улоги за вештачка интелигенција
Фаза
Дали вештачката интелигенција е безбедна?
Работата на АИ
машка работа
Нестабилно собирање податоци
Не (одлука)
нацрт план
Збирка, документација
стекнување слика
бр
шаблон
Блокатор на пишување, хаш
Хеш-верификација
бр
редослед на рекорд
Пресметка и потврда преку возило
Тријажа на датотеки
Да
приоритизација
одлука, земање примероци
OCR/екстракција на текст
Да
конверзија
верификација на точноста
заклучок на ентитет
Да
Список генерирање
Релевантна одлука
Вообичаени грешки
- Обидувајќи се да ја натера вештачката интелигенција да го „направи“ изборот. ВИ не додава; Таа произведува само планови и шаблони. Сликата и хашот се човечки дела.
- Грешка на резултатот од тријажата како дефинитивна елиминација. Не прескокнувајте земање примероци од кластерот „мал интерес“.
- Цитирање на излезот OCR без да го потврдите. OCR може да меша букви (0/0, 1/l); Потврдете ги критичните вредности со изворот.
- Слепо верувајќи на проширувањето. Наставката можеби е променета; Проверете го типот на содржина.
- Поставување лични податоци на возило без маска. Податоците за TC/IBAN/здравствени може да бидат протечени како масовни заклучоци.
Сумирано
Собирањето докази е човечка одговорност: редоследот на нестабилноста, сликата, хашот и синџирот на притвор се во човечки раце; Овде вештачката интелигенција произведува само планови и шаблони. Откако ќе се потврдат доказите и ќе се сними сликата, вештачката интелигенција додава вистинска вредност во забрзувањето на прегледот (триажа, OCR, резиме, екстракција на ентитети, прибелешка на код). Но, секој излез е знак што треба да се потврди; Одлуката за релевантноста и доказната вредност е на вештакот, кој исто така го зема предвид ризикот од лажни негативи.
Задача за апликација
Опишете сценарио за фиктивен инцидент (на пр., вработен е осомничен за ексфилтрирање на податоци). Прво нацртајте план со шаблонот „Нацрт план за наплата“ и споредете го со локалната процедура. Потоа подгответе примерок список со датотеки од 20 линии и поставете приоритет со шаблонот „Триажа на масовни датотеки“; рачен примерок од најмалку 10% и потврдете ја класификацијата на вештачката интелигенција.
листа за проверка
- [ ] Го поставив планот за наплата по редослед на нестабилност и го споредив со постапката.
- [ ] Ги добив сликата и хашот преку човек/алатка; Не го направив тоа со вештачка интелигенција.
- [ ] Го ажурирав формуларот за Синџир на притвор секогаш кога се менуваше.
- [ ] Зедов примерок од „нискиот“ кластер на резултатот од тријажата.
- [ ] Ги потврдив OCR и излезот на средствата со изворот; Ги маскирав личните податоци.