Câștiguri:
- Înțelegerea faptului că pașii de colectare, cum ar fi ordinea de volatilitate, achiziția de imagini, hash și lanțul de custodie sunt responsabilitatea umană, iar inteligența artificială produce doar planuri și șabloane aici
- Abilitatea de a utiliza în siguranță inteligența artificială pentru a accelera revizuirea cu triajul fișierelor, OCR, rezumatul și extragerea activelor după ce imaginea este realizată
- A putea distinge faptul că triajul nu este eliminare, ci prioritizare și că eșantionarea din grupul cu prioritate scăzută este necesară pentru a evita riscul unor fals negative.
Ați ajuns la locul crimei: un computer deschis pe masă, o unitate externă, două telefoane și o cameră de server. Fiecare dispozitiv este o sursă potențială de dovezi; Fiecare mișcare greșită este o dovadă care va fi respinsă în instanță. Achiziția probelor este procesul de captare și copiere a probelor digitale intacte, verificabile și în conformitate cu legea. În această unitate, veți afla în ce pași ai acestui proces poate ajuta AI în siguranță și în ce pași ar trebui să rămână în urmă cu siguranță. Regula critică de la început: AI nu adună dovezi și nu ia imagini; Ajută la revizuirea și accelerarea obținerii dovezilor colectate și verificate.
Ordine de colectare și date volatile
Există un principiu de prioritate în colectarea dovezilor: ordinea volatilității — colectarea de la datele care dispar cel mai rapid până la cele mai permanente. În partea de sus sunt date volatile - conținutul RAM pierdut atunci când dispozitivul se închide, conexiuni de rețea deschise, procese care rulează; Apoi vine discul, apoi înregistrările externe. Datele volatile, odată pierdute, nu mai revin; Prin urmare, într-un sistem care rulează, RAM este descărcată înaintea discului.
AI nu ia decizii în această etapă, dar este utilă în producerea listelor de verificare și a schițelor procedurilor: „Ce ar trebui să colectez, în ce ordine, cu ce instrument, ce ar trebui să documentez în acest scenariu?” Procesul de colectare în sine (legarea de blocare a scrierii, achiziția de imagini, verificarea hash, sigilarea) este în mâinile omului și fiecare pas este documentat.
Sfat: Înainte de a începe alegerea, explicați scenariul dvs. AI și redactați un „plan de alegere secvenţială de volatilitate”; apoi comparați acest proiect cu procedura standard a instituției dvs. (de exemplu, legislația locală și POS de laborator). AI este memento, nu autoritate.
Imagini și hashing: lanț inviolabil
O imagine exactă este luată de la fiecare dispozitiv colectat. În timp ce imaginea este importată, sursa este protejată de un blocator de scriere; Când imaginea este terminată, se calculează un hash (se preferă SHA-256; doar MD5 este considerat slab). Acest hash este amprenta imaginii: trebuie să fie aceeași la fiecare verificare hash pe parcursul examinării, altfel imaginea este coruptă. Formularul de lanț de custodie (de către cine, când, unde au fost luate probele, unde au fost depuse, cui i-au fost predate) se actualizează de fiecare dată când schimbă mâinile.
AI realizează două sarcini securizate aici: (1) generează șabloane de lanț de custodie și etichete de dovezi care trebuie completate în timpul colectării; (2) organizează hash-urile și marcajele de timp pe care le-ați colectat pentru o verificare a coerenței („aceste trei hash-uri sunt aceleași, ce imagine aparține cărui dispozitiv?”). AI nu calculează hash-ul în sine - îl face un instrument criminalistic; AI editează doar înregistrarea.
Revizuiți accelerația: puterea reală a AI
Odată ce dovezile sunt verificate și imaginea este capturată, AI strălucește cu adevărat. Zone tipice de accelerare:
- Clasificarea fișierelor: gruparea a zeci de mii de fișiere după tip, conținut și relevanță posibilă și recomandări de priorități.
- Rezumat text și document: extragerea subiectului și a părților pentru contracte lungi, e-mailuri, transcrieri de chat.
- OCR și conținut vizual: extragerea textului din documentele scanate (OCR — recunoaștere optică a caracterelor, conversia textului într-o imagine) și etichetarea obiectelor/textului în imagini.
- Extragerea entităților (NER — recunoașterea entității numite, găsirea entităților numite, cum ar fi persoană, instituție, cont, IP din text): persoană care listează, IBAN, telefon, e-mail, adresă criptomonede din mii de documente.
- Descrierea codului și a comenzii: explicați într-un limbaj simplu ce face un script găsit sau un istoric al comenzii (de verificat).
În fiecare, rezultatul este un punct de plecare; Decizia privind relevanța și valoarea probatorie revine expertului.
Atenție: AI care spune „acest fișier este irelevant” nu este suficient pentru a elimina acel fișier fără a-l examina. Triajul scade prioritatea, dar în cazurile critice, eșantionarea se face și din clusterul cu prioritate scăzută. Falsele negative (omițând dovezile reale ca fiind „irelevante”) sunt cea mai scumpă greșeală în criminalistica informatică.
trei mini cutii
Cazul 1 — Document confidențial cu OCR. O investigație de corupție a avut 14.000 de pagini scanate; niciunul dintre ele nu era text care poate fi căutat. Cu OCR bazat pe inteligență artificială, toate paginile au fost transcrise și căutate după modele precum „offshore”, un nume specific de companie și IBAN. 9 pagini critice găsite în 40 de minute; Citirea manuală ar dura săptămâni. Fiecare pagină a fost apoi verificată cu experiență.
Cazul 2 — Rețeaua de relații de inferență cu entitate. Un dosar de fraudă conținea 6.200 de e-mailuri. Cu NER, toate contactele, conturile și telefoanele au fost extrase și a fost creată o listă de relații; Astfel, au apărut două conturi de brokeraj neobservate anterior. AI a marcat conexiunea; Procurorul a confirmat probele chiar în e-mailuri.
Cazul 3 – Pericol de fals negative. O echipă a vrut să elimine complet un set de 30.000 de fișiere pe care AI le-a numit „dobândă scăzută”. Expertul senior a eșantionat aleatoriu 2% din acest cluster și a găsit o înregistrare critică în el: AI-ul clasificase greșit fișierul din cauza extensiei neobișnuite. Disciplina de eșantionare a salvat cazul.
Patru șabloane copiabile
1) Proiect de plan de colectare:
Rolul dumneavoastră: specialist în colectare criminalistică la locul crimei. Scenariu: [pe PC, 2 telefoane, 1 NAS, server care rulează]. Schițați un plan de colectare pentru mine în ordinea volatilității: ce să colectez pentru fiecare dispozitiv, ce instrument este recomandat, ce să documentez. Vă rugăm să rețineți că aceasta este o schiță și necesită confirmare conform legislației locale.
2) Șablon de lanț de custodie:
Generați-mi un șablon de formular de lanț de custodie: includeți numărul dovezilor, descrierea dispozitivului, numărul de serie, colectorul, data/ora, metoda de colectare, hash (SHA-256), receptorul, distribuitorul, locația de stocare și liniile pentru fiecare transfer.
3) Solicitare de triare a fișierelor în bloc:
Vă voi oferi o listă de fișiere (nume, dimensiune, dată, extensie). Grupați după probabilitate mare/medie/scăzută de interes criminalistic și scrieți JUSTIFICARE. Notă: „low” nu este eliminat, este doar prioritizat. Marcați-le separat pe cele cu nepotrivire de conținut al extensiei.
4) Explicați scriptul găsit:
Explicați acest istoric de script/comandă într-un context criminalistic: ce face, ce acces la fișiere/rețea are, există vreo urmă de persistență sau de exfiltrare a datelor? Conectați fiecare afirmație la o linie din script. Dacă nu sunteți sigur, marcați-l ca „trebuie verificat”.
Prompt slab / Prompt puternic
Prompt slab:
Separați aceste fișiere în funcție de cele importante.
„Substanțial” este nedefinit; Inteligența artificială își analizează propriile presupuneri și poate pierde dovezi critice.
Solicitare puternică:
Rolul dumneavoastră: analist de triaj criminalistic. Context: investigăm un incident de ransomware, criptare și exfiltrare de date. Vă voi oferi o listă de fișiere cu nume, dimensiune, data creării/modificării și extensia. Sarcină: instrument de criptare, compresie/arhivă, extensie neobișnuită, schimbată în ultimele 72 de ore și marcați fișierele mari de export ca prioritate ridicată; Scrieți justificarea fiecărei decizii. Dacă extensia nu se potrivește cu conținutul așteptat, avertizați de asemenea. Nu spuneți „șterge/elimină” niciun fișier; doar prioritizează.
Contextul, ținta și constrângerea „nu spune șterge” fac rezultatul atât util, cât și sigur.
Colecție vs. recenzie: diagramă cu rol AI
Scena
Este AI sigur?
Treaba AI
munca omului
Colectarea de date volatile
Nu (decizie)
proiect de plan
Colectare, documentare
achizitie de imagini
nu
șablon
Blocant de scris, hash
Verificare hash
nu
ordine de înregistrare
Calcul și confirmarea prin vehicul
Triajul fișierului
Da
prioritizarea
decizie, eșantionare
OCR/extragere text
Da
conversie
verificarea preciziei
inferența entității
Da
Generarea listelor
Decizie de relevanță
Greșeli comune
- Încercarea de a face AI „să facă” alegerea. AI nu adaugă; Produce doar planuri și șabloane. Imaginea și hașul sunt lucrări umane.
- Confundarea rezultatului triajului ca fiind o eliminare definitivă. Nu săriți peste eșantionarea din grupul „dobândă scăzută”.
- Cotați rezultatul OCR fără a o verifica. OCR poate amesteca litere (0/0, 1/l); Confirmați valorile critice cu sursa.
- Încredere orboasă în extensie. Este posibil ca extensia să fi fost modificată; Verificați tipul de conținut.
- Încărcarea datelor personale într-un vehicul fără mască. Datele TC/IBAN/sănătate pot fi scurse în inferență în bloc.
În concluzie
Colectarea dovezilor este o responsabilitate umană: ordinea volatilității, imaginea, hash și lanțul de custodie sunt în mâinile omului; Aici AI produce doar planuri și șabloane. Odată ce dovezile sunt verificate și imaginea este capturată, AI adaugă valoare reală în accelerarea revizuirii (triaj, OCR, rezumat, extragerea entităților, adnotarea codului). Dar fiecare ieșire este un semn care trebuie verificat; Decizia privind relevanța și valoarea probatorie revine expertului, care ține cont și de riscul unor fals negative.
Sarcina de aplicare
Descrieți un scenariu de incident fictiv (de exemplu, un angajat este suspectat că exfiltrează date). Mai întâi desenați un plan cu șablonul „Ciena planului de colectare” și comparați-l cu procedura locală. Apoi pregătiți o listă de fișiere de exemplu de 20 de rânduri și acordați-o prioritate cu șablonul „Triajul fișierelor în bloc”; eșantion de mână de cel puțin 10% și verificați clasificarea AI.
lista de verificare
- [ ] Am stabilit planul de colectare în ordinea volatilității și l-am comparat cu procedura.
- [ ] Am obținut imaginea și hash-ul prin om/instrument; Nu am făcut-o de AI.
- [ ] Am actualizat formularul Lanț de custodie de fiecare dată când a schimbat mâinile.
- [ ] Am eșantionat din grupul „scăzut” al rezultatului triajului.
- [ ] Am verificat OCR și ieșirea activelor cu sursa; Am mascat datele personale.