Dobički:
- Razumevanje, da so koraki zbiranja, kot so vrstni red nestanovitnosti, pridobivanje slik, zgoščevanje in skrbniška veriga, človeška odgovornost, umetna inteligenca pa tukaj ustvarja samo načrte in predloge
- Sposobnost varne uporabe umetne inteligence za pospešitev pregleda s triažo datotek, OCR, povzetkom in ekstrakcijo sredstev po tem, ko je slika posneta
- Sposobnost razločevanja, da triaža ni izločanje, temveč določanje prednosti in da je vzorčenje iz skupine z nizko prioriteto potrebno, da se izognemo tveganju lažno negativnih rezultatov.
Prispeli ste na kraj zločina: na mizi odprt računalnik, zunanji pogon, dva telefona in strežniška soba. Vsaka naprava je potencialni vir dokazov; Vsaka napačna poteza je dokaz, ki bo na sodišču zavrnjen. Pridobivanje dokazov je postopek zajemanja in kopiranja digitalnih dokazov nedotaknjenih, preverljivih in v skladu z zakonom. V tej enoti se boste naučili, pri katerih korakih tega procesa lahko umetna inteligenca varno pomaga in pri katerih bi vsekakor morala ostati. Kritično pravilo od začetka: AI ne zbira dokazov in ne slika; Pomaga pregledati in pospešiti izpeljavo zbranih in preverjenih dokazov.
Nalog za zbiranje in nestanovitni podatki
Pri zbiranju dokazov velja načelo prednosti: vrstni red nestanovitnosti — zbiranje od najhitreje izginjajočih podatkov do najtrajnejših. Na vrhu so nestanovitni podatki — vsebina RAM-a se izgubi, ko se naprava izklopi, odprte omrežne povezave, izvajajo procesi; Potem pride disk, nato zunanji posnetki. Nestanovitni podatki, ko se izgubijo, se ne vrnejo nazaj; Zato je v delujočem sistemu RAM odložen pred diskom.
Umetna inteligenca na tej stopnji ne sprejema odločitev, je pa uporabna pri izdelavi kontrolnih seznamov in orisov postopkov: "Kaj naj zberem, v kakšnem vrstnem redu, s katerim orodjem, kaj naj dokumentiram v tem scenariju?" Sam postopek zbiranja (blokiranje pisanja, vezava, pridobivanje slike, preverjanje zgoščene vrednosti, pečatenje) je v človeških rokah in vsak korak je dokumentiran.
Namig: Preden začnete izbirati, razložite svoj scenarij AI in pripravite "načrt zaporednega izbiranja volatilnosti"; nato ta osnutek primerjajte s standardnim postopkom vaše ustanove (npr. lokalna zakonodaja in laboratorijski SOP). AI je opomnik, ne avtoriteta.
Slikanje in zgoščevanje: nedotakljiva veriga
Iz vsake zbrane naprave se vzame natančna slika. Med uvažanjem slike je vir zaščiten z zaviralcem pisanja; Ko je slika končana, se izračuna zgoščena vrednost (SHA-256 je prednostna; samo MD5 se zdaj šteje za šibko). Ta zgoščena vrednost je prstni odtis slike: mora biti enaka pri vsakem preverjanju zgoščene vrednosti skozi celoten pregled, sicer je slika poškodovana. Obrazec verige skrbništva (kdo, kdaj, kje so bili dokazi prevzeti, kam so bili postavljeni, komu so bili dostavljeni) se posodobi vsakič, ko zamenja lastnika.
Umetna inteligenca tukaj opravlja dve varni nalogi: (1) ustvarja verigo nadzora in predloge oznak dokazov, ki jih je treba izpolniti med zbiranjem; (2) organizira zgoščene vrednosti in časovne žige, ki ste jih zbrali za preverjanje skladnosti (»ali so te tri zgoščene vrednosti enake, katera slika pripada kateri napravi?«). AI ne izračuna zgoščene vrednosti sam - zaradi tega je forenzično orodje; AI samo ureja zapis.
Pospeševanje pregleda: prava moč umetne inteligence
Ko so dokazi preverjeni in je slika zajeta, AI resnično zasije. Tipična območja pospeševanja:
- Razvrščanje datotek: združevanje več deset tisoč datotek po vrsti, vsebini in morebitni pomembnosti ter priporočene prioritete.
- Povzetek besedila in dokumenta: Izvleček zadev in strank za dolge pogodbe, e-pošto, prepise klepetov.
- OCR in vizualna vsebina: ekstrahiranje besedila iz skeniranih dokumentov (OCR — optično prepoznavanje znakov, pretvorba besedila v sliko) in označevanje predmetov/besedila na slikah.
- Ekstrakcija entitet (NER — prepoznavanje imenovanih entitet, iskanje imenovanih entitet, kot so oseba, ustanova, račun, IP iz besedila): navedba osebe, IBAN, telefona, e-pošte, naslova kripto denarnice iz tisočih dokumentov.
- Opis kode in ukaza: v preprostem jeziku razložite, kaj počne najdeni skript ali zgodovina ukazov (ki jo je treba preveriti).
V vsakem je rezultat izhodišče; O upoštevnosti in dokazni vrednosti odloči izvedenec.
Pozor: AI, ki reče "ta datoteka je nepomembna", ni dovolj za odstranitev te datoteke, ne da bi jo pregledal. Triaža zniža prioriteto, vendar se v kritičnih primerih vzorči tudi iz gruče z nizko prioriteto. Lažni negativi (izpuščanje resničnih dokazov kot »nepomembnih«) so najdražja napaka v računalniški forenziki.
trije mini kovčki
Primer 1 – Zaupen dokument z OCR. Ena preiskava korupcije je imela 14.000 skeniranih strani; nobeno od njih ni bilo besedilo po iskanju. Z OCR-jem, ki ga poganja AI, so bile vse strani prepisane in preiskane po vzorcih, kot so "offshore", določeno ime podjetja in IBAN. 9 kritičnih strani najdenih v 40 minutah; Ročno branje bi trajalo tedne. Vsaka stran je bila nato strokovno preverjena.
Primer 2 – Omrežje odnosov sklepanja subjektov. Ena datoteka goljufij je vsebovala 6200 e-poštnih sporočil. Z NER so bili ekstrahirani vsi stiki, računi in telefoni ter ustvarjen seznam odnosov; Tako sta se pojavila dva prej neopažena posredniška računa. AI je označil povezavo; Tožilec je potrdil dokaze v samih elektronskih sporočilih.
Primer 3 – Nevarnost lažno negativnih rezultatov. Ena ekipa je želela popolnoma odstraniti niz 30.000 datotek, ki jih je umetna inteligenca poimenovala "nizko zanimanje". Višji strokovnjak je naključno vzorčil 2 % iz te gruče in v njej našel kritičen zapis: umetna inteligenca je napačno razvrstila datoteko zaradi nenavadne razširitve. Primer je rešila disciplina vzorčenja.
Štiri predloge za kopiranje
1) Osnutek načrta zbiranja:
Vaša vloga: strokovnjak za forenzične zbirke na kraju zločina. Scenarij: [v računalniku, 2 telefonu, 1 NAS, delujoč strežnik]. Opišite mi načrt zbiranja po vrstnem redu nestanovitnosti: kaj zbrati za vsako napravo, katero orodje je priporočljivo, kaj dokumentirati. Upoštevajte, da je to osnutek in zahteva potrditev v skladu z lokalno zakonodajo.
2) Predloga verige skrbništva:
Ustvarite mi predlogo obrazca za verigo skrbništva: vključite številko dokaza, opis naprave, serijsko številko, zbiralnik, datum/čas, metodo zbiranja, zgoščeno vrednost (SHA-256), prejemnika, dostavljalca, lokacijo shranjevanja in vrstice za vsako predajo.
3) Zahteva za množično triažo datotek:
Dal vam bom seznam datotek (ime, velikost, datum, končnica). Združite po visoki/srednji/nizki verjetnosti forenzičnega interesa in napišite UTEMELJITEV. Opomba: "nizko" ni odpravljeno, le prednostno je. Ločeno označite tiste z neujemanjem vsebine razširitve.
4) Pojasnite najdeno skripto:
Razložite to zgodovino skripta/ukaza v forenzičnem kontekstu: kaj počne, kakšen dostop do datoteke/omrežja ima, ali obstaja kakšna sled obstojnosti ali ekstrakcije podatkov? Povežite vsako trditev z vrstico v skriptu. Če niste prepričani, označite kot "mora biti preverjeno".
Šibek poziv/močan poziv
Šibek poziv:
Te datoteke ločite glede na pomembne.
"Znatno" je nedefinirano; Umetna inteligenca prebira svoje predpostavke in lahko zgreši kritične dokaze.
Močan poziv:
Vaša vloga: forenzični triažni analitik. Kontekst: Preiskujemo incident z izsiljevalsko programsko opremo, šifriranje in ekstrakcijo podatkov. Dal vam bom seznam datotek z imenom, velikostjo, datumom ustvarjanja/spreminjanja in pripono. Naloga: orodje za šifriranje, stiskanje/arhiv, nenavadna razširitev, spremenjeno v zadnjih 72 urah, in označi velike izvozne datoteke kot visoko prioriteto; Za vsako odločitev napišite utemeljitev. Če razširitev ne ustreza pričakovani vsebini, tudi opozorilo. Ne recite "izbriši/zavrzi" nobene datoteke; samo dajte prednost.
Zaradi konteksta, cilja in omejitve »ne reci izbriši« je izhod uporaben in varen.
Zbirka proti pregledu: grafikon vlog AI
Oder
Je AI varen?
delo AI
moško delo
Hlapno zbiranje podatkov
Ne (odločitev)
osnutek načrta
Zbirka, dokumentacija
pridobivanje slike
št
predlogo
Blokator pisanja, zgoščevanje
Preverjanje zgoščene vrednosti
št
zapisni red
Izračun in potrditev preko vozila
Triaža datotek
ja
prednostna naloga
odločitev, vzorčenje
OCR/izvleček besedila
ja
konverzija
preverjanje točnosti
sklepanje o entiteti
ja
Generiranje seznama
Odločitev o ustreznosti
Pogoste napake
- Poskušam prisiliti umetno inteligenco, da "opravi" nabiranje. AI ne dodaja; Izdeluje samo načrte in predloge. Slika in hash sta človeška dela.
- Zamenjajte rezultat triaže kot dokončno izločitev. Ne preskočite vzorčenja iz grozda z nizkim zanimanjem.
- Citiranje izhoda OCR brez preverjanja. OCR lahko meša črke (0/0, 1/l); Potrdite kritične vrednosti z virom.
- Slepo zaupanje razširitvi. Razširitev je morda spremenjena; Preverite vrsto vsebine.
- Nalaganje osebnih podatkov v vozilo brez maske. Podatki TC/IBAN/zdravstveni podatki se lahko razkrijejo pri množičnem sklepanju.
Če povzamem
Zbiranje dokazov je človeška odgovornost: vrstni red nestanovitnosti, podoba, zgoščena vrednost in veriga nadzora so v človeških rokah; Tukaj AI izdeluje samo načrte in predloge. Ko so dokazi preverjeni in slika zajeta, umetna inteligenca doda resnično vrednost pri pospešitvi pregleda (triaža, OCR, povzetek, ekstrakcija entitete, oznaka kode). Toda vsak rezultat je znak, ki ga je treba preveriti; Odločitev o ustreznosti in dokazni vrednosti je v pristojnosti izvedenca, ki upošteva tudi tveganje lažno negativnih rezultatov.
Aplikacijska naloga
Opišite fiktivni scenarij incidenta (npr. zaposleni je osumljen, da je prikradel podatke). Najprej narišite načrt s predlogo "Osnutek načrta zbiranja" in ga primerjajte z lokalnim postopkom. Nato pripravite vzorčni seznam datotek z 20 vrsticami in mu določite prednost s predlogo »Bulk file triage«; ročno vzorčite vsaj 10 % in preverite klasifikacijo AI.
kontrolni seznam
- [ ] Načrt zbiranja sem postavil po vrstnem redu nestanovitnosti in ga primerjal s postopkom.
- [ ] Sliko in zgoščeno vrednost sem dobil prek človeka/orodja; Tega nisem dal narediti AI.
- [ ] Posodobil sem obrazec verige skrbništva vsakič, ko je zamenjal lastnika.
- [ ] Vzorčil sem iz "nizkega" grozda triažnega rezultata.
- [ ] Z virom sem preveril OCR in izpis sredstva; Osebne podatke sem prikril.