Добици:
- Разумевање да су кораци прикупљања, као што су редослед променљивости, аквизиција слике, хеш и ланац чувања, људска одговорност, а вештачка интелигенција само овде производи планове и шаблоне
- Способност безбедног коришћења вештачке интелигенције за убрзање прегледа помоћу тријаже датотека, ОЦР-а, резимеа и екстракције средстава након снимања слике
- Бити у стању да разликујемо да тријажа није елиминација већ одређивање приоритета и да је узорковање из групе ниског приоритета неопходно да би се избегао ризик од лажних негативних резултата.
Стигли сте на место злочина: рачунар отворен на столу, екстерни диск, два телефона и сервер соба. Сваки уређај је потенцијални извор доказа; Сваки погрешан потез је доказ који ће на суду бити одбијен. Прибављање доказа је процес хватања и копирања дигиталних доказа нетакнутих, проверљивих и у складу са законом. У овој јединици ћете научити у којим корацима овог процеса вештачка интелигенција може безбедно да помогне и за којим корацима свакако треба да остане. Критичко правило од почетка: АИ не прикупља доказе и не снима слике; Помаже у прегледу и убрзању извођења прикупљених и верификованих доказа.
Налог за прикупљање и променљиви подаци
Постоји принцип приоритета у прикупљању доказа: редослед променљивости — прикупљање од података који најбрже нестају до најтрајнијих. На врху су променљиви подаци — садржај РАМ-а се губи када се уређај искључи, отворене мрежне везе, покренути процеси; Затим долази диск, па спољни снимци. Нестабилни подаци, једном изгубљени, не враћају се; Стога, у систему који ради, РАМ се избацује пре диска.
АИ не доноси одлуке у овој фази, али је корисна у изради контролних листа и нацрта процедура: „Шта треба да прикупим, којим редоследом, којим алатом, шта треба да документујем у овом сценарију?“ Сам процес прикупљања (везивање за блокирање писања, аквизиција слике, хеш верификација, заптивање) је у људским рукама и сваки корак је документован.
Савет: Пре него што почнете да бирате, објасните свој сценарио вештачкој интелигенцији и саставите „план секвенцијалног одабира нестабилности“; затим упоредите овај нацрт са стандардном процедуром ваше институције (нпр. локално законодавство и СОП лабораторије). АИ је подсетник, а не ауторитет.
Имагинг и хеширање: неприкосновени ланац
Са сваког прикупљеног уређаја узима се тачна слика. Док се слика увози, извор је заштићен блокатором писања; Када је слика готова, израчунава се хеш (пожељан је СХА-256; сам МД5 се сада сматра слабим). Овај хеш је отисак прста слике: мора бити исти при свакој хеш провери током прегледа, иначе ће слика бити оштећена. Образац ланца чувања (од кога, када, где је доказ узет, где је смештен, коме је достављен) ажурира се сваки пут када дође до промене власника.
АИ овде обавља два безбедна посла: (1) генерише шаблоне за ланац чувања и ознаке доказа који се попуњавају током прикупљања; (2) организује хешове и временске ознаке које сте прикупили за проверу доследности („да ли су ова три хеша иста, која слика припада ком уређају?“). АИ не израчунава сам хеш – чини га форензичким алатом; АИ само уређује запис.
Убрзање прегледа: права моћ вештачке интелигенције
Једном када су докази верификовани и слика снимљена, АИ заиста сија. Типичне области убрзања:
- Класификација датотека: груписање десетина хиљада датотека по типу, садржају и могућој релевантности и приоритетима за препоруку.
- Резиме текста и документа: Издвајање предмета и страна за дуге уговоре, е-поруке, транскрипте ћаскања.
- ОЦР и визуелни садржај: Издвајање текста из скенираних докумената (ОЦР — оптичко препознавање карактера, претварање текста у слику) и означавање објеката/текста на сликама.
- Екстракција ентитета (НЕР — препознавање именованих ентитета, проналажење именованих ентитета као што су особа, институција, налог, ИП из текста): листа лица, ИБАН, телефон, е-пошта, адреса крипто новчаника из хиљада докумената.
- Опис кода и команде: Објасните једноставним језиком шта ради пронађена скрипта или историја команди (треба да се провери).
У сваком, излаз је почетна тачка; Одлуку о релевантности и доказној вредности доноси вештак.
Пажња: АИ која каже „ова датотека је небитна“ није довољна да елиминише ту датотеку без прегледа. Тријажа смањује приоритет, али у критичним случајевима, узорковање се такође врши из кластера ниског приоритета. Лажни негативи (изостављање стварних доказа као „небитних“) су најскупља грешка у компјутерској форензици.
три мини кофера
Случај 1 — Поверљиви документ са ОЦР. Једна истрага о корупцији имала је 14.000 скенираних страница; ниједан од њих није био текст за претраживање. Помоћу ОЦР-а који покреће АИ, све странице су транскрибоване и тражене обрасце као што су „оффсхоре“, одређени назив компаније и ИБАН. 9 критичних страница пронађено за 40 минута; Читање руком би трајало недељама. Свака страница је затим стручно верификована.
Случај 2 — Мрежа односа закључивања ентитета. Једна датотека за превару садржала је 6.200 е-порука. Са НЕР-ом су извучени сви контакти, налози и телефони и креирана је листа веза; Тако су се појавила два досад незапажена брокерска рачуна. АИ је означио везу; Тужилац је потврдио доказе у самим мејловима.
Случај 3 — Опасност од лажних негатива. Један тим је желео да потпуно елиминише скуп од 30.000 фајлова које је АИ назвао „мало интересовање“. Виши стручњак насумично је узео узорке од 2% из овог кластера и пронашао критични запис у њему: АИ је погрешно класификовао датотеку због необичног проширења. Дисциплина узорковања је спасила случај.
Четири шаблона за копирање
1) Нацрт плана прикупљања:
Ваша улога: специјалиста за форензичку наплату на месту злочина. Сценарио: [на рачунару, 2 телефона, 1 НАС, покренут сервер]. Наведите план прикупљања за мене по редоследу нестабилности: шта да прикупим за сваки уређај, који алат се препоручује, шта да документујем. Имајте на уму да је ово нацрт и да захтева потврду у складу са локалним законодавством.
2) Шаблон ланца надзора:
Генеришите ми шаблон обрасца за ланац старатељства: укључите број доказа, опис уређаја, серијски број, сакупљач, датум/време, метод прикупљања, хеш (СХА-256), примаоца, достављача, локацију за складиштење и линије за сваки пренос.
3) Захтев за групну тријажу фајлова:
Даћу вам листу датотека (име, величина, датум, екстензија). Групишите према високој/средњој/ниској вероватноћи форензичког интересовања и напишите ОПРАВДАЊЕ. Напомена: „низак“ се не елиминише, већ се само даје приоритет. Означите оне са неслагањем садржаја екстензија одвојено.
4) Објасните пронађену скрипту:
Објасните ову историју скрипте/команде у форензичком контексту: шта ради, који приступ датотеци/мрежи има, има ли трагова постојаности или ексфилтрације података? Повежите сваку тврдњу са линијом у скрипти. Ако нисте сигурни, означите то као „мора бити верификовано“.
Слаби промпт / Јаки промпт
Слабо обавештење:
Одвојите ове датотеке према важним.
„Субстанцијално“ је недефинисано; АИ разматра сопствене претпоставке и може пропустити критичне доказе.
Снажан упит:
Ваша улога: форензички тријажни аналитичар. Контекст: Истражујемо инцидент са софтвером за рансомваре, шифровање и ексфилтрацију података. Даћу вам листу датотека са именом, величином, датумом креирања/модификације и екстензијом. Задатак: алат за шифровање, компресија/архива, необична екстензија, промењена у последња 72 сата, и означити велике датотеке за извоз као високи приоритет; Напишите образложење за сваку одлуку. Ако проширење не одговара очекиваном садржају, такође упозорите. Немојте рећи "избриши/одбаци" ниједну датотеку; само дајте приоритет.
Контекст, циљ и ограничење „немој рећи брисати“ чине излаз корисним и безбедним.
Колекција у односу на преглед: дијаграм улога АИ
Стаге
Да ли је АИ безбедан?
АИ посао
мушки рад
Променљиво прикупљање података
Не (одлука)
нацрт плана
Збирка, документација
аквизиција слике
бр
шаблон
Блокатор писања, хеш
Хеш верификација
бр
редослед записа
Обрачун и потврда путем возила
Тријажа фајлова
Да
одређивање приоритета
одлука, узорковање
ОЦР/извлачење текста
Да
конверзија
провера тачности
закључак о ентитету
Да
Генерисање листе
Одлука о релевантности
Уобичајене грешке
- Покушавам да АИ "одради" брање. АИ не додаје; Он производи само планове и шаблоне. Слика и хеш су људска дела.
- Погрешити резултат тријаже као дефинитивну елиминацију. Не прескачите узорковање из кластера „ниског интересовања“.
- Цитирање ОЦР излаза без верификације. ОЦР може мешати слова (0/0, 1/л); Потврдите критичне вредности са извором.
- Слепо веровати проширењу. Екстензија је можда промењена; Проверите тип садржаја.
- Учитавање личних података у возило без маске. ТЦ/ИБАН/здравствени подаци могу да процуре у масовном закључивању.
Укратко
Прикупљање доказа је људска одговорност: редослед нестабилности, слика, хеш и ланац чувања су у људским рукама; Овде АИ само производи планове и шаблоне. Када су докази верификовани и слика снимљена, АИ додаје стварну вредност у убрзавању прегледа (тријажа, ОЦР, резиме, екстракција ентитета, белешка кода). Али сваки излаз је знак који треба проверити; Одлуку о релевантности и доказној вредности доноси вештак, који такође узима у обзир ризик од лажних негатива.
Задатак апликације
Опишите фиктивни сценарио инцидента (нпр., запослени се сумњичи да је ексфилтрирао податке). Прво нацртајте план са шаблоном „Нацрт плана прикупљања“ и упоредите га са локалном процедуром. Затим припремите списак узорака датотека од 20 линија и одредите му приоритет помоћу шаблона „Булк филе триаге“; ручни узорак најмање 10% и проверите класификацију АИ.
контролна листа
- [ ] Поставио сам план наплате по редоследу волатилности и упоредио га са процедуром.
- [ ] Добио сам слику и хеш преко човека/алата; Нисам то урадио од стране вештачке интелигенције.
- [ ] Ажурирао сам образац за ланац надзора сваки пут када је променио власника.
- [ ] Узео сам узорак из "ниског" кластера резултата тријаже.
- [ ] Проверио сам ОЦР и излаз средства са извором; Ја сам маскирао личне податке.