Јединице
1. Увод у вештачку интелигенцију у форензици: улоге, границе, верификација, интегритет доказа и етика 2. Подршка за прикупљање доказа и испитивање: снимање, сортирање и убрзање анализе 3. Анализа евиденције и временске линије: постављање догађаја у исправан редослед 4. Тријажа великих података: давање приоритета терабајтима података 5. Е-Дисцовери: Проналажење релевантних доказа у корпоративним подацима 6. Малвер и мрежа форензичка анализа: обрнути инжењеринг за одбрану 7. Форензичка анализа мобилних уређаја, облака и апликација: ћаскање, подаци о локацији и апликацијама 8. Деепфаке и детекција синтетичких медија: лажна слика, аудио и видео верификација 9. Интегритет доказа, ланац надзора и правна прихватљивост 10. Нацрт извештаја и стручна презентација: Писање налаза разумљиво и одбрамбено 11. Ток рада од краја до краја, управљање лабораторијом, валидација и одговорно коришћење
Јединица 7 / 11

Форензичка анализа мобилних уређаја, облака и апликација: ћаскање, подаци о локацији и апликацијама

Добици:

  • Способност разумевања слојевите структуре мобилних података и података у облаку и израде резимеа ћаскања, мапе односа и описа локације са вештачком интелигенцијом
  • Способност да се избегне прекомерна тврдња навођењем тачности и извора података о локацији и повезивањем сваког резимеа са стварним записом на његовом извору
  • Могућност рада само у оквиру законског оквира и маскирањем ради заштите личних података и приватности трећих лица

Данас се докази у већини случајева не налазе ни на десктоп рачунару ни на серверу – они су унутар телефона, налога у облаку или базе података апликације за размену порука. Мобилна форензика (испитивање дигиталних доказа на паметним телефонима и таблетима) и форензика у облаку (испитивање података које држи провајдер услуга) постали су централни за савремену истрагу. У овој јединици ћемо видети како вештачка интелигенција помаже у разумевању ових веома личних и обимних података као што су транскрипти ћаскања, подаци о локацији и евиденције апликација, и зашто је приватност овде још важнија.

Природа и изазов мобилних података

Телефон; То је слојевито складиште доказа укључујући контакте, поруке (СМС и у апликацији), евиденције позива, фотографије, историју локација, историју прегледача, базе података апликација и дневнике обавештења. Ови подаци се обично чувају у СКЛите базама података (лака изворна база података коју обично користе мобилне апликације) и плист/КСМЛ датотекама. Алати као што су Целлебрите, Магнет АКСИОМ, Окиген издвајају ове податке; али извучени подаци су огромни и распршени.

Кључни изазов овде је контекст: која од хиљада порука има смисла, који разговор одаје догађај, који наратив подржавају подаци о локацији? Управо у овом раду контекстуализације и сумирања АИ додаје велику вредност — али пошто ради са веома осетљивим личним подацима, приватност је овде на врхунцу.

Опрез: Мобилни подаци и подаци у облаку су личне природе и често укључују податке трећих страна (лица које нису повезане са истрагом). Радите само у оквиру законских овлашћења (налог за претрес, сагласност) и ограниченог обима. Маскирајте личне податке ван домета када дајете податке АИ; Осигурајте да се подаци обрађују у одговарајућој јурисдикцији и поверљивом возилу.

АИ анализа ћаскања и порука

Подаци о размјени порука су једна од области у којима је АИ најјача:

  • Резиме разговора: Резимирање разговора хиљада порука са темом, страном и временском линијом.
  • Закључак о теми и односима: мапирање ко са ким разговара, колико често и о којим темама.
  • Означавање декодирања кода/сленга: Означавање еуфемизама, могуће кодне речи (није дефинитивно тумачење, али привлачење пажње).
  • Подршка за језик и превод: Превођење порука на страним језицима (коначна потврда у форензичком преводу од стране стручног преводиоца).
  • Откривање семантичког померања: Истицање промене тона, поверљивости или сигнала претње у разговору.

Сваки излаз треба да буде повезан са оригиналном поруком, а сажетак АИ никада не би требало да замени саму поруку. Резиме није доказ; Докази су права порука на свом извору.

Подаци о локацији: моћни, али обмањујући

Подаци о локацији (ГПС трагови, дневници мобилних торњева, историја Ви-Фи везе, фото ЕКСИФ подаци) су веома убедљиви докази, али су пуни замки. ГПС тачност варира; подаци ћелије имају границу грешке од стотина метара; ЕКСИФ (метаподаци уграђени у датотеку слике, као што су датум снимања/локација/уређај) фотографије је можда промењена. АИ помаже у трансформацији података о локацији у временско-просторну причу, али на стручњаку је да процени тачност и алтернативна објашњења.

Савет: Када тумачите податке о локацији, замолите АИ да наведе извор и тип тачности сваке тачке (ГПС, ћелија, Ви-Фи). Уместо да се каже „особа је била тамо“, много је форензички тачније рећи „уређај је био у овој области са овом тачношћу“.

Форензичка анализа облака

Подаци се све више селе у облак: е-пошта, синхронизација датотека, резервне копије, размена порука. У форензичкој анализи облака, подаци се чувају код провајдера, а не на уређају; Приступ се обично врши преко легитимног захтева, акредитива налога или АПИ-ја. Изазови: стална промена података (живи налог), јурисдикција (у којој се земљи налазе подаци) и доступност дневника. АИ помаже да се сумирају извучени подаци у облаку (дневници активности, историја дељења, сесије уређаја) и означавају аномалије.

три мини кофера

Случај 1 — Резиме разговора је водио случај. 22.000 порука је уклоњено из једне апликације у истрази претњи. АИ је резимирао разговор по странама и темама и означио 3 прозора у којима се појачавао тон претње. Аналитичар је прочитао стварне поруке у овим прозорима и потврдио доказе; Били би потребни дани да се ручно прочита 22.000 порука.

Случај 2 — Тачност локације спречила је лажну причу. У првом нацрту је писало да је „осумњичени био на лицу места“. Експерт је од АИ тражио тип извора: подаци су са базне станице ћелије и имали су маргину грешке од 800 метара; Место злочина је било на ивици овог радијуса. Тврдња да је „дефинитивно било ту” исправљена је у „било је на овом подручју, али нема сигурности”. Зрно истине спречило је претерану тврдњу.

Случај 3 — Маскирање заштићене приватности. Један телефон имао је приватну преписку десетина људи који нису повезани са истрагом. Пре него што је дао податке АИ, тим је маскирао податке појединаца ван опсега и радио само са овлашћеним разговорима. Тиме је сачувана и доказна вредност и није нарушена приватност трећих лица.

Четири шаблона за копирање

1) Резиме ћаскања (у зависности од извора):

Ваша улога: мобилни форензички аналитичар. Даћу вам транскрипт ћаскања (временски жиг, журка). Резимирати по теми и времену; означите прозоре који садрже претње, приватност или необичан тон. Наведите одговарајући ред поруке за сваку заставицу. Наведите да сажетак није доказ, већ водич заснован на извору.

2) Мапа односа/комуникације:

Од ових записа комуникације (позив, позвани, време, трајање) креира се мапа односа: ко са ким најчешће комуницира и у којим временским периодима. Означите неуобичајене концентрације. Користите само записе у подацима; тумачење идентитета/намера.

3) Тумачење података о локацији:

Даћу вам локацијске тачке (време, координате, тип извора: ГПС/ћелија/Ви-Фи). За сваку тачку наведите извор и процењену тачност. Нацртајте временско-просторну причу, али користите језик „уређај је био у овој области са овом тачношћу“; Немојте рећи „та особа је била тамо“. Означите тачке ниске тачности одвојено.

4) Маскирање података ван опсега:

Ови мобилни подаци могу садржати личне податке трећих лица ВАН обима истраге. Опсег: [опсег датума + странке].Означите људе/разговоре који се појављују ван опсега као маскирне кандидате. маскираћу га и поново послати; У овом случају немојте правити детаљну анализу.

Слаби промпт / Јаки промпт

Слабо обавештење:

Прочитајте поруке на овом телефону и пронађите злочин.

Нема ограничења у погледу обима, ресурса или приватности; АИ обрађује податке ван опсега, производи субјективно тумачење „злочина“.

Снажан упит:

Ваша улога: мобилни форензички аналитичар. Правни опсег: Размена порука између [А] и [Б] од 1. до 15. маја. Даћу вам препис овог обима са временским жигом. Задатак: сумирати разговор према теми и времену; Истакните теме као што су трансфер новца, претње или тајни план састанка и цитирајте поруку за сваки знак. Ако видите податке треће стране који су ван опсега, немојте их обрађивати, будите упозорени. Одлуке о злочину/намјери; Размотрићу доказе.

Правни опсег, атрибуција извора и ограничење „расуђивања намере“ чине резултат корисним и легалним.

Табела извора података за мобилне/клауд

Извор

Садржај

Пажња

АИ допринос

ДБ за размену порука (СКЛите)

ћаскање, медији

Опоравак избрисаног записа

Резиме, ознака тона

Позив/СМС

дневник контаката

временски период

мапа односа

Локација (ГПС/ћелија)

време-простор

тачност

наративни обрис

Пхото ЕКСИФ

Датум/локација/уређај

заменљиви

Сажетак метаподатака

облачни дневники

сесија, дељење

надлежност

знак аномалије

Уобичајене грешке

  • Погрешио резиме са доказом. Доказ је порука у извору; Сажетак даје само упутства.
  • Апсолутно поверење у податке о локацији. Погрешно је рећи „дефинитивно је било“ без навођења тачности и извора.
  • Обрада личних података ван домета. Радите само у оквиру овлашћења.
  • Слепо веровати ЕКСИФ локацији. Метаподаци су можда измењени; унакрсно потврдити.
  • Не проверава форензички превод. АИ превод је нацрт; Стручни преводилац потврђује критичку изјаву.

Укратко

Мобилна и форензичка анализа у облаку је место где се налази већина савремених доказа. АИ; Пружа велику брзину у резимеу ћаскања, мапи односа, опису локације и анализи дневника у облаку. Али ови подаци су дубоко лични: људска је одговорност да ради у оквиру законског оквира, маскира податке трећих страна, наведе тачност локације и припише сваки излаз извору. Резиме није доказ; Доказ је стварни запис у извору.

Задатак апликације

Припремите временски обележен, двострани пример транскрипта ћаскања од 25-30 редова и листу локација од 5-6 тачака (без обзира на тип извора). Примените шаблоне „Резиме ћаскања“ и „Коментар података о локацији“; Повежите сваку поруку коју АИ означи са извором и проверите да ли је тачност у коментару локације исправно изражена.

контролна листа

  • [ ] Радио сам само у оквиру правног оквира и ограничен на њега.
  • [ ] Прикрио сам податке треће стране ван опсега.
  • [ ] Повезао сам сваки сажетак/ознаку са стварним записом из његовог извора.
  • [ ] Навео сам извор и тачност података о локацији.
  • [ ] Превод и коментаре сам сматрао нацртима и стручно их потврдио.