Kazanimlar:
- Triyajın hiçbir şeyi silmeden inceleme sırasını belirleme disiplini olduğunu kavrayıp yapay zeka ile anlamsal arama ve içerik kümeleme yapabilme
- Hash tabanlı eleme (NSRL) ve de-duplication ile gürültüyü azaltıp bu yöntemlerin sınırlarını (tek bit değişimi) gözetebilme
- Anlamsal aramanın yanlış pozitiflerini elle teyit edip triyaj kararlarını gerekçesiyle belgeleyerek savunulabilir kılabilme
Modern bir adli inceleme, artık tek bir bilgisayarla sınırlı değil. Bir kurumsal olayda karşınıza onlarca disk, yüzlerce gigabaytlık e-posta arşivi, bulut yedekleri, sohbet uygulamaları ve terabaytlarca dosya çıkabilir. Hepsini baştan sona, tek tek incelemek fiziksel olarak imkânsızdır. İşte triyaj (triage — tıptan ödünç alınan bir kavram; sınırlı kaynağı en kritik vakaya önce ayırmak, yani "neye önce bakılacağına" hızlı karar vermek) burada devreye girer. Bu ünitede YZ'nin büyük veri yığınını nasıl akıllıca önceliklendirdiğini, hangi hatalara açık olduğunu ve triyajın adli bütünlükle nasıl uzlaştığını göreceğiz.
Triyaj neden zorunlu?
Adli bilişimde iki gerçek çatışır: (1) her delil değerlidir ve hiçbir şey atlanmamalıdır; (2) zaman ve insan gücü sınırlıdır. Triyaj bu çatışmayı çözer — hiçbir şeyi silmeden, sadece inceleme sırasını belirleyerek. Yani triyaj bir "eleme" değil, bir "önceliklendirme"dir. En yüksek delil olasılığı taşıyan veri önce incelenir; düşük olasılıklı veri saklanır ama sıraya sonra girer.
Triyaj iki düzeyde olur: canlı triyaj (olay yerinde, hangi aygıtın imajının önce alınacağına karar verme) ve veri triyajı (imajlar alındıktan sonra, hangi dosya/veri kümesinin önce inceleneceği). YZ özellikle ikincisinde, yani büyük veri kümesinin içeriğe dayalı önceliklendirilmesinde güçlüdür.
Triyajın adli açıdan hassas yanı şudur: sıralama kararı, incelemenin yönünü belirler. Yanlış önceliklendirilmiş bir küme, kritik delilin haftalarca geç bulunmasına, hatta bir soruşturma süresi dolduğu için hiç incelenmemesine yol açabilir. Bu yüzden triyaj bir "hız hilesi" değil, metodolojik bir karardır ve tıpkı diğer adli adımlar gibi gerekçesiyle belgelenmelidir. Yüksek riskli davalarda triyaj, tam incelemenin yerini almaz; yalnızca hangi bölümün önce ele alınacağını belirler ve tüm kümenin eninde sonunda değerlendirileceği ilkesi korunur.
İpucu: Triyaj kararlarınızı ve gerekçelerini kayıt altında tutun. "Neden bu kümeye önce baktık, neden şunu sona bıraktık?" sorusu mahkemede sorulabilir. YZ'nin önceliklendirme gerekçesini de bu kayda ekleyin; şeffaflık savunulabilirliktir.
YZ ile içerik tabanlı önceliklendirme
Klasik triyaj dosya adı, boyut ve tarihe bakar. YZ, buna içerik anlayışı ekler: bir belgenin ne hakkında olduğunu, bir görselin ne içerdiğini, bir sohbetin tonunu anlayabilir. Bu sayede:
- Anlamsal arama (semantic search — kelime birebir eşleşmese de anlamca yakın içeriği bulma): "para transferi" araması, "havale", "gönderim", "ödeme talimatı" geçen belgeleri de getirir.
- Konu kümeleme: Binlerce belgeyi otomatik olarak temalara (finans, İK, teknik, kişisel) ayırma.
- Duygu/ton işaretleme: Tehdit, panik, gizlilik ihlali gibi tonları taşıyan mesajları öne çıkarma.
- Görsel triyaj: Binlerce görseli nesne/sahne etiketiyle gruplama (yasal sınırlar içinde, ör. yalnızca yetkili ve uygun içerik).
- Yinelenen ve önemsiz eleme: Aynı dosyanın kopyalarını (de-duplication) ve sistem dosyalarını (bilinen hash listeleriyle) ayırıp insan bakışını gerçekten yeni içeriğe yöneltme.
Bilinen dosya eleme: NSRL ve hash kümeleri
Büyük veri triyajının en pratik hızlandırıcısı, bilinen iyi/kötü hash listeleridir. NSRL (National Software Reference Library) gibi kütüphaneler, milyonlarca standart işletim sistemi ve uygulama dosyasının hash'ini tutar. Bu "bilinen iyi" dosyalar triyajda elenerek insanın yalnızca kullanıcı-üretimi ve şüpheli dosyalara odaklanması sağlanır. Benzer biçimde "bilinen kötü" hash'leri (bilinen zararlı yazılım) otomatik işaretlenir. YZ bu eleme sonrası kalan, gerçekten anlam gerektiren kümede devreye girer.
Dikkat: Hash tabanlı eleme güçlü ama tek bitlik değişim hash'i tamamen değiştirir. Saldırgan standart bir dosyayı azıcık değiştirerek "bilinen iyi" listesinden çıkarabilir ya da tersine kötü dosyayı gizleyebilir. Eleme mutlak değil, öncelik aracıdır.
Üç mini vaka
Vaka 1 — Anlamsal arama zamanı 20'ye böldü. Bir iç soruşturmada 480 GB e-posta vardı. Klasik anahtar kelime araması "rüşvet" için 3 sonuç verdi. YZ destekli anlamsal arama, "danışmanlık ücreti", "kolaylaştırma", "teşekkür ödemesi" gibi örtük ifadeleri de yakaladı ve 61 ilgili mesaj çıkardı. İnceleme haftalar yerine 2 günde tamamlandı; her sonuç elle teyit edildi.
Vaka 2 — De-duplication insan gücünü kurtardı. 1,7 milyon dosyalık bir kümede, hash tabanlı yineleme temizliği ve NSRL elemesi sonrası incelenmesi gereken benzersiz kullanıcı dosyası 92.000'e indi. Ekip, %95'i sistem gürültüsü olan bir yığın yerine gerçek içeriğe odaklandı.
Vaka 3 — Aşırı güvenin bedeli. Bir ekip, YZ'nin "finans dışı" dediği kümeyi hiç açmadı. Sonradan anlaşıldı ki kritik bir sözleşme, kişisel bir fotoğraf albümünün içine gizlenmişti (steganografi değil, sadece yanlış klasör). Düşük öncelikli kümeden örnekleme yapılmadığı için delil gecikti. Ders: triyaj sırayı belirler, incelemeyi iptal etmez.
Dört kopyalanabilir şablon
1) Triyaj stratejisi taslağı:
Rolün: kıdemli adli triyaj uzmanı.Veri: [ör. 480 GB e-posta + 1,2 TB dosya paylaşımı].Soruşturma konusu: [ör. veri sızdırma + rüşvet].Bana bir triyaj stratejisi taslağı çıkar: hangi kümeyehangi sırayla, hangi kriterle bakılmalı; hash elemesi veanlamsal arama nasıl kullanılmalı. Hiçbir kümenin"iptal edilmeyeceğini", yalnızca sıralanacağını vurgula.
2) Anlamsal arama terim genişletme:
Konu: [rüşvet / veri sızdırma / taciz]. Bu konuylailgili belgeleri bulmak için birebir anahtar kelimelerinyanında örtük/eş anlamlı ifadeleri de listele (argo, kodkelime, dolaylı anlatım dahil). Amaç arama kapsamınıgenişletmek; her terimi kategorize et.
3) İçerik kümeleme:
Sana belge başlıkları/özetleri vereceğim. Bunları anlamlıtemalara (finans, İK, teknik, hukuki, kişisel) kümele veher belge için tema + kısa gerekçe ver. Temaya oturtamadığın"belirsiz" kümeyi ayrı işaretle; bu küme atlanmayacak, elleincelenecek.
4) Eleme sonrası öncelik raporu:
Bilinen iyi (NSRL) ve yinelenen dosyalar elendi. Kalanbenzersiz kullanıcı dosyaları için: soruşturma konusunagöre yüksek/orta/düşük öncelik ata ve GEREKÇE yaz. Uzantı-içerik uyumsuzluğu, şifreli/parolalı ve son 30 günde değişendosyaları ayrıca öne çıkar.
Zayıf prompt / Güçlü prompt
Zayıf prompt:
Bu verideki önemli dosyaları bul.
Konu, kapsam ve önceliklendirme mantığı yok; YZ kendi "önemli" tanımıyla kritik içeriği kaçırabilir.
Güçlü prompt:
Rolün: adli triyaj analisti. Soruşturma: bir çalışanınayrılmadan önce müşteri listesini sızdırdığı iddiası.Sana dosya meta verisi (ad, boyut, tarih, uzantı, yol)ve kısa içerik özetleri vereceğim. Görev: müşteri verisi,dışa aktarım/arşiv, bulut yükleme izi, USB/harici disk veson 60 gün içinde değişen dosyaları yüksek öncelik olarakişaretle; her karar için gerekçe yaz. Hiçbir kümeyi"incelenmez" deme; sadece sırala. Belirsizleri ayrı listele.
Somut konu, hedefli kriter ve "incelenmez deme" kısıtı çıktıyı hem verimli hem güvenli kılar.
Triyaj yöntemleri karşılaştırma tablosu
Yöntem
Ne yapar
Güçlü yanı
Riski
Hash eleme (NSRL)
Bilinen dosyayı ayırır
Çok hızlı, kesin
Değiştirilmiş dosya kaçar
De-duplication
Kopyaları teker
İnsan gücü tasarrufu
Yakın kopyayı atlayabilir
Anahtar kelime
Birebir terim arar
Basit, denetlenebilir
Örtük ifadeyi kaçırır
Anlamsal arama (YZ)
Anlamca yakını bulur
Örtük içeriği yakalar
Yanlış pozitif üretir
İçerik kümeleme (YZ)
Temaya ayırır
Genel bakış sağlar
Yanlış tema riski
Sık yapılan hatalar
- Triyajı eleme sanmak. Düşük öncelik "incelenmeyecek" değildir; örnekleme şarttır.
- Hash elemesine mutlak güvenmek. Tek bit değişimi hash'i değiştirir; kritik dava tam tarama isteyebilir.
- Sadece anahtar kelimeye güvenmek. Örtük ve kodlu ifadeler kaçar; anlamsal aramayla tamamlayın.
- Anlamsal aramanın yanlış pozitifini teyit etmemek. YZ ilgisiz belgeyi "ilgili" gösterebilir; okuyup doğrulayın.
- Triyaj gerekçesini belgelememek. Mahkemede "neden buna önce baktınız?" sorusuna cevabınız olmalı.
Özetle
Büyük veri triyajı, sınırlı zamanı en yüksek delil olasılığına yönlendirme disiplinidir — hiçbir şeyi silmeden, yalnızca sırayı belirleyerek. YZ; anlamsal arama, içerik kümeleme, ton işaretleme ve eleme sonrası önceliklendirmede büyük hız kazandırır. Ama hash elemesinin sınırlarını, yanlış pozitif/negatif riskini ve "düşük öncelik incelenmez değildir" ilkesini uzman gözetir. Triyaj kararlarını gerekçesiyle belgelemek, sonucu mahkemede savunulabilir kılar.
Uygulama görevi
30-40 satırlık örnek bir dosya meta verisi listesi (ad, boyut, tarih, uzantı, kısa özet) hazırlayın; içine birkaç "yanıltıcı" dosya (yanlış klasördeki kritik belge, uzantısı değiştirilmiş dosya) koyun. "Eleme sonrası öncelik raporu" şablonuyla önceliklendirin, sonra düşük öncelikli kümeden en az %15 örnekleme yaparak YZ'nin gözden kaçırdığı bir şey olup olmadığını kontrol edin.
Kontrol listesi
- [ ] Triyajı önceliklendirme olarak kurdum; hiçbir kümeyi iptal etmedim.
- [ ] Hash eleme ve de-duplication ile gürültüyü azalttım, sınırlarını akılda tuttum.
- [ ] Anahtar kelimeyi anlamsal aramayla tamamladım.
- [ ] Anlamsal/kümeleme çıktısının yanlış pozitiflerini elle teyit ettim.
- [ ] Triyaj kararlarını ve gerekçelerini belgeledim.