Failure Transparency in Android Forensic Parsing Under Schema and Representation Drift: A Controlled ALEAPP Microbenchmark
تُظهر هذه الدراسة أنه في حين يؤدي الانحراف المنضبط في المخططات والتمثيلات في أدوات التحليل الجنائي لنظام أندرويد مثل ALEAPP في كثير من الأحيان إلى أدلة غير مكتملة أو مفسرة بشكل خاطئ، إلا أن هذه الأدوات تخفق في توفير تشخيصات مرئية للمحقق لهذه الإخفاقات، مما يسلط الضوء على الحاجة الماسة لأطر التحقق التي تمنح الأولوية لشفافية الفشل جنباً إلى جنب مع دقة الاسترداد.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم التحقيقات الرقمية للهواتف المحمولة، غالباً ما تختبئ الأدلة الرقمية داخل البنية المعقدة والمتغيرة لتطبيقات الهواتف الذكية. فعندما يستخدم الشخص تطبيق مراسلة ما، تُخزن محادثاته وجهات اتصاله في قاعدة بيانات منظمة، تشبه إلى حد كبير مكتبة حيث لكل كتاب رف محدد وملصق محدد. وتعتبر الأدوات الجنائية هي "المكتبيين الآليين" المصممين للدخول إلى هذه المكتبة الرقمية، والعثور على الرفوف الصحيحة، وسحب الكتب التي يحتاج المحققون لقراءتها. تعتمد هذه الأدوات على خريطة لتخطيط المكتبة، حيث تعرف بالضبط أين تبحث عن اسم معين أو تاريخ معين. ومع ذلك، فإن المكتبة ليست ثابتة؛ ففي كل مرة يتم فيها تحديث التطبيق، يمكن أن يتغير التخطيط: قد يُعاد تسمية رف، أو يُعدل ملصق، أو قد تتغير طريقة تنظيم الكتب بالكامل. وإذا ظل المكتبي الآلي يستخدم الخريطة القديمة، فقد يمر بجانب الكتب التي يبحث عنها، أو والأسوأ من ذلك، قد يسحب الكتب الخاطئة ويقدمها على أنها الكتب الصحيحة، كل ذلك بينما يبدو وكأنه أدى مهمته على أكمل وجه. والسؤال الحاسم للمحققين ليس فقط ما إذا كانت الأداة تجد الدليل، بل ما إذا كانت الأداة تعرف متى فشلت في إيجاده.
تستكشف دراسة حديثة أجراها تارون بريثام بولا في معهد أوريغون للتكنولوجيا هذه المشكلة تحديداً باستخدام أداة جنائية شهيرة مفتوحة المصدر تسمى ALEAPP. أراد الباحث معرفة ما يحدث عندما تواجه الأداة قاعدة بيانات تغيرت بطرق لم تكن تتوقعها. وللقيام بذلك، صمم تجربة منضبطة باستخدام قواعد بيانات اصطناعية تحاكي تطبيق المراسلة واتساب (WhatsApp). احتوت هذه القواعد الوهمية على مجموعة معروفة من عشرين جهة اتصال وعشرين رسالة، مما شكل "حقيقة مرجعية" مثالية حيث يعرف المحقق بالضبط ما يجب العثود إليه. ثم أخضع الباحث هذه القواعد لخمسة أنواع مختلفة من التغييرات التي تحاكي تحديثات التطبيقات في العالم الحقيقي. كانت بعض التغييرات طفيفة، مثل إضافة عمود فارغ جديد إلى جدول، بينما كانت تغييرات أخرى أكثر زعزعة، مثل إعادة تسمية عمود حيوي أو تغيير طريقة تسجيل الوقت من الميلي ثانية إلى الثواني.
كشفت النتائج عن فجوة مقلقة بين أداء الأداة وقدرتها على التواصل بشأن قيودها الخاصة. ففي ثلاث حالات اختبار، فشلت الأداة في العثور على أي من جهات الاتصال العشرين التي كان من المفترض أن تجدها لأن أسماء جداول قاعدة البيانات أو أعمدتها قد تغيرت. وفي سيناريو آخر، وجدت الأداة خمس عشرة رسالة من أصل عشرين، لكنها أغفلت خمس رسائل لأن العلاقة بين نقاط البيانات قد تغيرت. وفي سيناريو أخير، وجدت الأداة جميع الرسائل العشرين، لكنها أخطأت في تفسير الطوابع الزمنية لخمس منها، حيث عرضت السنة بشكل خاطئ. والأهم من ذلك، أنه في كل حالة من حالات الفشل هذه، أنتجت الأداة تقريراً يبدو طبيعياً؛ فهي لم تتعطل، ولم تطلق ضوء تحذير، ولم تخبر المحقق بأن الأدلة قد تكون ناقصة أو غير صحيحة. وعندما لم تجد الأداة شيئاً، اكتفت ببساطة بعبارة "لم يتم العثود على بيانات"، وهي رسالة مطابقة لتلك التي تظهر عندما تكون قاعدة البيانات فارغة حقاً. وهذا يعني أن المحقق قد ينظر إلى تقرير ويعتقد أن الدليل غير موجود، بينما في الواقع كان الدليل موجوداً ولكن الأداة لم تعد قادرة على قراءة الخريطة.
ولاختبار ما إذا كان يمكن إصلاح هذا النقص في الشفافية، طور الباحث فحصاً بسيطاً وخفيف الوزن يسمى "الحارس الجنائي" (forensic guard). لم يكن هذا أداة جديدة مصممة لاستبدال برنامج التحليل (parser)، بل كان فحصاً مسبقاً يطرح بضعة أسئلة أساسية قبل أن يبدأ البرنامج الرئيسي في العمل: هل لا تزال الجداول المطلوبة موجودة؟ هل الأسماء للأعمدة صحيحة؟ هل لا تزال علاقات البيانات تطابق ما نتوقعه؟ وعند تشغيل هذا الحارس ضد نفس قواعد البيانات، نجح في رصد كل حالة فشلت فيها الأداة الرئيسية. لقد حذر المحقق عندما تغير هيكل قاعدة البيانات، مميزاً بين حالة غياب الأدلة فعلياً وحالة عدم قدرة الأداة ببساطة على فهم التخطيط الجديد. تشير الدراسة إلى أنه لكي تكون الأدوات الجنائية موثوقة حقاً، يجب ألا تكتفي بمجرد استعادة البيانات، بل يجب أن تكون قادرة أيضاً على الاعتراف بأن افتراضاتها لم تعد صالحة. وبدون هذه الشفافية، يظل الفرق بين قطعة دليل مفقودة وبين أداة معطلة أمراً غير مرئي للشخص الذي يحمل التقرير.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.