Yapay zeka dijital adli bilim ve olay müdahalesi çalışmalarının bir parçası haline geldi; bunu yöneten bir politika olsun ya da olmasın. Sorun, bu araçların çıktılarına duydukları güven, uygulayıcıların bunu güvenilir şekilde doğrulama yöntemlerini geliştirmesinden daha hızlı artıyor. Yönetişim modelleri ve doğrulama standartları olmadan bu boşluk büyüyor ve nadiren bir iş istasyonuyla sınırlı kalıyor: doğrulanmamış bir bulgu adli rapora, duruşma tutanağına ya da mahkemeye gidebiliyor.
SANS bu yıl bu soruna yardımcı olmak için iki yeni yapay zeka çerçevesi oluşturdu: Dijital Adli Bilim ve Yapay Zeka Soruşturmaları Çerçevesi, bilimsel çalışma grubu Dijital Kanıtlar SWGDE tarafından oluşturulan güvenilir standartlara eşlendi; Olay Müdahalesi ve Yapay Zeka Soruşturmaları Çerçevesi ise NIST Siber Güvenlik Çerçevesi 2.0’a eşlendi. Her iki çerçeve de aynı ilkeye dayanıyor: Yapay zeka soruşturma çalışmalarını hızlandırabilir, ancak insan uzman son otoritedir ve her aşamada bu yetki onda kalır.
Doğrulamanın devredilemeyeceği noktalar
Dijital adli bilimde bir yapay zeka bulgusunu doğrulamak kaynak dosyada başlar. Bir araç kendi mantığını göstermiyorsa, kendisine eklenen güven skoruna bakılmaksızın zaten güvenilmez bir sonuç üretmiştir. Bir araç ayrıştırdığı belirli dosyayı gösteriyor ise, örneğin tarayıcı geçmişinin Chrome’un kendi veritabanından geldiğini iddia etmesi, bir uzmana nereden başlayacağı konusunda bir ipucu verir. İddia ilk bakışta makul görünür, ancak gerçek olarak kabul edilmeden önce bağımsız olarak doğrulanması gerekir.
Ben yüksek güvene sahip bir yapay zeka çıktısını, ödevinin bittiğinde ısrar eden üçüncü sınıf bir öğrenciye benzetiyorum. Bittiğini söylemek, doğru şekilde bitmiş olmakla aynı şey değildir ve güven miktarı bunu değiştirmez. Tek bilen yol doğrulamaktır; bir ebeveynin çocuğunun sözünü tek başına kabul etmek yerine ödevi kontrol etmesi gibi.
Alanda sık gördüğüm hata, yapay zekayı tek gerçek kaynağı olarak görmek. Uygulayıcı forumları aynı alışverişle dolu: Biri bir dosyayı tarar, bir algılayıcı bunu yapay zekayla oluşturulmuş olarak bildirir ve bu bulgu haline gelir. İddianın adlandırılmış bir kaynağı ve arkasında bir gerekçesi yoktur ve temel becerilerden yoksun bir uzman bunu yakalayamaz.
Kayıtın göstermesi gerekenler
Bir bulgunun neyin ürettiğini belgelemek, onu kontrol etmek kadar önemlidir. Birçok uzman yapay zeka kullanmadığını söylerken, makine öğrenmesi yıllardır adli araçlarının içinde cilt algılama, yüz benzerliği ve görüntü sınıflandırması yapıyor ve güveniyor oldukları güven skorlarını üretiyor. Yapay zeka bir adli ürüne gömülü olduğunda aracın adını vermek yeterlidir, çünkü karşı uzmanlar entegrasyonu kendileri araştırabilir. Genel amaçlı bir model için kullanılan tam sürümün kayıtta olması gerekir.
Sürüm geçmişi, uygulayıcıların beklediğinden daha fazla önem taşır, çünkü vaka çalışmaları ve yapay zeka yeteneği farklı zaman çizelgelerinde ilerler. Log dosyalarıyla yardımcı olacak aracın toplama sırasında var olmadığı bir vakada çalıştım. İki yıl sonra ifade verdiğimde teknoloji, soruşturma sırasında mevcut olandan çok daha ilerlemişti; bu, teknoloji o dönemde ne yapabilirdi konusunda net bir kayıt olmadan karşı avukatın kullanabileceği tam olarak bu tür bir boşluktur.
Tek bir politika her iki disiplini de yönetemez
Dijital Adli Bilim ve Olay Müdahalesi farklı risk toleranslarına sahiptir ve biri için yazılmış tek bir yapay zeka politikası diğerinde başarısız olur. Olay müdahalesi tasarım gereği daha fazla esneklik içerir, çünkü müdahale edenler her tek bit ve bayt üzerinde incelenmez ve kuruluşun ne olduğunu hızlıca bilmesi gerekir. Yapay zeka burada, algılamada ve bir insanın kolayca göremeyeceği etkinliği ortaya çıkarmada gerçekten yardımcı olur. Adli uzmanlar tam tersi baskı altındadır, çünkü her kaynak dosya doğrulama gerektirir; bu yüzden birçok kişi yapay zekanın işi azaltmaktan çok artıracağını bekler. Her iki içgörü de önlerindeki iş için doğrudur; bu yüzden iki çerçeve tek paylaşılan bir politika yerine ayrı belgeler olarak var.
Yapay zeka yeteneği, insan denetiminin yetişmesinden daha hızlı ilerliyor. Saldırı tarafında yapay zeka başarılı; savunma tarafında güvenlik ekipleri daha temkinli ve yavaş. Canlı bir olay sırasında bu boşluğu kapatmak, bir kuruluşun kendi araçlarına ne kadar güvendiğine bağlıdır. Bir ekip, sınırlama ya da önceliklendirme önerilerini yapan yapay zekayı oluşturduysa ve doğruladıysa, her adımı onaylamak yerine izleyen ve müdahale eden bir insan denetimi uygulanabilir. Aktif bir olay sırasında her bireysel eylem için onay istemek, hızın en çok önemli olduğu anda analisti hızla bunaltır.
Gerçek değişken uygulayıcıdır
Her iki çerçevenin her aşaması tek bir kısıtlamaya döner. Yapay zeka geri alınamayan bir eylemi asla gerçekleştirmemelidir. Kanıt toplama bunun nedenini gösterir: Bir araştırmacı sağlam bir edinim için tek bir fırsata sahiptir ve kusurlu bir edinim, sonraki analist ne kadar yetenekli olursa olsun analizi tamamen engeller. Hash doğrulaması güvenli bir şekilde otomatikleştirilebilir. Bulut verisinin nasıl çekileceğine, bir sahneye nasıl yaklaşılacağına ya da diğer sistemler arasında yanal hareketi yakalamak için araçların nasıl dağıtılacağına karar vermek otomatikleştirilemez, çünkü bu kararların hiçbiri geri alınamaz. Yasal yetki aynı mantıkla ilerler. Yapay zekanın bir konunun bağlantılı bir bulut hesabına sahip olduğunu işaretlemesi faydalıdır; yapay zekanın kendi başına bu veriyi toplaması, bir uzman tarafından geri alınamayan bir sınırı aşar ve bazı adli araçlar yapılandırılırsa bunu kendi başlarına yapabilir.
Bu, her iki çerçevenin operasyonel kullanım durumlarının ve aşamalar bazında ders eşlemelerinin arkasındaki gerçek argümandır. Bir soruşturmanın ayakta kalıp kalmaması, yapay zekayı çalıştıran uygulayıcıya bağlıdır. Altında yatan disiplini anlayan ve yapay zekayı bunun üzerine kullanan bir uzman kuruluşuna daha değerli olur. Deneyimsiz bir kişinin yapay zekayı kullanması bir mayın tarlasıdır ve bunun riskini dürüstçe değerlendirmek liderliğin görevidir.
DFIR’de savunulabilir bir yapay zeka uygulaması oluşturmak
Bu çerçeveler ele aldıkları teknoloji kadar dinamiktir ve yalnızca uygulayıcıların en güncel bilgiye sahip olması ve bunu uygulayacak alt yapı becerilerine sahip olması halinde etkilidir; araç size söylemeden önce eserlerin nerede yaşadığını bilmek, sağlam bir edinimin gerçekten ne gerektirdiğini anlamak ve bir model yanlış bir cevap ürettiğinde bunu tanımak gerekir. SANS’ın FOR498: Dijital Edinim ve Hızlı Triyaj, FOR508: Gelişmiş Olay Müdahalesi, Tehdit Avcılığı ve Dijital Adli Bilim ve FOR608: Kurumsal Sınıf Olay Müdahalesi ve Tehdit Avcılığı dersleri, her iki çerçevenin de kapsadığı aşamalar boyunca bu temeli oluşturur.
Aralık ayında SANS Siber Savunma Girişimi 2026’da FOR508: Gelişmiş Olay Müdahalesi, Tehdit Avcılığı ve Dijital Adli Bilim dersine Carlos Cajigas’ın anlatımıyla yüz yüze katılın.
SANS’ın DFIR eğitim teklifleri hakkında daha fazla bilgi edinin.
Not: Bu makale SANS Müfredat Başkan Yardımcısı Heather Barnhart tarafından uzmanlıkla yazılmış ve katkıda bulunulmuştur.
