Ontologia aplicada no processo de Computac¸ a˜o Forense

Abstract

This paper presents a proposal to develop an ontology-supported knowledge base in the field of Computer Forensics. In order to improve operational efficiency of forensic examinations, a common vocabulary between the actors must be defined, as well as for the knowledge associated with forensic tools and techniques applied to each type of digital evidence. Resumo. Este artigo apresenta uma proposta para desenvolvimento de uma base de conhecimento, suportada por ontologia, no dom´ınio da Computac¸ a˜o Forense. Para promover ganhos na eficieˆncia operacional dos exames periciais, um vocabula´rio comum entre os atores deve ser definido, bem como para a gerac¸a˜o de conhecimento associado a`s te´cnicas e ferramentas forenses aplicadas em cada tipo de evideˆncia digital.

2. O Processo de Exame Pericial na Computac¸a˜ o Forense

seja, da prova objetiva ou material no campo dos fatos processuais [Garcia 2002]. Para a realizac¸a˜o de exame pericial, quesitos devem ser formulados pelas partes, como se infere da leitura do artigo 176 do Co´digo de Processo Penal brasileiro. Esses quesitos sa˜o remetidos aos o´rga˜os de Criminal´ıstica por meio de documento, o qual, neste trabalho, e´ definido como “Solicitac¸a˜o de Exame Pericial” ou “Guia de Exame Pericial”.

A evoluc¸ a˜o e aumento da complexidade dos exames periciais em meios digitais na˜o impacta apenas o trabalho do perito forense, mas em todo o ciclo da investigac¸a˜o na qual o artefato tecnolo´gico esta´ inserido. O exame pericial inicia-se a partir do documento de solicitac¸ a˜o de Exames Periciais expedido pela autoridade solicitante, que e´ encaminhado aos o´rga˜os da Criminal´ıstica, sendo designada ao perito forense executor dos exames. Como resultado do seu trabalho, o perito produz o documento denominado, no Brasil, “Laudo Pericial”. Um modelo de processo forense proposto em [ Kent et al. 2006 ] e aqui adaptado com a inserc¸a˜o da etapa de “solicitac¸ a˜o do exame” e´ apresentado na Figura 1. A etapa de solicitac¸a˜o de exame reflete o processo na maioria dos o´rga˜os de Criminal´ıstica no Brasil, quando a autoridade envia a referida requisic¸a˜o. Cabe salientar que, em alguns casos, essa etapa pode anteceder a etapa de coleta, quando esta possuir especificidade te´cnica ou por procedimento operacional do o´rga˜o.

Figura 1. Modelo de processo pericial, adaptado de [ Kent et al. 2006 ]

Em [ Nonaka and Takeuchi 2004 ], os autores afirmam que as atividades criadoras de conhecimento sa˜o captadas e recontextualizadas na base de conhecimento da organizac¸ a˜o como um todo, tanto para os conhecimentos expl´ıcitos quanto para os ta´citos. Logo, as atividades do processo de Computac¸a˜o Forense possuem o potencial de serem a fonte de dados para criac¸a˜o da base de conhecimento por meio de uma ontologia, definida em [ Gruber et al. 1993 ] como: “Especificac¸a˜o expl´ıcita de uma conceitualizac¸a˜o”, ou seja, uma conceitualizac¸a˜o compartilhada de um determinado dom´ınio de conhecimento. A ontologia pode ser utilizada como um esqueleto formado por um conjunto de termos ordenados hierarquicamente para descrever um dom´ınio, com o objetivo de construir uma base de conhecimento [ Swartout et al. 1996 ].

Uma base de conhecimento que possa receber consultas na linguagem da ontologia (SPARQL)1 promovera´ o conhecimento compartilhado sobre crimes digitais e computac¸a˜o forense entre a autoridade solicitante e o perito, de forma a direcionar as questo˜es a serem examinadas para a obtenc¸a˜o dos resultados esperados. Sem tal conhecimento, a autoridade solicitante pode ter uma visa˜o limitada das possibilidades investigativas de uma evideˆncia digital e, consequentemente, da capacidade de produc¸a˜o de prova material.

Entre as principais motivac¸o˜es no contexto das pericias digitais para desenvolvimento de uma ontologia para suportar uma base de conhecimento pode-se destacar: 1SPARQL - Simple Protocol and RDF Query Language falta de conhecimento por parte dos solicitantes das possibilidades de questionamentos, ou linha de investigac¸a˜o, sobre uma determinada evideˆncia digital, enderec¸ando a` per´ıcia quesitos inadequados ou com aspectos generalistas [ Velho et al. 2012 ]; diversidade das possibilidades de te´cnicas e ferramentas que podem ser empregadas em um determinado exame pericial em dispositivos eletroˆnicos[ Alzaabi et al. 2013 ]; ra´pida evoluc¸a˜o da tecnologia que produz diversas evideˆncias digitais relacionadas a crimes, assim como o crescimento do volume e complexidade das informac¸o˜es armazenadas [ C´ osic´ and C´ osic´ 2012 ].

Diante do exposto, este trabalho busca explorar o uso da ontologia na gesta˜o do conhecimento dos exames periciais na a´rea de computac¸a˜o forense, que tanto pode contribuir para a eficieˆncia operacional das atividades periciais, sobretudo pela definic¸a˜o de um vocabula´rio comum para os atores envolvidos.

3. Trabalhos Relacionados

A multidisciplinaridade do campo da Computac¸a˜o Forense esta´ refletida nos distintos trabalhos relacionados com ontologias sobre o tema. A investigac¸a˜o digital lida com uma massiva complexidade conceitual em va´rias camadas de abstrac¸a˜o. Portanto, dificilmente existira´ uma ontologia abrangente o suficiente para incluir todos os conceitos de interesse de cada investigador criminal [ Huang et al. 2010 ].

Em [ Alzaabi et al. 2013 ] e´ proposto um framework baseado em ontologias de dom´ınio distintas para cada tipo de evideˆncia digital conectadas por uma camada de extrac¸a˜o de conceitos e relac¸o˜es.

Uma ontologia voltada sobretudo a desenvolver formac¸a˜o profissional na a´rea dos crimes ciberne´ticos e´ proposta por [ Brinson et al. 2006 ]. O modelo apresentado possui cinco n´ıveis de estrutura hiera´rquica para o campo da Tecnologia, que esta´ desmembrada em Hardware e Software.

Em [ Park et al. 2009 ], os autores desenvolveram uma ontologia para o dom´ınio da Computac¸a˜o Forense com o objetivo de utiliza´-la nos processos de investigac¸a˜o dos casos criminais, e de aplica´-la na minerac¸a˜o de dados de crimes ciberne´ticos.

Os trabalhos sobre o tema de estudo supracitados refletem a grande abrangeˆncia e as poss´ıveis abordagens do campo da Computac¸a˜o Forense. Enquanto os dois primeiros, buscam representar de forma mais sisteˆmica o campo dos crimes digitais, inclusive os seus processos, o terceiro em forma de framework aborda os conceitos e conhecimentos mais espec´ıficos referente aos dispositivos digitais. As ontologias desses trabalhos na˜o estavam dispon´ıveis para reutilizac¸a˜o, mas os conceitos gerais da ontologia proposta neste artigo derivam das ideias dos seus respectivos autores. Cabe salientar que ale´m desses conceitos gerais da Computac¸ a˜o Forense, a ontologia proposta introduz o aspecto da comunicac¸a˜o dos demandantes dos exames, conforme apresentado na Figura 1.

4. Ontologia do Processo de Computac¸ a˜o Forense

No campo da Computac¸a˜o Forense, os crimes demandam o exame pericial em uma evideˆncia digital. As atividades que decorrem dessa afirmac¸a˜o definem os principais conceitos e relac¸o˜es da ontologia do processo dos exames periciais. A principal ideia de desenvolver uma ontologia para Computac¸a˜o Forense e´ construir uma base de conhecimento para apoio a decisa˜o dos atores. Para isso, os conceitos, relac¸o˜ es e demais componentes da ontologia foram especificados de forma a permitir: 1. padronizac¸a˜o de procedimentos;e 2. melhoria da comunicac¸a˜o entre os atores do processo pericial, por meio de um vocabula´rio comum.

A Figura 2, representa o dom´ınio do conhecimento a ser modelado pela ontologia. As treˆs principais a´reas do conhecimento que integram a Computac¸ a˜o Forense: “Exame Pericial”, “Crimes Digitais” e “Evideˆncia Digital”, fornecem informac¸o˜ es para especificac¸a˜o dos conceitos e relac¸ o˜es.

Figura 2. Dom´ınio do conhecimento a ser modelado pela ontologia

O escopo definido para o modelo ontol o´gico tem como objetivo principal a definic¸ a˜o de um vocabula´rio comum entre os atores: autoridade que solicita o exame e o perito dentro do exame pericial em Computac¸a˜o Forense. Esse vocabula´rio junto com informac¸ o˜es das te´cnicas e ferramentas aplica´veis nos exames, com suas respectivas relac¸ o˜es, podem servir, tambe´m, como refereˆncia para guiar o perito no processo da Figura 1 . Para atender esse objetivo, e´ necessa´ria a coleta de dados dos exames periciais, das solicitac¸o˜ es de per´ıcia, dos dispositivos de hardware, das evideˆncias obtidas, dos sistemas computacionais, das ferramentas periciais, entre outros dados do processo pericial.

4.1. Metodologia

Ap o´s a definic¸a˜o dos objetivos da ontologia de Computac¸a˜o Forense pretendida, escolheu-se a metodologia METHONTOLOGY [Ferna´ndez-Lo´ pez 1999], por apresentar um me´todo bem estruturado para a representac¸a˜o e detalhamento da ontologia, acrescida do t o´pico preliminar sobre as “Questo˜ es de Competeˆncia” do processo Ontology Development 101 [ Noy et al. 2001 ], que serviram como guia para o refinamento do seu escopo. Na Tabela 1 sa˜o apresentadas algumas das questo˜ es de competeˆncia sobre seu respectivo conceito.

4.2. Proposta de Ontologia - Processo de Computac¸ a˜o Forense

As informac¸ o˜es que alimentam a base de conhecimento, mais especificamente o conjunto das informac¸o˜ es das instaˆncias da ontologia, sa˜o extra´ıdas dos documentos periciais: “Solicitac¸a˜o de Exame Pericial” e “Laudo Pericial”, encontrados no laborat o´rio de

CONCEITO Dada uma Evideˆncia coletada de um Caso Criminal pergunta-se: Dado um Quesito de Solicitac¸a˜o de exame, pergunta-se: Dada uma ferramenta pericial, pergunta-se:

Tabela 1. Quest o˜es de Competeˆ ncia

QUESTO˜ ES Quais Te´cnicas Forenses podem ser aplicadas em uma determinada Evideˆncia? Quais Crimes envolvidos com um determinado tipo de Evideˆncia? Existe incompatibilidade nos Quesitos da Solicitac¸a˜o propostos? Quais Quesitos da Solicitac¸a˜o na˜o podem ser respondidos para determinada Evideˆncia? Quais Quesitos da Solicitac¸a˜o podem ser formulados para o exame de uma Evideˆncia envolvida em um determinado Crime? A Ferramenta Forense aplica-se a determinada Te´cnica Forense?

A Ferramenta Forense tem sido utilizada em uma determinada Evideˆncia? Computac¸a˜o Forense. O diagrama da Figura 3 apresenta os principais conceitos e relac¸o˜es definidos nas fases de especificac¸a˜o e conceitualizac¸a˜o da METHONTOLOGY. Do documento “Solicitac¸a˜o de Exame Pericial”, sa˜o extra´ıdas as informac¸ o˜es pertencentes as seguintes classes: “Caso Criminal”, “Ator”, “Crime”, “Solicitac¸a˜o de Exame”, “Quesito de solicitac¸a˜o exame”. Ja´ no documento “Laudo Pericial”, extraem-se as classes: “Evideˆncia” e seus tipos , “Te´cnica forense” e “Ferramenta Forense”.

Figura 3. Dom´ınio do conhecimento a ser modelado pela ontologia

A criac¸a˜o da ontologia foi feita com o apoio da ferramenta de edic¸ a˜o de ontologias Prote´ge´2. As informac¸o˜es sobre classes e relac¸o˜es coletadas dos documentos periciais sa˜o armazenadas em uma planilha no formato Microsoft Excel, que posteriormente servira´ de fonte de dados para popular um reposito´rio RDF criado a partir da ontologia.

5. Considerac¸o˜ es Parciais

Mediante os estudos realizados neste trabalho, pode-se observar que o desenvolvimento da ontologia para representar conceitos e relac¸o˜es da Computac¸a˜o Forense representa uma soluc¸ a˜o para a falta de estruturac¸a˜o e padronizac¸ a˜o de seus processos, sobretudo na comunicac¸a˜o, entre o solicitante dos exames e o perito. Com o uso da ontologia, pode-se fornecer informac¸ a˜o objetiva no processo de realizac¸a˜o da per´ıcia, a fim de evitar erros e guiar os atores nos mu´ltiplos caminhos do mundo da tecnologia da informac¸a˜o.

Posteriormente, deseja-se expandir a ontologia para representar o ciclo completo do processo de investigac¸a˜o dos crimes ciberne´ticos de forma flex´ıvel, adequando-se aos processos internos de cada departamento de investigac¸a˜o por meio da integrac¸a˜o da ontologia de modelagem de processos de nego´cios BPMNO3, que proveˆ a formalizac¸a˜o da parte estrutural dos diagramas de processo de nego´cio (Business Process Diagrams – 2http://protege.stanford.edu/ 3https://dkm.fbk.eu/bpmn-ontology/ BPD) [ Di Francescomarino et al. 2008 ]. Outra proposta de aperfeic¸oamento do modelo e´ implantar a conversa˜o automa´tica dos dados coletados no formato Microsoft Excel para um reposito´rio RDF com o apoio da ferramenta Karma [Knoblo ck et al. 2012 ].

Refereˆncias

Ferna´ndez-Lo´pez, M. (1999). Overview of methodologies for building ontologies. Garcia, I. E. (2002). Inque´rito: procedimento policial. Goiaˆnia: AB.

References

Alzaabi , M. , Jones , A. , and Martin , T. A. ( 2013 ). An ontology-based forensic analysis tool . In Proceedings of the Conference on Digital Forensics, Security and Law , page 123. Association of Digital Forensics, Security and Law.

Brinson , A. , Robinson , A. , and Rogers , M. ( 2006 ). A cyber forensics ontology: Creating a new approach to studying cyber forensics . digital investigation , 3 : 37 - 43 .

C´ osic´ , J. and C´osic´, Z. ( 2012 ). The necessity of developing a digital evidence ontology . In the proceedings of the Central European Conference on Information and Intelligent Systems , pages 325 - 330 .

Di Francescomarino , C. , Ghidini , C. , Rospocher , M. , Serafini , L. , and Tonella , P. ( 2008 ). Reasoning on semantically annotated processes . In International Conference on Service-Oriented Computing , pages 132 - 146 . Springer.

Gruber , T. R. et al. ( 1993 ). A translation approach to portable ontology specifications . Knowledge acquisition , 5 ( 2 ): 199 - 220 .

Huang , J. , Yasinsac , A. , and Hayes , P. J. ( 2010 ). Knowledge sharing and reuse in digital forensics . In SADFE , pages 73 - 78 .

Kent , K. , Chevalier , S. , Grance , T. , and Dang , H. ( 2006 ). Guide to integrating forensic techniques into incident response . NIST Special Publication , pages 800 - 86 .

Knoblock , C. A. , Szekely , P. , Ambite , J. L. , Goel , A. , Gupta , S. , Lerman , K. , Muslea , M. , Taheriyan , M. , and Mallick , P. ( 2012 ). Semi-automatically mapping structured sources into the semantic web . In Extended Semantic Web Conference , pages 375 - 390 . Springer.

Nonaka , I. and Takeuchi , H. ( 2004 ). Criac¸a˜o de conhecimento na empresa . Elsevier Brasil.

Noy , N. F. , McGuinness , D. L. , et al. ( 2001 ). Ontology development 101: A guide to creating your first ontology .

Park , H. , Cho , S. , and Kwon , H.-C. ( 2009 ). Cyber forensics ontology for cyber criminal investigation . In International Conference on Forensics in Telecommunications, Information, and Multimedia , pages 160 - 165 . Springer.

Swartout , B. , Patil , R. , Knight , K. , and Russ , T. ( 1996 ). Toward distributed use of large-scale ontologies . In Proc. of the Tenth Workshop on Knowledge Acquisition for Knowledge-Based Systems , pages 138 - 148 .

Velho , J. A. , Geiser , G. C. , and Espindula , A. ( 2012 ). Cieˆncias forenses-uma introduc¸a˜o a`s principais a´reas da criminal´ıstica moderna . Campinas: Millennium.