Capítulo 1 — Integridade e métodos de pesquisa avançada
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 Por que a integridade importa mais na perícia"]
N1["1.2 Validação, verificação, taxas de erro"]
N2["1.3 Evidências para pesquisa"]
N3["1.4 Pré-registro"]
N4["1.5 Conflitos e ferramentas"]
N5["1.6 Revisão ética"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 Por que a integridade importa mais na perícia"]
N1["1.2 Validação, verificação, taxas de erro"]
N2["1.3 Evidências para pesquisa"]
N3["1.4 Pré-registro"]
N4["1.5 Conflitos e ferramentas"]
N5["1.6 Revisão ética"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]
[1.1 Por que a integridade importa mais na perícia]
|
v
[1.2 Validação, verificação, taxas de erro]
|
v
[1.3 Evidências para pesquisa]
|
v
[1.4 Pré-registro]
|
v
[1.5 Conflitos e ferramentas]
|
v
[1.6 Revisão ética]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) aplicar princípios de integridade de pesquisa à pesquisa em perícia digital; (2) distinguir validação, verificação e estimativa de taxa de erro; (3) projetar estudos que usem evidências sintéticas ou obtidas licitamente; (4) pré-registrar hipóteses e planos de análise.
1.1 Por que a integridade importa mais na perícia
Achados periciais podem decidir liberdade, emprego e reputação. Uma pesquisa que exagera a confiabilidade de uma ferramenta pode chegar aos tribunais. A revisão da área feita por Garfinkel em 2010 alertou que faltavam à perícia digital os fundamentos científicos — corpora padronizados, taxas de erro, métodos reprodutíveis — que outras ciências forenses estavam sendo pressionadas a oferecer. Um projeto de doutorado deve reforçar esses fundamentos, não corroê-los. Para Ines, isso tem um significado concreto. Se ela relatar que o carving por cabeçalho e rodapé recupera a maioria dos arquivos do tipo JPEG sem declarar a fragmentação, um perito poderia repetir essa frase num laudo sobre um disco muito fragmentado, onde o método pode perder muito mais. Por isso, sua tese vincula cada valor de revocação às suas condições e ao seu intervalo.
1.2 Validação, verificação, taxas de erro
A ISO/IEC 27041 enquadra a validação como a produção de evidências de que um método é adequado ao propósito declarado, incluindo requisitos, desenho de testes e critérios de aceitação. A verificação confere se uma implementação ou execução específica se comporta como o método validado diz. Uma taxa de erro declara com que frequência, sob condições definidas, o método dá um resultado errado. A tese de Ines precisa manter esses três conceitos separados. No estudo dela, a validação é o desenho pré-registrado que mostra que a revocação pontuada por hash mede o que ela afirma medir. A verificação é a conferência de que cada execução usou o carver, as sementes e o pontuador arquivados. A taxa de erro é um menos a revocação para um nível de fragmentação declarado, relatada com seu intervalo de 95%.
1.3 Evidências para pesquisa
Material de casos reais traz problemas de privacidade, legais e de consentimento, e raramente pode ser compartilhado. Garfinkel, Farrell, Roussev e Dinolt (2009) defenderam corpora forenses padronizados para que os estudos possam ser repetidos. Ines constrói imagens de disco sintéticas com verdade de referência conhecida: cada arquivo, cada fragmento e cada exclusão é registrado na criação, de modo que a revocação pode ser medida com exatidão. Imagens sintéticas não eliminam todos os problemas. Elas respondem como o método se comporta sobre a saída do gerador, e Ines ainda precisa argumentar que o gerador se parece com mídias reais, razão pela qual um subestudo de realismo separado aparece em seu plano. Sem esse argumento, um leitor poderia descartar os valores de revocação como propriedades de um layout artificial e nada mais.
1.4 Pré-registro
Antes de conduzir o estudo principal, Ines escreve as hipóteses (H1: a revocação cai à medida que a fragmentação aumenta), as medidas primárias (revocação e precisão por imagem), a análise (estimativas intervalares, não apenas valores pontuais) e as regras de parada. Mudanças posteriores são permitidas, mas registradas com suas razões. Ela deposita o documento com o Prof. Achebe, com um commit datado, antes de gerar qualquer imagem do estudo principal. Essa ordem importa: se visse os resultados primeiro, ela poderia escolher os níveis de fragmentação ou as medidas que fazem o carver parecer melhor ou pior. O registro de desvios posterior é lido contra esse documento, para que os examinadores vejam quais escolhas foram fixadas de antemão.
1.5 Conflitos e ferramentas
Fornecedores de ferramentas podem financiar pesquisas. Financiamento, versões de ferramentas e qualquer relacionamento são declarados. O programa Computer Forensics Tool Testing do NIST mostra o valor de publicar abertamente especificações e resultados de testes. Ines não recebe financiamento de fornecedores, mas sua declaração ainda lista cada ferramenta pelo nome e pela versão, incluindo a versão do Python usada para construir as imagens e pontuar a saída. Um leitor que tente reproduzir um valor de revocação precisa dessa lista tanto quanto do código, e a política do Holloway Lab exige a declaração nos elementos pré-textuais da tese.
1.6 Revisão ética
Mesmo um trabalho sintético precisa de revisão ética se envolver pessoas — por exemplo, estudos com peritos. Os participantes consentem; seus dados de desempenho são pseudonimizados. O estudo principal de Ines não envolve participantes, por isso sua submissão ao comitê da universidade é curta: declara que todas as imagens são geradas, que nenhuma mídia real ou dado pessoal é usado e que nenhum malware é manipulado. O estudo futuro planejado sobre como os peritos interpretam recuperações parciais precisaria de revisão completa, com termos de consentimento e um plano para guardar as pontuações sob pseudônimos. Escrever a submissão curta agora dá ao comitê um registro para comparar mais tarde.
Exemplo resolvido
O primeiro rascunho de Ines afirma que seu carver é "preciso". Seu orientador pergunta: preciso em quê, sob quais condições, contra qual verdade de referência, com qual incerteza? Ela reescreve o objetivo: "Estimar a revocação do carving por cabeçalho e rodapé para arquivos do tipo JPEG em imagens sintéticas com 0%, 10% e 30% de fragmentação, com intervalos de 95%."
Caso sintético. O Holloway Lab, Ines e suas imagens são inventados.
Erros e limites
Imagens sintéticas simplificam as mídias reais. Os resultados se transferem apenas na medida em que o gerador imita a realidade; diga isso.
Exercícios
- EX001 — Três termos. Distinga validação, verificação e taxa de erro na pesquisa de métodos periciais. Rubrica: 3 = os três corretos, com exemplo; 2 = dois; 1 = um; 0 = nenhum.
- EX002 — Por que corpora. Por que Garfinkel et al. (2009) defenderam corpora padronizados? Rubrica: 3 = estudos repetíveis e comparáveis sem as barreiras dos dados de casos; 2 = parcial; 1 = vago; 0 = nada.
- EX003 — Verdade de referência. Que vantagem uma imagem sintética oferece para medir a revocação? Rubrica: 3 = verdade de referência conhecida de cada arquivo/fragmento; revocação exata; 2 = parcial; 1 = rapidez; 0 = nada.
- EX004 — Reescreva o objetivo. Reescreva "minha ferramenta é precisa" como um objetivo testável. Rubrica: 3 = medida, condições, verdade de referência, incerteza; 2 = três; 1 = vago; 0 = nada.
- EX005 — Itens do pré-registro. Liste quatro elementos de um pré-registro. Rubrica: 3 = hipóteses, medidas, análise, regras de parada/mudança; 2 = três; 1 = um; 0 = nada.
- EX006 — Declaração de financiamento. O que deve ser declarado quando um fornecedor financia pesquisa sobre ferramentas? Rubrica: 3 = financiamento, relacionamentos, versões das ferramentas; 2 = dois; 1 = um; 0 = nada.
- EX007 — Limite de transferência. Declare o principal limite para transferir resultados de imagens sintéticas para casos reais. Rubrica: 3 = realismo do gerador; declarar os limites; 2 = parcial; 1 = vago; 0 = nada.
Síntese
A pesquisa pericial precisa separar validação, verificação e taxas de erro, usar evidências compartilháveis com verdade de referência, pré-registrar e declarar interesses.
Continue estudando — capítulo 01 de 08
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →