Capítulo 8 — Defesa e plano de publicação
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX045.
flowchart TD
N0["8.1 A defesa"]
N1["8.2 Perguntas prováveis"]
N2["8.3 Publicações"]
N3["8.4 Divulgação para profissionais"]
N4["8.5 Agenda futura"]
N5["8.6 Comunicação responsável"]
N6["8.7 Depois da defesa"]
N7["Declaração ética"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX045"]
Desenho lógico
flowchart LR
N0["8.1 A defesa"]
N1["8.2 Perguntas prováveis"]
N2["8.3 Publicações"]
N3["8.4 Divulgação para profissionais"]
N4["8.5 Agenda futura"]
N5["8.6 Comunicação responsável"]
N6["8.7 Depois da defesa"]
N7["Declaração ética"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX045"]
[8.1 A defesa]
|
v
[8.2 Perguntas prováveis]
|
v
[8.3 Publicações]
|
v
[8.4 Divulgação para profissionais]
|
v
[8.5 Agenda futura]
|
v
[8.6 Comunicação responsável]
|
v
[8.7 Depois da defesa]
|
v
[Declaração ética]
|
v
[Exemplo resolvido] --> [Exercício EX045]
Objetivos de aprendizagem
Você vai (1) preparar uma defesa de doutorado em perícia digital; (2) antecipar perguntas de método, jurídicas e éticas; (3) planejar publicações e produtos para profissionais; (4) definir uma agenda de pesquisa de pós-doutorado.
8.1 A defesa
Vinte e cinco minutos: problema, contribuição, gerador, piloto, resultados principais com intervalos, validação, limites, impacto. Os examinadores sondam o método e as afirmações. Ines ensaia duas vezes com o Prof. Achebe e uma vez com colegas de laboratório no papel de examinadores hostis. Ela reserva um slide para a sobreposição do intervalo de 10%, porque espera essa pergunta, e coloca o significado em linguagem simples da revocação de 0,58 ao lado da tabela de resultados principais. A apresentação termina com os limites, e não com o impacto, para que a última coisa que os examinadores vejam seja a fronteira da afirmação.
8.2 Perguntas prováveis
Por que cabeçalho e rodapé como linha de base? Porque é amplamente descrito e seus pressupostos são explícitos. Por que arquivos do tipo JPEG? São prevalentes e têm estrutura bem definida. Quão realistas são as imagens? Responda a partir do subestudo de realismo. Um advogado de defesa poderia usar seu trabalho contra um perito? Sim, se um laboratório se apoiar numa ferramenta não validada; isso é uma razão para os laboratórios validarem, não uma falha da pesquisa. Ines prepara uma resposta de uma linha para cada pergunta e uma indicação da página onde estão as evidências.
8.3 Publicações
Um artigo em periódico sobre método e resultados; um artigo curto que descreve o gerador para reutilização do conjunto de dados; uma nota para profissionais que explica o que as taxas de erro significam e o que não significam. Cada produto tem um público diferente. O artigo precisa mostrar método e intervalos para os pareceristas; o artigo do gerador precisa explicar entradas e sementes para que outros possam reutilizá-lo; a nota para profissionais precisa dizer, em palavras simples, que os valores se aplicam ao carving por cabeçalho e rodapé em imagens sintéticas e não avaliam nenhuma ferramenta comercial. Os três citam a mesma versão do arquivo de reprodutibilidade, de modo que os valores da nota para profissionais podem ser rastreados até as mesmas execuções do artigo.
8.4 Divulgação para profissionais
Ofereça o gerador aos laboratórios para seus próprios exercícios de validação, de forma coerente com a orientação da ISO/IEC 27041 sobre o uso de testes externos dentro de um processo de validação. A oferta vem com um guia curto que explica como um laboratório pode definir níveis de fragmentação semelhantes aos de seus próprios casos e pontuar seu próprio carver contra os manifestos. Ines deixa claro que cabe ao laboratório, e não ao estudo dela, decidir se sua ferramenta é adequada ao propósito. O guia também declara quais propriedades das mídias reais o gerador não modela, para que os laboratórios saibam o que suas próprias verificações precisam cobrir.
8.5 Agenda futura
Mais tipos de arquivo; layouts realistas de sistemas de arquivos; métodos de remontagem; estudos de concordância entre peritos na interpretação de recuperações parciais. Cada item vem de um limite que ela relatou. Acrescentar tipos de arquivo responde ao limite da família única; layouts realistas respondem à crítica de realismo; os métodos de remontagem completam a comparação que o estudo principal deixou de fora; e o estudo de concordância trata de como os peritos redigem recuperações parciais. O Prof. Achebe sugere ordená-los por viabilidade para um projeto de pós-doutorado, começando pela comparação com a remontagem, porque o código já existe. Cada um reutiliza o gerador e os manifestos, de modo que não precisa de dados novos.
8.6 Comunicação responsável
A imprensa pode simplificar demais ("ferramentas forenses perdem 40% dos arquivos"). Prepare uma redação simples com as condições anexadas. A frase preparada por Ines diz: em imagens sintéticas com 30% de fragmentação, um método básico de carving recuperou intactos 58% dos arquivos de fotografia. Ela nomeia o método, as mídias e a condição. Ela também prepara uma resposta para a pergunta seguinte, sobre se as ferramentas reais são tão fracas assim: seu estudo não as testou, e os laboratórios devem conferir as suas. A assessoria de imprensa da universidade recebe a frase antes de qualquer entrevista, com as condições anexadas.
8.7 Depois da defesa
Faça as correções exigidas, deposite o arquivo de reprodutibilidade com um identificador persistente e atualize o README com a versão final. Cada correção é listada numa tabela com o comentário do examinador, a mudança e a página. Se uma correção alterar algum valor, os scripts são executados de novo a partir do arquivo marcado com tag, o manifesto é regenerado, e as versões antiga e nova são ambas mantidas. O identificador persistente passa então a apontar para a versão final depositada, que é a citada no artigo e na nota para profissionais.
Declaração ética
A tese termina com uma declaração: nenhuma mídia real, nenhum dado pessoal, nenhum malware manipulado; gerador liberado abertamente; resultados delimitados às condições declaradas.
Exemplo resolvido
Um examinador pergunta se uma revocação de 0,58 significa que as evidências obtidas por carving não são confiáveis. Ines responde: significa que o carving por cabeçalho e rodapé perde muitos arquivos fragmentados nestas imagens; os arquivos recuperados que correspondem a um hash conhecido continuam confiáveis pelo que são, e a ausência de um arquivo recuperado não mostra que o arquivo nunca existiu.
Caso sintético. A defesa é inventada.
Erros e limites
As defesas testam a comunicação tanto quanto o conteúdo; ensaie com colegas críticos.
Exercícios
- EX045 — Defesa da linha de base. Justifique o carving por cabeçalho e rodapé como linha de base. Rubrica: 3 = amplamente descrito; pressupostos explícitos; 2 = um; 1 = o mais fácil; 0 = nada.
- EX046 — Pergunta do advogado. Como Ines deve responder à pergunta do advogado de defesa? Rubrica: 3 = mostra a necessidade de validação pelo laboratório, não uma falha da pesquisa; 2 = parcial; 1 = evasiva; 0 = nada.
- EX047 — Três produtos. Nomeie três publicações ou produtos planejados. Rubrica: 3 = artigo em periódico, artigo do gerador, nota para profissionais; 2 = dois; 1 = um; 0 = nada.
- EX048 — Redação para a imprensa. Reescreva com exatidão "ferramentas forenses perdem 40% dos arquivos". Rubrica: 3 = método, tipo de arquivo, condições, sintético; 2 = parcial; 1 = inalterada; 0 = nada.
- EX049 — Inferência a partir da ausência. O que a falha em recuperar um arquivo por carving não mostra? Rubrica: 3 = que ele nunca existiu; 2 = parcial; 1 = que ele não existia; 0 = nada.
- EX050 — Depósito do arquivo de reprodutibilidade. O que acontece com o arquivo de reprodutibilidade depois da defesa? Rubrica: 3 = correções, depósito com identificador persistente, atualização do README; 2 = dois; 1 = um; 0 = nada.
Síntese
Defenda com afirmações precisas e delimitadas; planeje produtos para pesquisadores e profissionais; e comunique as taxas de erro com responsabilidade.
Continue estudando — capítulo 08 de 08
← Capítulo 07 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →
Resoluções
Respostas-modelo para EX001–EX050. O Holloway Digital Evidence Lab, Ines Varga, o Prof. Daniel Achebe e todos os valores são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. A validação mostra que um método é adequado ao seu propósito em relação aos requisitos; a verificação confere se uma execução ou implementação específica se comporta como o método validado; uma taxa de erro declara com que frequência o método erra sob condições definidas — por exemplo, revocação de 0,82 do carving em imagens 10% fragmentadas.
EX002. Corpora compartilhados permitem que pesquisadores diferentes repitam e comparem estudos sem as barreiras de privacidade e legais dos dados de casos reais.
EX003. Cada arquivo e cada fragmento são registrados quando a imagem é construída, de modo que os itens recuperados podem ser pontuados exatamente contra a verdade.
EX004. "Estimar a revocação do carving para arquivos do tipo JPEG em imagens sintéticas com 0%, 10% e 30% de fragmentação, relatando intervalos de 95%."
EX005. Hipóteses, medidas primárias, plano de análise e regras de parada e de registro de mudanças.
EX006. A fonte de financiamento, qualquer relacionamento com o fornecedor e as versões exatas das ferramentas testadas.
EX007. Os resultados valem apenas na medida em que o gerador sintético se parece com mídias reais; a tese precisa declarar quais características do mundo real não foram modeladas.
EX008. O armazenamento cresce mais depressa do que o tempo dos peritos, por isso os métodos precisam priorizar artefatos sem perder evidências decisivas.
EX009. Ele pressupõe que os bytes de um arquivo estão contíguos entre o cabeçalho e o rodapé, de modo que arquivos fragmentados capturam dados alheios no meio.
EX010. Sistemas operacionais e hardware de celulares mudam com frequência, de modo que uma ferramenta validada no ano passado pode se comportar de outra forma agora.
EX011. Trabalhar num laboratório isolado, com aprovação institucional e com controles que impeçam qualquer liberação de amostras.
EX012. Com que consistência os peritos expressam a força de seus achados e concordam sobre ela.
EX013. Ele é estreito, mensurável contra a verdade de referência e seguro de conduzir.
EX014. Exigia manipular malware ativo e obter amostras reais, o que pontuou mal em segurança e em acesso a dados.
EX015. Ele nomeia o artefato (gerador), as medidas (revocação e precisão com intervalos), os métodos e as condições controladas.
EX016. Funcional: o método recupera todo arquivo cujos bytes estão integralmente presentes. Não funcional: a mesma entrada produz saída idêntica em execuções repetidas.
EX017. Para que qualquer pessoa possa regenerar a imagem idêntica e verificar os resultados.
EX018. Para cada arquivo, seus intervalos de bytes na imagem e seu hash SHA-256.
EX019. Comparando as distribuições de tamanho de fragmentos com descrições publicadas; as afirmações de realismo se restringem a essas propriedades medidas.
EX020. Pelo nome e pela versão exata, com as configurações utilizadas.
EX021. Quatro arquivos recuperados; a e b corresponderam aos hashes da verdade; revocação 2/4 e precisão 2/4.
EX022. O arquivo c foi dividido por 50 bytes alheios, que o carver incluiu entre o cabeçalho e o rodapé, por isso o hash diferiu.
EX023. Seu rodapé estava ausente porque o arquivo foi truncado, então o carver leu até o fim da imagem.
EX024. O tamanho recuperado do arquivo c era próximo do tamanho verdadeiro, por isso o pontuador baseado em tamanho o contou erroneamente como recuperado.
EX025. A correspondência de hash falha com um único byte errado; a sobreposição de bytes mostra quanto de um arquivo foi recuperado, o que dá um quadro mais completo.
EX026. O gerador e o pontuador funcionaram como projetado, e cada falha foi explicada pelo manifesto de verdade de referência.
EX027. Revocação de 0,58, com intervalo de Wilson de 95% de 0,442 a 0,706.
EX028. Com 50 arquivos por condição, o estudo não consegue separar com confiança a condição de 10% dos resultados contíguos nem dos de 30%.
EX029. Ele dá intervalos mais confiáveis quando as proporções estão perto de 0 ou de 1, como na revocação contígua de 0,96.
EX030. Repetibilidade é o mesmo laboratório e o mesmo operador obtendo o mesmo resultado; reprodutibilidade é um laboratório ou operador diferente obtendo-o.
EX031. Remover dados inconvenientes enviesa os resultados; mantê-los e relatá-los é o honesto.
EX032. Uma versão mais nova do Python mudou o comportamento aleatório de uma função auxiliar; Ines fixou as versões exatas no arquivo de reprodutibilidade.
EX033. Comentário, categoria, resposta, mudança feita e localização na tese.
EX034. Ela apontou para o subestudo de realismo e reafirmou que as conclusões se limitam às propriedades que ele mediu.
EX035. Suas taxas descrevem apenas o método testado em imagens sintéticas; cada laboratório precisa validar suas próprias ferramentas e procedimentos.
EX036. "Os carvers falham" generalizava demais; a revisão declara a queda de revocação medida e suas condições.
EX037. Ela liberou o pontuador; o parecerista o executou em imagens independentes, reproduziu os resultados e retirou a objeção.
EX038. Registrá-las abertamente na tese como limitações ou trabalho futuro.
EX039. results/recall.csv, porque seu valor de revocação contígua tinha sido alterado de 0,96 para 0,98 depois de o manifesto ser criado.
EX040. O gerador com as sementes (e uma imagem de amostra), todo o código, os detalhes do ambiente com versões fixadas, os arquivos de resultados e um README que explica a reprodução.
EX041. Ambos usam valores de hash registrados para mostrar que o material não mudou desde que foi capturado, como a ISO/IEC 27037 espera para as evidências.
EX042. Ocupa muito menos espaço e permite que qualquer pessoa regenere imagens idênticas a partir das sementes registradas.
EX043. Um script usava um caminho específico do notebook de Ines; a troca por um caminho relativo resolveu o problema, e o manifesto foi atualizado.
EX044. Que os resultados preservados estão corretos — apenas que não mudaram.
EX045. É amplamente descrito na literatura e seu pressuposto de contiguidade é explícito, o que faz dele um ponto de referência claro.
EX046. O trabalho mostra por que os laboratórios precisam validar suas ferramentas; contestar um método não validado é o sistema funcionando, não uma falha do estudo.
EX047. Um artigo em periódico sobre o método e os resultados, um artigo curto sobre o gerador e o conjunto de dados e uma nota para profissionais.
EX048. "Em imagens sintéticas com 30% de fragmentação, o carving por cabeçalho e rodapé recuperou intactos 58% dos arquivos do tipo JPEG."
EX049. Que o arquivo nunca existiu na mídia; ele pode estar fragmentado, sobrescrito ou ser de outro tipo.
EX050. Ines faz as correções, deposita o arquivo de reprodutibilidade com um identificador persistente e atualiza o README para a versão final.