Capítulo 10 — Leitura e crítica de pesquisa
Mapa da aula
Aula 10 publicada. Mapa, exemplo, EX046.
flowchart TD
N0["10.1 Por que ler pesquisa"]
N1["10.2 Ler um artigo"]
N2["10.3 Exemplo: crescimento dos dados"]
N3["10.4 Exemplo: corpora"]
N4["10.5 Exemplo: hash de similaridade"]
N5["10.6 Crítica"]
N6["10.7 Da leitura à prática"]
N7["Escolher artigos"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX046"]
Desenho lógico
flowchart LR
N0["10.1 Por que ler pesquisa"]
N1["10.2 Ler um artigo"]
N2["10.3 Exemplo: crescimento dos dados"]
N3["10.4 Exemplo: corpora"]
N4["10.5 Exemplo: hash de similaridade"]
N5["10.6 Crítica"]
N6["10.7 Da leitura à prática"]
N7["Escolher artigos"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX046"]
[10.1 Por que ler pesquisa]
|
v
[10.2 Ler um artigo]
|
v
[10.3 Exemplo: crescimento dos dados]
|
v
[10.4 Exemplo: corpora]
|
v
[10.5 Exemplo: hash de similaridade]
|
v
[10.6 Crítica]
|
v
[10.7 Da leitura à prática]
|
v
[Escolher artigos]
|
v
[Exemplo resolvido] --> [Exercício EX046]
Objetivos de aprendizagem
Você vai (1) ler pesquisa pericial de forma crítica; (2) avaliar métodos, dados e afirmações; (3) traduzir a pesquisa em decisões de prática; (4) identificar lacunas que valem um estudo.
10.1 Por que ler pesquisa
A prática muda quando a evidência muda. A equipe de Marta mantém um grupo de leitura mensal e escolhe artigos ligados aos casos em andamento. Para a unidade de Marta, a pesquisa tem consequências práticas: um novo método de análise de memória ou de triagem pode mudar o que a equipe coleta no próximo incidente. Escolher artigos ligados aos casos em andamento mantém a discussão centrada nas decisões que a equipe realmente precisa tomar. Cada sessão termina com uma nota sobre o que, se for o caso, deve mudar. A presença é registrada, e cada perito apresenta um artigo pelo menos uma vez por ano.
10.2 Ler um artigo
Perguntas: qual é a afirmação? Que dados foram usados — sintéticos, reais, quantos? O método está descrito o bastante para ser repetido? Taxas de erro ou limites são relatados? Quem financiou? Essas perguntas valem igualmente para artigos clássicos e recentes, seja qual for sua reputação. Uma afirmação testada apenas com dados sintéticos pode não se sustentar nos sistemas da Corvane, e um método descrito com brevidade demais para ser repetido não pode ser validado localmente. As taxas de erro importam mais, porque um método usado em tribunal precisa ter limites conhecidos.
10.3 Exemplo: crescimento dos dados
Garfinkel (2010) argumentou que a "era de ouro" da perícia digital estava terminando à medida que cresciam os volumes de dados, a cifragem e a diversidade de dispositivos, e defendeu novas direções de pesquisa, incluindo dados padronizados e ferramentas modulares. A equipe se pergunta se sua abordagem de triagem seguida de imagem responde a esse desafio. A resposta da equipe é um sim parcial: a triagem seguida de imagem lida com o volume ao coletar seletivamente e gerar imagem só dos hosts significativos, como o CF-21 mostrou com nove imagens para 40 hosts. A cifragem e a diversidade de dispositivos continuam difíceis, como mostraram os dados inalcançáveis do caso do celular. A discussão e qualquer mudança proposta são registradas junto ao artigo no registro de leituras.
10.4 Exemplo: corpora
Garfinkel et al. (2009) descreveram a construção de corpora periciais padronizados para que os resultados pudessem ser comparados e as ferramentas testadas. A equipe usa isso para justificar a construção das próprias imagens sintéticas de teste para validação. Construir imagens sintéticas permite à unidade validar ferramentas como o agente de endpoint e o parser do celular sem expor dados pessoais reais. Conteúdos conhecidos significam que a equipe pode conferir o que uma ferramenta encontra em relação ao que de fato está lá. As mesmas imagens também sustentam os testes de proficiência semestrais, que precisam de casos com respostas conhecidas.
10.5 Exemplo: hash de similaridade
Kornblum (2006) introduziu o hash por partes disparado por contexto; Roussev (2010) propôs os resumos de similaridade (similarity digests). A equipe discute se a correspondência por similaridade poderia encontrar variantes do ransomware entre os hosts, e o que as taxas de falsas correspondências significariam na prática. A pergunta para a Corvane é concreta: os binários do ransomware em hosts diferentes podem ser pequenas variantes que os hashes exatos tratam como não relacionadas. Um método de similaridade poderia agrupá-las, mas uma falsa correspondência poderia ligar um arquivo inocente ao incidente. A equipe decide testar com variantes sintéticas antes de adotar qualquer coisa nos casos.
10.6 Crítica
Artigos fortes declaram seus limites; os mais fracos generalizam a partir de um único conjunto de dados. O grupo escreve uma crítica de um parágrafo por artigo. Para Kornblum (2006), por exemplo, a crítica observa que o método foi demonstrado com dados específicos e que seu comportamento nos tipos de arquivo da Corvane precisaria ser testado. Cada crítica termina dizendo se o artigo deve afetar a prática e que teste local o mostraria. O parágrafo nomeia a afirmação, os dados, o limite principal e a relevância para a Corvane, para que leitores posteriores o encontrem depressa. As críticas são arquivadas com o artigo no registro de leituras.
10.7 Da leitura à prática
O método de um artigo só entra na prática depois de validação local. Para o hash de similaridade, isso significa primeiro o teste de Aiyana com variantes sintéticas e depois a validação no corpus da própria equipe, com taxas de falsas correspondências medidas. Só então ele poderia se tornar um auxílio de triagem e, mesmo assim, os hashes exatos continuam sendo a base da identificação. O item em aberto na revisão do programa reflete que isso ainda não está concluído. O resultado da validação, com seus dados e taxas de erro, é registrado antes de qualquer mudança de procedimento. Um método reprovado na validação é anotado como tentado e rejeitado, para que a equipe não repita o trabalho.
Escolher artigos
O grupo escolhe artigos que tratam de uma decisão atual, alternando trabalhos clássicos e recentes, e registra por que cada um foi escolhido.
Exemplo resolvido
Depois de ler Kornblum (2006), Aiyana testa o hash de similaridade em binários sintéticos semelhantes a ransomware, modificados de formas pequenas. Os hashes exatos não correspondem a nenhuma das variantes; as notas de similaridade as agrupam com clareza. Ela propõe a correspondência por similaridade como auxílio de triagem, validada no corpus da equipe, com os hashes exatos ainda usados para a identificação.
Caso sintético. O teste é inventado.
Erros e limites
Artigos mais antigos podem descrever ferramentas ou sistemas que mudaram; confira se as constatações ainda se sustentam.
Exercícios
- EX046 — Perguntas de leitura. Liste quatro perguntas a fazer a um artigo. Rubrica: 3 = afirmação, dados, repetibilidade, limites/taxas de erro, financiamento (quaisquer quatro); 2 = três; 1 = uma; 0 = nada.
- EX047 — Garfinkel 2010. Resuma o argumento de Garfinkel (2010). Rubrica: 3 = crescimento dos dados, cifragem e diversidade encerram a era de ouro; nova pesquisa necessária; 2 = parcial; 1 = vago; 0 = nada.
- EX048 — Uso dos corpora. Como Garfinkel et al. (2009) sustentam a prática da equipe? Rubrica: 3 = justificam imagens de teste sintéticas e padronizadas; 2 = parcial; 1 = vago; 0 = nada.
- EX049 — Teste de similaridade. O que o teste de similaridade de Aiyana mostrou? Rubrica: 3 = os hashes exatos não pegaram as variantes; a similaridade as agrupou; 2 = parcial; 1 = vago; 0 = nada.
- EX050 — Regra para a prática. O que precisa acontecer antes de um método de pesquisa entrar na prática? Rubrica: 3 = validação local; 2 = parcial; 1 = vago; 0 = nada.
Síntese
A leitura crítica liga a pesquisa à prática, mas só a validação local dá a um método o seu lugar.
Continue estudando — capítulo 10 de 12
← Capítulo 09 (rascunho) · Índice de capítulos do curso · Capítulo 11 (rascunho) →