إدارة القضايا
تضم القضية الأدلة، ومهام الرصد التي أنتجتها، والتحليل الذي أُجري عليها، والتقارير المستمدة منها. والعمل محصور في نطاق القضية بدل أن يُجمع في مستودع واحد.
محطة التحليل
حيث تتحول الملاحظات إلى قضية
محطة التحليل هي بيئة المحلل. تستقبل ما رصدته المستشعرات، وتربطه عبر المصادر وعبر الزمن، وتحفظه ببيانات منشئه كاملة، وتحوّله إلى شيء يستطيع المحقق أن يبني عليه وأن يدافع عنه.
بيئة المحلل
مبنية حول القضية، لا حول عملية الالتقاط
عملية الالتقاط ليست تحقيقًا. ومحطة التحليل منظَّمة حول القضايا — وهي الوحدة التي يعمل فيها المحقق فعلًا — بحيث تُلحق الأدلة والربط والتحليل والتقارير كلها بالقضية التي تملكها.
استيراد الأدلة
تُدقَّق عمليات الاستحواذ الواردة من Guardian وملفات التصدير الواردة من مستشعر الهاتف عند دخولها. وحين يحمل ملف التصدير توقيعًا، يؤدي إخفاق التدقيق إلى رفض الاستيراد رفضًا تامًا. وتُسجَّل نتيجة التحقق مع الدليل وتُنقل إلى التقرير، فلا تبقى حجية الدليل ضمنية أبدًا.
الربط بين المصادر
تُطابَق الملاحظات المأخوذة من الجهاز وتلك المأخوذة من الشبكة، حين تصف النشاط نفسه، في رواية واحدة. وتُعرض كل مطابقة ومعها الأساس الذي قامت عليه، ليوافق عليها المحلل أو يخالفها.
التحليل التاريخي
يُفحص النشاط عبر الزمن لا في لحظة واحدة — بما في ذلك مقارنته بسلوك الجهاز نفسه في وقت سابق.
الخط الزمني والخريطة
يمكن تتبع نشاط القضية زمنيًا وتحديد موضعه جغرافيًا، مع إعادة تشغيل زمنية عبر فترة كاملة بدل عرض ثابت واحد.
المؤشرات ومعلومات الشبكة
تُحفظ مجموعات مؤشرات الاختراق وقواعد بيانات معلومات الشبكة في المحطة، وتُوزَّع على أجهزة Guardian المسجَّلة، فيعمل الأسطول كله على أساس واحد متسق.
أسطول المستشعرات
اكتشاف أجهزة Guardian وتأكيد هويتها وتسجيلها ومراقبتها من مكان واحد، بما في ذلك حالتها التشغيلية والبرمجيات التي تعمل عليها.
صلاحيات وفق الأدوار
يتبع الوصول الدور الوظيفي، ويمكن قصر الوصول إلى قضية على من يعملون عليها. وتشغيل جهاز Guardian وتحليل مواد القضية صلاحيتان منفصلتان، تُمنح كل منهما باستقلال عن الأخرى.
التقارير والتصدير
تُجمَّع النتائج في تقارير تخاطب القارئ التقني وغير التقني، مع الإحالة إلى الأدلة الداعمة بدل اختزالها في ملخص.
الربط
مطابقات يمكنك مساءلتها
الربط هو الادعاء المركزي للمنصة، ولذلك بُني ليُسأل عنه. فحين تقترح محطة التحليل أن ملاحظتين تصفان النشاط نفسه، تبيّن سبب ذلك.
وتُدرَّج المطابقات بدل أن تُقرَّر: فالتطابق القوي الذي لا لبس فيه يُعرض على نحو مختلف عن مجرد الاتساق، وحيث لا تسند الأدلة مطابقة واثقة تقول المنصة ذلك بدل أن تفرض مطابقة.
لماذا يهم هذا استدلاليًا
سيُسأل المحقق: كيف عرفت أن سجلّين يصفان الحدث نفسه؟ والربط الذي لا يجيب عن هذا السؤال لا يصلح للاستعمال في قضية جادة. ولذلك يبقى أساس كل مطابقة مرفقًا بها.
القرار للمحلل لا للخوارزمية
مهمة المنصة أن تُبرز الاحتمالات وتُظهر منطقها. ولا تُعرض المطابقة قط بوصفها حقيقة مستقرة، وحيث لا تسند الأدلة مطابقة واثقة تسجّل المنصة ذلك بدل أن تختار. ويبقى تقدير ما تسنده الأدلة حكمًا لمن يتحمل مسؤوليته.
الذكاء الاصطناعي والتحليلات
أين يقع الذكاء فعليًا
يستخدم ForensicsGuard التعلّم الآلي والتحليل الخوارزمي في ثلاثة مواضع محددة. والدقة في التمييز بينها مهمة، لأن وزن كل منها في القضية مختلف اختلافًا كبيرًا.
- تحليل الشذوذ
- تحدد الأساليب الإحصائية وأساليب التعلّم الآلي النشاط الذي يحيد عن خط الأساس الراسخ للجهاز، ليتجه انتباه المحلل إلى ما هو غير معتاد لا إلى ما هو موجود فحسب.
- الربط
- تطابق الخوارزميات ملاحظات الجهاز وملاحظات الشبكة التي تصف النشاط نفسه، وتدرّج قوة كل مطابقة، وتُظهر الأساس الذي قامت عليه.
- توليد التقارير
- يصوغ نموذج لغوي يعمل محليًا مسودة النتائج ويشرحها بلغة مقروءة. ويُدقَّق ما ينتجه في مقابل بيانات القضية قبل أن يراه المحلل، ويُستبدل أي قسم يخفق في هذا التدقيق بدل عرضه.
وتعمل هذه المواضع الثلاثة كلها داخل بيئتك. فلا شيء منها خدمة سحابية، ولا تُرسل مواد القضية إلى أي جهة للحصول عليها.
النموذج اللغوي يكتب عن النتائج. ولا ينتج نتيجة قط.
تُحسب الدرجات والأحكام من الأدلة حسابًا حتميًا — عمليات حسابية ثابتة على نتائج القواعد والشذوذ والربط، قابلة للتكرار من المدخلات نفسها. ولا يعود أي نص مولَّد ليؤثر فيها. وهذا الفصل مفروض في الشيفرة لا متروك للعرف، ولهذا يمكن تدقيق أي تقرير أُعد بمساعدة النموذج سطرًا سطرًا في مقابل الأدلة التي جاء منها.
تحليل محلي. بلا خدمات سحابية.
يجري الاكتشاف وترتيب الأولويات والربط وإعداد التقارير داخل بيئتك. وتبقى الأدلة تحت سيطرتك.
السلامة
بيانات المنشأ تنتقل مع الدليل
محطة التحليل هي النقطة التي تتحول فيها مواد من مصادر مختلفة إلى قضية واحدة. ولذلك فهي النقطة التي يجب أن تصمد فيها بيانات المنشأ أكثر من أي مكان آخر.
تدقيق عند الاستيراد
تُدقَّق مواد إثبات السلامة قبل دخول الدليل إلى القضية. وإخفاق فحص التوقيع يرفض الاستيراد، وتُسجَّل كل نتيجة مع الدليل.
ختم وتجزئة
تُحسب قيمة تجزئة للدليل عند استلامه، فيصبح أي تغيير لاحق قابلًا للاكتشاف بدل أن يُفترض عدم وقوعه.
الاحتفاظ بالمصدر
يبقى المستشعر الذي أنتجه، ووقت إنتاجه، ومهمة الرصد التي جرى في إطارها، مرفقًا بالمادة طوال عمر القضية.
وصول مُدقَّق
تُسجَّل الإجراءات التي تُتخذ على مواد القضية في سجل تدقيق، فتصبح طريقة التعامل مع الأدلة نفسها قابلة للمراجعة.
والآليات التشفيرية موصوفة في صفحة الأمن والثقة.
جرّبوها على شبكتكم
يضع النشر التجريبي جهاز Guardian ومحطة تحليل داخل بيئتكم، على شبكة تحت سيطرتكم، ويشغّل فريقكم سير العمل بنفسه.