MADIK : uma abordagem multiagente para o exame pericial de sistemas computacionais

Abstract

O exame pericial de sistemas computacionais e evidências digitais é uma tarefa complexa que exige habilidades altamente especializadas para identi car, coletar e analisar vestígios importantes para a investigação de um crime. Muitos são os desa os para a realização de um exame satisfatório, uma vez que os recursos humanos e materiais, bem como o tempo disponível, são na maioria das vezes muito limitados. Com isso, nem sempre é possível realizar um exame tão abrangente e completo quanto o desejado. Este trabalho propõe o desenvolvimento e a utilização de um Sistema Multiagente na realização de exames periciais de sistemas computacionais. O sistema proposto, denominado Multi-Agent Digital Investigation toolKit (MADIK), apresenta uma arquitetura baseada na estrutura hierárquica das organizações, dividida em quatro níveis: estratégico, tático, operacional e especializado. Os agentes localizados em cada um desses níveis trabalham de forma distribuída e cooperativa para examinar as evidências digitais relacionadas a uma investigação. Suas descobertas e recomendações são registradas em uma estrutura compartilhada de blackboard, permitindo ao especialista humano avaliar e revisar os resultados obtidos. A estrutura do blackboard permite também que os agentes realizem a correlação de suas descobertas. Este trabalho apresenta a proposta do Sistema Multiagente (SMA), a implementa ção de um protótipo e os resultados obtidos ao longo de vários experimentos. Os resultados obtidos foram muito positivos, com bons níveis de abrangência da análise do conteúdo das evidências e de correlação de vestígios, e com a redução do tempo total necessário para realização dos exames periciais quando comparados a um examinador humano utilizando as ferramentas forenses atuais em um cenário de recursos materiais e tempo limitados. ______________________________________________________________________________ ABSTRACT

The forensic examination of computational systems is a complex task that demands highly specialized skills to identify, collect, and analyze evidence of interest to the investigation of a crime. Many are the challenges on the way to a satisfactory examination, since the resources, both human and material, as well as the time available, are often limited. So it's not always possible to perform an examination as complete as desired. This work proposes the use of a Multi-Agent System in the performing of forensic examination of computational systems. The proposed Multi-Agent System (MAS), named Multi-Agent Digital Investigation toolKit (MADIK) presents an architecture based on the hierarchical structure of organizations, divided into four layers: strategic, tactical, operational and specialized. The agents in each one of these layers work in a distributed and cooperative manner to examine the digital evidence related to the investigation. Their ndings and recommendations are placed in a blackboard shared structure, that allows the human specialist to evaluate and review the obtained results. The blackboard structure also allows other agents to correlate their ndings with others. This work presents the proposed system, a working prototype and the results obtained after a series of experiments. The obtained results where very positive, with good coverage levels in the digital evidence content analysis and correlation of ndings, as well as reduction in the time required to perform the forensic examination when compared to those obtained by a human examiner using the currently available forensic tools in a scenario of limited time and material resources.