Utilização de árvores de decisão para aprimorar a classificação de fragmentos

Abstract

A classificação de fragmentos de arquivos é uma parte essencial do processo de recuperação de dados em computação forense. Métodos que dependem de assinaturas de arquivo ou de estruturas do sistema de arquivos são amplamente utilizados, mas outros métodos são necessários na ausência de tais informações. Para esse propósito, este trabalho descreve um método flexível para aprimorar a classificação de fragmentos e a recuperação de arquivos por meio da aplicação de árvores de decisão. Arquivos de evidências de casos forenses reais foram utilizados para gerar um conjunto de fragmentos de testes e de validação. Para cada fragmento, 46 atributos foram extraídos e utilizados no treinamento das árvores de decisão. Em média, os modelos resultantes classificaram corretamente 98,78% dos fragmentos em tarefas de classificação binários e de 86,05% em tarefas de classificação multinomiais. Os resultados mostram que as árvores de decisão podem ser aplicadas com sucesso para o problema de classificação fragmentos e que apresentam bons resultados quando comparadas com outros métodos apresentados na literatura. Por conseguinte, o método proposto pode ser utilizado como um complemento aos métodos usuais de recuperação de arquivo, possibilitando um processo de recuperação de dados mais minucioso.