This work is an investigation into reconstructing fragmented ASCII files based on content analysis motivated by a desire to demonstrate machine learning's applicability to Digital Forensics. Using a categorized corpus of Usenet, Bulletin Board Systems, and other assorted documents a series of experiments are conducted using machine learning techniques to train classifiers which are able to identify fragments belonging to the same original file. The primary machine learning method used is the Support Vector Machine with a variety of feature extractions to train from. Additional work is done in training committees of SVMs to boost the classification power over the individual SVMs, as well as the development of a method to tune SVM kernel parameters using a genetic algorithm. Attention is given to the applicability of Information Retrieval techniques to file fragments, as well as an analysis of textual artifacts which are not present in standard dictionaries.

The fast capacity growth of cheap storage devices presents an ever-growing problem of scale for digital forensic investigations. One aspect of scale problem in the forensic process is the need for new approaches to visually presenting and analyzing large amounts of data. Current generation of tools universally employ three basic GUI components—trees, tables, and viewers—to present all relevant information. This approach is not scalable as increasing the size of the input data leads to a proportional increase in the amount of data presented to the analyst. We present an alternative approach, which leverages data visualization techniques to provide a more intuitive interface to explore the forensic target. We use tree visualization techniques to give the analyst both a high-level view of the file system and an efficient means to drill down into the details. Further, we provide means to search for keywords and filter the data by time period.

Digital forensics is the investigation and recovery of data from digital hardware. The field has grown in recent years to include support for operating systems such as Windows, Linux and Mac OS X. However, little to no support has been provided for less well known systems such as the FreeBSD operating system. The project presented in this paper focuses on creating the foundational support for FreeBSD via Volatility, a leading forensic tool in the digital forensic community. The kernel and source code for FreeBSD were studied to understand how to recover various data from analysis of a given system’s memory image. This paper will focus on the base Volatility support that was implemented, as well as the additional plugins created to recover desired data, including but not limited to the retrieval of a system’s process list and mounted file systems.

Este trabalho analisa a influência da qualidade na elaboração dos laudos periciais, e seu impacto nas decisões judiciais. Mostra os pontos aos quais o perito deve se ater para que seu laudo atinja o objetivo: transmitir corretamente a mensagem desejada, o resultado da perícia, através de um discurso compreensível para o magistrado, que possui um modo de pensar diferente do profissional tecnológico. Vários fatores influenciam na qualidade do laudo, e um laudo bem elaborado, bem como a proposição dos quesitos, envolve conhecimentos multidisciplinares em sua confecção. / This work analyzes the influence of quality in the preparation of forensic reports, and its impact on judicial decisions. It shows the key aspects that the expert should take care for his/her report get to its main objective: to correctly convey the desired message, the result of expertise, in a way that is understandable to the magistrate, who has a different way of thinking that is different from the technology professional. Several factors influence the quality of a forensic report. The development process of a well prepared report and the proposition of the issues of fact to be clarified, involve multi and inter disciplinary knowledge.

Le traitement d’images médicales a pour but d’aider les médecins dans leur diagnostic et d’améliorer l’interprétation des résultats. Les scanners tomo-densitométriques (scanners X) sont des outils d’imagerie médicale utilisés pour reconstruire des images 3D du corps humain.De nos jours, il est très important de sécuriser les images médicales lors de leur transmission, leur stockage, leur visualisation ou de leur partage entre spécialistes. Par exemple, dans la criminalistique des images, la capacité d’identifier le système d’acquisition d’une image à partir de cette dernière seulement, est un enjeu actuel.Dans cette thèse, nous présentons une première analyse du problème d’identification des scanners X. Pour proposer une solution à ce type de problèmes, nous nous sommes basés sur les méthodes d’identification d’appareils photo. Elles reposent sur l’extraction de l’empreinte des capteurs. L’objectif est alors de détecter sa présence dans les images testées. Pour extraire le bruit, nous utilisons un filtre de Wiener basé sur une transformation en ondelettes. Ensuite, nous nous appuyons sur les propriétés relatives aux images médicales pour proposer des solutions avancées pour l’identification des scanners X. Ces solutions sont basées sur une nouvelle conception de leur empreinte, cette dernière étant définie en trois dimensions et sur les trois couches : os, tissu et air.Pour évaluer notre travail, nous avons généré des résultats sur un ensemble de données réelles acquises avec différents scanners X. Finalement, nos méthodes sont robustes et donnent une précision d’authentification élevée. Nous sommes en mesure d’identifier quelle machine a servi pour l’acquisition d’une image 3D et l’axe selon lequel elle a été effectuée. / Medical image processing aims to help the doctors to improve the diagnosis process. Computed Tomography (CT) Scanner is an imaging medical device used to create cross-sectional 3D images of any part of the human body. Today, it is very important to secure medical images during their transmission, storage, visualization and sharing between several doctors. For example, in image forensics, a current problem consists of being able to identify an acquisition system from only digital images. In this thesis, we present one of the first analysis of CT-Scanner identification problem. We based on the camera identification methods to propose a solution for such kind of problem. It is based on extracting a sensor noise fingerprint of the CT-Scanner device. The objective then is to detect its presence in any new tested image. To extract the noise, we used a wavelet-based Wiener denoising filter. Then, we depend on the properties of medical images to propose advanced solutions for CT-Scanner identification. These solutions are based on new conceptions in the medical device fingerprint that are the three dimension fingerprint and the three layers one. To validate our work, we applied our experiments on multiple real data images of multiple CT-Scanner devices. Finally, our methods that are robust, give high identification accuracy. We were able to identify the acquisition CT-Scanner device and the acquisition axis.

Esta tese discute o papel da Análise Forense de Imagens como reguladora de mídia digital na sociedade. Isto inclui um estudo com mais de 400 indivíduos para determinar suas capacidades de detectar edições em imagens. Os resultados desse experimento indicam que humanos são facilmente enganados por imagens digitais, tendo dificuldades em diferenciar entre imagens pristinas e editadas. A tese então analisa a efetividade do arsenal de análise forense de imagens contra o estado-da-arte de composição de imagens. Através da análise de padrões fundamentais de imagens, as técnicas forenses são capazes de detectar a presença da maioria das operações de composição testadas. A tese então apresenta uma abordagem alternativa para análise forense de imagens, baseada na geração automática de planos. Ao tratar o processo de inspeção de uma imagem como um plano composto de múltiplos passos, propusemos uma arquitetura que é capaz de indicar os passos necessários para analisar uma imagem. Os planos são baseados em uma modelagem formal do conhecimento e técnicas forenses, de modo que possam ser traduzidos em passos a serem executados. A tese então demonstra que os limites de tal abordagem dependem da dificuldade de validar tal solução. Isso é uma consequência da natureza dos problemas de análise forense de imagens: essencialmente, são problemas de confiança distribuída entre indivíduos com acesso limitado à informação. Essa configuração é analisada de diferentes perspectivas em busca dos limites práticos para a análise forense de imagens digitais. Os resultados dessa análise sugerem que a área falha em produzir soluções acessíveis para a sociedade não por limitações técnicas, mas pela falta de um engajamento multi-disciplinar. A tese então discute como paradoxos filosóficos surgem naturalmente em cenários de análise forense de imagens. A análise forense de imagens digitais lida, essencialmente, com comunicação humana e, como tal, está sujeita a todas suas complexidades. Finalmente, é argumentado que o caminho para construir soluções úteis para a sociedade requer um esforço coletivo de diferentes disciplinas do conhecimento. É responsabilidade da comunidade forense desenvolver uma teoria epistemológica comum e acessível para este projeto coletivo. / This thesis discusses the role of Digital Image Forensics as a regulator of digital media in society. This includes a perceptual study with over 400 subjects to assess their ability to notice editing in images. The results of such experiment indicate that humans are easily fooled by digital images, not being able to tell apart edited and pristine images. The thesis then analyzes the effectiveness of the available arsenal of digital image forensics technology to detect image editing performed by state-of-the-art image-compositing techniques. By analyzing fundamental image patterns, forensics techniques can effectively detect the occurrence of most types of image compositing operations. In response to these two studies, the thesis presents an alternative approach to digital image forensics, based on automated plan generation. By treating the image inspection process as a plan comprised of different steps, it proposes an architecture that is able to guide an analyst choosing the next best step for inspecting an image. The generated plans are flexible, adapting on the fly to the observed results. The plans are based on a formal modelling of current forensics knowledge and techniques, so that they can be translated in steps to be executed. The thesis then shows that the limits of such an approach lie in the difficulty to validate results, which is a consequence of the setup of forensics problems: they are problems of distributed trust among parties with limited information. This scenario is analyzed from different perspectives in search for the practical limits of Digital Image Forensics as a whole. The results of such an analysis suggest that the field is lacking in providing practical and accessible solutions to society due to limited engagement in multidisciplinary research rather than due to limited technical proficiency. The thesis then discusses how paradoxes from philosophy, mathematics, and epistemology arise naturally in both real forensics scenarios, and in the theoretical foundations of the field. Digital Image Forensics ultimately deals with human communication and, as such, it is subject to all its complexities. Finally, it is argued that the path for providing useful solutions for society requires a collective engagement from different disciplines. It is the responsibility of the forensics community to develop a common, accessible epistemological framework for this collective enterprise.

A análise do DNA pode ser considerada um dos principais progressos técnicos para investigação criminal desde a descoberta das impressões digitais. Seu surgimento trouxe novos paradigmas para os critérios utilizados na formulação da culpabilidade no campo do Direito Penal, bem como no estabelecimento da certeza jurídica nas relações de filiação, campo do Direito Civil. Foi incorporada à rotina forense pelas polícias de países do primeiro mundo e começa a ser introduzida no contexto pericial em alguns Estados do Brasil. No entanto, o uso destas técnicas de identificação genética origina uma série de exigências de qualidade e excelência aos laboratórios que as realizam. Portanto, definição de normas, estabelecimento de padrões e criação de sistemas de credenciamento e certificação tornaram-se absolutamente necessários. Levando-se em consideração a crescente influência exercida pelo DNA no contexto forense, este trabalho teve como objetivo conhecer a realidade brasileira diante desta tecnologia e a importância da atuação do cirurgião-dentista na equipe forense. Para isso, tentou-se contato com o serviço oficial de identificação central da capital de cada um dos vinte e seis estados brasileiros além do Distrito Federal. Participaram da pesquisa 17 (dezessete) Estados (Minas Gerais, Goiás, Rio Grande do Sul, Pará, Pernambuco, Alagoas, Paraná, São Paulo, Paraíba, Bahia, Rio de Janeiro, Roraima, Amapá, Maranhão, Rio Grande do Norte, Ceará e Tocantins). A coleta de dados foi realizada através de um questionário. A partir deste foi possível estabelecer que a maioria dos serviços (88%) faz uso da técnica de identificação genética. Dentre estes, apenas o Rio Grande do Norte não adota protocolos de coleta e armazenamento das amostras biológicas. O sangue é a amostra biológica de eleição, porém em casos de ossadas ou quando o cadáver encontra-se carbonizado e/ou avançado estado de decomposição, os dentes são utilizados como fonte de DNA. Geralmente as amostras biológicas coletadas são provenientes de crimes sexuais. Apesar de marcas de mordida serem evidências freqüentemente encontradas em crimes desta natureza, a coleta de saliva (suabe) é realizada apenas em 43% dos Estados. Dentre as diversas categorias de profissionais que compõem a equipe de DNA forense, os farmacêuticos se destacam (43%). Possuem certificado de creditação apenas 50% dos laboratórios (São Paulo, Rio de Janeiro, Paraná, Rio Grande do Sul, Bahia, Roraima e Amapá). O presente trabalho permitiu compreender a maneira pela qual esses serviços estão se estruturando e desenvolvendo essa tecnologia. Através dos resultados obtidos neste estudo foi possível verificar a influência crescente exercida pela técnica de DNA nos processos de identificação, a importância da atuação de uma equipe multiprofissional - uma vez que a contribuição de cada área e a metodologia empregada no processo serão influenciadas pela condição do material biológico apresentado para o exame - e ressaltar a importância dos conhecimentos específicos do odontolegista, principalmente pelo fato dos elementos dentários e da saliva constituírem potenciais fontes de DNA. / The analysis of DNA can be considered major technical advances for criminal investigation since the discovery of fingerprints. Its emergence has brought new paradigms for the criteria used in the formulation of culpability in the field of criminal law, as well as the establishment of legal certainty in relations of affiliation, field of civil law. It was incorporated in routine forensic police from the countries of first world and beginning to be introduced in the context expert in some Brazilian states. However, the use of these techniques of genetic identification, gives quality requirements and excellence laboratories that perform them. Therefore, setting standards, setting principle and creating systems of accreditation and certification have become absolutely necessary. Taking into account the growing influence of the DNA in the forensic context, this study aimed to know the Brazilian reality on this technology and the importance of the role of surgeon-dentist in the forensic team. For this reason, attempts were made to contact the department\'s official identification center of the capital of each of the twenty-six Brazilian states than the Federal District. Participated in the survey 17 (seventeen) States (Minas Gerais, Goiás, Rio Grande do Sul, Para, Pernambuco, Alagoas, Paraná, São Paulo, Paraíba, Bahia, Rio de Janeiro, Roraima, Amapá, Maranhão, Rio Grande do Norte, Ceara and Tocantins). Data collection was conducted through a questionnaire. From this could be established that the majority of services (88%) made use of the technique of genetic identification. Among these, only the Rio Grande do Norte do not adopt protocols for collection and storage of biological samples. The blood is the biological sample of choice, but in cases of carcass or when the corpse is carbonized and / or advanced state of decomposition, the teeth are used as a source of DNA. Usually the samples are collected from sexual crimes. Despite the bite marks are frequently found evidence in such crimes, the collection of saliva (swab) is performed only in 43% of the states. Among the various categories of professionals who make up the team of forensic DNA, pharmacists are stressed (43%). They certificate of accreditation of laboratories only 50% (São Paulo, Rio de Janeiro, Paraná, Rio Grande do Sul, Bahia, Roraima and Amapá). This work could understand the way in which these services are structuring and developing this technology. Through the results of this study was to check the growing influence exercised by the technique of DNA in cases of identification, the importance of the many occupational, since the contribution of each area and the methodology employed in the process will be influenced by the condition of biological material submitted for review and emphasize the importance of specific knowledge of forensic dentist, mainly because of dental elements, in cases of advanced decomposition and charring, and the saliva, bite marks on this, are potential sources of DNA.

"Fire investigative methodologies were researched and analyzed resulting in the development of an organizational tool to be used for conducting fire investigations. The tool, or field-guide, was designed to aid the investigator in processing structural fire scenes. The tool accomplishes this by providing, 1) thirteen forms for properly documenting the scene, 2) flowcharts which can enhance the investigators intuition for the fire’s growth rate and spread, and 3) basic engineering correlations which can be used to help validate hypotheses the investigator may develop. By employing these methods, the field-guide can be effectively used to lead an investigator through the entire investigation process - from data collection, to the formulation of hypotheses, and ultimately, to quantitative validation."

Atualmente, muitos animais encaminhados para necropsia apresentam histórico de óbito ocorrido durante ou após procedimentos como banho e tosa, adestramento, traslados, permanência em hotéis e outras situações similares. Segundo relato de médicos veterinários e auxiliares presentes no local do óbito, grande parte desses animais ao serem manipulados apresentavam agressividade, ansiedade e agitação, e muitos vinham a óbito ainda nas mãos do próprio tosador, enquanto outros, minutos após a chegada em casa. Em um levantamento de exames necroscópicos contendo 1391 animais, realizados pelo Pet Legal Centro de Diagnósticos e Perícias na cidade de São Paulo, no período de 2004 a 2009, 95 cães e 16 gatos de ambos os sexos, e de diferentes raças e idades vieram a óbito durante os procedimentos descritos anteriormente. Em 28% dos casos, os animais vieram a óbito em conseqüência de traumatismos de origem mecânica contundente, tendo uma maior incidência de traumas em região de cabeça, caracterizados por fraturas e lesões de tecido nervoso, ocasionados por queda ou golpe, muitas vezes apresentando lesões de golpe e contragolpe. Em 72% dos casos, os animais vieram a óbito em conseqüência de um colapso respiratório, tendo como alterações principais a congestão, edema e hemorragias pulmonares, sendo esta última, determinante para o óbito. Nos casos de óbito por colapso respiratório, os animais apresentavam alterações em seu comportamento e na freqüência cardiorrespiratória, fato observado na ação de luta ou fuga e que faz parte da fase de alarme da síndrome geral de adaptação. Este é o primeiro trabalho em âmbito nacional que relata as causas de óbitos durante os procedimentos em petshops e similares, fornecendo as informações necessárias aos médicos veterinários, proprietários e principalmente às partes jurídicas, conferindo a esta última, respaldo forense no processo legal. / Nowadays, many animals sent for necropsy have a history of deaths that occurred during or after procedures such as bathing and grooming, training, transfers, staying in hotels and other similar situations. According to the report of veterinarians and assistants present in the place of death, most of these animals when manipulated were aggressive, anxious and agitated, and deceased even during groomer itself, while others, minutes after arriving home. In the survey of necropsies of 1391 animals, conducted at Pet Legal Centro de Diagnósticos e Perícias (a forensic service) in São Paulo from 2004 to 2009, 95 dogs and 16 cats of both sexes and of different breeds and ages deceased during the procedures described above. In 28% of cases the animals died as a result of blunt trauma of mechanical origin, with a higher incidence of trauma in the head, characterized by fractures and injuries to the nervous parenchyma, caused by fall or blow, often with coup and counter-coup lesions. In 72% of cases the animals died as a result of respiratory failure, having as main macroscopic alterations pulmonary congestion, edema and hemorrhage, the latter being a key determinant for death. In cases of death due to respiratory failure, the animals showed changes in their behavior and their cardio-respiratory frequency, which was observed in the action of \"fight or flight\" and is part of the alarm phase of the general syndrome adaptation. This is the first nationwide study reporting the causes of deaths during petshops and similars procedures, providing the necessary information to veterinarians, owners and especially in the legal, giving the latter, forensic support in the lawsuit.

Atualmente, muitos animais encaminhados para necropsia apresentam histórico de óbito ocorrido durante ou após procedimentos como banho e tosa, adestramento, traslados, permanência em hotéis e outras situações similares. Segundo relato de médicos veterinários e auxiliares presentes no local do óbito, grande parte desses animais ao serem manipulados apresentavam agressividade, ansiedade e agitação, e muitos vinham a óbito ainda nas mãos do próprio tosador, enquanto outros, minutos após a chegada em casa. Em um levantamento de exames necroscópicos contendo 1391 animais, realizados pelo Pet Legal Centro de Diagnósticos e Perícias na cidade de São Paulo, no período de 2004 a 2009, 95 cães e 16 gatos de ambos os sexos, e de diferentes raças e idades vieram a óbito durante os procedimentos descritos anteriormente. Em 28% dos casos, os animais vieram a óbito em conseqüência de traumatismos de origem mecânica contundente, tendo uma maior incidência de traumas em região de cabeça, caracterizados por fraturas e lesões de tecido nervoso, ocasionados por queda ou golpe, muitas vezes apresentando lesões de golpe e contragolpe. Em 72% dos casos, os animais vieram a óbito em conseqüência de um colapso respiratório, tendo como alterações principais a congestão, edema e hemorragias pulmonares, sendo esta última, determinante para o óbito. Nos casos de óbito por colapso respiratório, os animais apresentavam alterações em seu comportamento e na freqüência cardiorrespiratória, fato observado na ação de luta ou fuga e que faz parte da fase de alarme da síndrome geral de adaptação. Este é o primeiro trabalho em âmbito nacional que relata as causas de óbitos durante os procedimentos em petshops e similares, fornecendo as informações necessárias aos médicos veterinários, proprietários e principalmente às partes jurídicas, conferindo a esta última, respaldo forense no processo legal. / Nowadays, many animals sent for necropsy have a history of deaths that occurred during or after procedures such as bathing and grooming, training, transfers, staying in hotels and other similar situations. According to the report of veterinarians and assistants present in the place of death, most of these animals when manipulated were aggressive, anxious and agitated, and deceased even during groomer itself, while others, minutes after arriving home. In the survey of necropsies of 1391 animals, conducted at Pet Legal Centro de Diagnósticos e Perícias (a forensic service) in São Paulo from 2004 to 2009, 95 dogs and 16 cats of both sexes and of different breeds and ages deceased during the procedures described above. In 28% of cases the animals died as a result of blunt trauma of mechanical origin, with a higher incidence of trauma in the head, characterized by fractures and injuries to the nervous parenchyma, caused by fall or blow, often with coup and counter-coup lesions. In 72% of cases the animals died as a result of respiratory failure, having as main macroscopic alterations pulmonary congestion, edema and hemorrhage, the latter being a key determinant for death. In cases of death due to respiratory failure, the animals showed changes in their behavior and their cardio-respiratory frequency, which was observed in the action of \"fight or flight\" and is part of the alarm phase of the general syndrome adaptation. This is the first nationwide study reporting the causes of deaths during petshops and similars procedures, providing the necessary information to veterinarians, owners and especially in the legal, giving the latter, forensic support in the lawsuit.