MH17 BUK útvonal-rekonstrukció: OSINT-módszertan

Hogyan azonosította a Bellingcat az MH17-es BUK szállítójárművét fedélzeti kamera felvételek, közösségi média képanyag és műholdas megerősítés alapján — lépésről lépésre bemutatott módszertani elemzés.

Geolokáció és kronolokáció

Kinek: Újságírók, Érdeklődők és tanulók, Biztonsági szakemberek

Miért érdemes tanulmányozni ezt az esetet

A Bellingcat vizsgálata az MH17 lelövéséhez kapcsolódó BUK rakétaszállítóról azon ritka nyilvános OSINT-esetek egyike, ahol minden elemzési láncszem dokumentált, a zsákutcák elismertek, és a megbízhatósági szint megjelölése elég explicit ahhoz, hogy auditálható legyen. Az elvont OSINT-munkafolyamatokat — gyűjtés, geolocation, korrelálás, értékelés — könnyű leírni. Ez az eset megmutatja, hogyan néz ki ez a lánc valójában terhelés alatt, és hol szakadhat el.

Az alábbiakban egy módszertani rekonstrukció következik: hogyan nézett ki a munkafolyamat lépésről lépésre, hol omolhatott volna össze az elemzés, és milyen megbízhatósági szintű kijelentések voltak alátámaszthatók az egyes lépéseknél.

Elsődleges források: a Bellingcat 2014 novemberi BUK-eredetvizsgálata, a Bellingcat esetanulmányok archívuma és az MH17 címkeindex. A geolocation-technikákra vonatkozó hivatkozások a Google Earth Pro dokumentációjára és a Sentinel Hub EO Browser műszaki dokumentációjára támaszkodnak.

1. fázis: Videóból kinyert képkockák és geolocation alapelvei

Először a gyűjtési higiénia

Az első feladat nem a geolocation volt — hanem a gyűjtési higiénia. Minden videóhoz és képhez, amely BUK szállítójármű-jelöltet mutatott, naplóbejegyzés kellett, amely tartalmazza a következőket:

• Az eredeti platform (melyik fiók, melyik fedélzeti kamerás csatorna)
• A feltöltés időbélyege (nem a felvétel ideje — ez egy fontos különbség)
• Megőrzési másolat (eredeti felbontásban, platformos tömörítés előtt)
• Metadata állapot (hogy az EXIF vagy egyenértékű adat jelen volt-e, vagy törölve lett-e)

Ennek a lépésnek az átugrása olyan problémákat okoz a folyamat során, amelyeket szinte lehetetlen utólag helyrehozni. Ha a nyers anyag chain of custody-ját nem lehet megállapítani, minden arra épített geolocation igazolatlan alapra épül.

A BUK-esetben a leginkább felhasználható anyagok az orosz videómegosztó platformokra feltöltött fedélzeti kamerás felvételekből, valamint az érintett városok látszólagos lakói által közzétett fényképekből kerültek elő. A fedélzeti kamerás felvételek elemzési szempontból erősek, mert a fedélzeti kamerák folyamatosan rögzítenek, sok esetben időbélyeget jelenítenek meg magán a képkockán, és rögzítik a környezeti kontextust — útburkolati jelzések, táblák, épülethomlokzatok, növényzet állapota — amelyek nagymértékben geolocálhatók.

A képkocka-kinyerés technikája

A videót ne narratív egységként, hanem egyenként geolocálható képkockák sorozataként kezeld. A gyakorlati munkafolyamat:

1. Nyerd ki a képkockákat olyan sebességgel, amely elegendő minden látható tereptárgy vagy útjellemző rögzítéséhez — a jármű-kísérő felvételek esetén másodpercenként egy képkocka ésszerű kiindulási ütem.
2. Jelöld meg azokat a képkockákat, amelyek egyszerre három vagy több földrajzi horgonypontot tartalmaznak: névvel ellátott útjelzőtáblát, azonosítható épületsarkot, közműoszlop-konfigurációt, festett útburkolati jelzéseket.
3. A térképes összehasonlítás megkezdése előtt minden képkockához készíts horgonypont-leltárt.

A BUK-rekonstrukcióban a kulcsfontosságú geolocation alapelvek az áthaladó felvételek hátterében látható épülethomlokzatok, jellegzetes útkereszteződés-geometriák, valamint egyes képkockákon olvasható utcatáblák voltak. Ezeket műholdas alaptérkép-képekkel vetettük össze, hogy minden megerősített képkockához terepi koordinátákat állapítsunk meg.

Megbízhatósági szint az 1. fázis végén

Az 1. fázis végén a védhető megbízhatósági szint szűk: „Ezt a járművet [koordináta] helyen tudjuk elhelyezni, körülbelül [idő]-kor, [n] független környezeti horgonyponthoz való vizuális egyezés alapján, körülbelül [x] méteres bizonytalansági sugárral.”

Ez semmit sem mond az eredetről, a tulajdonjogról vagy a szándékról. Azok az elemzők, akik ebben a fázisban a geolocation-megbízhatósági szintet az attribution-megbízhatósági szinttel mossák össze, olyan szerkezeti hibát visznek be, amely mindent megfertőz a folyamat során.

Zsákutca: Számos közkézen forgó videó mutatott BUK-típusú járműveket, amelyeket képkockánkénti elemzés alapján egyáltalán nem lehetett kelet-Ukrajnában elhelyezni — a háttér-architektúra, a növényzet és az útburkolati jelzések inkonzisztensek voltak az állított helyszínnel. Ezeket helyesen ejtettük el, ahelyett hogy az útvonalmodellbe erőltettük volna őket. Tudni, mikor kell elejteni egy anyagot, legalább annyira fontos, mint tudni, hogyan kell elemezni.

2. szakasz: Útvonal-rekonstrukció időbélyeggel ellátott képkockákból

Az útvonalpontok sorrendjének összeállítása

Miután az egyes képkockákat geolokalizálták, a feladat azok koherens útvonallá rendezésére tolódik. Ilyenkor válik kritikussá az időbeli metadata. Az időbélyegek több forrásból is származhatnak, eltérő megbízhatósági profilokkal:

• Képkockán megjelenő fedélzetikamera-időbélyegek: Magas megbízhatóságú, ha a kamera óráját szinkronizálták – a kamerákat azonban sokszor rosszul konfigurálják. Kiindulópontnak tekinthető, de nem alapigazságként.
• Platformra feltöltés időpontja: Megadja a rögzítés legkésőbbi lehetséges időpontját. Nem maga a rögzítési időpont.
• Napszög-elemzés: A látható égboltot vagy árnyékokat tartalmazó felvételek napállás-szoftverrel rögzítési időablakhoz köthetők. Ez független attól az órától, amelyet az eredeti rögzítő használt.
• Tanúk megerősítése: Azon személyek vallomásai, akik látták a konvojt, és akiknek saját, időbélyeggel ellátott tevékenysége – posztok, telefonálási adatok, vásárlások – kereszthivatkozással ellenőrizhető.

A BUK-útvonal esetében a csapat geolokalizált útvonalpontok sorrendjét állította össze a legvalószínűbb rögzítési idő szerint, majd megvizsgálta, hogy az egymást követő útvonalpontok között feltételezett menetsebesség és irány fizikailag valószínűsíthető-e egy nehéz lánctalpas jármű számára azon az úthálózaton.

Ez belső konzisztencia-vizsgálat. Ha az A és B útvonalpont 40 kilométerre van egymástól, és az időbélyegek szerint 20 perc utazási idő telt el köztük, akkor vagy egy időbélyeg hibás, vagy egy geolocation hibás, vagy a jármű nem a legrövidebb útvonalat vette. Minden eltérést fel kell oldani, nem átlagolni.

Úthálózati és infrastrukturális korlátok

A nehéz katonai szállítójárművek nem haladhatnak tetszőleges utakon. A hídterhelési korlátok, az útburkolat állapota, az alagutak szabad magassága és a katonai konvoj-tervezés hadműveleti logikája mind behatárolja a két útvonalpont közötti valószínűsíthető útvonalat. Ezek a korlátok lehetővé teszik, hogy útvonal-hipotéziseket zárjunk ki még akkor is, ha nem áll rendelkezésre közvetlen vizuális lefedettség minden szakaszra.

A BUK-rekonstrukcióban a régió úthálózatának topológiája a nehéz járműveket csupán néhány folyosóra terelte, ami azt jelentette, hogy a vizuális lefedettség hiányai kevésbé bizonyultak végzetesnek, mint egy sűrű városi rácsban lennének.

Zsákutca: Egy korai útvonal-hipotézis az útvonalpontokat egy olyan útszakaszon keresztül kötötte össze, amely a műholdalapú térkép adatainak ellenőrzésekor egy, a jármű valószínű tömegénél alacsonyabb teherbírású hidat tartalmazott. Ezt a hipotézist kizárták; az útvonalat egy alternatív folyosón keresztül rekonstruálták. Az útvonal-hipotéziseket mindig infrastruktúra-adatokkal validálja, ne csupán térképgeometriával.

Megbízhatóság a 2. szakaszban

„A [útvonalpont-sorozaton] megfigyelt jármű minden valószínűség szerint a [X] útvonalat tette meg körülbelül [A időablak] és [B időablak] között. Ez az útvonal összhangban van az úthálózati korlátokkal és a feltételezett menetsebességgel. A megbízhatósági szint közepestől magasig terjed a teljes folyosón; közepes az egyes részszakaszokon, ahol vizuális bizonyíték nem áll rendelkezésre, az infrastruktúra-korlát elemzéstől függően.”

3. szakasz: Keresztforrás-alapú korreláció műholdfelvételekkel

A korreláció nem azonos a megerősítéssel

A műholdfelvételeket általában az ellenőrzés aranystandardjaként kezelik. Hatékony eszköz, de specifikus hibalehetőségei vannak, amelyeket az elemzőknek nyomon kell követniük.

Mozgó konvoj esetén a műholdfelvételek két egymástól eltérő célra hasznosak:

1. Kiindulóállapot meghatározása: Az esemény előtti felvételek, amelyek egy BUK-ot mutatnak egy adott katonai telephelyen, hiteles kiindulópontot rögzítenek.
2. Az útvonal-rekonstrukcióval összhangban lévő anomáliák észlelése: Az esemény utáni felvételek, amelyek felbolygatott talajt, megváltozott jármű-parkolási konfigurációkat vagy hasonló jelzéseket mutatnak.

Amit a műholdfelvételek gyorsan lezajló esemény esetén általában nem tudnak nyújtani, az a képkockánkénti lefedettség. A kereskedelmi képarchívumokkal dolgozó nyílt forrású elemzők attól függnek, hogy véletlenszerűen mi kerül felvételre, és mi válik nyilvánosan elérhetővé.

A BUK-vizsgálatban a műholdfelvételek inkább alátámasztó, mintsem elsődleges szerepet játszottak. A fedélzeti kamera és a közösségi médián megjelent felvételek határozták meg az útvonalat; a műholdas adatok segítettek rögzíteni a kiindulópontot, és második bizonyítékvonalat biztosítottak a jármű adott helyszíneken való jelenlétéhez.

A korroborációs mátrix

Készíts explicit mátrixot. Kövesd nyomon a függetlenségi szintet — ez az az oszlop, amelyet a legtöbb elemző kihagy:

Ha két bizonyíték ugyanarra az eredeti forrásra vezethető vissza — például két fiók, amelyek mindkettő ugyanazt a videót osztotta meg újra —, akkor valójában egyetlen bizonyítékról van szó, amely két fiókra van elosztva, nem pedig független korroborációról. Azok az elemzők, akik az újramegosztásokat független megerősítésekként számolják, mesterségesen felduzzasztják látszólagos bizonyítékbázisukat.

Hozzáférés a felvételekhez és a kiindulóállapot problémája

A 2014-es nyílt forrású elemzők szűkebb körű műholdfelvételekhez fértek hozzá, mint a mai elemzők. Az olyan eszközök, mint a Sentinel Hub EO Browser, ma már idősorozatos optikai felvételeket kínálnak olyan felbontásban, amely alkalmas nagy katonai járművek és telephelyi konfigurációváltozások észlelésére. A Google Earth Pro archív képrétege a kiindulóállapot-meghatározás funkcióját tölti be.

A módszertani lényeg nem egy adott eszközről szól. Arról szól, hogy képarchívumok segítségével meghatározzuk, mi volt a normál egy esemény előtt, hogy a normálistól való eltérések analitikusan jelentőssé váljanak. Egy parkolóterület, amelyen egy adott dátum előtt négy jármű állt, utána pedig kettő, adatpont — önállóan nem döntő, de más bizonyítékokkal együtt alátámasztó jelzés.

Zsákutca: Egyes műholdfelvételek első ránézésre egy BUK-típusú járművet látszottak mutatni az útvonal-rekonstrukcióval összhangban lévő helyszínen. Közelebbi elemzés során azonban kiderült, hogy a felbontás nem volt elegendő a célpont-jármű megkülönböztetéséhez más, hasonló méretű, ott jogszerűen tartózkodó lánctalpas járművektől. Ezt az anyagot a „korroboráció” kategóriából átminősítették az „összhangban van, de nem megerősítő” kategóriába — ez egy olyan megkülönböztetés, amely lényeges, amikor megbízhatósági szint-megállapításokat fogalmazol meg.

4. szakasz: Attribution és megbízhatósági szint kifejezése

Az attribution struktúrálisan eltér az útvonal rekonstrukciójától

A jármű egy adott katonai egységnek való attribution minőségileg más elemzési feladat, mint az útvonal rekonstrukciója. Az útvonal rekonstrukciója térbeli és időbeli probléma: a bizonyítékok alátámasztanak-e egy koherens pozíciósorozatot? Az attribution szervezeti probléma: ki felügyelte ezt a járművet, ki rendelte el a mozgását, és ki viseli a felelősséget?

A nyílt forrású bizonyítékok közvetlenül az első problémával foglalkoznak. A másodikhoz csak közvetve szólnak hozzá — a látható egységjelzéseken, a dokumentált eszközleltárakkal való összehasonlításon és az ilyen típusú járművet irányítani képes szervezeti struktúrák elemzésén keresztül.

A Bellingcat vizsgálatban a csapat az észlelt BUK látható jelzéseit és fizikai jellemzőit a régióban különböző katonai szervezetek által üzemeltetett BUK-rendszerek dokumentált leltáraival hasonlította össze. Ez az összehasonlítás egy adott orosz katonai dandárnak való attribution-t támasztott alá.

Kalibrált megbízhatósági szintű megfogalmazás

Ha egy elemzési megállapítást fokozatos megbízhatósági szintű megfogalmazás nélkül tesznek közzé, az olvasó nem tudja megkülönböztetni a „biztosak vagyunk benne” és a „valószínűleg igaz, de jelentős hiányosságaink vannak” kitételeket. A nem szakértő közönségnek szánt nyilvános OSINT-munkában ez a hiányosság különösen súlyos következményekkel jár.

Egy ilyen esetben a fokozatos megfogalmazás így néz ki:

• Magas megbízhatósági szint: A geolokált felvételeken látható jármű BUK-TELAR. Az útvonal az MH17-es lelövés napján vagy körülbelül azon a napon keleti Ukrajnában helyezi el. Ezek a megállapítások több egymástól független geolokáción alapulnak.
• Közepes-magas megbízhatósági szint: A jármű fizikai jelzései és egységazonosítói konzisztensek egy adott orosz katonai dandár dokumentált leltárával. Azzal a fenntartással, hogy a jelzések megváltoztathatók.
• Közepes megbízhatósági szint: A jármű a lelövés időpontjában az adott egység operatív irányítása alatt állt. Ez a következtetés fizikai bizonyítékokra és szervezeti elemzésre támaszkodik; ésszerű megállapítás, de a közvetlen vizuális bizonyítékok által alátámasztottakon túlmutató következtetési lépéseket tartalmaz.
• Értékelt, nem megerősített: A parancsnoki lánc az egység szintje felett. Olyan döntésekre vonatkozó bizonyítékokat igényel, amelyeket a nyílt forrású anyagokban nem látható szereplők hoztak.

Alternatív hipotézisek megfogalmazása és kizárása

A BUK-esetben a fő alternatív hipotézis az volt, hogy a jármű orosz helyett ukrán katonai tulajdon. A Bellingcat vizsgálat ezt azzal kezelte, hogy dokumentálta azokat a konkrét fizikai jellemzőket, amelyek megkülönböztették az észlelt járművet az ismert ukrán leltártól — ez a negatív azonosítás egy olyan formája, amely erősíti az elsődleges attribution-t azáltal, hogy kizárja a leghihetőbb alternatívát.

Dokumentálja ezt a kizárási folyamatot kifejezetten. „Megvizsgáltuk az X hipotézist, és a következő konkrét okok miatt kevésbé valószínűnek értékeltük” elemzési szempontból erősebb, mint az alternatíva hallgatólagos mellőzése, és pontosan tükrözi a bizonyítékok természetét.

Mi vihető át más vizsgálatokra

Ebből a rekonstrukcióból öt olyan elv bontakozik ki, amely bármely vizsgálatra alkalmazható, ahol egy fizikai tárgy mozgását kell nyomon követni egy adott területen, heterogén nyílt forrású bizonyítékok alapján:

Válaszd szét a megbízhatósági rétegeket. A geolocation megbízhatósága, az útvonal megbízhatósága és az attribution megbízhatósága három különböző dolog. Az egyik rétegen elért magas megbízhatósági szint nem emeli automatikusan a másikét.

Dokumentáld a zsákutcákat. Az elvetett videók, az eliminált útvonal-hipotézisek, a kiselejtezett műholdképek — mind az elemzési rekord részét képezik. Ezek mutatják, hogy a fennmaradó megállapítások ki lettek próbálva.

Vizsgáld meg a forrás-függetlenséget. Két bizonyíték, amely ugyanarra a forrásra vezet vissza, valójában egy bizonyíték. Készíts korroborációs mátrixot, és kövesd explicit módon a provenienciát.

Használd az infrastrukturális korlátokat. Híd-terhelési határértékek, útfelszín-állapotok és katonai konvoj-logisztika olyan ingyenes adatok, amelyek szűkítik az útvonal-hipotéziseket anélkül, hogy további vizuális bizonyítékra lenne szükség.

Írj olyan megbízhatósági megállapításokat, amelyek kommunikálják a bizonytalanságot. Egy „magas megbízhatósági szint” jelzés egy jelentős hézagokat tartalmazó megállapításon elemzői hiba. A fokozatos nyelvezet lehetővé teszi az olvasók és a downstream elemzők számára, hogy megfelelően kalibrálják az értelmezésüket.

A Bellingcat MH17 vizsgálati oldalak és a esettanulmány-archívum marad az ilyen típusú nyílt forrású útvonal-rekonstrukció legjobban dokumentált nyilvános példája. Tanulmányozd a zsákutcákat ugyanolyan gondosan, mint a megállapításokat. A módszertan újrafelhasználható; a BUK-útvonal csupán az az eset, amelyre alkalmazták.

Ha saját módszertanodat szeretnéd ehhez a sablonhoz mérni, vedd elő a 2014. novemberi vizsgálatot, rendeld hozzá az egyes bizonyítéki állításokat egy megbízhatósági szinthez, és ellenőrizd, hogy a szint-hozzárendelések helytállóak-e. A legtöbb elemző talál legalább egy helyet, ahol a lánc vékonyabb, mint amit a leírás sejtet — és ez hasznos információ.