Pokrytí by nemělo záviset na cyklu vydání dodavatele

Ve zkoumání v digitální forenzní analýze je okamžik, který nikdo nezapisuje do příručky postupu. Analytik otevře extrakci, najde aplikaci, kterou nepozná, a zkontroluje, zda ji jeho nástroj podporuje. Nepodporuje. Data jsou přímo tam, zcela přítomná, v databázi, u které vidí název souboru. A odpověď na to, zda je lze přečíst, zní: ne toto čtvrtletí.

Tento okamžik se obvykle bere jako záležitost podpory. Někdo založí ticket. Dodavatel to snad přidá do fronty nevyřízeného, snad verze přijde za šest měsíců, snad je aplikace regionálně dost oblíbená, aby stála za čas inženýra, a snad není. Mezitím případu běží lhůta opatrování.

Toto není záležitost podpory. Je to strukturální vlastnost toho, jak se obor rozhodl pracovat, a jakmile to tak uvidíte, ukáže se, že velká část každodenní frustrace v laboratoři má jednu příčinu.

Rozhodnutí padne někde jinde

Každý běžný nástroj forenzní analýzy funguje stejně. Někdo u dodavatele zpětně analyzuje formát úložiště aplikace, napíše pro něj parser, otestuje ho a vydá ho ve vydání. Analytik dostane výsledek této práce jako schopnost.

Je to skutečně obtížné inženýrství a lidé, kteří ho dělají, jsou v něm dobří. Problém není způsobilost. Problém je, že to klade nejzávažnější rozhodnutí ve zkoumání, která data lze vůbec přečíst, do rukou někoho, kdo neví, že případ existuje.

Tato osoba činí rozumný obchodní úsudek. Dívá se na to, kolik zákazníků se s touto aplikací setká, jak stabilní je její formát, kolik inženýrství to bude stát. Aplikace pro zprávy s dvěma sty miliony uživatelů zjevně za tu práci stojí. Regionální sociální platforma se čtyřmi sty tisíci uživateli, soustředěná právě v regionu, kde působí vaše skupina organizovaného zločinu, je mnohem těžší obchodní případ. Z pozice dodavatele je odmítnout implementaci správné. Z vaší pozice, s extrakcí v ruce, je to celý případ.

Verze jsou větší polovina problému

Příběh o nepodporované aplikaci je ten, který se vypráví, ale problém podceňuje. Častější selhání je jemnější: podporovaná aplikace, jejíž uspořádání úložiště se změnilo.

Aplikace se aktualizuje. Přeuspořádá tabulku, přesune soubor, změní způsob, jakým kóduje časovou značku. Parser byl napsán proti předchozí verzi a nyní nevrací nic, nebo hůř, vrací něco uvěřitelného a chybného. Nástroj hlásí aplikaci jako podporovanou, protože je, a analytik si musí všimnout, že výstup je řídký.

Cykly vydání aplikací se měří na týdny. Cykly vydání forenzních nástrojů se měří na měsíce. Tato mezera se nikdy nezavře a není to ničí vina. Je to aritmetika.

Co to stojí, v pojmech, na kterých záleží

Náklad se obvykle neukáže jako nezdařené zkoumání. Ukáže se jako zúžení rozsahu, tiše.

Analytik se třemi týdny a čtyřiceti pečetěmi nestráví dva dny ručním čtením neznámé databáze SQLite s otevřeným hexadecimálním editorem vedle, i když by mohl. Zkoumá, co nástroj dekódoval, napíše o tom zprávu a zbytek poznamená jako neanalyzovaný. To je obhajitelné profesionální rozhodnutí. Je to také způsob, jak důkaz, který existuje, na zařízení, které služba už má, v případu, který je už otevřený, nakonec nikdo neprohlédne.

Vynásobte to objemem případů a dostanete číslo, o které se ředitelé laboratoří skutečně starají: podíl zajištěných dat, která se nikdy nezkoumají. Není to selhání třídění. Je to selhání pokrytí, které bylo překlasifikováno na třídění.

Alternativa je nepohodlná, ale jednoduchá

Pokud je úzkým hrdlem to, že parsery píše dodavatel, předem, pro aplikace, které si zvolil, pak náprava spočívá v tom přestat vyžadovat, aby je člověk u dodavatele psal předem.

To je nyní technicky proveditelné způsobem, jakým to před pěti lety nebylo. Rozpoznat, k čemu neznámá databáze slouží, co její tabulky obsahují a jak se mapují na pojmy, se kterými vyšetřovatel pracuje, konverzace, kontakty, polohy, je úloha uvažování nad cestami k souborům, schématem a obsahem dohromady. Je to přesně ten druh úlohy, ve kterém jsou generativní modely neobvykle dobré a klasifikátory ne.

Zjevná námitka je ta správná. Nelze nechat model rozhodnout, jak se důkaz vykládá, a výsledku prostě důvěřovat. Tak to nedělejte. Vygenerujte mapování, ověřte ho strukturálně, spusťte ho na vzorku skutečných dat a ukažte analytikovi náhled skutečných záznamů, než se cokoli použije. Pokud mapování zdroj nepochopilo, je to vidět ihned, protože náhled je plný nesmyslu. Analytik ho přijme, opraví ho ve vizuálním editoru, nebo ho zahodí.

Nemění se standard důkazu. Analytik stále ověřuje a do zprávy nic nevejde bez kontroly. Mění se to, kdo musí udělat práci prvního porozumění a kdy k němu může dojít. Může k němu dojít v den, kdy ho případ potřebuje, ne ve čtvrtletí, které naplánoval dodavatel.

Proč to stojí za to říct nahlas

Každá laboratoř, se kterou jsme mluvili, má verzi téhož příběhu a každá z nich ho vypráví, jako by to bylo místní podráždění. Není místní. Je to totéž omezení v každé službě v každé zemi a existuje kvůli architektonické volbě, kterou celý obor učinil brzy a nikdy se k ní nevrátil.

Pojmenovat ho mění to, o co žádáte. Služba, která si myslí, že má problém s podporou, žádá svého dodavatele o rychlejší vydání, což je žádost, kterou nikdo nemůže splnit. Služba, která rozpozná strukturální problém, položí jinou otázku: co by bylo třeba, aby pokrytí přestalo být něco, na co čekáme.

To je otázka, k jejímuž zodpovězení byla VERA postavena, a je to důvod, proč bychom raději obhajovali tezi než popisovali produkt.