Nepodporované aplikace: tiché úzké hrdlo forenzních laboratoří

Metriky laboratoře měří propustnost: zpracované pečeti, dny na zkoumání, velikost fronty. Co změřit nedokážou, je důkaz, který byl přítomen, nikdy nebyl přečten, a proto se nikdy nestal zjištěním.

Toto číslo neexistuje nikde. Nemůže, protože jeho zaznamenání by vyžadovalo vědět, co bylo v části, kterou nikdo neotevřel. Není však malé a jeho největší jednotlivou příčinou jsou aplikace, které nástroj nedekódoval.

Čtyři způsoby, jak se aplikace stane nečitelnou

Je regionální. Aplikace pro zprávy nebo sociální aplikace s několika sty tisíci uživateli v jedné zemi není prioritou pro dodavatele, který prodává do čtyřiceti trhů. Může být krajně relevantní, pokud je tato země tam, kde probíhá vaše vyšetřování.

Je nová. Mezera mezi tím, kdy se aplikace stane oblíbenou, a tím, kdy se objeví v poznámkách k vydání forenzního nástroje, se měří na čtvrtletí. Přijetí nového komunikačního kanálu pachateli se měří na týdny a často je rychlejší než přijetí legitimní, protože pobídka k přechodu je silnější.

Změnila se. Toto je největší kategorie a nejméně se o ní mluví. Podporovaná aplikace vydá aktualizaci, která přeuspořádá její úložiště, a parser napsaný pro předchozí verzi vrací dílčí výsledky, nebo žádné. Nástroj aplikaci nadále uvádí jako podporovanou. Analytik si musí všimnout, že výstup je řidší, než by měl být, což vyžaduje, aby už zhruba věděl, co očekávat.

Nikdy nebyla ničí prioritou. Fitness aplikace, aplikace na poznámky, historie objednaných jízd, aplikace pro rozvoz, platební peněženky, hlasové poznámky. Zřídka ústřední, občas rozhodující a jednotlivě nikdy nestojí za čtvrtletí inženýra.

Proč zůstává neviditelná

Tři věci brání tomu, aby se to ukázalo jako problém, který někdo vlastní.

První je, že zpráva je přesná. Analytik, který napíše, že data určité aplikace nebyla analyzována, omezení zdokumentoval správně. Nic v přezkumu kvality to neoznačí.

Druhá je, že nepsané pravidlo rozsahu je rozumné. Zkoumejte, co nástroj dekódoval, zkoumejte, na co se vyšetřovatel výslovně ptal, zbytek poznamenejte. Při skutečném objemu případů je to profesionálně správné rozhodnutí a pokaždé vytvoří totéž zúžení rozsahu.

Třetí je, že nikdo neví, co uniklo. Vyšetřovatel, který se nikdy nedozví, že konverzace existovala, se nemůže zeptat, proč ve zprávě nebyla. Absence je strukturálně nepozorovatelná.

Co s tím analytici skutečně dělají

Ti dobří něco udělají a nedá se to škálovat.

Někteří otevřou databázi ručně, odvodí schéma a napíšou dotaz. Někteří si vedou osobní sbírku skriptů. Někteří znají kolegu v jiné službě, který se s touto aplikací už setkal, a pošlou e-mail. V několika laboratořích je osoba, obvykle jedna, o které se ví, že je ochotná to udělat, a její fronta je skutečné úzké hrdlo.

Každá verze tohoto má tytéž dva problémy. Stojí hodiny, které případ nemůže postrádat, a vzniklé porozumění není trvalé. Žije v hlavě jednoho člověka nebo v pomocném souboru, a když tato osoba odejde, odejde s ní. Další analytik v další službě se se stejnou aplikací setká za šest měsíců a začne znovu.

Podoba nápravy

Pokud je omezením to, že někdo musí porozumět neznámému formátu úložiště, než lze přečíst jeho obsah, vedou ven jen dvě cesty. Učiňte toto porozumění levnějším na vytvoření, nebo je učiňte trvalým, jakmile vznikne.

Obojí je k dispozici a navzájem se posiluje.

Vytvořit ho levně je dnes zvládnutelný problém. Odvození, k čemu neznámá databáze slouží, z cesty k souboru, z názvů tabulek a sloupců a ze vzorku obsahu, je úloha uvažování, ne úloha porovnávání vzorů, a je to druh úlohy, který současné modely zvládají neobvykle dobře. Výstupem je mapování: popis toho, jak číst tento zdroj do polí, která pohled očekává.

Tomuto výstupu nelze prostě důvěřovat a není to třeba. Ověřte ho strukturálně, spusťte ho na vzorku skutečných dat a ukažte analytikovi náhled skutečných záznamů. Mapování, které zdroj nepochopilo, vytvoří náhled plný nesmyslu, což je zřejmé za několik sekund. Analytik ho přijme, opraví ho ve vizuálním editoru, nebo ho zahodí.

Učinit ho trvalým je snazší polovina a ta cennější. Ověřené mapování je malý artefakt, který neobsahuje žádný důkaz, jen popis toho, jak číst strukturu. Lze ho sdílet. Když jiná laboratoř otevře pečeť obsahující tutéž aplikaci, použije se automaticky.

V tom okamžiku se změní ekonomika. Dnes se úsilí o porozumění aplikaci opakuje v každé službě, která se s ní setká, a pokaždé se ztratí. Sdílené se zaplatí jednou.

Tvrzení, u kterého stojí za to být opatrný

Existuje verze tohoto argumentu, která zachází příliš daleko, a stojí za to tu hranici označit.

Automatické mapování neznamená, že se analytik nikdy nemusí na nic podívat. Znamená, že první porozumění vytvoří software a role analytika se stane přezkumem, ne stavbou. Některá mapování budou chybná. Některé zdroje jsou skutečně nejednoznačné a žádné množství uvažování o schématu nerozhodne, co sloupec znamená, když se jmenuje f4 a jeho obsah jsou celá čísla.

Nemění se standard. Mění se to, kdo dělá první průchod a jak dlouho na něj laboratoř čeká. Místo čtvrtletí to trvá minuty a výsledek je něco, co si služba ponechá.