Analyse-Arbeitsbereich

Ansichten für die Arbeit, nicht für das Speicherformat.

Ein Datenbankbrowser zeigt dem Analysten eine Tabelle. Ein Arbeitsbereich zeigt ihm eine Unterhaltung, eine Galerie, ein Anrufprotokoll, eine Karte. Dieser Unterschied ist der ganze Weg von einem Werkzeug zu etwas, das ein Labor tatsächlich jeden Tag nutzt.

  • Neunzehn Ansichten, dazu Zeitleiste, Karte und Labels
  • Quellpfad auf jedem Datensatz sichtbar
  • Wiederhergestellte Datensätze als wiederhergestellt gekennzeichnet

Ansichten

Jede Beweisart erhält eine Ansicht, die für sie gebaut ist.

Strukturierte Datensätze erscheinen in Ansichten, die für die Aufgabe gebaut sind. Nachrichten lesen sich als Thread-Unterhaltung, mit Anhängen an ihrem Platz. Medien erscheinen als Galerie, die nach ihrem Inhalt durchsucht werden kann. Anrufe, Kontakte, Notizen, Konten, Anwendungen und Systemspuren haben jeweils eine eigene Ansicht. Der Analyst wechselt zwischen ihnen, ohne den Fall zu verlassen, und der Geltungsbereich einer Suche folgt ihm von Ansicht zu Ansicht.

Zeitleiste und Karte stellen Datensätze zusammen, die bereits indexiert sind. Sie erfinden keine Chronologie, die die Quellen nicht enthielten.

  • Nachrichten

    Thread-Unterhaltungen mit Zeitstempeln, Richtung und Anhängen an ihrem Platz.

  • Medien

    Fotos, Videos und andere Dateien, durchsuchbar nach ihrem Inhalt.

  • Anrufe

    Eingehende, ausgehende und verpasste Anrufe, mit Dauer, wo die Quelle sie enthält.

  • Kontakte

    Das Adressbuch, aus allem rekonstruiert, was es hervorgebracht hat.

  • Standort

    Positionsdaten, als Liste lesbar und auf der Karte platziert.

  • Notizen

    Notizen und anderer gespeicherter Text, durchsuchbar nach Stichwort und Bedeutung.

  • Web

    Browserverlauf und besuchte Seiten.

  • Downloads

    Dateien, die das Gerät von anderswo gespeichert hat.

  • Konten

    Konten, die auf dem Gerät vorhanden sind.

  • Kalender

    Termine und Verabredungen mit ihrem Datum, ihren Orten und Teilnehmern.

  • Zugangsdaten

    Gespeicherte Konten und Anmeldungen. Passwörter bleiben verdeckt, und jede Anzeige wird protokolliert.

  • Soziale Aktivität

    Beiträge, Kommentare, Folgen und Likes in sozialen Netzwerken.

  • Transaktionen

    Zahlungen, Überweisungen und Käufe, mit Beträgen und Gegenparteien.

  • Reisen

    Reisen und Buchungen, von der Abfahrt bis zur Ankunft.

  • Anwendungen

    Auf dem Gerät installierte Anwendungen.

  • App-Aktivität

    Wie diese Anwendungen genutzt wurden.

  • Netzwerke und Nähe

    Netzwerkverbindungen und Geräte in der Nähe.

  • Systemprotokoll

    Auf dem Gerät aufgezeichnete Systemereignisse.

  • Allgemeine Tabelle

    Jede nützliche Tabelle, die in keine andere Ansicht passt, in einem Raster mit Sortierung, Filtern, Gruppierung und Export.

  • Zeitleiste

    Jeder indexierte Datensatz mit Zeitstempel, in einer chronologischen Ansicht.

  • Karte

    Jeder indexierte Datensatz mit Koordinaten, auf einer Karte platziert.

  • Labels

    Jede Spur, die der Analyst mit einem Label versehen hat, in Kapiteln gruppiert und bereit zum Export.

Provenienz

Jeder Datensatz zeigt, woher er stammt.

Die Provenienz steckt im Datensatz selbst und wird nicht erst bei der Anzeige rekonstruiert. Eine Quellenangabe löst sich bis zur Quellzeile auf, auch nachdem das Mapping, das sie erzeugt hat, überarbeitet wurde. Das wird beim ersten Mal wichtig, wenn ein Mapping mitten in einem Fall korrigiert wird.

Wiederhergestellte Datensätze tragen ihren Wiederherstellungsstatus zusammen mit ihrer Provenienz. Eine per Carving gewonnene Zeile wird nie als lebende dargestellt, und ein Analyst muss nie raten, welche er gerade vor sich hat.

Integrität der Beweismittel

Auf die Extraktion wird nie geschrieben.

Jede Quelle wird nur lesend geöffnet. Nichts, was VERA tut, verändert die Dateien, die vom Akquisitionswerkzeug kamen.

Das ist eine Eigenschaft des Entwurfs und keine Einstellung. Deshalb kann ein Analyst die Beweiskette von der Extraktion bis zum Bericht verteidigen.

Was heute funktioniert und was nicht

Heute im Einsatz

  • Neunzehn Ansichten: Nachrichten, Medien, Anrufe, Kontakte, Standort, Notizen, Webverlauf, Downloads, Konten, Anwendungen, App-Aktivität, Netzwerke, Systemereignisse, Kalender, Zugangsdaten, soziale Aktivität, Transaktionen, Reisen und eine allgemeine Tabelle.
  • Zeitleiste, Karte und Labels über bereits indexierte Datensätze.
  • Offline-Übersetzung von Nachrichten-Threads; das Original bleibt als Beweismittel erhalten.
  • Suche innerhalb jeder Ansicht verfügbar.
  • Markierte Spuren über das Schildsymbol in jeder Ansicht geöffnet, dazu eine Schaltfläche „Verdachtsstufe“ in Nachrichten.
  • Ein verarbeiteter Fall, exportiert in eine Datei, auf Wunsch mit Passwort, und auf einem anderen Arbeitsplatz importiert, mit seinen Spuren, seiner Suche, seinen Zusammenfassungen, Signalen und Labels.
  • Provenienz und Wiederherstellungsstatus auf jedem Datensatz.
  • Beweismittelzugriff nur lesend.

In Entwicklung

  • Asservat-Dashboards sowie tiefere Gruppierung und Verknüpfung innerhalb jeder Ansicht.
  • Konfigurierbare Berichte und dynamische Exporte.
Zur Roadmap

Weiterlesen

Sehen Sie es mit einer echten Extraktion im Einsatz

Eine Dienststelle fragt nach einer Demonstration, in der Regel dreißig Minuten mit fiktiven Daten. Ein unabhängiger Sachverständiger fragt nach Zugang: Eine Person prüft die Anfrage, danach wird die Jahreslizenz über das Konto bestellt.

Zugang anfragen

Jede Anfrage wird geprüft, bevor der Zugang gewährt wird.