Automatische Abdeckung
Abdeckung, die nicht auf einen Veröffentlichungszyklus wartet.
Jedes forensische Werkzeug dekodiert, was sein Hersteller bereits umgesetzt hat. VERA erzeugt die eigene Abdeckung für alles andere, zeigt sie dem Analysten als Vorschau über die echten Daten und wendet nichts an, bevor ein Mensch es akzeptiert hat.
- Zuerst die öffentliche Bibliothek, für den Rest Erzeugung
- Vom Menschen validiert, bevor es verwendet wird
- Jedes Mapping lesbar, kein Code zu schreiben
Das Problem
Eine nicht unterstützte Anwendung ist eine Sackgasse, und sie ist nicht selten.
Ein Verdächtiger installiert eine regionale soziale Anwendung oder aktualisiert eine vertraute Messenger-App, und das Speicherlayout ändert sich. Die Akquisitionssuite hat es nicht umgesetzt. Die Daten liegen vollständig in der Extraktion, und sie sind unlesbar, bis jemand einen Parser dafür ausliefert.
Dieses Warten hat nichts mit dem Fall zu tun, der vor dem Analysten liegt. Es richtet sich nach der Release-Planung eines anderen Unternehmens und danach, wie interessant die Anwendung für dieses Unternehmen kommerziell ist.
Drei Stufen
Bekannt, unbekannt und korrigiert.
Abdeckung entsteht auf drei Wegen, geordnet danach, wie viel Aufmerksamkeit des Analysten jeder kostet.
-
Die öffentliche Bibliothek wendet an, was bekannt ist
Offen für jeden Beitrag. Quellen werden mit der Bibliothek validierter Mappings abgeglichen und beim Öffnen des Asservats angewendet, sodass der Analyst eine gefüllte Ansicht sieht und keine Aufgabe.
-
Die automatische Erzeugung strukturiert den Rest
VERA untersucht die Quellen, ermittelt, was sie enthalten, und erzeugt das Mapping selbst. Beim Analysten landet eine Vorschau über die echten Daten und keine Spezifikation, die er lesen müsste. In unserem Demonstrationsfall werden die Leboncoin-Nachrichten so gemappt: Keine Bibliothek enthielt sie.
-
Das letzte Wort hat der Analyst
Jedes Mapping lässt sich im Knoteneditor öffnen, seine Abfrage lesen und ändern, auf Wunsch mit Hilfe des Assistenten. Code zu schreiben gehört nie zur Aufgabe.
Quelle
Tabelle messages
Transformation
Zeit, Richtung
Ansicht
Nachrichten
Die Validierungsschranke
Mappings werden automatisch erzeugt und vor der Verwendung von einem Menschen validiert.
Dieser Satz ist die ganze öffentliche Beschreibung des Mechanismus, und er ist mit Absicht so knapp gehalten. Für einen Käufer zählt die Garantie und nicht die Methode: Kein erzeugtes Mapping wird auf einen Fall angewendet, ohne dass ein Analyst es annimmt, und der Analyst sieht das Ergebnis über echte Datensätze, bevor er entscheidet.
In einem Beschaffungsgespräch ist das meist der entscheidende Punkt. Die Software schlägt vor. Ihr Analyst entscheidet, und das Audit-Protokoll hält fest, was entschieden wurde.
Nichts wird auf einen Fall angewendet, ohne dass ein Mensch es zuerst akzeptiert. Das ist eine Eigenschaft des Entwurfs und keine Einstellung.
Nachvollziehbarkeit
Jedes Mapping kann von jedem gelesen werden, der es braucht.
Ein Mapping ist die Erklärung einer Ansicht: welche Datei, welche Tabelle, welche Spalten, wie verbunden und wie umgeformt. Öffnen Sie eine beliebige Spur, und VERA zeigt das Mapping dahinter, von der Quellzeile bis zum Feld auf dem Bildschirm.
Analysten müssen es selten anfassen. Wird eine Korrektur nötig, erfolgt sie, indem Felder in einem visuellen Editor verbunden werden, ganz ohne Code. Ein Prüfer, ein Gegengutachter oder ein Gericht kann dasselbe Mapping lesen und prüfen.
01Die Spur
Kontakt 714. März · 18:40
18,000 und ich komme am Samstag vorbei
Nachrichtentext
02Das Mapping, das sie erzeugt hat
03Die Quellzeile
- text
- 18,000 und ich komme am Samstag vorbei
- peer
- 7
- sent_at
- 1773510000
- state
- 1
Was sich ändert
Die Abdeckung wächst mit dem Gebrauch statt mit Veröffentlichungszyklen.
Ein Labor, das VERA einsetzt, wartet nicht mehr darauf, dass ein Dritter entscheidet, welche Anwendungen den Aufwand wert sind. Der Analyst, der heute auf eine unbekannte Anwendung trifft, bekommt heute eine funktionierende Ansicht, und das validierte Mapping kann dann der öffentlichen Bibliothek vorgeschlagen werden, damit jedes andere Labor es ebenfalls erhält.
Fachwissen verschwindet nicht mehr, wenn ein Analyst in den Ruhestand geht oder wechselt. Es wird zu etwas, das die Dienststelle behält.
Was heute funktioniert und was nicht
Heute im Einsatz
- Automatische Erzeugung von Mappings für Quellen, die nie zuvor gesehen wurden.
- Eine verpflichtende menschliche Validierung, bevor etwas angewendet wird.
- Ein visueller Knoteneditor für Korrekturen und volle manuelle Kontrolle.
- Abgleich mit der öffentlichen Bibliothek und der Bibliothek der Dienststelle beim Import.
- Abdeckung, die für geänderte Versionen gilt, nicht nur für neue Anwendungen.
- Quellen jenseits von Datenbanken: JSON, plist, XML, CSV, LevelDB und andere strukturierte Dateien.
In Entwicklung
- Computerquellen, Protokolldateien und jede lesbare Datei, über dieselben Mappings.
- Ein schneller Durchlauf nur über die Bibliothek; die KI mappt den Rest, während der Analyst arbeitet.
Sehen Sie es mit einer echten Extraktion im Einsatz
Eine Dienststelle fragt nach einer Demonstration, in der Regel dreißig Minuten mit fiktiven Daten. Ein unabhängiger Sachverständiger fragt nach Zugang: Eine Person prüft die Anfrage, danach wird die Jahreslizenz über das Konto bestellt.
Jede Anfrage wird geprüft, bevor der Zugang gewährt wird.