Nicht unterstützte Anwendungen: der stille Engpass in forensischen Laboren

Die Kennzahlen eines Labors messen den Durchsatz: verarbeitete Asservate, Tage je Auswertung, Größe des Rückstaus. Was sie nicht messen können, sind die Beweismittel, die vorhanden waren, nie gelesen wurden und deshalb nie zu einem Befund wurden.

Diese Zahl existiert nirgendwo. Sie kann es nicht, denn sie festzuhalten würde voraussetzen zu wissen, was in dem Teil war, den niemand geöffnet hat. Sie ist aber nicht klein, und ihre größte einzelne Ursache sind Anwendungen, die ein Werkzeug nicht dekodiert hat.

Vier Wege, auf denen eine Anwendung unlesbar wird

Sie ist regional. Eine Messenger- oder soziale Anwendung mit einigen hunderttausend Nutzern in einem Land hat für einen Hersteller, der in vierzig Märkte verkauft, keine Priorität. Sie kann äußerst relevant sein, wenn dieses Land der Ort Ihrer Ermittlung ist.

Sie ist neu. Die Lücke zwischen dem Beliebtwerden einer Anwendung und ihrem Erscheinen in den Versionshinweisen eines forensischen Werkzeugs wird in Quartalen gemessen. Die Übernahme eines neuen Kommunikationskanals durch Straftäter wird in Wochen gemessen, und sie ist oft schneller als die legitime Übernahme, weil der Anreiz zum Wechsel stärker ist.

Sie hat sich geändert. Das ist die größte Kategorie und die am wenigsten besprochene. Eine unterstützte Anwendung liefert eine Aktualisierung aus, die ihren Speicher neu ordnet, und der Parser, der für die vorherige Version geschrieben wurde, liefert Teilergebnisse oder keine. Das Werkzeug führt die Anwendung weiterhin als unterstützt. Der Analyst muss bemerken, dass die Ausgabe dünner ist, als sie sein sollte, und das setzt voraus, dass er schon ungefähr weiß, was zu erwarten ist.

Sie war nie jemandes Priorität. Fitness-Anwendungen, Notizanwendungen, der Verlauf von Fahrdiensten, Lieferanwendungen, Zahlungs-Wallets, Sprachnotizen. Selten zentral, gelegentlich entscheidend, und einzeln nie ein Quartal eines Entwicklers wert.

Warum es unsichtbar bleibt

Drei Dinge verhindern, dass dies als ein Problem sichtbar wird, für das jemand zuständig ist.

Das erste ist, dass der Bericht zutrifft. Ein Analyst, der schreibt, dass bestimmte Anwendungsdaten nicht analysiert wurden, hat die Einschränkung korrekt dokumentiert. Nichts in einer Qualitätsprüfung wird das markieren.

Das zweite ist, dass die informelle Regel zum Umfang vernünftig ist. Auswerten, was das Werkzeug dekodiert hat, auswerten, worum der Ermittler ausdrücklich gebeten hat, den Rest vermerken. Unter echtem Fallaufkommen ist das die fachlich richtige Entscheidung, und sie erzeugt jedes einzelne Mal dieselbe Verringerung des Umfangs.

Das dritte ist, dass niemand weiß, was übersehen wurde. Ein Ermittler, der nie erfährt, dass eine Unterhaltung existiert hat, kann nicht fragen, warum sie nicht im Bericht stand. Die Abwesenheit ist strukturell unbeobachtbar.

Was Analysten tatsächlich dagegen tun

Die guten tun etwas, und es skaliert nicht.

Manche öffnen die Datenbank von Hand, erschließen das Schema und schreiben eine Abfrage. Manche pflegen eine persönliche Sammlung von Skripten. Manche kennen eine Kollegin oder einen Kollegen in einer anderen Dienststelle, die oder der dieser Anwendung schon begegnet ist, und schicken eine E-Mail. In einigen Laboren gibt es eine Person, gewöhnlich eine, die dafür bekannt ist, dazu bereit zu sein, und ihre Warteschlange ist der eigentliche Engpass.

Jede Fassung davon hat dieselben zwei Probleme. Sie kostet Stunden, die der Fall nicht erübrigen kann, und das hervorgebrachte Verständnis ist nicht dauerhaft. Es lebt im Kopf einer Person oder in einer Entwurfsdatei, und wenn diese Person weiterzieht, geht es mit ihr. Der nächste Analyst in der nächsten Dienststelle trifft sechs Monate später auf dieselbe Anwendung und fängt von vorn an.

Die Form einer Abhilfe

Wenn die Einschränkung darin besteht, dass jemand ein unbekanntes Speicherformat verstehen muss, bevor sein Inhalt gelesen werden kann, gibt es nur zwei Auswege. Dieses Verständnis billiger zu erzeugen, oder es dauerhaft zu machen, sobald es erzeugt ist.

Beides steht zur Verfügung, und beides verstärkt einander.

Es billig zu erzeugen, ist inzwischen ein handhabbares Problem. Herauszufinden, wozu eine unbekannte Datenbank dient, aus ihrem Dateipfad, ihren Tabellen- und Spaltennamen und einer Stichprobe ihres Inhalts, ist eine Aufgabe des Schlussfolgerns und nicht des Musterabgleichs, und es ist die Art von Aufgabe, die aktuelle Modelle ungewöhnlich gut bewältigen. Das Ergebnis ist ein Mapping: eine Beschreibung, wie diese Quelle in die Felder zu lesen ist, die eine Ansicht erwartet.

Diesem Ergebnis kann man nicht einfach vertrauen, und das muss man auch nicht. Validieren Sie es strukturell, führen Sie es gegen eine Stichprobe der echten Daten aus und zeigen Sie dem Analysten eine Vorschau tatsächlicher Datensätze. Ein Mapping, das die Quelle missverstanden hat, erzeugt eine Vorschau voller Unsinn, und das ist in Sekunden offensichtlich. Der Analyst nimmt es an, korrigiert es in einem visuellen Editor oder verwirft es.

Es dauerhaft zu machen, ist die leichtere Hälfte und die wertvollere. Ein validiertes Mapping ist ein kleines Artefakt, das keine Beweismittel enthält, nur die Beschreibung, wie eine Struktur zu lesen ist. Es kann geteilt werden. Wenn ein anderes Labor ein Asservat öffnet, das dieselbe Anwendung enthält, wird es automatisch angewendet.

Das ist der Punkt, an dem sich die Ökonomie ändert. Heute wird der Aufwand, eine Anwendung zu verstehen, in jeder Dienststelle wiederholt, die auf sie trifft, und jedes Mal verloren. Geteilt wird er einmal bezahlt.

Die Behauptung, bei der Vorsicht geboten ist

Es gibt eine Fassung dieses Arguments, die zu weit geht, und es lohnt sich, die Linie zu markieren.

Automatisches Mapping bedeutet nicht, dass ein Analyst nie etwas ansehen muss. Es bedeutet, dass das erste Verständnis von der Software erzeugt wird und die Rolle des Analysten zur Prüfung wird und nicht zur Konstruktion. Manche Mappings werden falsch sein. Manche Quellen sind wirklich mehrdeutig, und kein noch so großes Schlussfolgern über ein Schema wird auflösen, was eine Spalte bedeutet, wenn ihr Name f4 ist und ihr Inhalt ganze Zahlen sind.

Was sich ändert, ist nicht der Maßstab. Es ist, wer den ersten Durchgang macht und wie lange ein Labor darauf wartet. Statt eines Quartals dauert es Minuten, und das Ergebnis ist etwas, das die Dienststelle behält.