Η κάλυψη δεν πρέπει να εξαρτάται από έναν κύκλο εκδόσεων προμηθευτή

Υπάρχει μια στιγμή σε μια εξέταση ψηφιακής εγκληματολογίας που κανείς δεν γράφει στο εγχειρίδιο διαδικασίας. Ένας εξεταστής ανοίγει μια εξαγωγή, βρίσκει μια εφαρμογή που δεν αναγνωρίζει, και ελέγχει αν το εργαλείο του την υποστηρίζει. Δεν την υποστηρίζει. Τα δεδομένα είναι ακριβώς εκεί, πλήρως παρόντα, μέσα σε μια βάση δεδομένων της οποίας βλέπει το όνομα αρχείου. Και η απάντηση στο αν μπορούν να διαβαστούν είναι: όχι αυτό το τρίμηνο.

Αυτή η στιγμή αντιμετωπίζεται συνήθως ως ζήτημα υποστήριξης. Κάποιος ανοίγει ένα δελτίο. Ίσως ο προμηθευτής το προσθέσει στις εκκρεμότητες, ίσως μια έκδοση φτάσει σε έξι μήνες, ίσως η εφαρμογή είναι αρκετά δημοφιλής περιφερειακά ώστε να αξίζει τον χρόνο ενός μηχανικού και ίσως όχι. Στο μεταξύ, στην υπόθεση τρέχει η προθεσμία της φύλαξης.

Αυτό δεν είναι ζήτημα υποστήριξης. Είναι δομική ιδιότητα του τρόπου με τον οποίο ο κλάδος αποφάσισε να εργάζεται, και μόλις το δείτε έτσι, πολλή καθημερινή ματαίωση σε ένα εργαστήριο αποδεικνύεται ότι έχει μία αιτία.

Η απόφαση λαμβάνεται αλλού

Κάθε κυρίαρχο εργαλείο εγκληματολογικής ανάλυσης λειτουργεί με τον ίδιο τρόπο. Κάποιος στον προμηθευτή κάνει αντίστροφη μηχανική στη μορφή αποθήκευσης μιας εφαρμογής, γράφει έναν parser γι’ αυτή, τον δοκιμάζει, και τον στέλνει σε μια έκδοση. Ο εξεταστής λαμβάνει το αποτέλεσμα αυτής της εργασίας ως δυνατότητα.

Αυτή είναι πράγματι δύσκολη μηχανική και οι άνθρωποι που την κάνουν είναι καλοί σε αυτή. Το πρόβλημα δεν είναι η επάρκεια. Το πρόβλημα είναι ότι βάζει την πιο βαριά απόφαση μιας εξέτασης, ποια δεδομένα μπορούν καν να διαβαστούν, στα χέρια κάποιου που δεν γνωρίζει ότι η υπόθεση υπάρχει.

Αυτό το πρόσωπο κάνει εύλογη εμπορική κρίση. Κοιτάζει πόσοι πελάτες θα συναντήσουν αυτή την εφαρμογή, πόσο σταθερή είναι η μορφή της, πόση μηχανική θα χρειαστεί. Μια εφαρμογή μηνυμάτων με διακόσια εκατομμύρια χρήστες αξίζει προφανώς την εργασία. Μια περιφερειακή κοινωνική πλατφόρμα με τετρακόσιες χιλιάδες χρήστες, συγκεντρωμένη ακριβώς στην περιοχή όπου δραστηριοποιείται η ομάδα οργανωμένου εγκλήματος, είναι πολύ δυσκολότερο επιχειρηματικό σκεπτικό. Από τη θέση του προμηθευτή, η άρνηση να την υλοποιήσει είναι σωστή. Από τη δική σας θέση, κρατώντας την εξαγωγή, είναι ολόκληρη η υπόθεση.

Οι εκδόσεις είναι το μεγαλύτερο μισό του προβλήματος

Η ιστορία της μη υποστηριζόμενης εφαρμογής είναι αυτή που λέγεται, αλλά υποτιμά το ζήτημα. Η πιο συνηθισμένη αποτυχία είναι λεπτότερη: μια υποστηριζόμενη εφαρμογή της οποίας η διάταξη αποθήκευσης άλλαξε.

Μια εφαρμογή ενημερώνεται. Αναδιοργανώνει έναν πίνακα, μετακινεί ένα αρχείο, αλλάζει τον τρόπο με τον οποίο κωδικοποιεί μια χρονοσφραγίδα. Ο parser γράφτηκε έναντι της προηγούμενης έκδοσης και τώρα επιστρέφει τίποτα, ή, χειρότερα, επιστρέφει κάτι εύλογο και λάθος. Το εργαλείο αναφέρει την εφαρμογή ως υποστηριζόμενη, γιατί είναι, και ο εξεταστής πρέπει να προσέξει ότι το αποτέλεσμα είναι ισχνό.

Οι κύκλοι εκδόσεων των εφαρμογών μετριούνται σε εβδομάδες. Οι κύκλοι εκδόσεων των εγκληματολογικών εργαλείων μετριούνται σε μήνες. Αυτό το κενό δεν κλείνει ποτέ, και δεν είναι λάθος κανενός. Είναι αριθμητική.

Τι κοστίζει, με τους όρους που έχουν σημασία

Το κόστος δεν εμφανίζεται συνήθως ως αποτυχημένη εξέταση. Εμφανίζεται ως μείωση του εύρους, αθόρυβα.

Ένας εξεταστής με τρεις εβδομάδες και σαράντα σφραγίδες δεν ξοδεύει δύο ημέρες να διαβάζει χειροκίνητα μια άγνωστη βάση δεδομένων SQLite με έναν επεξεργαστή hex ανοιχτό δίπλα του, ακόμη και αν θα μπορούσε. Εξετάζει ό,τι αποκωδικοποίησε το εργαλείο, γράφει την αναφορά πάνω σε αυτό, και σημειώνει τα υπόλοιπα ως μη αναλυθέντα. Είναι υπερασπίσιμη επαγγελματική απόφαση. Είναι επίσης ο τρόπος με τον οποίο τεκμήρια που υπάρχουν, σε συσκευή που η υπηρεσία έχει ήδη, σε υπόθεση που είναι ήδη ανοιχτή, καταλήγουν να μην τα κοιτάξει ποτέ κανείς.

Πολλαπλασιάστε επί τον φόρτο υποθέσεων και έχετε τον αριθμό για τον οποίο ανησυχούν πράγματι οι διευθυντές εργαστηρίων: το ποσοστό των κατασχεμένων δεδομένων που δεν εξετάζεται ποτέ. Δεν είναι αποτυχία διαλογής. Είναι αποτυχία κάλυψης που επαναταξινομήθηκε ως διαλογή.

Η εναλλακτική είναι άβολη αλλά απλή

Αν το σημείο συμφόρησης είναι ότι οι parser γράφονται από έναν προμηθευτή, εκ των προτέρων, για εφαρμογές που εκείνος επέλεξε, τότε η διόρθωση είναι να πάψει να απαιτείται ένας άνθρωπος σε έναν προμηθευτή να τους γράφει εκ των προτέρων.

Αυτό είναι πλέον τεχνικά εφικτό με τρόπο που δεν ήταν πριν από πέντε χρόνια. Το να αναγνωρίσει κανείς σε τι χρησιμεύει μια άγνωστη βάση δεδομένων, τι περιέχουν οι πίνακές της, και πώς αντιστοιχούν στις έννοιες με τις οποίες εργάζεται ένας ανακριτής, συνομιλίες, επαφές, τοποθεσίες, είναι έργο συλλογισμού πάνω σε διαδρομές αρχείων, σχήμα και περιεχόμενο μαζί. Είναι ακριβώς το είδος έργου στο οποίο τα παραγωγικά μοντέλα είναι ασυνήθιστα καλά και οι ταξινομητές δεν είναι.

Η προφανής ένσταση είναι η σωστή. Δεν μπορείτε να αφήσετε ένα μοντέλο να αποφασίσει πώς ερμηνεύονται τα τεκμήρια και απλώς να εμπιστευτείτε το αποτέλεσμα. Μην το κάνετε. Δημιουργήστε την αντιστοίχιση, επικυρώστε τη δομικά, εκτελέστε τη σε ένα δείγμα των πραγματικών δεδομένων, και δείξτε στον εξεταστή μια προεπισκόπηση πραγματικών εγγραφών πριν εφαρμοστεί οτιδήποτε. Αν η αντιστοίχιση έχει παρερμηνεύσει την πηγή, αυτό φαίνεται αμέσως, γιατί η προεπισκόπηση είναι γεμάτη ανοησίες. Ο εξεταστής την αποδέχεται, τη διορθώνει σε έναν οπτικό επεξεργαστή, ή την πετά.

Δεν αλλάζει το αποδεικτικό μέτρο. Ο εξεταστής εξακολουθεί να επαληθεύει, και τίποτα δεν μπαίνει σε αναφορά χωρίς έλεγχο. Αλλάζει το ποιος πρέπει να κάνει την εργασία της πρώτης κατανόησης, και το πότε μπορεί να συμβεί. Μπορεί να συμβεί την ημέρα που το χρειάζεται η υπόθεση και όχι στο τρίμηνο που το προγραμμάτισε ένας προμηθευτής.

Γιατί αυτό αξίζει να ειπωθεί φωναχτά

Κάθε εργαστήριο με το οποίο έχουμε μιλήσει έχει μια εκδοχή της ίδιας ιστορίας, και καθένα την αφηγείται σαν να ήταν τοπικός εκνευρισμός. Δεν είναι τοπικό. Είναι ο ίδιος περιορισμός σε κάθε υπηρεσία σε κάθε χώρα, και υπάρχει λόγω μιας αρχιτεκτονικής επιλογής που έκανε νωρίς ολόκληρος ο κλάδος και δεν ξαναεξέτασε.

Το να το ονομάσει κανείς αλλάζει το τι ζητάτε. Μια υπηρεσία που νομίζει ότι έχει πρόβλημα υποστήριξης ζητά από τον προμηθευτή της ταχύτερες εκδόσεις, που είναι αίτημα το οποίο κανείς δεν μπορεί να ικανοποιήσει. Μια υπηρεσία που αναγνωρίζει ένα δομικό πρόβλημα θέτει διαφορετική ερώτηση: τι θα χρειαζόταν ώστε η κάλυψη να πάψει να είναι κάτι που περιμένουμε.

Αυτή είναι η ερώτηση για την οποία κατασκευάστηκε το VERA, και είναι ο λόγος για τον οποίο προτιμούμε να υποστηρίξουμε τη θέση παρά να περιγράψουμε το προϊόν.