Mitä täydellinen tiedostojärjestelmän poiminta oikeasti sisältää, ja miksi suurinta osaa siitä ei koskaan tutkita

Kysykää alan ulkopuoliselta, mitä takavarikoidulla puhelimella on, ja hän sanoo viestejä, valokuvia ja yhteystietoja. Kysykää analyytikolta, ja hän epäröi, koska rehellinen vastaus on, ettei kukaan tiedä kokonaan, ja selvittäminen on työ.

Täydellinen tiedostojärjestelmän poiminta on kopio laitteen tiedostojärjestelmästä sellaisena kuin käyttöjärjestelmä sen näkee. Ei kuratoitu vienti, ei se osajoukko, jonka sovellus suostuu luovuttamaan varmuuskopiointirajapinnan kautta. Koko puu.

Sen läpi kannattaa käydä, mitä siellä oikeasti on, koska aineiston muoto selittää lähes kaiken siitä, mihin tutkinta-aika menee.

Neljä kerrosta, laskevassa huomion järjestyksessä

Kerros, jota kaikki ajattelevat. Viestit, puhelulokit, yhteystiedot, kameran kuvakokoelma. Se on aidosti tärkeää, asia kääntyy tavallisesti sen varaan, ja se on tilavuudeltaan pieni osa poimintaa. Se on myös se osa, jonka jokainen työkalu tulkitsee hyvin, koska se on se osa, jota varten jokainen työkalu rakennettiin ensin.

Sovellusten tallennus. Jokainen asennettu sovellus pitää oman tilansa: tietokannat viesteistä ja niiden metatiedoista, profiilikuvien välimuistit, luonnokset, ilmoitushistoria, hakuhistoria, sijaintimurut, synkronoinnin tila. Puhelimella, jolla on kuusikymmentä sovellusta, on kuusikymmentä tällaista, kuudessakymmenessä asettelussa, useassa muodossa, joista osa on versioitu ja osa ei.

Tämä kerros on se, jossa kiinnostava todistusaineisto enenevässä määrin on, ja se on se, jossa kattavuus on epätasaisinta. Analyytikon työkalu tulkitsee niiden sovellusten tallennuksen, jotka toimittaja on toteuttanut, ja loppu on hakemistolistaus.

Järjestelmäjäljet. Käyttöjärjestelmä kirjaa huomattavan määrän itsestään tavallisen työnsä ohessa: mitkä sovellukset olivat käynnissä ja milloin, mihin verkkoihin laite liittyi, milloin se käynnistettiin, mitkä tilit on määritetty, mitä avattiin äskettäin. Mitään siitä ei suunniteltu todistusaineistoksi. Suuri osa siitä on erittäin hyvää todistusaineistoa, koska sitä on vaikea kuratoida ja se vahvistaa tai kiistää ihmisen kertomuksen.

Sedimentti. Pienoiskuvien välimuistit, väliaikaistiedostot, write-ahead-lokit, joissa on yhä päätietokannasta poistettuja rivejä, varaamaton tila, jossa on poistettujen tietueiden jäänteitä. Tämä on kerros, josta poistettu sisältö palautetaan, ja se on myös se, jossa analyytikon on oltava varovaisin, koska palautetulla rivillä ja elävällä rivillä on eri todistusarvo, eikä niitä saa koskaan esittää niin kuin ne olisivat sama.

Määräongelma ei oikeastaan ole määräongelma

Nykyaikainen huippupuhelin tuottaa poiminnan, joka on kymmeniä tai matalia satoja gigatavuja. Tallennus on kuitenkin halpaa ja lukeminen nopeaa, joten raaka koko ei ole rajoite.

Rajoite on, että hyödyllinen sisältö on hajallaan suuressa joukossa muotoja, joista useimmat ovat dokumentoimattomia, joista useat muuttuvat ne kirjoittaneen sovelluksen julkaisujen välillä ja joista yksikään ei ole suunniteltu kenenkään muun kuin itse sovelluksen luettavaksi.

Siksi merkityksellinen kysymys ei ole, kuinka suuri poiminta on. Se on, millä osuudella siitä millään työkalulla on kanta. Kaikki muu on läsnä, periaatteessa luettavissa ja käytännössä käyttökelvotonta.

Mihin tunnit menevät

Katsokaa kokeneen analyytikon käyvän poimintaa läpi, eikä ajan jakauma ole se, jota ulkopuolinen odottaa.

Hyvin vähän siitä on viestien lukemista. Suuri osa siitä on sen selvittämistä, mitkä poiminnan osat ylipäätään kannattaa lukea, ja sitten niiden osien saattamista tilaan, jossa niiden lukeminen on mahdollista. Vieraan tietokannan avaaminen, sen selvittäminen, mitä sen taulut tarkoittavat, sen huomaaminen, että aikaleimat on tallennettu epätavalliseen epookkiin, sen tajuaminen, että viestin sisältö on yhdessä taulussa ja osallistuja toisessa ilman ilmeistä liitosta. Se on työ.

Se on myös taitavaa työtä, joka ei tuota mitään pysyvää. Ymmärrys, jonka analyytikko rakentaa tiistaina yhden sovelluksen tallennusasettelusta, elää hänen päässään tai parhaimmillaan henkilökohtaisessa muistiinpanotiedostossa, ja seuraavan, joka kohtaa saman sovelluksen toisessa yksikössä kuuden kuukauden kuluttua, on rakennettava se uudelleen.

Osa, jota ei koskaan tutkita

Jokaisella laboratoriolla on epävirallinen sääntö siitä, miten pitkälle mennään. Sitä kirjoitetaan harvoin ylös, ja se on tavallisesti järkevä: tutkikaa se, minkä työkalu tulkitsi, tutkikaa kaikki, mitä tutkija nimenomaisesti pyysi, ja merkitkää loppu analysoimattomaksi.

Tuloksena on johdonmukainen, näkymätön rajauksen kaventuminen. Ei huolellisuuden epäonnistuminen, eikä mikään, jonka asian tarkastus merkitsisi, koska raportti kuvaa täsmällisesti sen, mitä tutkittiin. Vaikutus asiamäärän yli on kuitenkin se, että suurta osaa takavarikoidusta aineistosta ei katso kukaan, ja osuus on suurin juuri niissä sovelluksissa, jotka toimittaja piti kaupallisesti epäkiinnostavina.

Mikä muuttaisi kuvaa

Kolme asiaa siirtäisi tätä, järjestyksessä sen mukaan, kuinka paljon eroa ne tekevät.

Ensimmäinen on kattavuus, joka ei riipu jonkun toisen julkaisuaikataulusta. Jos vieras sovellus voidaan jäsentää sinä päivänä, jona asia sitä tarvitsee, epävirallinen rajaussääntö lakkaa poistamasta samoja todistusaineiston luokkia joka kerta.

Toinen on haku, joka toimii merkityksellä eikä vain merkkijonoilla. Suurin osa poiminnasta on lukukelvotonta, koska kenelläkään ei ole syytä avata sitä. Koko sinetille kerralla esitetty kysymys löytää syyn.

Kolmas on tarkistus, joka on tarpeeksi halpaa, jotta sen oikeasti tekee. Analyytikko, jonka on käytettävä iltapäivä vahvistaakseen, mistä havainto tuli, vahvistaa harvempia havaintoja. Se, joka voi tehdä sen yhdellä napsautuksella, vahvistaa ne kaikki, mikä on se, mitä oikeussalilla on oikeus odottaa.

Tuo viimeinen merkitsee enemmän kuin miltä se kuulostaa. Todistusaineiston läpikäynnin nopeuttaminen on hyödyllistä vain, jos se ei samalla tee siitä pinnallisempaa, ja ainoa puolustus sitä vastaan on tehdä tarkistuksesta niin halpa, ettei sen ohittaminen säästä mitään.