Applicazioni non supportate: il collo di bottiglia silenzioso nei laboratori forensi

Le metriche di un laboratorio misurano il rendimento: sigilli trattati, giorni per esame, dimensione dell’arretrato. Ciò che non possono misurare sono le prove che erano presenti, non sono mai state lette e quindi non sono mai diventate un accertamento.

Quel numero non esiste da nessuna parte. Non può esistere, perché registrarlo richiederebbe di sapere che cosa c’era nella parte che nessuno ha aperto. Ma non è piccolo, e la sua causa singola più grande sono le applicazioni che uno strumento non ha decodificato.

Quattro modi in cui un’applicazione finisce illeggibile

È regionale. Un’applicazione di messaggistica o sociale con poche centinaia di migliaia di utenti in un solo paese non è una priorità per un fornitore che vende in quaranta mercati. Può essere estremamente rilevante se quel paese è quello in cui si svolge la Sua indagine.

È nuova. Il divario tra il momento in cui un’applicazione diventa popolare e quello in cui compare nelle note di versione di uno strumento forense si misura in trimestri. L’adozione criminale di un nuovo canale di comunicazione si misura in settimane, ed è spesso più rapida dell’adozione legittima, perché l’incentivo a spostarsi è più forte.

È cambiata. È la categoria più grande e la meno discussa. Un’applicazione supportata pubblica un aggiornamento che riorganizza la sua memorizzazione, e il parser scritto per la versione precedente restituisce risultati parziali, oppure nessuno. Lo strumento elenca ancora l’applicazione come supportata. L’analista deve accorgersi che l’output è più esiguo di quanto dovrebbe essere, il che richiede di sapere già, all’incirca, che cosa aspettarsi.

Non è mai stata la priorità di nessuno. Applicazioni per il fitness, applicazioni per prendere note, cronologia dei servizi di trasporto a chiamata, applicazioni di consegna, portafogli di pagamento, note vocali. Di rado centrali, di tanto in tanto decisive, e singolarmente mai degne di un trimestre di un ingegnere.

Perché resta invisibile

Tre cose impediscono che questo compaia come un problema di cui qualcuno è responsabile.

La prima è che il rapporto è accurato. Un analista che scrive che i dati di una certa applicazione non sono stati analizzati ha documentato correttamente il limite. Nulla in una revisione della qualità lo segnalerà.

La seconda è che la regola informale di perimetro è sensata. Si esamina ciò che lo strumento ha decodificato, si esamina ciò che l’investigatore ha chiesto in modo specifico, si annota il resto. Sotto un carico reale di casi è la decisione professionalmente corretta, e produce ogni volta la stessa riduzione di perimetro.

La terza è che nessuno sa che cosa è stato mancato. Un investigatore che non viene mai a sapere che una conversazione esisteva non può chiedere perché non era nel rapporto. L’assenza è strutturalmente inosservabile.

Che cosa fanno davvero gli analisti

Quelli bravi fanno qualcosa, e non regge alla scala.

Alcuni aprono il database a mano, ricostruiscono lo schema e scrivono una query. Alcuni tengono una raccolta personale di script. Alcuni conoscono un collega in un altro servizio che ha già incontrato questa applicazione, e mandano un’e-mail. In pochi laboratori c’è una persona, di solito una, nota per essere disposta a farlo, e la sua coda è il vero collo di bottiglia.

Ogni versione di questo ha gli stessi due problemi. Costa ore che il caso non può concedere, e la comprensione prodotta non è durevole. Vive nella testa di una persona o in un file di lavoro, e quando quella persona se ne va se ne va con lei. L’analista successivo, nel servizio successivo, incontra la stessa applicazione sei mesi dopo e ricomincia.

La forma di una correzione

Se il vincolo è che qualcuno deve capire un formato di memorizzazione sconosciuto prima che il suo contenuto si possa leggere, ci sono solo due uscite. Rendere quella comprensione meno costosa da produrre, oppure renderla durevole una volta prodotta.

Entrambe sono disponibili, e si rafforzano a vicenda.

Produrla a basso costo è oggi un problema trattabile. Capire a che cosa serve un database sconosciuto, dal percorso del file, dai nomi delle tabelle e delle colonne e da un campione del contenuto, è un compito di ragionamento più che di corrispondenza di schemi, ed è il tipo di compito che i modelli attuali gestiscono insolitamente bene. L’output è una mappatura: una descrizione di come leggere questa sorgente nei campi che una vista si aspetta.

Quell’output non si può semplicemente accettare sulla fiducia, e non è necessario farlo. La si valida sul piano strutturale, la si esegue su un campione dei dati reali e si mostra all’analista un’anteprima dei record effettivi. Una mappatura che ha frainteso la sorgente produce un’anteprima piena di nonsenso, il che è evidente in pochi secondi. L’analista la accetta, la corregge in un editor visuale oppure la scarta.

Renderla durevole è la metà più facile e la più preziosa. Una mappatura validata è un piccolo artefatto che non contiene alcuna prova, solo la descrizione di come leggere una struttura. Si può condividere. Quando un altro laboratorio apre un sigillo che contiene la stessa applicazione, si applica automaticamente.

È il punto in cui l’economia cambia. Oggi lo sforzo di capire un’applicazione si ripete in ogni servizio che la incontra, e si perde ogni volta. Condiviso, si paga una volta.

L’affermazione su cui vale la pena essere prudenti

C’è una versione di questo argomento che va troppo oltre, e vale la pena segnare il confine.

La mappatura automatica non significa che un analista non debba mai guardare nulla. Significa che la prima comprensione è prodotta dal software e che il ruolo dell’analista diventa la revisione piuttosto che la costruzione. Alcune mappature saranno sbagliate. Alcune sorgenti sono davvero ambigue, e nessun ragionamento su uno schema risolverà che cosa significa una colonna quando il suo nome è f4 e il suo contenuto sono interi.

Ciò che cambia non è lo standard. È chi fa il primo passaggio, e quanto aspetta un laboratorio. Invece di un trimestre, ci vogliono minuti, e il risultato è qualcosa che il servizio conserva.