Nieobsługiwane aplikacje: ciche wąskie gardło laboratoriów kryminalistycznych

Metryki laboratorium mierzą przepustowość: przetworzone zabezpieczenia, dni na badanie, wielkość zalegałości. Czego nie potrafią zmierzyć, to dowodu, który był obecny, nigdy nie został odczytany i dlatego nigdy nie stał się ustaleniem.

Tej liczby nie ma nigdzie. Nie może jej być, bo zapisanie jej wymagałoby wiedzy o tym, co było w części, której nikt nie otworzył. Nie jest jednak mała, a jej największą pojedynczą przyczyną są aplikacje, których narzędzie nie zdekodowało.

Cztery sposoby, w jakie aplikacja staje się nieczytelna

Jest regionalna. Aplikacja wiadomości albo społecznościowa z kilkuset tysiącami użytkowników w jednym kraju nie jest priorytetem dla dostawcy sprzedającego na czterdzieści rynków. Może być niezwykle istotna, jeśli ten kraj jest tym, w którym toczy się śledztwo Pana.

Jest nowa. Odstęp między tym, że aplikacja staje się popularna, a tym, że pojawia się w informacjach o wydaniu narzędzia kryminalistycznego, liczy się w kwartałach. Przestępcze przyjęcie nowego kanału komunikacji liczy się w tygodniach i często jest szybsze niż przyjęcie zwykłe, bo bodziec do przeniesienia się jest silniejszy.

Zmieniła się. To największa kategoria i najmniej omawiana. Obsługiwana aplikacja wydaje aktualizację, która przeorganizowuje jej zapis, a parser napisany dla poprzedniej wersji zwraca wyniki częściowe albo żadnych. Narzędzie nadal wymienia aplikację jako obsługiwaną. Analityk musi zauważyć, że wynik jest uboższy, niż powinien być, co wymaga, aby już mniej więcej wiedział, czego się spodziewać.

Nigdy nie była niczyim priorytetem. Aplikacje fitness, aplikacje do notatek, historia przejazdów, aplikacje dostaw, portfele płatnicze, notatki głosowe. Rzadko centralne, czasem rozstrzygające i pojedynczo nigdy niewarte kwartału inżyniera.

Dlaczego zostaje niewidoczne

Trzy rzeczy sprawiają, że nie pojawia się to jako problem, który ktoś ma na własność.

Pierwsza jest taka, że raport jest dokładny. Analityk, który pisze, że danych pewnej aplikacji nie analizowano, udokumentował ograniczenie poprawnie. Nic w przeglądzie jakości tego nie oznaczy.

Druga jest taka, że nieformalna reguła zakresu jest rozsądna. Badać to, co zdekodowało narzędzie, badać to, o co śledczy konkretnie poprosił, resztę odnotować. Przy rzeczywistym obciążeniu sprawami jest to zawodowo słuszna decyzja i za każdym razem daje to samo zawężenie zakresu.

Trzecia jest taka, że nikt nie wie, co pominięto. Śledczy, który nigdy się nie dowie, że rozmowa istniała, nie może zapytać, dlaczego nie było jej w raporcie. Nieobecność jest strukturalnie nieobserwowalna.

Co analitycy naprawdę z tym robią

Dobrzy coś robią i to się nie skaluje.

Jedni otwierają bazę ręcznie, rozpracowują schemat i piszą zapytanie. Inni prowadzą osobisty zbiór skryptów. Jeszcze inni znają kogoś w innej służbie, kto już spotkał tę aplikację, i wysyłają e-mail. W kilku laboratoriach jest osoba, zwykle jedna, znana z tego, że jest gotowa to zrobić, i jej kolejka jest prawdziwym wąskim gardłem.

Każda wersja tego ma te same dwa problemy. Kosztuje godziny, których sprawa nie może oddać, a wytworzone zrozumienie nie jest trwałe. Żyje w głowie jednej osoby albo w pliku roboczym i gdy ta osoba odchodzi, odchodzi wraz z nią. Następny analityk w następnej służbie spotyka tę samą aplikację za sześć miesięcy i zaczyna od nowa.

Kształt naprawy

Jeśli ograniczeniem jest to, że ktoś musi zrozumieć nieznany format zapisu, zanim da się odczytać jego zawartość, są tylko dwa wyjścia. Uczynić to zrozumienie tańszym w wytworzeniu albo uczynić je trwałym, gdy już powstało.

Oba są dostępne i wzmacniają się nawzajem.

Wytworzenie go tanio jest dziś problemem, który da się rozwiązać. Ustalenie, do czego służy nieznana baza, ze ścieżki pliku, nazw tabel i kolumn oraz próbki zawartości, jest zadaniem rozumowania, a nie dopasowania wzorca, i jest to rodzaj zadania, z którym obecne modele radzą sobie wyjątkowo dobrze. Wynikiem jest mapowanie: opis tego, jak czytać to źródło do pól, których oczekuje widok.

Temu wynikowi nie można po prostu zaufać i nie trzeba. Proszę zweryfikować go strukturalnie, uruchomić na próbce rzeczywistych danych i pokazać analitykowi podgląd rzeczywistych rekordów. Mapowanie, które źle zrozumiało źródło, daje podgląd pełen nonsensu, co widać w kilka sekund. Analityk je przyjmuje, poprawia w edytorze wizualnym albo odrzuca.

Uczynienie go trwałym jest łatwiejszą połową i cenniejszą. Zatwierdzone mapowanie jest małym artefaktem, który nie zawiera dowodu, tylko opis tego, jak czytać strukturę. Można je udostępnić. Gdy inne laboratorium otwiera zabezpieczenie zawierające tę samą aplikację, stosuje się ono automatycznie.

W tym punkcie ekonomia się zmienia. Dziś wysiłek zrozumienia aplikacji powtarza się w każdej służbie, która ją spotyka, i za każdym razem przepada. Udostępniony, opłaca się raz.

Twierdzenie, przy którym warto być ostrożnym

Istnieje wersja tego argumentu, która idzie za daleko, i warto zaznaczyć granicę.

Mapowanie automatyczne nie znaczy, że analityk nigdy nie musi na nic spojrzeć. Znaczy, że pierwsze zrozumienie wytwarza oprogramowanie, a rola analityka staje się przeglądem, a nie budową. Niektóre mapowania będą błędne. Niektóre źródła są naprawdę niejednoznaczne i żadna ilość rozumowania o schemacie nie rozstrzygnie, co znaczy kolumna, gdy nazywa się f4, a jej zawartością są liczby całkowite.

Nie zmienia się norma. Zmienia się to, kto robi pierwsze przejście i jak długo laboratorium na nie czeka. Zamiast kwartału zajmuje to minuty, a wynik jest czymś, co służba zachowuje.