Aplicații neacoperite: blocajul tăcut din laboratoarele criminalistice

Indicatorii unui laborator măsoară debitul: sigilii tratate, zile pe examinare, mărimea restanței. Ceea ce nu pot măsura este proba care era prezentă, nu a fost citită niciodată și, prin urmare, nu a devenit niciodată o constatare.

Numărul acela nu există nicăieri. Nu poate exista, pentru că a-l consemna ar cere să se știe ce era în partea pe care nimeni nu a deschis-o. Dar nu este mic, iar cauza lui unică cea mai mare sunt aplicațiile pe care un instrument nu le-a decodat.

Patru feluri în care o aplicație ajunge ilizibilă

Este regională. O aplicație de mesagerie sau socială cu câteva sute de mii de utilizatori într-o singură țară nu este o prioritate pentru un furnizor care vinde în patruzeci de piețe. Poate fi extrem de relevantă dacă acea țară este cea în care se desfășoară investigația dumneavoastră.

Este nouă. Intervalul dintre momentul în care o aplicație devine populară și apariția ei în notele de versiune ale unui instrument criminalistic se măsoară în trimestre. Trecerea infractorilor la un canal nou de comunicare se măsoară în săptămâni, și este adesea mai rapidă decât adoptarea legitimă, pentru că stimulentul de a se muta este mai puternic.

S-a schimbat. Aceasta este categoria cea mai mare și cea mai puțin discutată. O aplicație acoperită publică o actualizare care îi reorganizează stocarea, iar parserul scris pentru versiunea anterioară întoarce rezultate parțiale sau niciunul. Instrumentul listează în continuare aplicația ca acoperită. Analistul trebuie să observe că rezultatul este mai subțire decât ar trebui, ceea ce cere să știe deja, în linii mari, la ce să se aștepte.

Nu a fost niciodată prioritatea nimănui. Aplicații de fitness, aplicații de notițe, istoricul curselor la cerere, aplicații de livrare, portofele de plată, note vocale. Rareori centrale, uneori decisive, și, luate una câte una, niciodată vrednice de trimestrul unui inginer.

De ce rămâne invizibilă

Trei lucruri împiedică aceasta să apară ca o problemă pe care o deține cineva.

Primul este că raportul este exact. Un analist care scrie că datele unei anumite aplicații nu au fost analizate a documentat limitarea corect. Nimic dintr-o revizuire de calitate nu o va semnala.

Al doilea este că regula informală de domeniu este rațională. Se examinează ce a decodat instrumentul, se examinează ce a cerut anume investigatorul, restul se notează. Sub un volum real de cazuri, aceasta este decizia corectă din punct de vedere profesional, și produce de fiecare dată aceeași reducere de domeniu.

Al treilea este că nimeni nu știe ce a fost ratat. Un investigator care nu află niciodată că a existat o conversație nu poate întreba de ce nu era în raport. Absența este structural neobservabilă.

Ce fac de fapt analiștii în privința ei

Cei buni fac ceva, și lucrul acela nu ține la scară.

Unii deschid baza de date de mână, deslușesc schema și scriu o interogare. Unii țin o colecție personală de scripturi. Unii cunosc un coleg dintr-un alt serviciu care a mai întâlnit aplicația aceasta și trimit un e-mail. În câteva laboratoare există o persoană, de obicei una, cunoscută pentru că este dispusă să facă aceasta, iar coada ei este adevăratul blocaj.

Fiecare variantă a acesteia are aceleași două probleme. Costă ore pe care cazul nu și le poate permite, iar înțelegerea produsă nu este durabilă. Trăiește în capul unei persoane sau într-un fișier de lucru, și, când persoana aceea pleacă, pleacă odată cu ea. Analistul următor, din serviciul următor, întâlnește aceeași aplicație peste șase luni și o ia de la capăt.

Forma unei remedieri

Dacă constrângerea este că cineva trebuie să înțeleagă un format de stocare necunoscut înainte ca acel conținut să poată fi citit, există numai două ieșiri. A face acea înțelegere mai ieftin de produs, sau a o face durabilă odată produsă.

Ambele sunt disponibile, și se cumulează.

A o produce ieftin este acum o problemă tratabilă. A desluși la ce servește o bază de date necunoscută, din calea fișierului ei, din numele tabelelor și ale coloanelor ei și dintr-un eșantion al conținutului ei, este o sarcină de raționament, nu una de potrivire de tipare, și este genul de sarcină pe care modelele actuale o duc neobișnuit de bine. Rezultatul este o mapare: o descriere a felului în care se citește această sursă în câmpurile pe care le așteaptă o vizualizare.

Acel rezultat nu poate fi pur și simplu crezut, și nici nu trebuie să fie. Se validează structural, se rulează pe un eșantion al datelor reale și i se arată analistului o previzualizare a înregistrărilor reale. O mapare care a înțeles greșit sursa produce o previzualizare plină de nonsens, ceea ce este evident în câteva secunde. Analistul o acceptă, o corectează într-un editor vizual sau o aruncă.

A o face durabilă este jumătatea mai ușoară și cea mai valoroasă. O mapare validată este un artefact mic care nu conține nicio probă, numai descrierea felului în care se citește o structură. Poate fi partajată. Când un alt laborator deschide un sigiliu care conține aceeași aplicație, se aplică automat.

Acesta este punctul în care se schimbă economia. Astăzi, efortul de a înțelege o aplicație este repetat în fiecare serviciu care o întâlnește, și pierdut de fiecare dată. Partajat, este plătit o singură dată.

Afirmația în privința căreia merită prudență

Există o versiune a acestui argument care trece dincolo, și merită marcată linia.

Maparea automată nu înseamnă că un analist nu mai trebuie să privească nimic. Înseamnă că prima înțelegere este produsă de software, iar rolul analistului devine revizuirea, nu construcția. Unele mapări vor fi greșite. Unele surse sunt cu adevărat ambigue, și nicio cantitate de raționament despre o schemă nu va lămuri ce înseamnă o coloană când numele ei este f4 și conținutul ei sunt numere întregi.

Ceea ce se schimbă nu este standardul. Este cine face prima trecere, și cât așteaptă un laborator după ea. În loc de un trimestru, durează minute, iar rezultatul este ceva ce serviciul păstrează.