Покриття не повинно залежати від циклу випусків постачальника

Є момент у дослідженні цифрової криміналістики, який ніхто не вписує в посібник із процедури. Аналітик відкриває вилучення, знаходить застосунок, якого не впізнає, і перевіряє, чи його інструмент це підтримує. Не підтримує. Дані просто там, повністю присутні, у базі даних, ім’я файла якої він бачить. І відповідь на те, чи можна їх прочитати: не цього кварталу.

Цей момент зазвичай трактують як питання підтримки. Хтось відкриває заявку. Можливо, постачальник додає це до черги, можливо, версія надходить за шість місяців, можливо, застосунок достатньо популярний у регіоні, щоб бути вартим часу інженера, а можливо, ні. Тим часом на справі вже йде строк тримання.

Це не питання підтримки. Це структурна властивість того, як галузь вирішила працювати, і щойно Ви бачите це так, чимало щоденного роздратування в лабораторії, як виявляється, має одну причину.

Рішення ухвалюють деінде

Кожен поширений інструмент криміналістичного аналізу працює так само. Хтось у постачальника зворотно аналізує формат зберігання застосунку, пише для нього парсер, випробовує його і випускає у випуску. Аналітик отримує результат цієї роботи як можливість.

Це справді важка інженерна робота, і люди, які її роблять, уміють її робити. Проблема не в компетентності. Проблема в тому, що це віддає найвагоміше рішення в дослідженні, які дані взагалі можна прочитати, до рук того, хто не знає, що справа існує.

Ця людина ухвалює розважливе комерційне судження. Вона дивиться, скільки замовників зустріне цей застосунок, наскільки стабільний його формат, скільки інженерної роботи це візьме. Застосунок повідомлень із двомастами мільйонами користувачів очевидно вартий цієї роботи. Регіональна соціальна платформа з чотирмастами тисячами користувачів, зосереджена саме в тому регіоні, де діє Ваша група організованої злочинності, — значно важче бізнес-обґрунтування. З позиції постачальника відмовитися це впроваджувати правильно. З Вашої позиції, коли вилучення у Вас в руках, це вся справа.

Версії — це більша половина проблеми

Історію про непідтриманий застосунок якраз розповідають, але вона применшує проблему. Поширеніший збій тонший: підтриманий застосунок, чия розкладка сховища змінилася.

Застосунок оновлюється. Він перебудовує таблицю, переміщує файл, змінює те, як кодує мітку часу. Парсер написано для попередньої версії, і тепер він не повертає нічого або, гірше, повертає щось правдоподібне і хибне. Інструмент повідомляє застосунок як підтриманий, бо він такий, і аналітик має помітити, що результат тонкий.

Цикли випусків застосунків вимірюються тижнями. Цикли випусків криміналістичних інструментів вимірюються місяцями. Цей розрив ніколи не закривається, і це нічия провина. Це арифметика.

Чого це коштує, у термінах, які мають значення

Вартість зазвичай виявляється не як дослідження, яке не вдалося. Вона тихо виявляється як звуження обсягу.

Аналітик, у якого три тижні і сорок речових доказів, не витрачає два дні на те, щоб вручну читати незнайому базу даних SQLite із відкритим поруч шістнадцятковим редактором, хоча міг би. Він досліджує те, що декодував інструмент, пише звіт про це і решту позначає як не проаналізовану. Це професійне рішення, яке можна обстояти. Це також те, як доказ, який існує, на пристрої, який служба вже має, у справі, яка вже відкрита, врешті ніколи не переглядають.

Помножте на навантаження справами, і Ви отримаєте цифру, яка насправді турбує керівників лабораторій: частку вилучених даних, які ніколи не досліджують. Це не збій тріажу. Це збій покриття, який перекласифіковано як тріаж.

Альтернатива незручна, але проста

Якщо вузьке місце в тому, що парсери пише постачальник, наперед, для застосунків, які він обрав, то виправлення в тому, щоб перестати вимагати, аби людина в постачальника писала їх наперед.

Тепер це технічно здійсненно так, як не було п’ять років тому. Розпізнати, для чого незнайома база даних, що містять її таблиці і як вони лягають на поняття, з якими працює слідчий, розмови, контакти, розташування, — це задача міркування над шляхами файлів, схемою і вмістом разом. Це саме той рід задач, у яких генеративні моделі незвично сильні, а класифікатори ні.

Очевидне заперечення є правильним. Не можна дозволити моделі вирішувати, як тлумачать доказ, і просто довіряти результату. Тож не дозволяйте. Згенеруйте відображення, перевірте його структурно, виконайте його на вибірці справжніх даних і покажіть аналітику попередній перегляд справжніх записів, перш ніж щось буде застосовано. Якщо відображення неправильно зрозуміло джерело, це видно одразу, бо попередній перегляд повний нісенітниці. Аналітик приймає його, виправляє у візуальному редакторі або відкидає.

Змінюється не стандарт доказування. Аналітик і далі перевіряє, і ніщо не входить до звіту без перевірки. Змінюється те, хто має робити роботу першого розуміння і коли це може статися. Це може статися того дня, коли справа цього потребує, а не в кварталі, який запланував постачальник.

Чому це варто сказати вголос

У кожної лабораторії, з якою ми говорили, є свій варіант тієї самої історії, і кожна розповідає її так, ніби це місцева прикрість. Вона не місцева. Це те саме обмеження в кожній службі в кожній країні, і воно існує через архітектурний вибір, який уся галузь зробила рано і ніколи не переглядала.

Назвати його змінює те, про що Ви просите. Служба, яка думає, що в неї питання підтримки, просить свого постачальника про швидші випуски, а цього прохання ніхто не може задовольнити. Служба, яка бачить структурну проблему, ставить інше запитання: що потрібно, щоб покриття перестало бути тим, на що ми чекаємо.

На це запитання побудовано VERA, і саме тому ми воліли б обстоювати тезу, а не описувати продукт.