Непідтримані застосунки: тихе вузьке місце в криміналістичних лабораторіях

Показники лабораторії вимірюють пропускну здатність: оброблені речові докази, дні на дослідження, розмір залишку. Чого вони не можуть виміряти, то це доказ, який був присутній, якого ніколи не читали і який тому ніколи не став знахідкою.

Цієї цифри немає ніде. Її і не може бути, бо щоб її записати, треба було б знати, що було в частині, яку ніхто не відкривав. Але вона не мала, і її найбільша окрема причина — застосунки, які інструмент не декодував.

Чотири способи, якими застосунок опиняється нечитабельним

Він регіональний. Застосунок повідомлень або соціальний застосунок із кількома сотнями тисяч користувачів в одній країні не є пріоритетом для постачальника, який продає на сорок ринків. Він може бути надзвичайно доречним, якщо Ваше розслідування саме в тій країні.

Він новий. Розрив між тим, як застосунок стає популярним, і його появою в примітках до випуску криміналістичного інструмента вимірюється кварталами. Перехід злочинців на новий канал зв’язку вимірюється тижнями, і він часто швидший за перехід законних користувачів, бо спонука перейти сильніша.

Він змінився. Це найбільша категорія і найменш обговорювана. Підтриманий застосунок випускає оновлення, яке перебудовує його сховище, і парсер, написаний для попередньої версії, повертає часткові результати або жодного. Інструмент і далі вказує застосунок як підтриманий. Аналітик має помітити, що результат тонший, ніж мав би бути, а для цього треба вже приблизно знати, чого очікувати.

Він ніколи не був чиїмось пріоритетом. Застосунки для фітнесу, застосунки для нотаток, історія виклику поїздок, застосунки доставки, платіжні гаманці, голосові нотатки. Рідко центральні, іноді вирішальні, і кожен окремо ніколи не вартий кварталу інженера.

Чому це лишається невидимим

Три речі не дають цьому проявитися як проблема, яку хтось має.

Перше — звіт точний. Аналітик, який пише, що дані певного застосунку не проаналізовано, правильно задокументував обмеження. Ніщо в перевірці якості цього не позначить.

Друге — неформальне правило обсягу розважливе. Досліджуйте те, що декодував інструмент, досліджуйте те, про що слідчий конкретно попросив, решту позначте. За справжнього навантаження справами це професійно правильне рішення, і воно дає те саме звуження обсягу щоразу.

Третє — ніхто не знає, що пропущено. Слідчий, який ніколи не дізнається, що розмова існувала, не може запитати, чому її не було у звіті. Відсутність структурно неспостережна.

Що аналітики насправді з цим роблять

Добрі щось роблять, і це не масштабується.

Дехто відкриває базу даних вручну, з’ясовує схему і пише запит. Дехто тримає особисту збірку скриптів. Дехто знає колегу в іншій службі, який уже зустрічав цей застосунок, і надсилає листа. У кількох лабораторіях є людина, зазвичай одна, відома тим, що готова це робити, і її черга є справжнім вузьким місцем.

У кожного варіанта цього ті самі дві проблеми. Це коштує годин, яких справа не може віддати, і створене розуміння не тривке. Воно живе в голові однієї людини або в чорновому файлі, і коли ця людина йде, воно йде з нею. Наступний аналітик у наступній службі зустрічає той самий застосунок за шість місяців і починає спочатку.

Форма виправлення

Якщо обмеження в тому, що хтось має зрозуміти незнайомий формат зберігання, перш ніж його вміст можна прочитати, виходів лише два. Зробити це розуміння дешевшим у створенні або зробити його тривким, щойно його створено.

Доступні обидва, і вони підсилюють одне одного.

Дешево його створити тепер є розв’язною задачею. З’ясувати, для чого незнайома база даних, за шляхом її файла, назвами її таблиць і стовпців і вибіркою її вмісту, — це задача міркування, а не зіставлення з шаблоном, і це той рід задач, які поточні моделі виконують незвично добре. Результат — відображення: опис того, як читати це джерело в поля, яких очікує подання.

Цьому результату не можна просто довіряти, і не треба. Перевірте його структурно, виконайте його на вибірці справжніх даних і покажіть аналітику попередній перегляд справжніх записів. Відображення, яке неправильно зрозуміло джерело, дає попередній перегляд, повний нісенітниці, і це очевидно за секунди. Аналітик приймає його, виправляє у візуальному редакторі або відкидає.

Зробити його тривким — легша половина і цінніша. Перевірене відображення — це невеликий артефакт, який не містить доказів, лише опис того, як читати структуру. Ним можна поділитися. Коли інша лабораторія відкриває речовий доказ, який містить той самий застосунок, воно застосовується автоматично.

Саме тут змінюється економіка. Сьогодні зусилля зрозуміти застосунок повторюють у кожній службі, яка його зустрічає, і щоразу втрачають. Коли ним діляться, його оплачують один раз.

Твердження, з яким варто бути обережним

Є варіант цього аргументу, який заходить задалеко, і межу варто позначити.

Автоматичне відображення не означає, що аналітику ніколи не треба ні на що дивитися. Воно означає, що перше розуміння створює програмне забезпечення, а роль аналітика стає переглядом, а не побудовою. Деякі відображення будуть хибними. Деякі джерела справді неоднозначні, і жодне міркування про схему не з’ясує, що означає стовпець, коли його ім’я — f4, а вміст — цілі числа.

Змінюється не стандарт. Змінюється те, хто робить перший прохід і як довго лабораторія на нього чекає. Замість кварталу це займає хвилини, і результат — те, що служба зберігає.