Все о том, как быть цифровым судебным экспертом

Существует мало вопросов о том, что технология значительно изменила то, как полиция ведет бизнес. Точно так же верно и то, что наша постоянно развивающаяся технология меняет тип преступлений, которые полицейские детективы исследуют в целом, и, следовательно, рост относительно новой цифровой индустрии криминалистики.

• Узнать больше о работе с цифровыми экспертами в области криминалистики

Киберпространство все чаще становится «районом с высоким уровнем преступности», и потребность в присутствии полиции очевидна.

Вот где вступает область цифровых и мультимедийных наук и людей, таких как Джон Ирвин.

Один из пионеров в области цифровой криминалистики Джон проводил компьютерные исследования, прежде чем большинство людей знали, что есть такая вещь. В настоящее время он является вице-президентом по развитию технологий в CyTech Services, частной компании, специализирующейся на восстановлении данных и цифровой криминалистике.

Джон также является адъюнкт-профессором цифровой судебной экспертизы в Университете Джорджа Мейсона, где он преподает юридические и этические вопросы в компьютерной криминалистике. Он имеет степень магистра в области информационных систем и сертификат выпускника в области разработки программных систем.

Он работает в компьютерной криминалистике с 1997 года как в государственном, так и в частном секторе, включая работу с ФБР, DEA и многочисленными частными консалтинговыми фирмами. Он также добровольно работает с отделом пожарной охраны Арколы. Как он занят, он нашел время, чтобы ответить на некоторые вопросы для нас о быстрорастущей области цифровой криминалистики и о том, как она работает в этой отрасли.

Интервью с экспертом по цифровой экспертизе Джон Ирвин :

Тим Руфа: У вас есть многолетний опыт цифровой криминалистики, до такой степени, что вы зарекомендовали себя как признанный эксперт в этой области. Очевидно, что для достижения того, что вы смогли, требуется много тяжелой работы и образования, но как вы начали?

Джон Ирвин: Полностью случайно! Как и большинство рассказов о большой карьере, я впал в нее из-за случайности, а не планирования. Я всегда интересовался технологиями. В детстве я собрал первый клон ПК на блоке. Кроме того, с пяти лет я знал, что хочу быть агентом ФБР. В конце концов, эти два вопроса совпали.

Когда я сидел в своем офисе, работая однажды в управлении проектами программного обеспечения, мне показалось, что я наконец обратился к ФБР. Это было до того, как Интернет был, ну, ИНТЕРНЕТ, поэтому я не мог легко получить информацию в Интернете. Я позвонил в местное полевое отделение ФБР, оставил свое имя и адрес на автоответчике для заинтересованных кандидатов и ответил «да» на вопрос, связанный с навыками работы с компьютером.

• Цифровая судебная экспертиза не для вас? Узнайте, как стать агентом ФБР

Я получил то, что я называю «Так вы хотите быть специальным агентом? "Пакет через несколько недель. Я открыл брошюру, и первая страница сдула мою пожизненную мечту в одном предложении. Моя карьера агента ФБР закончилась до того, как он начался с требования к 20/40 нескорректированному видению или лучше. За время до чудес LASIK меня было около 20/2000.

В задней части пакета было то, что выглядело как 17 ^th поколение, сильно искаженная, почти неразборчивая копия публикации вакансий для «специалиста по компьютерам», которая, по-видимому, была включена из-за моей заявленной способности с компьютерами.

Я подумал: «Ну, может, я могу исправить принтеры или что-то для ФБР. По крайней мере, это приведет меня в дверь. «

Я отправил свое резюме персоналу отдела кадров, указанному в описании задания, и через неделю я получил звонок от одного из менеджеров программ в Группе по анализу компьютерного анализа ФБР. Он сказал: «Ваше резюме было направлено ко мне, потому что вы сказали, что являетесь« универсальным компьютером »в своем сопроводительном письме. Что вы знаете о компьютерной криминалистике? «Ничего», ответил я. Он сказал: «Отлично. Заходите на собеседование. «

Остальные, как говорится, были историей.

• Говоря об истории, исследуйте раннюю историю судебной науки
• Узнайте больше о современной истории судебной науки

TR: Как вы впервые заинтересовались цифровой судебной экспертизой?

JI: В интервью люди, с которыми я встречался, сказали мне, что я могу быть выродком с плохим зрением и по-прежнему помогать поймать плохих парней.

По-видимому, мои универсальные способности, то есть я мог бы эффективно использовать разные операционные системы и обладать довольно хорошими знаниями как внутри аппаратных средств, так и крупных приложений, были бы очень полезны для их команды.

Это было действительно все, что мне нужно было услышать. Я думал, что играл с операционными системами Linux и Mac в дополнение к Windows просто для удовольствия; Я не понимал, что все это создает предпосылки для будущей карьеры.

TR: Помимо вашего опыта в области судебной экспертизы, вы потратили много времени на федеральное правительство. Помог ли этот опыт подготовить вас к вашей нынешней карьере?

JI: Прежде чем работать в ФБР, я провел довольно много времени в качестве государственного подрядчика. Фактически, во время моего старшего курса старшей школы я ушел, когда зазвонил звонок и поднимет улицу к оборонному подрядчику, где я работал помощником директоров по персоналу и специальной безопасности. Позже я работал в компании-разработчике программного обеспечения, в которой было несколько государственных клиентов.

В дополнение к уже имеющемуся разрешению безопасности в очень раннем возрасте этот опыт помог мне разоблачить меня на нескольких различных аппаратных платформах, программных приложениях и, самое главное, разных типах людей в правительстве и в профессиональном мире , Независимо от того, как это выглядит, компьютерная криминалистика касается людей, которые используют компьютеры, которые вы анализируете, так как речь идет о самом оборудовании.

Далее: Джон Ирвин обсуждает более темную сторону цифровой криминалистики

Во второй части нашего интервью с профессором цифровой экспертизы и экспертом Джоном Ирвином мы узнаем о некоторых подводных камнях профессии, и он объясняет почему эта работа не для всех.

Интервью с экспертом по цифровой экспертизе Джон Ирвин, часть 2:

TR: Между вашей степенью бакалавра в области управления, вашим сертификатом разработки программного обеспечения и степенью магистра в информационных системах, насколько хорошо вы чувствуете, что ваши степени подготовили вас для вашего карьерного пути?

JI: Каждая из этих программ принесла мне кое-что для работы в компьютерной криминалистике. Во-первых, я думаю, что важно сказать, что компьютерная криминалистика НЕ ​​является дисциплиной в области информатики. Это такая же исследовательская функция, как и техническая проблема. Если набор навыков отсутствует, у вас будет намного сложнее работать в поле.

MS в информационных системах помогла мне лучше понять операционные системы, файловые системы и компьютерную механику. Тем не менее, моя BS в Управлении в равной степени помогла мне в курсах по психологии, социологии, менеджменту и бухгалтерскому учету. Я не могу дать преимущество на одну ступень над другой для полезности в этой области.

Тем не менее, я хочу убедиться, что я говорю несколько вещей. Компьютерная криминалистика - это дисциплина ученичества. В последние годы появилось больше программ, в которых я преподаю в Университете Джорджа Мейсона, - которые предлагают отличную курсовую работу в компьютерной криминалистике.

Тем не менее, вы действительно изучаете торговлю, когда находитесь на месте, работая над реальными делами вместе с старшим экзаменатором.

Кроме того, вам не нужно иметь опыт программирования в полевых условиях. Фактически, у меня были значительно лучшие опыты по обучению удачи в технических деталях работы, чем у меня в преподавании методик исследования методов и искусства «догадки». «Если у вас нет технического фона в школе, это НЕ является сдерживающим фактором для выхода на поле.

• Узнайте, какой тип степени вы должны зарабатывать для судебной науки Карьера
• Изучите виды степеней, которые вы должны заработать для криминологии и уголовного правосудия Карьера

TR: Вы работали как в частной, так и в частной государственных секторов, выполняя большую часть той же работы. Как бы вы описали разницу между ними?

JI: Наибольшие различия между работой в государственном и частном секторах обычно являются процедурой и скоростью. В федеральном мире процедуры обычно (но не всегда) в значительной степени предписаны, а скорость производства, как правило, менее критична (за некоторыми заметными исключениями).

В коммерческом мире процедуры во многом определяются личным опытом или предпочтениями вашего работодателя, а скорость производства намного выше. Я провел четыре месяца на одном жестком диске один раз с федеральным работодателем из-за объема данных, которые он содержал, но в коммерческом мире вы обычно стремились к перелому времени дней или недель максимум.

TR: Каков типичный рабочий день, например, для аналитика или экзаменатора цифровой криминалистики?

JI: Рабочий день для профессионала цифровой криминалистики ничем не типичен. В зависимости от организации, для которых вы работаете, вы могли бы работать постоянный поток случаев детской порнографии, или вы могли бы анализировать предметы так высокий профиль, что вы смотрите их на CNN в то время как вы делаете свою работу.

Тем не менее, вы часто можете ожидать, что находитесь в слишком жарком офисе (из-за количества компьютеров на вашем столе, подавляющих типичный офисный кондиционер), и вы получите очень хорошую возможность собрать один рабочий компонент из кучу неработающих.

Большая часть вашего дня будет потрачена на документацию. Возможно, вы пишете отчет об анализе, рецензируете отчет другого эксперта или отмечаете все, что делали при сдаче экзамена. Лучший экзамен в мире бесполезен, если вы не можете четко рассказать в письменном отчете, который может быть легко понят агентом, должностным лицом, адвокатом или жюри. Кроме того, если ваш письменный отчет плох, он, естественно, подвергает сомнению ваши технические возможности теми, кто пытается его прочитать.

• Узнайте больше о том, почему навыки написания настолько важны в любой криминологической карьере

В зависимости от того, где вы работаете, свидетельствование в суде является потенциальной частью проведения цифрового судебно-медицинского анализа. Если вы работаете в правоохранительных органах, это почти гарантировано, но даже сотрудники службы судебной экспертизы, возможно, придется давать показания во время судебного иска о несправедливом прекращении или поддерживать последующие действия правоохранительных органов по отслеживанию вторжения. Некоторые эксперты, которых я знаю, отлично подходят за клавиатурой и могут писать фантастические отчеты, но они разваливаются, когда они призваны давать показания в суде.

TR: Вы написали статью под названием Темная сторона цифровой криминалистики . Можете ли вы рассказать нам немного о некоторых проблемах работы?

JI: Вы на самом деле ссылаетесь на сообщение в блоге, которое я написал однажды, которое было выбрано несколькими цифровыми точками криминалистики и было повторно отправлено снова и снова. Я понятия не имел, что у меня будут такие «ноги», когда я это написал; Я был просто поражен тем, что люди, которые хотели попасть в поле, до сих пор не знали, что это действительно повлекло за собой.

Компьютерная криминалистика была для меня фантастической карьерой, но есть определенные подводные камни. Фактически, первые две классные занятия, которые я преподаю, сосредоточены вокруг реалий работы, и я шокирован каждый раз, когда я узнаю, что я первый человек, который сказал моим ученикам, что на самом деле работа после они выбрали это как свое поле.

У меня нет научных цифр, но я оценил бы около 70-80% от судебно-медицинской экспертизы случаев компьютерных во всем мире, связанных с детской порнографией. Чем ближе вы к государственным и местным правоохранительным органам, тем выше это число.

Даже если вы сосредоточены на компьютерных вторжений и реагирования на инциденты, вы будете часто находить детскую порнографию в качестве цели или результата вторжения (или просто существующие на компьютерах, вы исследуете от обычного пользователя машины).

Воздействие детской порнографии, в частности, в течение восьми часов в день, сорок часов в неделю, пятьдесят две недели в год, берет свое. Это не просто просмотр фотографий. Вы тоже смотрите видео, и вы видите и слышите все.

Если вы можете продолжать делать это, вы, скорее всего, разработаете очень темное, кладбищенское чувство юмора для борьбы с ним. Я также добровольно участвую в пожарном и спасательном отряде, и вы видите много такого же юмора; это механизм преодоления, разработанный людьми, которые работают в более мрачных областях жизни.

Кроме того, в зависимости от работы вы делаете, вы будете подвергаться воздействию графических изображений и текста убийства, пытки, изнасилования, терроризм, и просто о каком-либо преступлении, разврата, порнографии, или девиации вы можете себе представить.

Компьютеры - отличные инструменты для хорошего, и они также отличные инструменты для совершения преступлений и распространения ненависти. Как компьютерный судебный экзаменатор, вы будете изобличены ко всему этому изо дня в день. В одной группе у нас была шутка, которая звучала в рекламе в то время, когда говорила о людях, которые «занимались серфингом на дне Интернета». «Мы добавили:« … и тогда наша команда получает лопату и начинает копать. «

Из-за работы и содержания, которым подвергается экзаменатор, многие люди, которые выходят на поле, не продержатся. В среднем, я бы сказал, что около пятидесяти процентов людей, которые попадают в нее, уходят примерно через два года. Кажется, это знак, когда у экзаменатора было достаточно случаев под его или ее поясом, чтобы либо отягощать (или не подвергать) воздействию. Если вы можете пройти мимо двухлетней отметки, у вас, как правило, долгая карьера впереди вас в компьютерной криминалистике.

TR: С такими быстрыми достижениями в области вычислительной техники за последнее десятилетие, как изменилась область цифровой криминалистики в вашей карьере?

JI: Компьютерная криминалистика сильно изменилась с тех пор, как я начал работать в 90-х годах. Тогда вы посмотрели на каждый файл на жестком диске (потому что могли), а мобильные устройства даже не подумали. Дискеты будут входить сотнями, но теперь вы их никогда не увидите.

Сегодня количество данных настолько велико, что вы должны быть гораздо точнее в своих поисках, а мобильные устройства - это, если не более важный предмет экзамена.

Кроме того, глубина инструментов значительно изменилась. В первые дни большинство инструментов были написаны полицейскими, которые взяли несколько классов программирования или были самоучкой. У нас было множество одноразовых утилит, которые мы собирались вместе, чтобы провести экзамен.

Теперь инструменты гораздо более профессиональны и универсальны. Хороший экзаменатор по-прежнему будет иметь большой «набор инструментов», из которого можно работать, но у него есть намного лучшие возможности базовой платформы для проведения общего экзамена. Индустрия всегда пытается перейти к волшебству «найти все кнопки доказательств», и некоторые инструменты приближаются к этому для определенных типов случаев.

В политическом отношении типы дел сильно изменились.Первоначально компьютерная криминалистика в основном использовалась правоохранительными органами по уголовным делам. После 11 сентября большая часть работы перешла к борьбе с терроризмом. Теперь компьютерные вторжения являются горячей темой, и многие карьеры перешли к реакции на инцидент. Поле сильно меняется со временем.

TR: В настоящее время вы являетесь вице-президентом по развитию технологий в CyTech Services. Если вы можете поделиться ими с нами, какие инновации вы смогли бы получить за свою карьеру?

JI: Переход на CyTech Services был для меня фантастическим. В моем положении я не только могу использовать опыт моей компьютерной экспертизы, но также могу использовать свой опыт в управлении проектами программного обеспечения. CyTech производит CyFIR Enterprise (CyTech Forensics and Incident Response) для проведения судебных экспертиз корпоративных компьютеров.

Мой вклад заключается в дальнейшем развитии инструмента с глаз практикующего. Например, архитектура CyFIR позволяет исследователям одновременно искать каждый узел в корпоративной сети для судебных данных, не требуя от пользователей прекратить работу для длительного процесса обработки изображений.

Если в организации существует злонамеренная угроза, CyFIR имеет возможность находить все зараженные машины в течение нескольких минут, а не дней или недель. Это очень важно при выполнении реакции на инцидент, eDiscovery или внутренних расследований в крупной корпоративной сети или при ответе на компромисс с множеством магазинов, который крадет данные кредитной карты с контрольных дорожек. Старое мышление «изображение все и сортировка через него позже» просто не летает больше в контексте предприятия.

Хотя это не «инновация» как таковая, с моим руководством, мне очень повезло, что я определил кандидатов, которые выдают выдающихся судебных экспертов.

Возобновление инфляции, к сожалению, является большой проблемой в нашей отрасли, и у кого-то, кто отлично смотрится на бумаге, может быть только знание уровня владения языком на самом деле с помощью экзамена. Благодаря процессу собеседования, который я разработал с течением времени, я был чрезвычайно успешным в поиске правильных кандидатов с навыками, необходимыми для этой должности.

С образовательной стороны я смог передать свои знания и, что более важно, свой опыт будущим поколениям судебных экспертов. В течение этих первых двух дней занятий, о которых я упоминал, я обнаружил, что каждый семестр каждый семестр скажет мне, что они не понимают, что они договорились, когда они начали программу, и поблагодарить меня за то, что они дали понять, например, потому что они не чувствовали себя комфортно, выполняя такую ​​работу.

В этот момент я могу привести их в программу компьютерной безопасности, которая не будет иметь те же проблемы с содержанием, которые ждут их в будущем. Точно так же я могу довольно быстро определить учеников, у которых действительно есть «умение», и я могу помочь указать им в правильном направлении, чтобы начать свою карьеру.

Далее: Джон Ирвин делится советами о том, как получить работу в цифровой судебной экспертизе

В заключительной части нашего интервью с экспертом по цифровой экспертизе Джон Ирвин мы узнаем, почему поле так важно, что такое стремление экзаменаторы могут заработать, и что вы можете сделать, чтобы начать карьеру в качестве цифрового судебного эксперта.

Интервью с экспертом по цифровой экспертизе Джон Ирвин, часть 3:

TR: Почему область цифровой судебной экспертизы так ценна для правительств и корпораций?

JI: Цифровая судебная экспертиза ценна как правительствам, так и корпорациям по той же причине - информации.

Является ли эта информация доказательством для федерального уголовного дела или знанием инсайдера, крадущего корпоративную интеллектуальную собственность для конкурента, специалисты по цифровой судебной экспертизе предоставляют данные, которые у клиентов в противном случае нет.

В очень простых терминах можно было бы сравнить работу цифрового судебного экзаменатора с работой разработчика фотографий. Например, если у меня есть неразвитый рулон пленки в моих руках, это почти бесполезно для меня, как для любого доказательства. Однако, если кто-то разрабатывает этот фильм на фотографиях (или восстанавливает данные с жесткого диска в нашем случае), этот контент может предоставить все, что требуется прокурору, HR-менеджеру или специалисту по корпоративной безопасности.

Теперь, когда я думаю об этом, мне нужно придумать новую аналогию в будущем. Дети в школе сегодня, вероятно, даже не знают, что такое «рулон фильма»!

TR: Что вам больше всего нравится в вашей работе, и почему вы продолжаете это делать?

JI: Цифровая судебная экспертиза обращается ко мне на нескольких уровнях. Прежде всего, это позволяет мне внести весомый вклад в безопасность и защиту людей, не ограничиваясь физическими ограничениями зрения или возраста. Возможно, я не был агентом, преследующим кого-то по переулку, но я мог бы предоставить этому агенту данные сотового телефона субъекта, который запечатывает случай и открывает еще три.

Далее, цифровая криминалистика глубоко обращается ко мне, потому что это гибрид моей любви к правоохранительным органам и интеллекту (мой TiVo наполнен копами и шпионскими шоу) и мой внутренний выродка. Если вы смотрите эти шоу, вы даже видите эволюцию этих персонажей на экране. Пятнадцать лет назад они были über-nerds со сломанными очками и неуклюжими социальными достоинствами. Теперь компьютерный судебный экзаменатор обычно имеет сухое чувство юмора и отличное чувство стиля!

TR: Что нужно, чтобы быть успешным в качестве эксперта по цифровой экспертизе или аналитика?

JI: В первую очередь, требуется искренняя страсть к справедливости (и я использую это во всеохватывающей терминологии) с любовью к техническим вещам. Если у вас есть эти два предмета, вы хорошо на своем пути.

Официальные образовательные программы доступны сейчас, которые не существовали всего несколько лет назад, и стоит потратить время, чтобы исследовать их, чтобы увидеть, что каждый может предложить. Кроме того, многие инструменты судебной экспертизы там имеют классы (с использованием инструмента, проданного компанией, включая мою собственную), которая может помочь вам начать работу.

Как я рассказываю своим ученикам, поле требует очень сильного чувства личной ответственности. Вы должны быть готовы указать свое имя и репутацию в строке с каждым анализируемым вами случаем, потому что вы вполне можете оказаться в суде, основываясь на содержании вашего отчета.

Если вам не хватает убежденности, благодати под давлением или откровенности, это абсолютно НЕ поле для карьеры для вас.

Наконец, успеху очень помогает, найдя хорошего наставника в поле и работая плечом к плечу с этим человеком, пока вы изучаете торговлю. Школы могут дать вам отличную основу, но опыт работы с опытом поможет вам поставить людей за решетку.

TR: Сколько стоит ваш средний цифровой эксперт по судебной экспертизе, и сколько они могут заработать, если они станут авторитетными и / или отправятся в частную фирму?

JI: Цифровая судебная зарплата варьируется в широких пределах, и в последнее время из-за секвестрации и насыщения рынка люди, пытающиеся рекламировать себя, как компьютерные судебные эксперты, которые нет, зарплаты начинают снижаться. (Большая часть ответственности лежит на плохих менеджерах по найму, которые не могут определить истинный набор навыков кандидата).

Однако, в целом, человек с талантом должен иметь возможность находить позиции между 60-80 000 долларов в младшем на уровне 80 - 120 000 долл. США на уровне среднего уровня и до 150 000 долл. США на старшем уровне. Тем не менее, я знаю некоторых замечательных экзаменаторов, которые занимали должности в размере 50 000 долларов в год в качестве местных полицейских, и я знаю паршивых экзаменаторов, которые зарабатывали более 250 000 долларов в год, потому что они хорошо продавали свое имя.

В самых общих чертах судебные эксперты делают все возможное в случаях судебных разбирательств в сфере обороны или в eDiscovery, если они могут запускать большое количество дел сразу (и выставлять счета нескольким клиентам). За этими уровнями заработной платы обычно следуют федеральные государственные подрядчики, работники федерального правительства, государственные служащие, военные и, наконец, экзамены местных органов власти, соответственно.

• Узнайте о военном правоприменительном карьере
• Откройте для себя Федеральную правоохранительную деятельность

Коммерческие зарплаты управляют гаммой в зависимости от опыта, размера компании и корпоративного интереса к судебной экспертизе (либо из-за проактивности, либо с публичным смущением).

TR: Какой совет у вас есть для тех, кто пытается решить, хотят ли они работать в качестве экзаменатора по цифровой экспертизе, или для кого-то, только начинающего в поле?

JI: Прочтите эту статью! Серьезно, я бы потратил немного времени на LinkedIn и обратился к людям в области цифровой судебной экспертизы, чтобы задать им многие из тех же вопросов, которые вы мне задали.

Найдите людей, которые работают в организациях или компаниях, на которых вы хотите работать, и пусть они расскажут вам о ежедневном измельчении. Я размещаю один или два запроса в неделю через мои ссылки LinkedIn или школьные адреса электронной почты, и я с удовольствием предлагаю свой совет в зависимости от их индивидуальных ситуаций.

Если у вас есть немного денег, чтобы потратить, я бы предложил подписаться на один из учебных классов, предлагаемых крупными производителями компьютеров для судебных органов, чтобы понять, что связано с работой и способами ее совершения.

Если класс вас интересует, я бы изучил отличные программы в некоторых университетах на уровне BS или MS (например, Masters Computer Forensics, доступный из Университета Джорджа Мейсона в Фэрфаксе, штат Вирджиния, где я преподаю).

• Подробнее о том, как стать цифровым экспертом по судебной экспертизе

TR: Если у вас есть что-то еще, что вы хотели бы добавить о своей карьере или на поле в целом, не стесняйтесь поделиться им.

JI: Компьютерная криминалистика определенно не для всех, и что ' в порядке. Прежде чем тратить много времени или денег, найдите специалиста по цифровой криминалистике в своем районе, предложите купить ему чашку кофе и забрать свой мозг в течение часа. Большинство из нас более чем охотно делится нашими знаниями, так как мы сами придумали.

Digital Forensics - это поле роста (давайте посмотрим правде в глаза, компьютеры не уйдут в ближайшее время), и для всех есть много работы. Однако, если вы не цените правду и не можете противостоять своей работе перед лицом невзгод, вы не продержитесь долго в этом бизнесе, где репутация - это все.

Я, возможно, не знаю конкретного судебного эксперта лично, но я могу гарантировать, что я позвоню кому-то другому, и те неофициальные «файлы зала» быстро пройдут между экзаменаторами. Один из примеров плохой откровенности или отсутствия ответственности может положить конец карьере.

Все, что сказал, это было фантастическое поле для меня, и я благодарен всем, с кем я работал в прошлом, за уроки, которые они научили меня, и опыт, который они передали. Это была дикая поездка.