Нет никаких сомнений в том, что технологии существенно изменили способ полиция занимается бизнесом. Столь же верно и мнение о том, что наши постоянно развивающиеся технологии меняют типы преступлений, которые совершаются. полицейские детективы провести полное расследование, отсюда и рост числа работа в области цифровой криминалистики.
Киберпространство все больше становится «районом с высоким уровнем преступности», и необходимость присутствия полиции очевидна. Именно здесь на помощь приходят цифровые и мультимедийные науки и такие люди, как Джон Ирвин.
Один из пионеров цифровой криминалистики, Джон проводил компьютерные расследования еще до того, как большинство людей узнали о существовании такой вещи. В настоящее время он является директором по продуктам компании CyFir, которая предлагает платформу удаленной цифровой криминалистики и реагирования на инциденты.
Джон также является адъюнкт-профессором цифровой криминалистики в Университете Джорджа Мейсона, где он преподает юридические и этические вопросы компьютерной криминалистики. Он имеет степень магистра наук в области информационных систем и диплом специалиста в области разработки программных систем.
Он занимается компьютерной криминалистикой с 1997 года как в государственном, так и в частном секторе, в том числе сотрудничает с ФБР, Управлением по борьбе с наркотиками и многочисленными частными консалтинговыми фирмами. Он также работает волонтером в Добровольческой пожарной части Арколы. Несмотря на свою занятость, он нашел время, чтобы ответить нам на несколько вопросов о быстро развивающейся области цифровой криминалистики и о том, каково работать в этой отрасли.
Интервью с экспертом по цифровой криминалистике Джоном Ирвином
Тим Руфа: У вас есть многолетний опыт работы в цифровой криминалистике, и вы зарекомендовали себя как признанный эксперт в этой области. Очевидно, что для достижения того, чего вы смогли, потребуется много упорного труда и образования, но как вы начали?
Джон Ирвин: Совершенно случайно! Как и большинство историй о великих карьерах, я попал в нее случайно, а не по плану. У меня всегда был большой интерес к технологиям. В детстве я собрал первый клон ПК. Кроме того, примерно с пяти лет я знал, что хочу стать агентом ФБР. В конце концов, эти два интереса совпали.
Однажды, когда я сидел в своем офисе и занимался управлением программными проектами, меня охватило желание наконец обратиться в ФБР. Это было до того, как Интернет стал, ну, ИНТЕРНЕТОМ, поэтому я не мог легко получить информацию онлайн. Я позвонил в местное отделение ФБР, оставил свое имя и адрес на автоответчике для заинтересованных кандидатов и ответил «да» на вопрос о владении компьютерными навыками.
Я получил то, что я называю «Так ты хочешь стать специальным агентом?» пакет через несколько недель. Я открыл брошюру, и первая страница одним предложением уничтожила мою мечту всей жизни. Моя карьера в качестве агент ФБР закончилось до того, как началось, с требованием наличия неисправленного зрения 20/40 или выше. Во времена, когда еще не было чудес LASIK, мне было около 20/2000.
В задней части пакета было что-то похожее на 17.й поколение, сильно искаженная, почти неразборчивая копия объявления о вакансии «компьютерного специалиста», которое, очевидно, было включено в список из-за моих заявленных способностей к работе с компьютерами. Я подумал: «Ну, может быть, я смогу починить принтеры или что-нибудь для ФБР. По крайней мере, так я попаду в дверь.
Я отправил свое резюме специалисту по персоналу, указанному в описании вакансии, и примерно через неделю мне позвонил один из менеджеров программ группы реагирования на компьютерный анализ ФБР. Он сказал: «Ваше резюме было перенаправлено мне, потому что в сопроводительном письме вы сказали, что являетесь «специалистом по компьютерным технологиям». Что ты знаешь о компьютерной криминалистике?» «Ничего», — ответил я. Он сказал: «Отлично. Приходите на собеседование».
ТР: Как вы впервые заинтересовались цифровой криминалистикой?
ДЖИ: В интервью люди, с которыми я встречался, говорили мне, что я могу быть компьютерщиком с плохим зрением и при этом помогать ловить плохих парней. Очевидно, мои универсальные способности — то есть я мог эффективно использовать различные операционные системы и имел довольно хорошее знание как внутреннего устройства оборудования, так и основных приложений — отлично подойдет для их команда.
Это было действительно все, что мне нужно было услышать. Я думал, что помимо Windows я играл с операционными системами Linux и Mac просто ради удовольствия; Я не осознавал, что все это закладывает основу для будущей карьеры.
ТР: Помимо вашего опыта в судебно-медицинской экспертизе, вы много времени работали на федеральное правительство. Помог ли этот опыт подготовить вас к вашей нынешней карьере?
ДЖИ: До работы в ФБР я довольно много времени проработал государственным подрядчиком. Фактически, когда я учился в старшем классе средней школы, я уходил, когда звонил звонок, и ехал по улице. улицу оборонному подрядчику, где я работал помощником директора по кадрам и спец. Безопасность. Позже я работал в компании-разработчике программного обеспечения, у которой было несколько государственных заказчиков.
Помимо уже имеющегося проверка благонадежности в очень молодом возрасте этот опыт помог мне, познакомив меня с множеством различных аппаратных платформ, программные приложения и, что наиболее важно, разные типы людей в правительстве и профессиональных мир. Независимо от того, как это выглядит, компьютерная криминалистика касается не только самого оборудования, но и людей, которые используют компьютеры, которые вы анализируете.
Во второй части нашего интервью с профессором и экспертом цифровой криминалистики Джоном Ирвайном мы узнаем о некоторых подводных камнях профессии, и он объясняет, почему эта работа не для всех.
Карьера в области цифровой криминалистики и подводные камни
ТР: Между вашей степенью бакалавра в области менеджмента, ваш разработка программного обеспечения сертификат и степень магистра в области информационных систем, насколько хорошо, по вашему мнению, ваши степени подготовили вас к карьерному пути?
ДЖИ: Каждая из этих программ принесла что-то полезное для меня, работающего в области компьютерной криминалистики. Во-первых, я думаю, важно сказать, что компьютерная криминалистика НЕ является дисциплиной информатики. Это не только следственная функция, но и техническая задача. Если какой-либо набор навыков отсутствует, человеку будет гораздо труднее успешно работать в этой области.
Магистр информационных систем помог мне лучше понять операционные системы, файловые системы и компьютерную механику. Однако степень бакалавра менеджмента в равной степени помогла мне в курсовой работе по психологии, социологии, менеджменту и бухгалтерскому учету. Я не могу дать одно преимущество над другим по полезности в этой области.
Тем не менее, я хочу убедиться, что говорю несколько вещей. Компьютерная криминалистика — это учебная дисциплина. В последние годы появилось больше программ (включая ту, по которой я преподаю в Университете Джорджа Мейсона), которые предлагают отличные курсы по компьютерной криминалистике. Тем не менее, вы действительно освоите эту профессию, когда будете работать над реальными делами вместе со старшим экспертом.
Кроме того, вам НЕ нужно иметь программирование фон для успешной работы в этой области. На самом деле, мне гораздо больше удавалось обучать следователей техническим деталям работы, чем обучать программистов. методы расследования и искусство «догадки». Если у человека нет технического образования в школе, это НЕ является сдерживающим фактором для поступления в поле.
ТР: Вы работали как в частном, так и в государственном секторе, выполняя большую часть одной и той же работы. Как бы вы описали разницу между ними?
ДЖИ: Самая большая разница между работой в государственном и частном секторах заключается, как правило, в процедурах и скорости. В федеральном мире процедуры обычно (но не всегда) строго регламентированы, а скорость производства, как правило, менее важна (за некоторыми заметными исключениями).
В коммерческом мире процедуры во многом определяются личным опытом или предпочтениями вашего работодателя, а скорость производства намного выше. Однажды я провел четыре месяца на одном жестком диске у федерального работодателя из-за большого количества данных. он содержался, но в коммерческом мире вы обычно стремитесь к тому, чтобы срок выполнения работ составлял несколько дней или недель. большинство.
ТР: Как выглядит типичный рабочий день аналитика или эксперта по цифровой криминалистике?
ДЖИ: Рабочий день специалиста по цифровой криминалистике далеко не типичен. В зависимости от организации, в которой вы работаете, вы можете иметь дело с постоянным потоком детской порнографии. дела, или вы можете анализировать предметы настолько громкого характера, что смотрите их по CNN, пока делаете работа.
Однако часто можно ожидать, что в офисе будет слишком жарко (из-за того, что количество компьютеров на вашем столе превосходит типичную температуру). офисный кондиционер), и вы очень хорошо научитесь собирать один работающий компонент из множества неработающих.
Большая часть вашего дня будет потрачена на документацию. Вы можете писать отчет об анализе, рецензировать отчет другого экзаменатора или отмечать все, что вы делали во время экзамена. Самая лучшая экспертиза в мире бесполезна, если вы не можете четко изложить письменный отчет, который может быть легко понят агентом, офицером, адвокатом или присяжными. Кроме того, если ваш письменный отчет будет плохим, это, естественно, поставит под сомнение ваши технические способности со стороны тех, кто попытается его прочитать.
В зависимости от того, где вы работаете, дача показаний в суде является потенциальной частью проведения цифровой судебно-медицинской экспертизы. Если вы работаете в правоохранительных органах, это почти гарантировано, но даже сотрудники корпоративных криминалистов могут должны давать показания во время иска о несправедливом увольнении или поддерживать последующие действия правоохранительных органов по отслеживанию вторжение. Некоторые эксперты, которых я знаю, отлично работают с клавиатурой и могут писать фантастические отчеты, но они терпят неудачу, когда их вызывают для дачи показаний в суде.
ТР: Вы написали статью под названием Темная сторона цифровой криминалистики. Можете ли вы рассказать нам немного о некоторых подводных камнях этой работы?
ДЖИ: На самом деле вы ссылаетесь на сообщение в блоге, которое я написал тысячу лет назад, которое было подхвачено несколькими изданиями по цифровой криминалистике и перепостилось снова и снова. Когда я писал это, я понятия не имел, что у него будут такие «ноги»; Я был просто поражен тем, что люди, которые хотели заняться этой областью, до сих пор понятия не имели, что это на самом деле влечет за собой.
Компьютерная криминалистика стала для меня фантастической карьерой, но здесь определенно есть подводные камни. Фактически, первые два занятия, которые я провожу, сосредоточены на реалиях работы, и я каждый раз шокирован, когда узнайте, что я первый человек, который рассказал своим студентам, какова на самом деле эта работа после того, как они выбрали ее в качестве своей степени поле.
У меня нет научных цифр, но, по моим оценкам, от 70 до 80 процентов случаев компьютерной криминалистики во всем мире связаны с детской порнографией. Чем ближе вы приближаетесь к правоохранительным органам штата и местного уровня, тем выше становится это число.
Даже если вы концентрируетесь на компьютерных вторжениях и реагировании на инциденты, вы часто обнаружите, что детская порнография является цель или результат вторжения (или просто наличие на компьютерах, которые вы проверяете, у обычного пользователя машина).
Воздействие детской порнографии, особенно в течение восьми часов в день, 40 часов в неделю, 52 недели в году, имеет свои последствия. Это не просто просмотр неподвижных изображений. Вы тоже смотрите видео, все видите и слышите.
Если вы сможете продолжать это делать, у вас, скорее всего, разовьется очень мрачное, кладбищенское чувство юмора, способное бороться с этим. Я также работаю волонтером в пожарно-спасательной команде, и вы видите там почти такой же юмор; это механизм выживания, разработанный людьми, работающими в наиболее мрачных сферах жизни.
Кроме того, в зависимости от выполняемой вами работы, вам будут доступны графические изображения и тексты убийств, пытки, изнасилования, терроризм и практически любые преступления, разврат, порнография или отклонения, которые вы можете представлять себе.
Компьютеры — превосходные инструменты добра, а также отличные инструменты для совершения преступлений и распространения ненависти. Как компьютерный судебный эксперт, вы будете сталкиваться со всем этим изо дня в день. В одной группе у нас была шутка, которая была использована в тогдашней рекламе и рассказывала о людях, которые «просматривали дно Интернета». Мы добавили: «…а потом наша команда берет лопату и начинает копать».
Из-за работы и содержания, которым подвергается экзаменатор, многие люди, приходящие в эту область, недолговечны. В среднем, я бы сказал, что около 50 процентов людей, попавших в эту сферу, уходят примерно через два года. Кажется, это признак того, что у эксперта за плечами было достаточно дел, чтобы стать либо отягощенным (или невосприимчивым к) воздействию. Если вам удастся преодолеть двухлетний рубеж, вас, как правило, ждет долгая карьера в области компьютерной криминалистики.
Меняющаяся дисциплина
ТР: С учетом такого быстрого развития компьютерных технологий за последнее десятилетие, как изменилась область цифровой криминалистики за вашу карьеру?
ДЖИ: Компьютерная криминалистика сильно изменилась с тех пор, как я начал заниматься ею в 90-х годах. Тогда вы просматривали каждый файл на жестком диске (потому что могли), а о мобильных устройствах даже не думали. Дискеты приходили бы сотнями, но теперь их никогда не увидишь.
Сегодня объем данных настолько огромен, что приходится быть гораздо более точным при поиске, а мобильные устройства являются не менее, если не более важным, объектом изучения.
Кроме того, существенно изменилась глубина инструментов. Вначале большинство инструментов писалось полицейскими, которые прошли несколько курсов программирования или были самоучками. У нас были десятки одноразовых утилит, которые мы собирали вместе для проверки.
Теперь инструменты стали гораздо более профессиональными и многофункциональными. У хорошего экзаменатора по-прежнему будет большой «набор инструментов», с которым он сможет работать, но у него или нее есть гораздо лучшие варианты базовой платформы для проведения общего экзамена. Индустрия всегда пытается перейти к волшебной кнопке «найти все доказательства», и некоторые инструменты для определенных типов дел приближаются к ней.
В политическом плане типы дел сильно изменились. Первоначально компьютерная криминалистика в основном использовалась правоохранительными органами при рассмотрении уголовных дел. После 11 сентября большая часть работы переключилась на борьбу с терроризмом. Сейчас компьютерные вторжения являются горячей темой, и многие профессии сместились в сторону реагирования на инциденты. Поле сильно меняется со временем.
ТР: В настоящее время вы занимаете должность вице-президента по развитию технологий в CyTech Services. Если вы можете поделиться ими с нами, какие инновации вы смогли приложить к своей карьере?
ДЖИ: Переход в CyTech Services был для меня фантастическим. На моей должности я не только могу использовать свой опыт компьютерной криминалистики, но также могу использовать свой опыт управления проектами по программному обеспечению. CyTech производит CyFIR Enterprise (CyTech Forensics and Incident Response) для проведения корпоративных компьютерных криминалистических расследований.
Мой вклад заключается в дальнейшем развитии инструмента с точки зрения практикующего специалиста. Например, архитектура CyFIR позволяет следователям одновременно искать данные судебно-медицинской экспертизы на каждом узле корпоративной сети, не требуя от пользователей прерывания работы из-за длительного процесса создания изображений.
Если в организации произошла атака вредоносного кода, CyFIR имеет возможность обнаружить все затронутые компьютеры в течение нескольких минут, а не дней или недель. Это очень важно при реагировании на инциденты, обнаружении электронных данных или внутренних расследованиях на крупном предприятии. сети или при реагировании на взлом нескольких магазинов в точках продаж, в результате которого данные кредитной карты похищаются при оформлении заказа. переулки. Старая идея «сфотографируйте все и отсортируйте это позже» больше не работает в корпоративном контексте.
Хотя это и не было «инновацией» как таковой, с моим управленческим опытом мне исключительно повезло найти кандидатов, которые стали выдающимися судебно-медицинскими экспертами.
К сожалению, завышение резюме является большой проблемой в нашей отрасли, и тот, кто отлично выглядит на бумаге, может иметь лишь базовые знания о том, как на самом деле сдать экзамен. Благодаря процессу собеседований, который я разработал с течением времени, мне удалось чрезвычайно успешно найти подходящих кандидатов с навыками, необходимыми для этой должности.
Что касается образования, я смог передать свои знания и, что более важно, свой опыт будущим поколениям судебно-медицинских экспертов. В течение тех первых двух дней занятий, о которых я упомянул, я обнаружил, что один или два человека каждый семестр говорили мне, что они не осознавали, что у них было. договорились, когда они начали программу, и благодарим меня за то, что я рассказал им, в чем заключалась эта работа, потому что они не чувствовали себя комфортно, выполняя такую работу. работы.
В этот момент я могу направить их к программе компьютерной безопасности, которая не будет иметь таких же проблем с контентом, ожидающих их в будущем. Точно так же я могу довольно быстро определить студентов, которые действительно обладают «ловкостью», и могу помочь им указать правильное направление для начала карьеры.
В заключительной части нашего интервью с экспертом по цифровой криминалистике Джоном Ирвином мы узнаем, почему эта область так популярна. важно, сколько могут заработать начинающие эксперты и что вы можете сделать, чтобы начать карьеру цифрового судебно-медицинского эксперта. эксперт.
Почему цифровая криминалистика так важна и с чего начать?
ТР: Почему область цифровой криминалистики так ценна для правительств и корпораций?
ДЖИ: Цифровая криминалистика ценна как для правительств, так и для корпораций по одной и той же причине — информация. Является ли эта информация доказательством для федерального уголовного дела или знанием о том, что инсайдер крадет корпоративную информацию? интеллектуальная собственность конкурента, специалисты в области цифровой криминалистики предоставляют данные, которые в противном случае клиенты не получили бы. есть в наличии.
Проще говоря, работу цифрового судмедэксперта можно сравнить с работой разработчика фотографий. Например, если у меня в руках непроявленная пленка, то она для меня практически бесполезна как какое-либо доказательство. Однако если кто-то проявит этот фильм в изображения (или в нашем случае восстановит данные с жесткого диска), этот контент может предоставить прокурору все, что ему нужно. Менеджер по персоналу, или нужен сотрудник корпоративной безопасности.
Теперь, когда я об этом думаю, мне нужно придумать новую аналогию на будущее. Сегодняшние школьники, вероятно, даже не знают, что такое «кинопленка»!
ТР: Что вам больше всего нравится в вашей работе и почему вы продолжаете ею заниматься?
ДЖИ: Цифровая криминалистика привлекает меня на нескольких уровнях. Прежде всего, это позволяет мне вносить значимый вклад в безопасность людей, не ограничиваясь физическими ограничениями по зрению или возрастом. Возможно, я не агент, преследующий кого-то в переулке, но я могу передать этому агенту данные с мобильного телефона субъекта, которые запечатывают дело и открывают еще три.
Далее, меня глубоко привлекает цифровая криминалистика, потому что это гибрид моей любви к правоохранительным органам и разведке (мой TiVo полон полицейских и шпионских шоу) и моего внутреннего фаната. Если вы посмотрите эти шоу, вы даже увидите эволюцию этих персонажей на экране. Пятнадцать лет назад они были сверхботаниками с разбитыми очками и неловкой социальной грацией. Компьютерный судебный эксперт обычно обладает сухим чувством юмора и отличным чувством стиля!
ТР: Что нужно, чтобы добиться успеха в качестве цифрового судебно-медицинского эксперта или аналитика?
ДЖИ: Прежде всего, необходима искренняя страсть к справедливости (я использую это всеобъемлющее понятие) и любовь к техническим вещам. Если у вас есть эти два предмета, вы уже на верном пути.
Сегодня доступны официальные образовательные программы, которых не существовало всего несколько лет назад, и стоит потратить время на их изучение, чтобы увидеть, что каждая из них может предложить. Кроме того, многие из существующих инструментов криминалистики имеют курсы (с использованием инструмента, продаваемого компанией, включая мой собственный), которые могут помочь вам начать работу.
Как я говорю своим студентам, эта область требует очень сильного чувства личной ответственности. Вы должны быть готовы поставить на кон свое имя и репутацию в каждом случае, который вы анализируете, потому что вы вполне можете оказаться в суде на основании содержания вашего отчета. Если вам не хватает убежденности, изящества под давлением или откровенности, эта карьера абсолютно НЕ для вас.
Наконец, добиться успеха в огромной степени помогает поиск хорошего наставник в поле и работая плечом к плечу с этим человеком, пока вы изучаете ремесло. Школы могут дать вам отличную основу, но практический опыт помогает отправлять людей за решетку.
ТР: Сколько должен ожидать средний эксперт по цифровой криминалистике и сколько он может заработать, если приобретет репутацию и/или перейдет в частную фирму?
ДЖИ: Зарплаты цифровых криминалистов сильно различаются, и в последнее время из-за секвестра и насыщения рынка люди пытаются рекламировать себя как компьютерных судмедэкспертов, но это не так, зарплаты начинают приходить вниз. (Большая часть ответственности лежит на плохих менеджерах по найму, которые не могут определить истинные навыки кандидата.)
Однако в целом талантливый человек должен иметь возможность найти позиции от 60 до 80 000 долларов на младшем уровне, от 80 до 120 000 долларов на среднем уровне и до 150 000 долларов и более на старшем уровне. Тем не менее, я знал нескольких замечательных экзаменаторов, которые занимали должности, которым платили всего 50 000 долларов в год в местной полиции. офицеров, и я знал паршивых экзаменаторов, которые зарабатывали более 250 000 долларов в год, потому что рекламировали свое имя. хорошо.
В самых общих чертах судебно-медицинские эксперты приносят максимальную пользу в судебных делах защиты или в электронное обнаружение если они могут вести большое количество дел одновременно (и выставлять счета нескольким клиентам). Эти уровни заработной платы обычно соблюдаются подрядчиками федерального правительства. сотрудники федерального правительства, государственные служащие, военныйи, наконец, эксперты местных органов власти соответственно.
Коммерческие зарплаты варьируются в зависимости от опыта, размера компании и корпоративного интереса к судебно-медицинской экспертизе (либо из-за активности, либо из-за общественного смущения).
ТР: Какой совет вы дадите тем, кто пытается решить, хотят ли они работать в качестве эксперт по цифровой криминалистикеили для тех, кто только начинает работать в этой области?
ДЖИ: Прочтите эту статью! Серьезно, я бы потратил немного времени на LinkedIn и обратился бы к людям, занимающимся цифровой криминалистикой, чтобы задать им многие из тех же вопросов, которые вы задавали мне.
Найдите людей, которые работают в организациях или компаниях, в которых вы хотите работать, и позвольте им рассказать вам о повседневной работе. Я отправляю один или два запроса в неделю через свой адрес электронной почты в LinkedIn или на адрес школы и рад дать свой совет в зависимости от их индивидуальных ситуаций.
Если у вас есть немного денег, я бы посоветовал записаться на один из учебных курсов, предлагаемых крупными производители компьютерных криминалистических инструментов, чтобы получить представление о том, что включает в себя работа и способы ее выполнения. сделанный.
Если курс вас заинтересует, я бы рассмотрел отличные программы бакалавра или магистра наук в некоторых университетах. уровней (например, степень магистра компьютерной криминалистики в Университете Джорджа Мейсона в Фэрфаксе, штат Вирджиния, где я учат).
ТР: Если у вас есть что-то еще, что вы хотели бы добавить о своей карьере или области в целом, поделитесь этим.
ДЖИ: Компьютерная криминалистика определенно не для всех, и это нормально. Прежде чем тратить много времени или денег, найдите специалиста по цифровой криминалистике в вашем районе, предложите купить ему или ей чашку кофе и поразмыслите в течение часа. Большинство из нас более чем готовы поделиться своими знаниями, поскольку мы сами пришли к этому.
Цифровая криминалистика — это развивающаяся область (давайте посмотрим правде в глаза, компьютеры никуда не денутся в ближайшее время), и работы здесь достаточно для всех. Однако, если вы не цените правду и не способны постоять за свою работу перед лицом невзгод, вы не продержитесь долго в этом бизнесе, где репутация решает все.
Я могу не знать конкретного судмедэксперта лично, но могу вам гарантировать, что я на один телефонный звонок. вдали от того, кто это делает, и эти неофициальные «файлы зала» передаются между экзаменаторами быстро. Один случай плохой откровенности или отсутствия ответственности может положить конец карьере.
Тем не менее, для меня это была фантастическая сфера деятельности, и я благодарен всем, с кем работал в прошлом, за уроки, которые они мне преподали, и опыт, которым они поделились. Это была дикая поездка.
