Det råder ingen tvekan om att tekniken väsentligt har förändrat sättet polisen gör affärer. Lika sann är uppfattningen att vår ständigt framskridande teknologi förändrar typen av brott som polisens detektiver undersöka helt och hållet, därav ökningen av jobb inom digital forensics.
Cyberrymden blir alltmer ett "högt brottsligt område", och behovet av polisnärvaro är lätt uppenbart. Det är där området för digitala och multimediavetenskapliga vetenskaper och personer som John Irvine kommer in.
En av pionjärerna inom det digitala kriminaltekniska området, John genomförde datorutredningar innan de flesta visste att det fanns något sådant. För närvarande fungerar han som Chief Product Officer för CyFir, som erbjuder en digital kriminalteknik och incidentresponsplattform på distans.
John är också adjungerad professor i digital forensics vid George Mason University, där han undervisar i juridiska och etiska frågor i datorforensik. Han har en magisterexamen i informationssystem och ett examensbevis i mjukvarusystemteknik.
Han har arbetat inom datorkriminalteknik sedan 1997 i både den offentliga och privata sektorn, inklusive arbete med FBI, DEA och många privata konsultföretag. Han arbetar också volontär med Arcola Volunteer Fire Department. Så upptagen som han är, fann han tid att svara på några frågor för oss om det snabbt växande området digital forensics och hur det är att arbeta i branschen.
Intervju med Digital Forensics Expert John Irvine
Tim Roufa: Du har många års erfarenhet av digital forensics, till den grad att du har etablerat dig som en erkänd expert inom området. Det krävs självklart mycket hårt arbete och utbildning för att uppnå det du har kunnat, men hur kom du igång?
John Irvine: Helt av en slump! Som de flesta berättelser om stora karriärer, föll jag in i det på grund av tillfälligheter, inte planering. Jag har alltid haft ett stort intresse för teknik. Som barn satte jag ihop den första PC-klonen på blocket. Sedan jag var ungefär fem år gammal visste jag att jag ville bli FBI-agent. Så småningom gick de två intressena samman.
När jag en dag satt på mitt kontor och jobbade med projektledning av programvara slog jag mig sugen på att äntligen nå ut till FBI. Detta var innan Internet var, ja, INTERNET, så jag kunde inte lätt få information online. Jag ringde mitt lokala FBI-fältkontor, lämnade mitt namn och adress på telefonsvararen för intresserade kandidater och svarade "ja" på frågan som ställdes om att ha datorvana.
Jag fick vad jag kallar "Så du vill bli en specialagent?" paket några veckor senare. Jag öppnade broschyren och första sidan blåste bort min livslånga dröm i en mening. Min karriär som en FBI-agent slutade innan det började med kravet på 20/40 okorrigerad syn eller bättre. I en tid före LASIK: s under var jag omkring 20/2000.
På baksidan av paketet fanns något som såg ut som en 17:ath generation, illa sned, nästan oläslig kopia av en platsannons för en ”datorspecialist” som tydligen hade tagits med på grund av min angivna förmåga med datorer. Jag tänkte: "Ja, jag kanske kan fixa skrivare eller något åt FBI. Det kommer åtminstone att få mig in genom dörren.”
Jag skickade mitt CV till HR-personen som anges i arbetsbeskrivningen, och jag fick ett samtal ungefär en vecka senare från en av programcheferna på FBI: s Computer Analysis Response Team. Han sa: "Ditt CV skickades till mig eftersom du sa att du var en "datorgeneralist" i ditt följebrev. Vad kan du om datorkriminalteknik?” "Inget", svarade jag. Han sa: "Bra. Kom in på en intervju."
TR: Hur blev du först intresserad av digital forensics?
JI: I intervjun sa människorna som jag träffade mig att jag kunde vara en nörd med dålig syn och ändå hjälpa till att fånga skurkarna. Tydligen mina generalistförmågor – vilket betyder att jag effektivt kunde använda olika operativsystem och hade ganska goda kunskaper om både hårdvaruinterna och större applikationer — skulle passa bra på deras team.
Det var verkligen allt jag behövde höra. Jag trodde att jag hade spelat med operativsystemen Linux och Mac förutom Windows bara för skojs skull; Jag insåg inte att allt satte scenen för en framtida karriär.
TR: Förutom din kriminaltekniska erfarenhet, har du tillbringat mycket tid på att arbeta för den federala regeringen. Hjälpte den erfarenheten att förbereda dig för din nuvarande karriär?
JI: Innan jag arbetade för FBI hade jag tillbringat ganska mycket tid som statlig entreprenör. Under mitt sista år på gymnasiet gick jag faktiskt när klockan ringde och körde upp gatan till en försvarsentreprenör där jag arbetade som assistent till direktörerna för HR och Special Säkerhet. Senare arbetade jag för ett mjukvaruföretag som hade ett antal statliga kunder.
Förutom att redan ha en säkerhetsprövning i mycket ung ålder hjälpte den erfarenheten mig genom att utsätta mig för ett antal olika hårdvaruplattformar, mjukvaruapplikationer och – viktigast av allt – olika typer av människor inom regeringen och professionella värld. Oavsett hur det ser ut handlar datorkriminalteknik lika mycket om personerna som använder datorerna du analyserar som om själva hårdvaran.
I den andra delen av vår intervju med professorn och experten inom digital kriminalteknik John Irvine får vi veta om några av yrkets fallgropar och han förklarar varför det här jobbet inte är för alla.
Den digitala kriminaltekniska karriärvägen och fallgropar
TR: Mellan din kandidatexamen i management, din mjukvaruutveckling certifikat och din magisterexamen i informationssystem, hur väl känner du att dina examina förberedde dig för din karriärväg?
JI: Vart och ett av dessa program gav något till bordet för mig som arbetade med datorkriminalteknik. För det första tycker jag att det är viktigt att säga att datorforskning INTE är en datavetenskaplig disciplin. Det är lika mycket en utredningsfunktion som en teknisk utmaning. Om någon av färdighetsuppsättningarna saknas kommer man att ha mycket svårare att arbeta framgångsrikt i fält.
MS i informationssystem hjälpte mig genom att ge mig en bättre förståelse för operativsystem, filsystem och datormekanik. Men min BS i Management var lika hjälpsam med mina kurser i psykologi, sociologi, management och redovisning. Jag kan inte riktigt ge en fördel i en grad framför den andra för användbarhet i fält.
Som sagt, jag vill vara säker på att jag säger några saker. Computer forensics är en lärlingsdisciplin. Fler program har kommit till under de senaste åren - det där jag undervisar vid George Mason University inklusive - som erbjuder utmärkta kurser i datorforensik. Men du lär dig verkligen yrket när du sitter på en plats och arbetar med verkliga fall tillsammans med en senior examinator.
Dessutom behöver du INTE ha en programmering bakgrund för att arbeta framgångsrikt inom området. Faktum är att jag har haft betydligt bättre tur att utbilda utredare i de tekniska detaljerna i jobbet än vad jag har haft när jag undervisar programmerare metoder för undersökning och konsten att "föraningen". Om man inte har en teknisk bakgrund i skolan, är det INTE ett avskräckande för att komma in i skolan fält.
TR: Du har arbetat i både den privata och offentliga sektorn och utfört mycket av samma arbete. Hur skulle du beskriva skillnaden mellan de två?
JI: De största skillnaderna mellan att arbeta i offentlig och privat sektor är generellt förfarande och snabbhet. I den federala världen är ens procedurer generellt (men inte alltid) hårt föreskrivna, och produktionshastigheten är generellt sett mindre kritisk (med några anmärkningsvärda undantag).
I den kommersiella världen drivs procedurer till stor del av personlig erfarenhet eller din arbetsgivares preferenser, och produktionshastigheten är mycket högre. Jag hade tillbringat fyra månader på en enda hårddisk en gång hos en federal arbetsgivare på grund av mängden data den innehöll, men i den kommersiella världen siktar man oftast på en handläggningstid på dagar eller veckor kl mest.
TR: Hur är en typisk arbetsdag för en digital kriminalteknisk analytiker eller granskare?
JI: Arbetsdagen för en digital kriminaltekniker är allt annat än typisk. Beroende på vilken organisation du arbetar för, kanske du arbetar med en stadig ström av barnpornografi fall, eller så kanske du analyserar ämnen så högprofilerade att du tittar på dem på CNN medan du gör arbete.
Men du kan ofta förvänta dig att vara på ett alltför varmt kontor (på grund av att antalet datorer vid ditt skrivbord är överväldigande kontorsluftkonditionering), och du kommer att bli väldigt bra på att plocka ihop en fungerande komponent från ett gäng icke-fungerande.
Mycket av din dag kommer att ägnas åt dokumentation. Du kanske skriver en analysrapport, granskar en annan examinators rapport eller noterar allt du gjorde när du utförde en tentamen. Den bästa undersökningen i världen är värdelös om du inte kan kommunicera tydligt i en skriftlig rapport som lätt kan förstås av en agent, tjänsteman, advokat eller jury. Plus, om din skriftliga rapport är dålig, kommer det naturligtvis att ifrågasätta dina tekniska förmågor av dem som försöker läsa den.
Beroende på var du arbetar, vittna i rätten är en potentiell del av att utföra digital kriminalteknisk analys. Om du arbetar i en brottsbekämpande miljö är det nästan garanterat, men även företagens kriminaltekniska personal kan måste vittna under en rättegång om orättvis uppsägning eller för att stödja efterföljande brottsbekämpande åtgärder från att spåra en intrång. Vissa examinatorer jag har känt är bra bakom tangentbordet och kan skriva fantastiska rapporter, men de faller isär när de kallas för att vittna i rätten.
TR: Du skrev en artikel med titeln The Den mörkare sidan av Digital Forensics. Kan du berätta lite om några av fallgroparna med jobbet?
JI: Du hänvisar faktiskt till ett blogginlägg jag skrev för en evighet sedan som plockades upp av några digitala kriminaltekniska butiker och som har publicerats om och om igen. Jag hade ingen aning om att det skulle ha sådana "ben" när jag skrev det; Jag blev bara förvånad över att folk som ville komma in på fältet fortfarande inte hade någon aning om vad det egentligen innebar.
Computer forensics har varit en fantastisk karriär för mig, men det finns definitivt fallgropar. Faktum är att de två första lektionerna som jag undervisar är centrerade kring verkligheten i jobbet, och jag blir chockad varje gång jag ta reda på att jag är den första personen som har berättat för mina elever hur arbetet verkligen är efter att de har valt det som sin examen fält.
Jag har inga vetenskapliga siffror, men jag skulle uppskatta att cirka 70 till 80 procent av datorkriminaltekniska fall världen över är relaterade till barnpornografi. Ju närmare du kommer statlig och lokal brottsbekämpning, desto högre blir den siffran.
Även om du koncentrerar dig på datorintrång och incidentrespons, hittar du ofta barnpornografi som en syftet med eller resultatet av intrånget (eller helt enkelt existerar på de datorer du undersöker från den vanliga användaren av maskin).
Exponering för barnpornografi, särskilt under åtta timmar om dagen, 40 timmar i veckan, 52 veckor om året, tar ut sin rätt. Det är inte bara att titta på stillbilder. Du tittar också på videorna och du ser och hör allt.
Om du kan fortsätta göra det kommer du med största sannolikhet att utveckla en väldigt mörk kyrkogårdshumor för att bekämpa det. Jag arbetar också som volontär med en brand- och räddningsgrupp, och där ser man mycket av samma humor; det är en hanteringsmekanism som utvecklats av människor som arbetar i livets mer bistra områden.
Beroende på vilket arbete du utför kommer du också att exponeras för grafiska bilder och mordtexter, tortyr, våldtäkt, terrorism och nästan alla brott, fördärv, pornografi eller avvikelser du kan tänka.
Datorer är utmärkta verktyg för det goda, och de är också utmärkta verktyg för att begå brott och sprida hat. Som en datorkriminaltekniker kommer du att bli utsatt för allt, dag ut och dag in. I en grupp hade vi ett skämt som riffade på en reklamfilm på den tiden och pratade om människor som "surfade till botten av Internet." Vi lade till, "...och sedan får vårt team en spade och börjar gräva."
På grund av arbetet och innehållet som en examinator utsätts för, håller många som går in på fältet inte. I genomsnitt skulle jag säga att cirka 50 procent av människorna som kommer in i det lämnar inom cirka två år. Det verkar vara märket när en examinator har haft tillräckligt många fall under bältet för att antingen bli tyngd av (eller immun mot) exponeringen. Om du kan ta dig över tvåårsstrecket har du i allmänhet en lång karriär framför dig inom datakriminalteknik.
En föränderlig disciplin
TR: Med så snabba framsteg inom datorteknik under det senaste decenniet, hur har området för digital forensics förändrats under din karriär?
JI: Computer forensics har förändrats enormt från när jag började på 90-talet. Då tittade du på varje fil på en hårddisk (eftersom du kunde), och mobila enheter var inte ens en tanke. Disketter skulle komma in hundratals, men nu ser du dem aldrig.
Idag är mängden data så stor att du måste vara mycket mer exakt i dina sökningar, och mobila enheter är ett likvärdigt – om inte viktigare – föremål för undersökning.
Dessutom har verktygens djup förändrats avsevärt. I början var de flesta verktyg skrivna av poliser som hade gått några programmeringskurser eller som var självlärda. Vi hade dussintals engångsverktyg som vi skulle blanda ihop för att göra en undersökning.
Nu är verktygen mycket mer professionella och mångsidiga. En bra examinator kommer fortfarande att ha en stor "verktygslåda" att arbeta från, men han eller hon har mycket bättre basplattformsalternativ för att utföra den övergripande undersökningen. Branschen försöker alltid gå över till den magiska "hitta alla bevis-knappen", och vissa verktyg är nära det för vissa typer av fall.
Politiskt har typen av fall förändrats enormt. Ursprungligen användes datorkriminalteknik mest av brottsbekämpande myndigheter för brottmål. Efter 9/11 gick mycket av arbetet mot terrorismbekämpning. Nu är datorintrång det heta ämnet, och många karriärer har gått mot incidentrespons. Fältet förändras enormt med tiden.
TR: För närvarande fungerar du som Vice President för teknikutveckling på CyTech Services. Om du kan dela dem med oss, vilka slags innovationer har du kunnat ta del av under din karriär?
JI: Att gå över till CyTech Services har varit fantastiskt för mig. I min position kan jag inte bara använda min erfarenhet av datorforskning, utan jag kan också använda min bakgrund inom projektledning av programvara. CyTech producerar CyFIR Enterprise (CyTech Forensics and Incident Response) för att utföra kriminaltekniska undersökningar av företagsdatorer.
Mitt bidrag här är vidareutveckling av verktyget med en utövares öga. Till exempel tillåter CyFIR: s arkitektur utredare att söka igenom varje nod i ett företagsnätverk på en gång efter kriminaltekniska data – utan att kräva att användarna slutar arbeta för en långvarig bildprocess.
Om det finns ett skadlig kodutbrott i en organisation, har CyFIR förmågan att lokalisera alla drabbade maskiner inom några minuter istället för dagar eller veckor. Detta är enormt när man utför incidentrespons, e-discovery eller interna utredningar på ett stort företag nätverk eller när du svarar på en kompromiss med flera butiker som stjäl kreditkortsdata från kassan körfält. Det gamla tänket att "bilda allt och sortera igenom det senare" flyger helt enkelt inte längre i företagssammanhang.
Även om det inte är en "innovation" i sig, med min chefsbakgrund, har jag haft exceptionell tur med att identifiera kandidater som är enastående rättsmedicinska examinatorer.
Återuppta inflationen är tyvärr ett stort problem i vår bransch, och någon som ser bra ut på papper kanske bara har kunskaper på modeordsnivå om att faktiskt utföra ett prov. Genom en intervjuprocess som jag har utvecklat över tid har jag varit oerhört framgångsrik i att hitta rätt kandidater med den kompetens som krävs för tjänsten.
På den pedagogiska sidan har jag kunnat förmedla min kunskap och – ännu viktigare – min erfarenhet till framtida generationer av rättsmedicinska examinatorer. Under de första två dagarna av lektionen som jag nämnde, upptäcker jag att en eller två personer varje termin kommer att berätta för mig att de inte insåg vad de hade prutade för när de startade programmet och tacka mig för att jag berättade för dem hur jobbet var, för de kände sig inte bekväma med att utföra den typen av arbete.
Vid den tidpunkten kan jag guida dem till ett datorsäkerhetsprogram som inte kommer att ha samma typer av innehållsproblem som väntar på dem i framtiden. På samma sätt kan jag ganska snabbt identifiera de elever som verkligen verkar ha "förmågan", och jag kan hjälpa dem att peka i rätt riktning för att börja sin karriär.
I den sista delen av vår intervju med den digitala kriminaltekniska experten John Irvine får vi veta varför området är så viktigt, vad blivande examinatorer kan tjäna och vad du kan göra för att komma igång med en karriär som digital kriminaltekniker expert.
Varför Digital Forensics är så viktigt och hur du kan komma igång
TR: Varför är området digital forensics så värdefullt för regeringar och företag?
JI: Digital kriminalteknik är värdefull för både regeringar och företag av exakt samma anledning – information. Oavsett om den informationen är bevis för ett federalt brottmål eller kunskap om en insider som stjäl företag immateriella rättigheter för en konkurrent, digitala kriminaltekniker tillhandahåller data som kunderna annars inte gör har tillgängliga.
I mycket enkla termer skulle man kunna likna jobbet som en digital rättsmedicinsk granskare med det som en fotoframkallare. Till exempel, om jag har en outvecklad rulle film i mina händer, är det nästan värdelöst för mig som någon form av bevis. Men om någon framkallar den filmen till bilder (eller återställer data från en hårddisk i vårt fall), kan innehållet ge allt som åklagaren, HR-chef, eller företagets säkerhetsansvariga behov.
Nu när jag tänker på det måste jag komma på en ny analogi för framtiden. Barn i skolan idag vet förmodligen inte ens vad en "filmrulle" är längre!
TR: Vad trivs du bäst med med ditt jobb och varför fortsätter du att göra det?
JI: Digital forensics tilltalar mig på ett antal nivåer. Först och främst tillåter det mig att göra meningsfulla bidrag till människors säkerhet och säkerhet utan att begränsas av de fysiska begränsningarna av syn eller ålder. Jag kanske inte är agenten som jagar någon i en gränd, men jag kanske ger den agenten data från försökspersonens mobiltelefon som förseglar fodralet och öppnar tre till.
Därefter tilltalar digital forensics mig djupt eftersom det är en hybrid av min kärlek till brottsbekämpning och intelligens (min TiVo är fylld med polis- och spionprogram) och min inre nörd. Om du tittar på dessa program ser du till och med en utveckling av dessa karaktärer på skärmen. För femton år sedan var de über-nördarna med trasiga glasögon och obekväma sociala graces. Nu har den kriminaltekniska examinatorn vanligtvis en torr humor och ett stort sinne för stil!
TR: Vad krävs för att bli framgångsrik som digital kriminalteknisk granskare eller analytiker?
JI: I första hand krävs en uppriktig passion för rättvisa (och jag använder det i en allomfattande term) med en kärlek till tekniska saker. Om du har dessa två saker är du på god väg.
Formella utbildningsprogram finns tillgängliga nu som inte fanns för bara några år sedan, och det är väl värt att ta sig tid att undersöka dem för att se vad var och en har att erbjuda. Dessutom har många av de kriminaltekniska verktygen där ute klasser (med hjälp av verktyget som säljs av företaget, inklusive mitt eget) som kan komma igång.
Som jag berättar för mina elever kräver området en mycket stark känsla av personligt ansvar. Du måste vara villig att sätta ditt namn och rykte på spel i varje fall du analyserar eftersom du mycket väl kan hamna i domstol baserat på innehållet i din rapport. Om du saknar övertygelse, nåd under press eller uppriktighet, är detta absolut INTE karriärfältet för dig.
Slutligen, att vara framgångsrik är enormt hjälpt av att hitta en bra mentor i fält och arbeta axel vid axel med den personen samtidigt som du lär dig yrket. Skolor kan ge dig en bra grund, men erfarenhet av fall hjälper dig att sätta människor bakom galler.
TR: Hur mycket ska din genomsnittliga digitala kriminaltekniska granskare förvänta sig att tjäna, och hur mycket kan de tjäna om de blir ansedda och/eller går till ett privat företag?
JI: Digitala kriminaltekniska löner varierar kraftigt, och från och med nyligen på grund av sekvestrering och marknadsmättnad av människor som försöker marknadsföra sig som datorkriminaltekniska examinatorer som inte är det, börjar lönerna komma ner. (Mycket av ansvaret där vilar på dåliga rekryteringschefer som inte kan avgöra en kandidats verkliga kompetens.)
Men generellt sett bör en person med talang kunna hitta positioner mellan $60-$80.000 på juniornivå, $80-$120.000 på mellannivå och upp till och över $150.000 på seniornivå. Som sagt, jag har känt några fantastiska examinatorer som var i positioner och betalade endast $50 000 per år som lokal polis officerare, och jag har känt usla examinatorer som tjänade mer än $250 000 per år för att de marknadsförde sitt namn väl.
I mycket allmänna termer tjänar kriminaltekniska utredare mest i försvarstvister eller i e-discovery om de kan köra ett stort antal ärenden på en gång (och fakturera flera klienter). Dessa lönenivåer följs vanligtvis av federala regeringsentreprenörer, federala statsanställda, statliga anställda, militär, och slutligen kommunala granskare, respektive.
Kommersiella löner varierar beroende på erfarenhet, storlek på företaget och företagsintresse för kriminalteknik (antingen på grund av proaktivitet eller offentlig förlägenhet).
TR: Vilket råd har du till någon som försöker bestämma sig för om de vill arbeta som en digital kriminalteknisk examinator, eller för någon som precis har börjat på fältet?
JI: Läs denna artikel! Allvarligt talat, jag skulle spendera lite tid på LinkedIn och nå ut till personer inom digital forensics för att ställa dem många av samma frågor som du har ställt mig.
Hitta personer som arbetar för de organisationer eller företag du vill arbeta för och låt dem berätta om vardagen. Jag skickar en eller två förfrågningar i veckan via antingen min LinkedIn- eller skolans e-postadress, och jag ger gärna mina råd beroende på deras individuella situation.
Om du har lite pengar att spendera, skulle jag föreslå att du registrerar dig för en av träningsklasserna som erbjuds av de stora datorkriminaltekniska verktygstillverkare för att få en känsla för vad som är involverat i arbetet och hur det är Gjort.
Om klassen håller ditt intresse, skulle jag titta på de utmärkta programmen på vissa universitet på antingen BS eller MS nivåer (som Masters of Computer Forensics tillgängliga från George Mason University i Fairfax, Virginia, där jag lära).
TR: Om du har något annat du vill tillägga om din karriär eller fältet i allmänhet, dela gärna med dig av det.
JI: Computer forensics är definitivt inte för alla, och det är ok. Innan du spenderar mycket tid eller pengar, hitta en digital kriminaltekniker i ditt område, erbjud dig att köpa en kopp kaffe till honom eller henne och plocka deras hjärnor i en timme. De flesta av oss är mer än villiga att dela med oss av vår kunskap, eftersom det var så vi kom fram själva.
Digital forensics är ett tillväxtfält (låt oss inse det, datorer försvinner inte snart), och det finns gott om arbete för alla. Men om du inte värdesätter sanning och inte kan stå upp för ditt arbete inför motgångar, kommer du inte att hålla länge i den här branschen där rykte är allt.
Jag kanske inte känner en viss rättsmedicinare personligen, men jag kan garantera dig att jag är ett telefonsamtal bort från någon som gör det, och de inofficiella "hallfilerna" förs vidare mellan examinatorerna snabbt. Ett fall av dålig uppriktighet eller brist på ansvar kan avsluta en karriär i dess spår.
Allt som sagt, det har varit ett fantastiskt område för mig, och jag är tacksam för alla jag har arbetat med tidigare för de lektioner de har lärt mig och de erfarenheter som de har förmedlat. Det har varit en vild åktur.
