Немає сумнівів у тому, що технології суттєво змінили шлях поліція робить бізнес. Настільки ж правдивим є уявлення про те, що наші постійно прогресуючі технології змінюють типи злочинів поліцейські детективи розслідувати взагалі, отже, зростання в вакансії цифрової криміналістики.
Кіберпростір дедалі більше стає «районом з високим рівнем злочинності», і потреба в присутності поліції стає очевидною. Саме тут з’являється галузь цифрових і мультимедійних наук і такі люди, як Джон Ірвайн.
Один із піонерів у галузі цифрової криміналістики, Джон проводив комп’ютерні розслідування ще до того, як більшість людей дізналися, що таке існує. Наразі він є директором із продуктів компанії CyFir, яка пропонує платформу дистанційної цифрової криміналістики та реагування на інциденти.
Джон також є ад’юнкт-професором цифрової криміналістики в Університеті Джорджа Мейсона, де він викладає правові та етичні питання комп’ютерної криміналістики. Він має ступінь магістра наук з інформаційних систем і диплом про розробку систем програмного забезпечення.
З 1997 року він працює в галузі комп’ютерної криміналістики як у державному, так і в приватному секторах, зокрема співпрацює з ФБР, Управлінням з боротьби з наркотиками та численними приватними консалтинговими фірмами. Він також є волонтером у волонтерській пожежній частині Arcola. Незважаючи на свою зайнятість, він знайшов час, щоб відповісти нам на декілька запитань про сферу цифрової криміналістики, яка швидко розвивається, і про те, як це працювати в галузі.
Інтерв'ю з експертом з цифрової криміналістики Джоном Ірвайном
Тім Руфа: У вас є багаторічний досвід роботи з цифровою криміналістикою, і ви зарекомендували себе як визнаний експерт у цій галузі. Очевидно, що потрібно багато наполегливої праці та навчання, щоб досягти того, чого ви змогли, але як ви почали?
Джон Ірвайн: Абсолютно випадково! Як і в більшість історій про чудову кар’єру, я потрапив у це через випадковість, а не через планування. Я завжди дуже цікавився технікою. У дитинстві я зібрав перший клон ПК на блоці. Крім того, приблизно з п’ятирічного віку я знав, що хочу бути агентом ФБР. Згодом обидва інтереси зійшлися.
Одного разу, коли я сидів у своєму офісі, працюючи над управлінням програмним забезпеченням, мене охопило бажання нарешті звернутися до ФБР. Це було до того, як Інтернет був, ну, ІНТЕРНЕТ, тому я не міг легко отримати інформацію онлайн. Я зателефонував до місцевого офісу ФБР, залишив своє ім’я та адресу на автовідповідачі для зацікавлених кандидатів і відповів «так» на запитання щодо володіння комп’ютером.
Я отримав те, що я називаю «То ви хочете стати спеціальним агентом?» пакет через кілька тижнів. Я відкрив брошуру, і перша сторінка одним реченням розвіяла мою мрію всього життя. Моя кар'єра як Агент ФБР закінчилася раніше, ніж почалася, з вимогою щодо невиправленого зору 20/40 або вище. За часів до чудес LASIK мені було приблизно 20/2000.
На задній частині пакунка було щось схоже на 17тис покоління, сильно спотворена, майже нерозбірлива копія оголошення про роботу «комп’ютерного фахівця», яка, очевидно, була включена через мої заявлені вміння працювати з комп’ютерами. Я подумав: «Ну, можливо, я зможу полагодити принтери чи щось для ФБР. Принаймні це приведе мене до дверей».
Я надіслав своє резюме працівнику відділу кадрів, указаному в описі посади, і приблизно через тиждень мені зателефонував один із керівників програм у Групі реагування на комп’ютерний аналіз ФБР. Він сказав: «Ваше резюме було направлено мені, тому що ви сказали, що ви «комп’ютерний спеціаліст» у супровідному листі. Що ви знаєте про комп’ютерну криміналістику?» «Нічого», — відповів я. Він сказав: «Чудово. Приходьте на співбесіду».
TR: Як ви вперше зацікавилися цифровою криміналістикою?
JI: В інтерв’ю люди, з якими я зустрічався, сказали мені, що я міг би бути гіком із поганим зором і все одно допомагати ловити поганих хлопців. Очевидно, мої здібності широкого профілю — це означає, що я міг ефективно використовувати різні операційні системи і мав досить гарне знання як апаратного забезпечення, так і основних додатків — це чудово підійде для них команда.
Це все, що мені потрібно було почути. Я думав, що грався з операційними системами Linux і Mac на додаток до Windows просто заради розваги; Я не усвідомлював, що все це готує основу для майбутньої кар’єри.
TR: Окрім вашого досвіду судової експертизи, ви витратили багато часу, працюючи на федеральний уряд. Чи допоміг цей досвід підготуватися до вашої поточної кар’єри?
JI: До роботи у ФБР я провів досить багато часу як державний підрядник. Фактично, коли я навчався на останньому курсі середньої школи, я йшов, коли дзвонив, і підвозив вулиці до оборонного підрядника, де я працював помічником директора відділу кадрів та спец Безпека. Пізніше я працював у програмній компанії, яка мала низку державних клієнтів.
На додаток до того, що вже є a перевірка службою безпеки у дуже молодому віці цей досвід допоміг мені, познайомивши мене з низкою різних апаратних платформ, програмне забезпечення та, що найважливіше, різні типи людей в уряді та професіоналів світ. Незалежно від того, як це виглядає, комп’ютерна криміналістична експертиза стосується людей, які використовують комп’ютери, які ви аналізуєте, і самого апаратного забезпечення.
У другій частині нашого інтерв’ю з професором і експертом цифрової криміналістики Джоном Ірвайном ми дізнаємося про деякі підводні камені професії, і він пояснює, чому ця робота не для всіх.
Кар’єрний шлях цифрової криміналістики та підводні камені
TR: Між вашим ступенем бакалавра менеджменту, вашим розробка програмного забезпечення сертифікат і ступінь магістра з інформаційних систем, наскільки добре, на вашу думку, ваші ступені підготували вас до вашої кар’єри?
JI: Кожна з цих програм приносила щось для мене, коли я працював у комп’ютерній криміналістиці. По-перше, я думаю, що важливо сказати, що комп’ютерна криміналістика НЕ є дисципліною інформатики. Це як функція розслідування, так і технічне завдання. Якщо будь-який набір навичок відсутній, успішно працювати в полі буде набагато важче.
Магістратура з інформаційних систем допомогла мені, давши мені краще розуміння операційних систем, файлових систем і комп’ютерної механіки. Проте мій ступінь бакалавра менеджменту був так само корисним для моєї курсової роботи з психології, соціології, менеджменту та бухгалтерського обліку. Я не можу дати одну перевагу над іншою щодо корисності в цій галузі.
Тим не менш, я хочу переконатися, що я сказав кілька речей. Комп’ютерна криміналістика – це навчальна дисципліна. Останніми роками з’явилося більше програм, у тому числі та, яку я викладаю в Університеті Джорджа Мейсона, які пропонують відмінні курсові роботи з комп’ютерної криміналістики. Однак ви по-справжньому навчитеся цій справі, коли потрапите на роботу над реальними справами разом зі старшим експертом.
Крім того, вам НЕ потрібно мати a програмування фон для успішної роботи в полі. Насправді мені набагато більше пощастило навчати дослідників технічним деталям роботи, ніж навчати програмістів методи дослідження і мистецтво «передчуття». Якщо людина не має технічної підготовки в школі, це НЕ є перешкодою для вступу до поле.
TR: Ви працювали як у приватному, так і в державному секторах, виконуючи майже однакову роботу. Як би ви описали різницю між ними?
JI: Найбільші відмінності між роботою в державному та приватному секторах загалом полягають у процедурі та швидкості. У федеральному світі процедури зазвичай (але не завжди) суворо приписані, а швидкість виробництва, як правило, менш критична (за деякими помітними винятками).
У комерційному світі процедури здебільшого залежать від особистого досвіду або вподобань вашого роботодавця, а швидкість виробництва набагато вища. Одного разу я провів чотири місяці на одному жорсткому диску з федеральним роботодавцем через велику кількість даних він містив, але в комерційному світі ви зазвичай націлені на оборот днів або тижнів більшість.
TR: Як виглядає типовий робочий день аналітика чи експерта з цифрової криміналістики?
JI: Робочий день професіонала цифрової криміналістики зовсім не типовий. Залежно від організації, на яку ви працюєте, ви можете працювати з постійним потоком дитячої порнографії випадки, або ви можете аналізувати предмети настільки гучні, що ви дивитеся їх на CNN, поки ви робите працювати.
Однак ви часто можете очікувати, що будете в надто спекотному офісі (через кількість комп’ютерів на вашому столі офісний кондиціонер), і ви дуже добре зможете зібрати один робочий компонент із купи непрацюючих.
Значна частина вашого дня буде присвячена документації. Ви можете писати звіт про аналіз, рецензувати звіт іншого екзаменатора або записувати все, що ви робили під час виконання іспиту. Найкращий у світі огляд марний, якщо ви не можете чітко повідомити про це в письмовому звіті, який легко зрозуміє агент, офіцер, юрист або присяжні. Крім того, якщо ваш письмовий звіт поганий, це, природно, поставить під сумнів ваші технічні здібності тими, хто намагатиметься його прочитати.
Залежно від того, де ви працюєте, свідчити в суді є потенційною частиною виконання цифрового криміналістичного аналізу. Якщо ви працюєте в правоохоронному середовищі, це майже гарантовано, але навіть співробітники корпоративної криміналістики можуть повинні давати свідчення під час судового процесу щодо несправедливого припинення або підтримувати наступні дії правоохоронних органів щодо відстеження вторгнення. Деякі екзаменатори, яких я знаю, чудово володіють клавіатурою та можуть писати фантастичні звіти, але вони розвалюються, коли їх викликають свідчити в суді.
TR: Ви написали статтю під назвою The Темна сторона цифрової криміналістики. Чи можете ви розповісти нам трохи про деякі підводні камені роботи?
JI: Ви фактично посилаєтеся на публікацію в блозі, яку я написав багато років тому, яку підхопили кілька джерел цифрової криміналістики та повторно публікували знову і знову. Я навіть не підозрював, що в нього будуть такі «ноги», коли я це писав; Я був просто вражений тим, що люди, які хотіли потрапити в цю сферу, досі не мали уявлення про те, що це означає.
Комп’ютерна криміналістика була для мене фантастичною кар’єрою, але безперечно є підводні камені. Фактично, перші два заняття, які я викладаю, зосереджені навколо реалій роботи, і я був шокований щоразу, коли дізнайтеся, що я перша людина, яка розповіла моїм студентам, як насправді виглядає робота після того, як вони обрали її як диплом поле.
У мене немає наукових цифр, але я вважаю, що близько 70–80 відсотків випадків комп’ютерної криміналістики в усьому світі пов’язані з дитячою порнографією. Чим ближче ви наближаєтеся до державних і місцевих правоохоронних органів, тим вище це число.
Навіть якщо ви зосереджуєтесь на комп’ютерних вторгненнях і реагуванні на інциденти, ви часто знаходите дитячу порнографію як мета або результат вторгнення (або просто наявність на комп’ютерах, які ви перевіряєте, від звичайного користувача машина).
Вплив дитячої порнографії, особливо протягом восьми годин на день, 40 годин на тиждень, 52 тижні на рік, бере своє. Це не просто перегляд фотографій. Ви теж дивитеся відео, ви бачите та чуєте все.
Якщо ви зможете продовжувати це робити, ви, швидше за все, розвинете дуже темне, цвинтарне почуття гумору, щоб боротися з цим. Я також волонтер у пожежно-рятувальній команді, і ви бачите там багато того самого гумору; це механізм подолання, розроблений людьми, які працюють у більш похмурих сферах життя.
Крім того, залежно від роботи, яку ви виконуєте, ви побачите графічні зображення та текст вбивства, катування, зґвалтування, тероризм і майже будь-який злочин, розбещеність, порнографія чи відхилення, які тільки можете уявіть собі.
Комп’ютери є чудовими інструментами для добра, а також чудовими інструментами для вчинення злочинів і поширення ненависті. Як комп’ютерний судмедексперт, ви будете наражатися на все це день у день. В одній групі у нас був жарт, який був використаний у рекламі того часу, де говорилося про людей, які «докопалися до дна Інтернету». Ми додали: «...а тоді наша команда бере лопату й починає копати».
Через роботу та зміст, якому піддається екзаменатор, багато людей, які виходять на поле, не витримують довго. У середньому, я б сказав, що близько 50 відсотків людей, які потрапили в нього, залишають його протягом приблизно двох років. Це, здається, ознака, коли екзаменатор має достатньо справ за своїм поясом, щоб стати або обтяженим (або несприйнятливим до) впливу. Якщо ви зможете пройти через два роки, у вас, як правило, попереду довга кар’єра в комп’ютерній криміналістиці.
Змінна дисципліна
TR: З огляду на такий швидкий розвиток обчислювальних технологій за останнє десятиліття, як змінилася сфера цифрової криміналістики протягом вашої кар’єри?
JI: Комп’ютерна криміналістика надзвичайно змінилася з тих пір, як я починав у 90-х. Тоді ви переглядали кожен файл на жорсткому диску (тому що могли), а про мобільні пристрої навіть не думали. Дискети надходили б сотнями, але зараз ви їх ніколи не побачите.
Сьогодні кількість даних настільки величезна, що ви повинні бути набагато точнішими у своїх пошуках, і мобільні пристрої є рівним, якщо не більш важливим, предметом дослідження.
Крім того, істотно змінилася глибина інструментів. На початку більшість інструментів писали поліцейські, які відвідали кілька курсів програмування або були самоучками. У нас були десятки одноразових утиліт, які ми збирали разом, щоб провести експертизу.
Тепер інструменти стали більш професійними та багатоцільовими. Хороший екзаменатор все одно матиме великий «набір інструментів», з якого можна працювати, але він або вона має набагато кращі варіанти базової платформи для виконання загального іспиту. Індустрія завжди намагається перейти до чарівної кнопки «знайти всі докази», і деякі інструменти наближаються до неї для певних типів справ.
З політичного погляду типи справ надзвичайно змінилися. Спочатку комп’ютерна криміналістика здебільшого використовувалася правоохоронними органами для кримінальних справ. Після 11 вересня більша частина роботи була спрямована на боротьбу з тероризмом. Зараз комп’ютерні вторгнення є гарячою темою, і багато кар’єри перейшли до реагування на інциденти. Сфера надзвичайно змінюється з часом.
TR: Зараз ви працюєте віце-президентом із розвитку технологій у CyTech Services. Якщо ви можете поділитися ними з нами, до яких інновацій вам вдалося долучитися протягом вашої кар’єри?
JI: Перехід до CyTech Services був для мене фантастичним. На своїй посаді я можу не лише використати свій досвід комп’ютерної криміналістики, але також можу використати свій досвід управління проектами програмного забезпечення. CyTech виробляє CyFIR Enterprise (CyTech Forensics and Incident Response) для проведення корпоративних комп’ютерних криміналістичних розслідувань.
Мій внесок тут полягає в подальшому розвитку інструменту з погляду практика. Наприклад, архітектура CyFIR дозволяє дослідникам одночасно шукати криміналістичні дані в кожному вузлі корпоративної мережі, не вимагаючи від користувачів зупиняти роботу для тривалого процесу створення зображень.
Якщо в організації виникає спалах зловмисного коду, CyFIR має можливість визначити місцезнаходження всіх постраждалих машин протягом декількох хвилин, а не днів або тижнів. Це дуже важливо під час реагування на інциденти, електронного пошуку або внутрішніх розслідувань на великому підприємстві мережі або під час відповіді на компрометацію торгових точок кількох магазинів, яка краде дані кредитної картки з каси смуги. Старе мислення «зобразити все й розібратися пізніше» просто більше не діє в корпоративному контексті.
Хоча це не «інновація» як така, але з моїм управлінським досвідом мені надзвичайно пощастило знайти кандидатів, які є видатними судово-медичними експертами.
Інфляція резюме, на жаль, є великою проблемою в нашій галузі, і той, хто чудово виглядає на папері, може мати лише модні знання про справжнє складання іспиту. Завдяки процесу співбесіди, який я вдосконалив з часом, я надзвичайно успішно знайшов потрібних кандидатів із навичками, необхідними для цієї посади.
З точки зору освіти, я зміг передати свої знання і, що важливіше, свій досвід майбутнім поколінням судово-медичних експертів. Протягом тих перших двох днів уроків, про які я згадав, я вважаю, що один або двоє людей кожного семестру казали мені, що вони не усвідомлювали, що вони мали торгувалися, коли вони починали програму, і дякую мені за те, що я розповів їм, як виглядає робота, тому що вони не відчували себе комфортно виконувати таку роботу роботи.
На цьому етапі я можу скерувати їх до програми комп’ютерної безпеки, яка не матиме тих самих проблем із вмістом, які чекатимуть на них у майбутньому. Подібним чином я можу досить швидко визначити студентів, які, здається, справді мають «хист», і можу допомогти скерувати їх у правильному напрямку, щоб почати свою кар’єру.
У заключній частині нашого інтерв’ю з експертом із цифрової криміналістики Джоном Ірвайном ми дізнаємося, чому ця сфера така важливо, що можуть заробити початківці екзаменатори та що ви можете зробити, щоб розпочати кар’єру цифрового криміналіста експерт.
Чому цифрова криміналістика така важлива та з чого почати
TR: Чому галузь цифрової криміналістики така цінна для урядів і корпорацій?
JI: Цифрова криміналістика цінна як для урядів, так і для корпорацій з тієї самої причини — інформації. Незалежно від того, чи є ця інформація доказом у федеральній кримінальній справі чи відомостями про крадіжку компанії інсайдером інтелектуальна власність для конкурента, професіонали цифрової криміналістики надають дані, яких замовники не надають мати в наявності.
Якщо говорити дуже просто, то роботу цифрового судово-медичного експерта можна порівняти з роботою фотопроявника. Наприклад, якщо у мене в руках непроявлений рулон плівки, він для мене майже марний доказ. Однак, якщо хтось перетворить цей фільм на зображення (або відновить дані з жорсткого диска в нашому випадку), цей вміст може надати все, що прокуратура, Менеджер з персоналу, або потребує офіцер корпоративної безпеки.
Тепер, коли я думаю про це, мені потрібно придумати нову аналогію для майбутнього. Сучасні діти в школі, мабуть, уже навіть не знають, що таке «плівка»!
TR: Що вам найбільше подобається у вашій роботі і чому ви продовжуєте нею займатися?
JI: Цифрова криміналістика приваблює мене на кількох рівнях. Перш за все, це дозволяє мені робити значний внесок у безпеку людей, не обмежуючись фізичними обмеженнями зору чи віком. Можливо, я не агент, який женеться за кимось у провулку, але я можу дати цьому агенту дані з мобільного телефону суб’єкта, який закриває справу та відкриває ще три.
По-друге, цифрова криміналістика дуже приваблює мене, тому що це гібрид моєї любові до правоохоронних органів і розвідки (мій TiVo наповнений поліцейськими та шпигунськими шоу) і мого внутрішнього виродка. Якщо ви дивитеся ці шоу, ви навіть бачите еволюцію цих персонажів на екрані. П’ятнадцять років тому вони були юбер-ботаніками з розбитими окулярами та незграбними соціальними прикрасами. Комп’ютерний судмедексперт зазвичай має сухе почуття гумору та чудове почуття стилю!
TR: Що потрібно, щоб стати успішним експертом чи аналітиком із цифрової експертизи?
JI: Насамперед, для цього потрібна щира пристрасть до справедливості (і я вживаю це у всеохоплюючому терміні) з любов’ю до речей технічних. Якщо у вас є ці два пункти, ви на хорошому шляху.
Зараз доступні офіційні освітні програми, яких не існувало лише кілька років тому, і варто витратити час, щоб дослідити їх, щоб побачити, що кожна може запропонувати. Крім того, багато інструментів криміналістики мають класи (з використанням інструменту, що продається компанією, включно з моїм), які можуть допомогти вам почати.
Як я кажу своїм студентам, ця сфера вимагає дуже сильного почуття особистої відповідальності. Ви повинні бути готові поставити своє ім’я та репутацію на карту в кожній справі, яку аналізуєте, тому що ви цілком можете опинитися в суді на основі змісту вашого звіту. Якщо вам не вистачає переконання, витонченості під тиском або відвертості, це категорично НЕ сфера кар’єри для вас.
Нарешті, досягти успіху надзвичайно допомагає пошук товару наставник у полі та працюючи пліч-о-пліч із цією людиною, поки ви вивчаєте ремесло. Школи можуть дати вам чудову основу, але досвід конкретних справ допоможе посадити людей за грати.
TR: Скільки повинен заробляти ваш середньостатистичний цифровий експерт-криміналіст і скільки він може заробити, якщо стане авторитетним і/або перейде до приватної фірми?
JI: Зарплати цифрових криміналістів дуже різняться, а нещодавно через секвестр і насичення ринку людей, які намагаються рекламувати себе як комп’ютерних судмедекспертів, але такими не є, починають отримувати зарплати вниз. (Значна частина відповідальності лежить на поганих менеджерах з найму, які не можуть визначити справжні навички кандидата.)
Однак, загалом, талановита людина повинна мати можливість знайти посади від 60 до 80 000 доларів США на молодшому рівні, 80-120 000 доларів США на середньому рівні та до 150 000 доларів США на старшому рівні. Тим не менш, я знав кількох дивовижних екзаменаторів, які працювали в місцевій поліції й платили лише 50 000 доларів на рік. офіцерів, і я знав паршивих екзаменаторів, які заробляли понад 250 000 доларів на рік, тому що рекламували своє ім’я Ну.
У дуже загальних рисах судово-медичні експерти роблять найбільше в судових справах захисту або в e-discovery якщо вони можуть вести велику кількість справ одночасно (і виставляти рахунки кільком клієнтам). Цих рівнів зарплати зазвичай дотримуються підрядники федерального уряду, службовці федерального уряду, державні службовці, військовийі, нарешті, екзаменатори місцевого самоврядування, відповідно.
Комерційні зарплати залежать від досвіду, розміру компанії та корпоративного інтересу до криміналістики (через проактивність чи публічне збентеження).
TR: Що ви порадите тому, хто намагається вирішити, чи хоче він працювати як a цифровий експерт-криміналіст, чи для тих, хто тільки починає працювати?
JI: Прочитайте цю статтю! Серйозно, я б витратив трохи часу на LinkedIn і звернувся до людей із цифрової криміналістики, щоб поставити їм багато тих самих запитань, які ви ставили мені.
Знайдіть людей, які працюють в організаціях або компаніях, у яких ви хочете працювати, і дозвольте їм розповісти вам про повсякденну роботу. Я надсилаю один або два запити на тиждень або через свою електронну адресу LinkedIn, або через шкільну електронну адресу, і я радий запропонувати свою пораду залежно від їхніх індивідуальних ситуацій.
Якщо у вас є небагато грошей, я б запропонував записатись на один із навчальних курсів, які пропонують великі виробників інструментів комп’ютерної криміналістичної експертизи, щоб зрозуміти, що пов’язано з роботою та як це відбувається зроблено.
Якщо курс зацікавив вас, я б подивився на чудові програми в деяких університетах на бакалавраті бакалаврату чи магістратурі рівні (наприклад, магістр комп’ютерної криміналістики, доступний в Університеті Джорджа Мейсона в Ферфаксі, штат Вірджинія, де я навчати).
TR: Якщо у вас є ще щось, що ви хотіли б додати про свою кар’єру чи сферу загалом, поділіться цим.
JI: Комп’ютерна криміналістика точно не для всіх, і все добре. Перш ніж витрачати багато часу чи грошей, знайдіть фахівця з цифрової криміналістики у вашому регіоні, запропонуйте йому чи їй чашку кави та пороздумуйте на годину. Більшість із нас готові поділитися своїми знаннями, оскільки ми самі це придумали.
Цифрова криміналістика — це галузь, що розвивається (погодьмося правді, комп’ютери не скоро зникнуть), і для всіх є багато роботи. Однак, якщо ви не цінуєте правду і не можете відстоювати свою роботу перед обличчям труднощів, ви не протримаєтеся довго в цьому бізнесі, де репутація — це все.
Можливо, я особисто не знаю того чи іншого судово-медичного експерта, але можу гарантувати, що це один телефонний дзвінок подалі від тих, хто це робить, і ті неофіційні «досьє» передаються між екзаменаторами швидко. Один випадок поганої відвертості чи відсутності відповідальності може закінчити кар’єру на місці.
Усе це сказане, це була фантастична сфера для мене, і я вдячний усім, з ким я працював у минулому, за уроки, які вони навчили мене, і досвід, який вони передали. Це була дика поїздка.
