Все о том, чтобы быть цифровым судебно-медицинским экспертом

Мало кто сомневается в том, что технологии значительно изменили методы ведения бизнеса полицией. Точно так же верно и представление о том, что наша постоянно совершенствующаяся технология меняет тип преступлений, которые расследуют полицейские детективы, и, следовательно, рост числа рабочих мест в области цифровой криминалистики.

Киберпространство становится все более «криминальным районом», и необходимость присутствия полиции очевидна. Вот где появляется область цифровых и мультимедийных наук и такие люди, как Джон Ирвин.

Один из пионеров в области цифровой криминалистики, Джон проводил компьютерные расследования, прежде чем большинство людей узнало, что такое было. В настоящее время он является вице-президентом по развитию технологий в CyTech Services, частной компании, которая специализируется на восстановлении данных и цифровой криминалистике.

Джон также является адъюнкт-профессором цифровой криминалистики в Университете Джорджа Мейсона, где он преподает правовые и этические вопросы в области компьютерной криминалистики. Он имеет степень магистра наук в области информационных систем и диплом магистра в области разработки программных систем.

Он работает в области компьютерной криминалистики с 1997 года как в государственном, так и в частном секторе, включая работу в ФБР, DEA и многочисленных частных консалтинговых фирмах. Он также работает волонтером в пожарной службе Arcola. Как бы он ни был занят, он нашел время, чтобы ответить на несколько вопросов о быстро растущей области цифровой криминалистики и о том, каково это работать в отрасли.

Интервью с экспертом по цифровой криминалистике Джоном Ирвайном:

Тим Руфа: У вас многолетний опыт работы в области цифровой криминалистики, и вы зарекомендовали себя как признанный эксперт в этой области. Очевидно, что для достижения того, на что вы способны, требуется много тяжелой работы и образования, но как вы начали?

Джон Ирвин: Совершенно случайно! Как и большинство историй о великой карьере, я попал в нее из-за случайностей, а не из-за планирования. Я всегда интересовался технологиями. В детстве я собрал первый компьютерный клон на блоке. Кроме того, с пяти лет я знал, что хочу быть агентом ФБР. В конце концов, два интереса совпали.

Когда я однажды сидел в моем офисе и занимался управлением проектами по разработке программного обеспечения, у меня возникло желание наконец-то связаться с ФБР. Это было до того, как Интернет стал Интернетом, поэтому я не мог легко получить информацию в Интернете. Я позвонил в местное отделение ФБР, оставил свое имя и адрес на автоответчике для заинтересованных кандидатов и ответил «да» на вопрос о компьютерных навыках.

Через несколько недель я получил пакет «Так вы хотите стать специальным агентом?». Я открыл брошюру, и первая страница разрушила мою мечту на всю жизнь в одном предложении. Моя карьера агента ФБР закончилась еще до того, как началось требование не исправленного зрения 20/40 или выше. За время до чудес LASIK мне было около 20/2000.

В задней части пакета было что-то похожее на 17^го генерация, плохо искаженная, почти неразборчивая копия объявления о вакансии для «компьютерного специалиста», которая, по-видимому, была включена из-за моей заявленной способности работать с компьютерами. Я подумал: «Ну, может, я смогу починить принтеры или что-нибудь еще для ФБР. По крайней мере, это приведет меня к двери.

Я отправил свое резюме сотруднику отдела кадров, указанному в должностной инструкции, и примерно через неделю мне позвонил один из руководителей программ группы реагирования на компьютерный анализ ФБР. Он сказал: «Ваше резюме было направлено мне, потому что вы сказали, что вы были« компьютерным универсалом »в своем сопроводительном письме. Что вы знаете о компьютерной экспертизе? - Ничего, - ответил я. Он сказал: «Отлично. Приходите на собеседование.

ТР: Как вы впервые заинтересовались цифровой криминалистикой?

JI: В интервью люди, с которыми я встречался, сказали мне, что я могу быть фанатом с плохим зрением и помогать ловить плохих парней. Очевидно, мои общие способности - то есть я мог эффективно использовать разные операционные системы и достаточно хорошо разбирались как в аппаратных средствах, так и в основных приложениях - отлично подошли бы их команде.

Это было действительно все, что мне нужно было услышать. Я думал, что играю с операционными системами Linux и Mac в дополнение к Windows просто для удовольствия; Я не понимал, что это все готовит почву для будущей карьеры.

ТР: Помимо вашего опыта судебной экспертизы, вы провели много времени, работая на федеральное правительство. Помог ли этот опыт подготовить вас к вашей нынешней карьере?

JI: До работы в ФБР я провел довольно много времени в качестве государственного подрядчика. На самом деле, в старших классах средней школы я уходил, когда звонил колокол, и ехал по улице к подрядчику, где я работал помощником директора по персоналу и специальной безопасности. Позже я работал в софтверной компании, у которой было много государственных заказчиков.

В дополнение к тому, что в самом раннем возрасте у меня был опыт в области безопасности, этот опыт помог мне, познакомив меня с рядом различных аппаратных платформ, программных приложений и, что наиболее важно, с различными типами людей в правительстве и профессиональном мире. Независимо от того, как это выглядит, компьютерная криминалистика касается как людей, которые используют анализируемые вами компьютеры, так и самого оборудования.

Во второй части нашего интервью с профессором и экспертом по цифровой криминалистике Джоном Ирвином мы узнаем о некоторых подводных камнях в профессии, и он объясняет, почему эта работа не для всех.

Интервью с экспертом по цифровой криминалистике Джоном Ирвином, часть 2:

ТР: Между вашей степенью бакалавра в области управления, вашим сертификатом разработки программного обеспечения и степенью магистра в области информационных систем, насколько хорошо вы чувствуете, что ваши степени подготовили вас к карьерному росту?

JI: Каждая из этих программ принесла мне кое-что для работы в компьютерной криминалистике. Во-первых, я думаю, что важно сказать, что компьютерная криминалистика НЕ ​​является дисциплиной информатики. Это как следственная функция, так и техническая задача. Если какой-либо набор навыков отсутствует, ему будет гораздо сложнее успешно работать в поле.

Магистр информационных систем помог мне лучше понять операционные системы, файловые системы и компьютерную механику. Тем не менее, моя степень бакалавра в области менеджмента была в равной степени полезна для моих курсовых работ по психологии, социологии, менеджменту и бухгалтерскому учету. Я действительно не могу дать преимущество одной степени над другой для полезности в области.

Тем не менее, я хочу убедиться, что я скажу несколько вещей. Компьютерная криминалистика - дисциплина ученичества. В последние годы появилось больше программ, в которые я преподаю в Университете Джорджа Мейсона, которые предлагают отличную курсовую работу по компьютерной криминалистике. Тем не менее, вы действительно изучаете профессию, когда занимаетесь реальными делами вместе со старшим экзаменатором.

Кроме того, вам НЕ нужно иметь опыт программирования для успешной работы в полевых условиях. На самом деле, мне повезло гораздо лучше обучать следователей техническим деталям работы, чем обучать программистов методам исследования и искусству «догадки». Если у вас нет технического образования в школе, это НЕ является сдерживающим фактором для попадания в поле.

• Узнайте, какой тип степени вы должны заработать для карьеры судебно-медицинской экспертизы
• Исследуйте виды степеней, которые вы должны заработать для криминалистики и карьеры в области уголовного правосудия

ТР: Вы работали как в частном, так и в государственном секторах, выполняя практически одинаковую работу. Как бы вы описали разницу между ними?

JI: Самые большие различия между работой в государственном и частном секторах, как правило, являются процедурой и скоростью. В федеративном мире чьи-то процедуры обычно (но не всегда) строго прописаны, а скорость производства, как правило, менее критична (за некоторыми заметными исключениями).

В коммерческом мире процедуры в значительной степени определяются личным опытом или предпочтениями вашего работодателя, а скорость производства значительно выше. Я провел четыре месяца на одном жестком диске один раз с федеральным работодателем из-за большого количества данных, которые он содержал, но в коммерческом мире вы обычно стремитесь к увеличению времени в несколько дней или недель.

ТР: Каков типичный рабочий день для аналитика или эксперта по цифровой криминалистике?

JI: Рабочий день для специалиста по цифровой криминалистике совсем не типичен. В зависимости от организации, для которых вы работаете, вы могли бы работать постоянный поток случаев детской порнографии, или вы могли бы анализировать предметы так высокий профиль, что вы смотрите их на CNN в то время как вы делаете свою работу.

Тем не менее, вы часто можете ожидать, что будете находиться в чрезмерно горячем офисе (из-за того, что количество компьютеров на вашем столе перегружает обычные офисные кондиционеры), и вы очень хорошо разберетесь в том, чтобы собрать воедино один рабочий компонент из множества неработающих. из них.

Большая часть вашего дня будет потрачена на документацию. Возможно, вы пишете отчет об анализе, рецензируете отчет другого эксперта или отмечаете все, что вы делали при проведении экзамена. Лучший в мире экзамен бесполезен, если вы не можете четко общаться в письменном отчете, который может быть легко понят агентом, должностным лицом, юристом или присяжными. Кроме того, если ваш письменный отчет плохой, он, естественно, поставит под сомнение ваши технические возможности тех, кто пытается его прочитать.

• Узнайте больше о том, почему навыки письма так важны в любой карьере криминологии

В зависимости от того, где вы работаете, дача показаний в суде является потенциальной частью проведения цифрового судебного анализа. Если вы работаете в среде правоохранительных органов, это почти гарантировано, но даже персоналу судебной криминалистики может потребоваться дать показания во время судебного разбирательства о несправедливом увольнении или поддержать последующие действия правоохранительных органов по отслеживанию вторжения. Некоторые известные мне эксперты отлично справляются с заданиями и могут писать фантастические отчеты, но они распадаются, когда их вызывают для дачи показаний в суде.

ТР: Вы написали статью под названием Темная сторона цифровой криминалистики, Можете ли вы рассказать нам немного о некоторых подводных камнях в работе?

JI: Вы на самом деле ссылаетесь на сообщение в блоге, которое я написал целую вечность назад, которое было подхвачено несколькими цифровыми криминалистическими изданиями и снова и снова размещалось. Я понятия не имел, что у меня будут такие «ноги», когда я это написал; Я был просто поражен, что люди, которые хотели попасть в поле, все еще не знали, что это в действительности означает.

Компьютерная криминалистика была для меня фантастической карьерой, но есть определенные подводные камни. На самом деле, первые две уроки, которые я преподаю, сосредоточены вокруг реалий работы, и я испытываю шок каждый раз, когда узнаю, что я первый человек, который рассказал моим ученикам, что такое работа после они выбрали его в качестве своего поля степени.

У меня нет научных цифр, но я оценил бы около 70-80% от судебно-медицинской экспертизы случаев компьютерных во всем мире, связанных с детской порнографией. Чем ближе вы подходите к государственным и местным правоохранительным органам, тем выше это число.

Даже если вы сосредоточены на компьютерных вторжений и реагирования на инциденты, вы будете часто находить детскую порнографию в качестве цели или результата вторжения (или просто существующие на компьютерах, вы исследуете от обычного пользователя машины).

Воздействие детской порнографии, в частности, в течение восьми часов в день, сорок часов в неделю, пятьдесят две недели в год, берет свое. Это не просто просмотр неподвижных изображений. Вы тоже смотрите видео, и вы все видите и слышите.

Если вы можете продолжать делать это, вы, скорее всего, разовьете очень мрачное, кладбищенское чувство юмора для борьбы с ним. Я также добровольно сотрудничаю с пожарно-спасательной командой, и вы видите там много такого же юмора; Это механизм выживания, разработанный людьми, которые работают в самых мрачных сферах жизни.

Кроме того, в зависимости от работы вы делаете, вы будете подвергаться воздействию графических изображений и текста убийства, пытки, изнасилования, терроризм, и просто о каком-либо преступлении, разврата, порнографии, или девиации вы можете себе представить.

Компьютеры являются отличными инструментами для добра, и они также являются отличными инструментами для совершения преступлений и распространения ненависти. Как судебно-медицинский эксперт, вы будете сталкиваться со всем этим изо дня в день. В одной группе у нас была шутка, в которой в то время звучали рекламные ролики о людях, которые «бродили по интернету». Мы добавили: «… а затем наша команда получает лопату и начинает копать».

Из-за работы и содержания, которым подвергается экзаменатор, многие люди, которые выходят на поле, не выдерживают. В среднем, я бы сказал, что около пятидесяти процентов людей, которые попадают в него, уходят в течение двух лет. Похоже, что это признак, когда у эксперта было достаточно случаев под его или ее поясом, чтобы быть или отягощенным (или невосприимчивым) к воздействию. Если вы сможете преодолеть двухлетнюю отметку, у вас, как правило, впереди долгий путь в компьютерной криминалистике.

ТР: С таким быстрым прогрессом в области компьютерных технологий за последнее десятилетие, как область цифровой криминалистики изменилась за вашу карьеру?

JI: Компьютерная криминалистика сильно изменилась с тех пор, как я начал в 90-х. В то время вы просматривали каждый файл на жестком диске (потому что могли), и мобильные устройства даже не были задуманы. Дискеты пришли бы сотнями, но теперь вы их никогда не увидите.

Сегодня объем данных настолько велик, что вам нужно быть намного более точным в своих поисках, и мобильные устройства являются равным, если не более важным, объектом исследования.

Кроме того, глубина инструментов значительно изменилась. В первые дни большинство инструментов были написаны полицейскими, которые взяли несколько уроков программирования или были самоучками. У нас были десятки одноразовых утилит, которые мы собирали вместе, чтобы сдать экзамен.

Теперь инструменты стали намного более профессиональными и многоцелевыми. Хороший экзаменатор по-прежнему будет иметь большой «набор инструментов» для работы, но у него или нее будут гораздо лучшие варианты базовой платформы для выполнения общего экзамена. Индустрия всегда пытается перейти к волшебной кнопке «найти все улики», и некоторые инструменты приближаются к этому для определенных типов дел.

В политическом плане типы дел значительно изменились. Первоначально компьютерная криминалистика в основном использовалась правоохранительными органами для уголовных дел. После 11 сентября большая часть работы сместилась в сторону борьбы с терроризмом. В настоящее время вторжение в компьютер является горячей темой, и многие карьеры перешли к реагированию на инциденты. Поле очень сильно меняется со временем.

ТР: В настоящее время вы работаете в качестве вице-президента по развитию технологий в CyTech Services. Если вы сможете поделиться ими с нами, какие инновации вы смогли внести в свою карьеру?

JI: Переход на CyTech Services был для меня фантастическим. На моей должности я не только могу использовать свой опыт компьютерной экспертизы, но я также могу использовать свой опыт в управлении программными проектами. CyTech производит CyFIR Enterprise (CyTech Forensics and Incident Response) для проведения корпоративных криминалистических расследований.

Мой вклад в это - дальнейшее развитие инструмента глазами специалиста. Например, архитектура CyFIR позволяет следователям одновременно искать данные для судебной экспертизы на каждом узле корпоративной сети, не требуя от пользователей прекращения работы над длительным процессом обработки изображений.

Если в организации обнаружен вредоносный код, CyFIR может найти все затронутые компьютеры в течение нескольких минут, а не дней или недель. Это очень важно при выполнении реагирования на инциденты, eDiscovery или внутренних расследований в крупной корпоративной сети или при ответе на компромисс в нескольких точках продаж, который заключается в краже данных кредитной карты с каналов проверки. Старое мышление «изобразить все и разобраться в этом позже» просто больше не работает в контексте предприятия.

Хотя я не являюсь «новшеством» как таковым, с моим прошлым управленческим опытом мне исключительно повезло в выявлении кандидатов, которые являются выдающимися экспертами-криминалистами.

Возобновление инфляции, к сожалению, является большой проблемой в нашей отрасли, и тот, кто отлично выглядит на бумаге, может иметь лишь умные знания о том, как на самом деле сдать экзамен. Благодаря процессу собеседования, который я разработал с течением времени, я чрезвычайно преуспел в поиске подходящих кандидатов с навыками, необходимыми для данной должности.

Что касается образования, я смог передать свои знания и, что более важно, мой опыт будущим поколениям судебных экспертов. В течение тех первых двух дней занятий, о которых я упоминал, я обнаружил, что один или два человека в каждом семестре скажут мне, что они не поняли, на что они рассчитывали, когда они начали программу, и поблагодарили меня за то, что я дал им знать, что это была за работа. например, потому что они не чувствовали себя комфортно, выполняя такую ​​работу.

На этом этапе я могу направить их в программу компьютерной безопасности, которая не будет сталкиваться с такими же проблемами с контентом, ожидающими их в будущем. Кроме того, я могу довольно быстро определить учеников, у которых действительно есть «ловкость», и я могу помочь им указать правильное направление, чтобы начать свою карьеру.

Следующий: Джон Ирвин делится советами о том, как устроиться на работу в цифровую криминалистику

В заключительной части нашего интервью с экспертом в области цифровой криминалистики Джоном Ирвином мы узнаем, почему эта область так важна, что могут заработать начинающие эксперты и что вы можете сделать, чтобы начать карьеру в качестве эксперта в области цифровой криминалистики.

Интервью с экспертом по цифровой криминалистике Джоном Ирвином, часть 3:

ТР: Почему область цифровой криминалистики так ценна для правительств и корпораций?

JI: Цифровая криминалистика ценна как для правительств, так и для корпораций по одной и той же причине - информации. Независимо от того, является ли эта информация доказательством по федеральному уголовному делу или знанием инсайдера, который крадет у конкурента корпоративную интеллектуальную собственность, специалисты по криминалистике предоставляют данные, которые в противном случае клиенты не имеют в наличии.

Проще говоря, можно сравнить работу цифрового судебного эксперта с разработчиком фотографий. Например, если у меня в руках неосвоенный рулон пленки, это почти бесполезно для меня в качестве какого-либо доказательства. Однако, если кто-то превращает этот фильм в картинки (или восстанавливает данные с жесткого диска в нашем случае), этот контент может обеспечить все, что нужно прокурору, менеджеру по персоналу или сотруднику по корпоративной безопасности.

Теперь, когда я думаю об этом, мне нужно придумать новую аналогию на будущее. Дети в школе сегодня, вероятно, даже не знают, что такое «рулон пленки»!

ТР: Что вам больше всего нравится в вашей работе, и почему вы продолжаете это делать?

JI: Цифровая криминалистика привлекает меня на нескольких уровнях. Прежде всего, это позволяет мне вносить существенный вклад в безопасность людей, не ограничиваясь физическими ограничениями зрения или возраста. Я мог бы не быть агентом, преследующим кого-то по переулку, но я мог бы дать этому агенту данные с мобильного телефона субъекта, который запечатывает дело и открывает еще три.

Далее, цифровая криминалистика очень нравится мне, потому что это гибрид моей любви к правоохранительным органам и разведке (мой TiVo наполнен полицейскими и шпионскими шоу) и мой внутренний фанат. Если вы смотрите эти шоу, вы даже видите эволюцию этих персонажей на экране. Пятнадцать лет назад они были ботаниками с разбитыми очками и неуклюжими социальными способностями. Теперь у компьютерного судебного эксперта обычно есть сухое чувство юмора и большое чувство стиля!

ТР: Что нужно, чтобы стать успешным экспертом или аналитиком?

JI: Прежде всего, это требует искренней страсти к справедливости (и я использую это в всеобъемлющем выражении) с любовью к техническим вещам. Если у вас есть эти два предмета, вы уже в пути.

В настоящее время доступны официальные образовательные программы, которых не было всего несколько лет назад, и стоит потратить время на их изучение, чтобы увидеть, что каждый может предложить. Кроме того, у многих инструментов судебной экспертизы есть классы (использующие инструмент, продаваемый компанией, включая мой собственный), которые могут помочь вам начать.

Как я говорю своим студентам, в этой области требуется очень сильное чувство личной ответственности. Вы должны быть готовы поставить свое имя и репутацию в соответствие с каждым анализируемым вами делом, поскольку вы вполне можете оказаться в суде на основании содержания вашего отчета. Если вам не хватает убежденности, благодати под давлением или откровенности, это абсолютно НЕ сфера карьеры для вас.

Наконец, успеху чрезвычайно помогает найти хорошего наставника в поле и работать плечом к плечу с этим человеком, пока вы изучаете профессию. Школы могут дать вам хорошую основу, но опыт помогает вам посадить людей за решетку.

ТР: Сколько должен ожидать ваш средний цифровой судебно-медицинский эксперт и сколько они могут заработать, если станут авторитетными и / или перейдут в частную фирму?

JI: Заработная плата цифровых криминалистов сильно варьируется, и в последнее время из-за секвестрации и насыщения рынка людьми, пытающимися рекламировать себя как компьютерные криминалисты, которые этого не делают, зарплаты начинают снижаться. (Большая часть ответственности лежит на плохих менеджерах по найму, которые не могут определить истинные навыки кандидата.)

Тем не менее, в целом, талантливый человек должен иметь возможность занимать должности от 60 до 80 000 долл. США на младшем уровне, от 80 до 120 000 долл. США на среднем уровне и до 150 000 долл. США на уровне старшего звена. Тем не менее, я знал некоторых удивительных экзаменаторов, которые занимали должности, платящие всего 50 000 долларов в год в качестве местных полицейских, и я знал паршивых экспертов, которые зарабатывали более 250 000 долларов в год, потому что они хорошо продавали свое имя.

В общих чертах, судебные эксперты извлекают максимальную пользу в судебных делах по защите или в eDiscovery, если они могут одновременно запускать большое количество дел (и выставлять счета нескольким клиентам). За этими уровнями заработной платы обычно следуют подрядчики федерального правительства, служащие федерального правительства, служащие правительства штата, военные и, наконец, местные органы управления, соответственно.

• Узнайте о военной службе правоохранительных органов
• Откройте для себя федеральные правоохранительные органы

Коммерческая заработная плата управляет гаммой в зависимости от опыта, размера компании и корпоративного интереса к судебной экспертизе (из-за проактивности или общественного смущения).

ТР: Какой совет вы бы дали тем, кто пытается решить, хотят ли они работать цифровым судебно-медицинским экспертом, или кому-то, только начинающему работу?

JI: Прочитайте эту статью! Серьезно, я бы потратил немного времени на LinkedIn и обратился к людям, занимающимся цифровой криминалистикой, чтобы задать им те же вопросы, которые вы мне задавали.

Найдите людей, которые работают в организациях или компаниях, в которых вы хотите работать, и позвольте им рассказать вам о повседневной работе. Я отправляю один или два запроса в неделю по электронным адресам в LinkedIn или в школе, и я рад предложить свой совет в зависимости от их конкретной ситуации.

Если у вас есть немного денег, чтобы потратить, я бы предложил записаться на один из учебных курсов, предлагаемых крупными производителями компьютерных инструментов судебной экспертизы, чтобы понять, что связано с работой и как она выполняется.

Если класс вас заинтересует, я посмотрю на отличные программы в некоторых университетах на уровнях BS или MS (например, степень магистра компьютерной криминалистики, которую можно получить в университете Джорджа Мейсона в Фэрфаксе, Вирджиния, где я преподаю).

• Узнайте больше о том, как стать цифровым судебным экспертом

ТР: Если у вас есть что-то еще, что вы хотели бы добавить о своей карьере или сфере деятельности в целом, пожалуйста, не стесняйтесь поделиться этим.

JI: Компьютерная экспертиза определенно не для всех, и тот’ хорошо Прежде чем тратить много времени или денег, найдите в своем районе специалиста по цифровой криминалистике, предложите купить ему или ей чашку кофе и часами берите себе в голову. Большинство из нас более чем готовы делиться своими знаниями, как мы сами придумали.

Цифровая криминалистика - это развивающаяся область (давайте посмотрим правде в глаза, компьютеры не уйдут в ближайшее время), и для каждого есть много работы. Однако, если вы не цените правду и не можете встать на защиту своей работы перед лицом трудностей, вы не продержитесь долго в этом бизнесе, где репутация - это все.

Я, возможно, не знаю конкретного судебного эксперта лично, но я могу гарантировать вам, что я на расстоянии одного телефонного звонка от кого-то, кто знает, и что эти неофициальные «файлы зала» быстро передаются между экспертами. Один случай плохой откровенности или отсутствия ответственности может положить конец карьере.

Все это говорит о том, что это было фантастическое поле для меня, и я благодарен всем, с кем я работал в прошлом, за уроки, которые они мне преподали, и опыт, который они поделились. Это была дикая поездка.