Tot sobre ser un examinador forense digital

Hi ha poca pregunta que la tecnologia ha canviat significativament la manera de fer negocis amb la policia. De la mateixa manera, la idea que la nostra tecnologia sempre avançada està canviant el tipus de delictes que investigadors de la policia investiguen en conjunt, per tant, l’augment dels llocs de treball forenses digitals.

El ciberespai es converteix cada vegada més en un "barri de gran delicte", i la necessitat d'una presència policial és evident. Aquí és on entren el camp de les ciències digitals i multimèdia i persones com John Irvine.

Un dels pioners del camp forense digital, John estava realitzant investigacions informàtiques abans que la majoria de la gent sabés que hi havia tal cosa. Actualment, és vicepresident de Desenvolupament Tecnològic de CyTech Services, una empresa privada especialitzada en recuperació de dades i forenses digitals.

John és també professor adjunt de medicina forense digital a la Universitat George Mason, on imparteix Qüestions Legals i Ètiques en Informàtica Forense. Té un màster en sistemes d'informació i un certificat de postgrau en enginyeria de sistemes de programari.

Ha estat treballant en informàtica forense des de 1997, tant en el sector públic com en el privat, inclòs el treball amb el FBI, la DEA i nombroses empreses privades de consultoria. També és voluntari del departament de bombers voluntaris d'Arcola. Està tan ocupat com ell, va trobar el moment de respondre a algunes preguntes sobre nosaltres sobre el camp creixent ràpidament de la ciència forense digital i el que és treballar a la indústria.

Entrevista amb l'expert digital forense John Irvine:

Tim Roufa: Teniu anys d'experiència en medicina forense digital, fins al punt que us heu consolidat com a expert reconegut en aquest camp. Evidentment, es necessita molta feina i molta educació per aconseguir el que ha estat capaç de fer, però, com vau aconseguir el vostre començament?

John Irvine: Completament per accident! Igual que la majoria de les històries de grans carreres, vaig caure en ella a causa de la casualitat, no a la planificació. Sempre he tingut un gran interès per la tecnologia. De petit, vaig reunir el primer clon de PC al bloc. A més, a partir dels cinc anys, vaig saber que volia ser un agent del FBI. Finalment, els dos interessos van coincidir.

Mentre estava assegut a la meva oficina treballant en la gestió de projectes de programari un dia, l’impuls em va cridar l’últim a arribar al FBI. Això va ser abans que Internet era, bé, l’INTERNET, de manera que no vaig poder obtenir fàcilment informació en línia. Vaig trucar a la meva oficina de camp local de l'FBI, vaig deixar el meu nom i la meva adreça al contestador automàtic per als candidats interessats i vaig respondre "sí" a la pregunta que es va fer sobre tenir habilitats informàtiques.

Vaig rebre el que jo anomeno el paquet "Així que voleu ser un agent especial?" Algunes setmanes més tard. Vaig obrir el fulletó i la primera pàgina va deixar anar el meu somni durant tota la vida en una frase. La meva carrera professional com a agent del FBI va acabar abans que comencés amb el requisit de millorar la visió no corregida de 20/40. En un temps abans de les meravelles de LASIK, tenia uns 20/2000.

A la part posterior del paquet era el que semblava un 17^th generació, mal format, còpia gairebé il·legible d’una publicació de feina per a un “especialista en informàtica” que aparentment s’havia inclòs a causa de la meva capacitat declarada amb ordinadors. Vaig pensar: "Bé, potser puc arreglar impressores o alguna cosa per al FBI. Almenys això em portarà a la porta."

He enviat el meu currículum vitae a la persona de recursos humans que figuren a la descripció de la feina i he rebut una trucada aproximadament una setmana més tard per part d’un dels responsables del programa de l’equip d’anàlisi de l’ordinador de l’FBI. Va dir: "El teu currículum vitae em va ser enviat perquè em deia que era un" ordinador generalista "a la seva carta de presentació. Què en sabeu de la informàtica forense? "" Res ", vaig respondre. Va dir: "Gran. Vine a fer una entrevista."

TR: Com es va interessar per primera vegada per la investigació forense digital?

JI: En l'entrevista, les persones amb les quals em vaig trobar em van dir que podia ser un geek amb mala vista i encara ajudar-me a atrapar els dolents. Pel que sembla, les meves habilitats generalistes, és a dir, podria utilitzar de manera eficaç diferents sistemes operatius i tenia molt bons coneixements sobre els interns del maquinari i les aplicacions més importants, seria molt adequat per al seu equip.

Això era realment tot el que havia de sentir. Vaig pensar que havia estat jugant amb sistemes operatius Linux i Mac a més de Windows només per divertir-me; No em vaig adonar que tot estava preparant l'escenari per a una futura carrera.

TR: A més de la vostra experiència forense, heu dedicat molt de temps a treballar per al govern federal. Aquesta experiència us va ajudar a preparar-vos per a la vostra carrera actual?

JI: Abans de treballar per a l'FBI, havia passat molt de temps com a contractista del govern. De fet, durant el meu últim any de secundària, em vaig anar quan sonava la campana i pujaria al carrer a un contractista de defensa on treballava com a ajudant dels directors de recursos humans i seguretat especial. Més tard, vaig treballar per a una empresa de programari que tenia diversos clients del govern.

A més de tenir una autorització de seguretat a una edat molt primerenca, aquesta experiència em va ajudar a exposar-me a diverses plataformes de maquinari, aplicacions de programari i, sobretot, a diferents tipus de persones al món professional i al govern. Independentment de com es veu, la informàtica forense és tant de les persones que utilitzen els equips que analitzeu, com del propi maquinari.

En la segona part de la nostra entrevista amb el professor i expert digital forense John Irvine, coneixem alguns dels obstacles de la professió i explica per què aquest treball no és per a tothom.

Entrevista amb l'expert digital forense John Irvine, part 2:

TR: Entre el vostre grau en gestió, el vostre certificat d'enginyeria de programari i el vostre màster en sistemes d'informació, què us sembla que us preparaven les vostres titulacions per a la vostra carrera?

JI: Cadascun d'aquests programes va portar alguna cosa a la taula per a mi treballant en informàtica forense. Primer, crec que és important dir que la informàtica forense no és una disciplina informàtica. És tant una funció d’investigació com un repte tècnic. Si falta qualsevol conjunt d’habilitats, s’haurà de treballar molt més amb èxit al camp.

El MS en Sistemes d’Informació em va ajudar a comprendre millor els sistemes operatius, els sistemes de fitxers i la mecànica de l’ordinador. Tanmateix, la meva llicenciatura en gestió era igualment útil amb els meus treballs de psicologia, sociologia, gestió i comptabilitat. Realment no puc donar un avantatge a un grau sobre l’altre per la utilitat en el camp.

Dit això, vull assegurar-me que dic algunes coses. Computer Forensics és una disciplina d'aprenentatge. En els darrers anys s’han produït més programes: el que he impartit a la Universitat de George Mason, que ofereix un excel·lent treball de formació en informàtica forense. Tanmateix, realment apreneu el comerç quan esteu treballant en casos reals al costat d’un examinador sènior.

A més, NO necessiteu un fons de programació per treballar correctament en el camp. De fet, he tingut molt millor la possibilitat d'entrenar investigadors en els detalls tècnics de la feina que he tingut en l'ensenyament dels mètodes de programació d'investigació i art de "la presentació". Si no teniu antecedents tècnics a l'escola, que NO és un factor dissuasori per entrar al camp.

• Apreneu el tipus de títol que heu de guanyar per a una carrera científica forense
• Exploreu els tipus de graus que heu de guanyar per a la carrera de criminologia i justícia penal

TR: Heu treballat tant en el sector privat com en el públic, realitzant gran part del mateix treball. Com descriuria la diferència entre els dos?

JI: Les diferències més grans entre treballar en sectors públics i privats són generalment procediments i velocitats. Al món federal, els seus procediments són generalment (però no sempre) molt prescrits, i la velocitat de producció és generalment menys crítica (amb algunes excepcions notables).

Al món comercial, els procediments es basen en gran mesura en l’experiència personal o en les preferències de l’empresari i la velocitat de producció és molt més gran. Vaig passar quatre mesos en un sol disc dur una vegada amb un empresari federal a causa de la quantitat de dades que contenia, però en el món comercial, normalment busqueu un temps de recuperació de dies o setmanes com a màxim.

TR: Què és una jornada típica com per a un analista o examinador forense digital?

JI: La jornada laboral per a un professional forense digital no és típica. Depenent de l’organització per a la qual esteu treballant, és possible que estigueu treballant amb un flux constant de casos de pornografia infantil, o bé podeu analitzar temes tan alts que els esteu mirant a la CNN mentre esteu fent la feina.

No obstant això, sovint es pot esperar en una oficina massa calenta (a causa de la quantitat d’ordinadors que hi ha a la vostra taula d’aire condicionat), i obtindreu molt bons treballs d’un component de treball que no funcionin. uns.

La major part del vostre dia es gastarà en documentació. És possible que estigueu escrivint un informe d’anàlisi, revisant els informes d’un altre examinador o tot allò que hàgiu fet en realitzar un examen. El millor examen del món és inútil si no es pot comunicar clarament en un informe escrit que pugui entendre fàcilment un agent, un funcionari, un advocat o un jurat. A més, si el vostre informe escrit és pobre, naturalment posarà en qüestió les vostres habilitats tècniques per aquells que tractin de llegir-lo.

• Més informació sobre per què les habilitats d’escriptura són tan importants per a qualsevol carrera de criminologia

Depenent d'on treballeu, la declaració davant el tribunal és una part potencial de realitzar anàlisis forenses digitals. Si esteu treballant en un entorn d'aplicació de la llei, és gairebé garantit, però fins i tot el personal forense de les empreses podria haver de testificar durant un procés de terminació abusiva o per donar suport a les mesures posteriors de seguiment de la llei per fer un seguiment d'una intrusió Alguns examinadors que he conegut són genials darrere el teclat i poden redactar informes fantàstics, però es desfan quan es truca per declarar davant el tribunal.

TR: Has escrit un article titulat The Side Darker of Digital Forensics. Podeu explicar-nos una mica algunes de les trampes de la feina?

JI: En realitat, feu referència a una entrada del bloc que vaig escriure fa un mes que va ser recollida per alguns punts de venda forenses digitals i s'ha tornat a publicar una i altra vegada. No tenia ni idea que tindria aquestes "cames" quan ho vaig escriure; Simplement em va sorprendre que les persones que volguessin entrar al camp encara no tenien idea del que realment comportava.

La informàtica forense ha estat una carrera fantàstica per a mi, però sens dubte hi ha trampes. De fet, les dues primeres sessions de classe que imparteixo se centren en les realitats de la feina, i em sorprèn cada vegada que descobreixo que sóc la primera persona que ha dit als meus estudiants el que és realment treballar després. ho han triat com a grau.

No tinc números científics, però he calculat que entre el 70 i el 80% dels casos de medicina forense a tot el món estan relacionats amb la pornografia infantil. Com més s'apropa a la policia estatal i local, més gran serà aquest nombre.

Fins i tot si esteu concentrant en les intrusions informàtiques i la resposta a incidents, sovint trobareu pornografia infantil com a propòsit o resultat de la intrusió (o simplement existint als equips que examinem des de l’usuari habitual de la màquina).

L’exposició a la pornografia infantil, sobretot durant vuit hores al dia, quaranta hores setmanals, cinquanta-dues setmanes a l’any, fa casar-se. No és només mirar fotografies fixes. També esteu veient els vídeos, i ho veieu i ho sentiu tot.

Si ho podeu fer, és probable que desenvolupeu un sentit de l'humor molt fosc i cementiri per combatre-ho. També vull ser voluntari amb un equip de foc i rescat, i hi veus molt del mateix humor; és un mecanisme d’afrontament desenvolupat per persones que treballen a les zones més desoladores de la vida.

A més, en funció del treball que realitzeu, s’exposaran a imatges gràfiques i text d'assassinat, tortura, violació, terrorisme i gairebé qualsevol crim, depravació, pornografia o desviació que pugueu imaginar.

Els ordinadors són excel·lents eines i són excel·lents eines per cometre delictes i difondre l'odi. Com a examinador forense d’ordinador, s’exposarà a tots els dies, dia rere dia. En un grup teníem un acudit que feia bromes en un comercial de l'època parlant de persones que "van navegar fins al final d'Internet". Hem afegit: "i el nostre equip aconsegueix una pala i comença a excavar".

A causa de la feina i del contingut al qual està sotmès un examinador, moltes persones que entren al camp no duren. De mitjana, diria que aproximadament el cinquanta per cent de les persones que hi entraran surten al cap de dos anys aproximadament. Sembla que aquesta marca és quan un examinador ha tingut suficients casos sota el seu cinturó per esgotar-se (o ser immune a) l’exposició. Si podeu superar la marca de dos anys, generalment teniu una llarga trajectòria professional davant de l’ordinador forense.

TR: Amb avenços tan ràpids en la tecnologia informàtica durant la darrera dècada, com ha canviat el camp de la ciència forense digital al llarg de la seva carrera?

JI: La informàtica forense ha canviat enormement de quan vaig començar als anys noranta. Aleshores, vau mirar tots els fitxers d’un disc dur (perquè podíeu) i els dispositius mòbils ni tan sols es pensaven. Els disquets entraran per centenars, però ara no els veieu.

Avui en dia, la quantitat de dades és tan gran que heu de ser molt més clar en les vostres cerques, i els dispositius mòbils són un tema d’examen igualitari -si no més important-.

A més, la profunditat de les eines ha canviat significativament. En els primers dies, la majoria d’eines van ser escrites per policies que havien pres algunes classes de programació o que eren autodidactes. Vam tenir desenes d’equipaments d’un sol ús que ens enfrontaríem per fer un examen.

Ara, les eines són molt més professionals i polivalents. Un bon examinador encara tindrà una gran "caixa d’eines" des de la qual treballar, però ell o ella té opcions de plataforma base molt millors per realitzar l’examen general. La indústria sempre està tractant de passar a la màgia "trobar tots els botons de les proves", i algunes eines estan a prop d’aquest tipus de casos.

Políticament, els tipus de casos han canviat enormement. Originalment, la informàtica forense va ser utilitzada principalment per la policia per a casos penals. Després de l'11 de setembre, gran part de la feina va canviar cap al contraterrorisme. Ara, les intrusions per ordinador són el tema més important, i moltes carreres s'han mogut cap a la resposta a incidents. El camp canvia enormement amb els temps.

TR: Actualment és vicepresident de desenvolupament tecnològic a CyTech Services. Si podeu compartir-les amb nosaltres, quines innovacions heu pogut mantenir al llarg de la vostra carrera?

JI: La meva mudança a CyTech Services ha estat fantàstica per a mi. En la meva posició, no només sóc capaç d’utilitzar l’experiència forense de l’ordinador, sinó que també puc utilitzar els meus antecedents en la gestió de projectes de programari. CyTech produeix CyFIR Enterprise (Cytech Forensics i Incident Response) per realitzar investigacions forenses informàtiques empresarials.

La meva contribució és aprofundir en el desenvolupament de l’eina amb l’ull dels metges. Per exemple, l'arquitectura de CyFIR permet als investigadors cercar tots els nodes d'una xarxa empresarial alhora per a dades forenses, sense que els usuaris deixin de treballar durant un llarg procés d'imatge.

Si hi ha un brot de codi maliciós en una organització, CyFIR té la capacitat de localitzar totes les màquines afectades en minuts en lloc de dies o setmanes. Això és enorme quan es realitzen respostes per incidències, eDiscovery o investigacions internes en una xarxa d'empreses grans o quan es respon a un compromís de punt de venda en diverses botigues que està robant dades de targetes de crèdit dels carrils de pagament. El vell que pensa en "representar-ho tot i ordenar-lo més endavant" només ja no vola en un context empresarial.

Tot i que no és una "innovació" per se, amb els meus antecedents de gestió, he estat excepcionalment afortunats identificant els candidats que fan excel·lents examinadors forenses.

Malauradament, la inflació reprendre és un gran problema en la nostra indústria i algú que es veu bé a la premsa pot tenir només un coneixement de paraules clau per realitzar realment un examen. A través d’un procés d’entrevistes que he desenvolupat al llarg del temps, he tingut un gran èxit a l'hora de trobar els candidats adequats amb les habilitats necessàries per al lloc.

Pel que fa a l'educació, he estat capaç de transmetre els meus coneixements i, més important, la meva experiència per a futures generacions d'examens forenses. Durant els dos primers dies de classe que vaig esmentar, trobo que una o dues persones cada semestre em diran que no es van adonar del que havien negociat quan van començar el programa i em van agrair per fer-los saber quina era la feina com, perquè no se sentien còmodes fent aquest tipus de treball.

En aquest moment, sóc capaç de guiar-los cap a un programa de seguretat informàtica que no tindrà els mateixos problemes de contingut esperant-los en el futur. De la mateixa manera, puc identificar amb rapidesa els estudiants que realment semblen "tenir una bona feina" i puc ajudar-los a assenyalar-los en la direcció correcta per començar les seves carreres.

Fins a la propera: John Irvine comparteix consells sobre com aconseguir una feina a la indústria forense digital

A la part final de la nostra entrevista amb l’expert en forens digitals John Irvine, sabem per què el camp és tan important, el que els aspirants a l’examen poden guanyar i el que podeu fer per començar a fer carrera professional com a expert en medicina forense.

Entrevista amb l'expert digital forense John Irvine, part 3:

TR: Per què el camp de la ciència forense digital és tan valuós per als governs i les empreses?

JI: La investigació forense digital és valuosa tant per als governs com per a les empreses per la mateixa raó: la informació. Si la informació és una prova d’un cas penal federal o el coneixement d’una informació privilegiada que roba la propietat intel·lectual corporativa per a un competidor, els professionals de la investigació forense digital proporcionen dades que els clients en cas contrari no tenen disponibles.

En termes molt senzills, es podria comparar el treball d’un examinador forense digital amb el d’un desenvolupador fotogràfic. Per exemple, si tinc un rotllo de pel·lícules sense desenvolupar a les meves mans, això és gairebé inútil per a mi com qualsevol tipus d'evidència. Tanmateix, si algú desenvolupa aquesta pel·lícula en imatges (o recupera dades d'un disc dur en el nostre cas), aquest contingut pot proporcionar tot el que el fiscal, el gerent de recursos humans o el responsable de seguretat corporativa necessiten.

Ara que ho penso, he de plantejar una nova analogia per al futur. Els nens de l’escola avui probablement ni tan sols saben què és un “rodet de pel·lícula”!

TR: Què us agrada més del vostre treball i per què continueu fent?

JI: La forense digital em fa una crida en diversos nivells. En primer lloc, em permet fer contribucions significatives a la seguretat i la seguretat de les persones sense limitar-me les limitacions físiques de la visió o l'edat. Potser no sigui l’agent que persegueix a algú en un carreró, però podria donar-li a l’agent les dades del telèfon cel·lular del subjecte que segellin la caixa i obri tres més.

A continuació, la medicina forense digital em fa una crida profunda perquè és un híbrid del meu amor per la policia i la intel·ligència (el meu TiVo està ple de policies i espies) i el meu geek interior. Si mireu aquests espectacles, fins i tot veureu una evolució d'aquests personatges a la pantalla. Fa quinze anys eren els über-nerds amb gots trencats i gràcies socials incòmodes. Ara, l’examinador forense de l’ordinador sol tenir un sentit d’humor sec i un gran sentit d’estil.

TR: Què necessita per tenir èxit com a analista o analista forense digital?

JI: Principalment, requereix una passió sincera per la justícia (i jo ho faig en un terme que abraça tot) amb un amor per les coses tècniques. Si teniu aquests dos elements, esteu molt bé.

Ara hi ha programes formals formals disponibles, que no existien fa pocs anys, i val la pena aprofitar el temps per investigar-los per veure què ofereix cada un. A més, moltes de les eines forenses que hi ha aquí tenen classes (utilitzant l’eina venuda per l’empresa, la meva pròpia inclusió) que us permetrà iniciar-vos.

Mentre els explico als meus estudiants, el camp requereix un fort sentit de responsabilitat personal. Heu d’estar disposat a posar el vostre nom i la vostra reputació en línia amb cada cas que analitzeu, ja que molt bé podreu acabar-vos al jutjat en funció del contingut del vostre informe. Si no teniu convicció, gràcia o pressió, no és el camp de la vostra carrera.

Finalment, tenir èxit es contribueix enormement a la recerca d’un bon mentor al camp i de treballar a la vora de l’espatlla amb aquesta persona mentre apreneu el comerç. Les escoles poden oferir-vos una base excel·lent, però l’experiència de casos us ajuda a situar la gent després de les barres.

TR: Quant esperen guanyar el vostre examinador forense digital mitjà, i quant podrien guanyar si es tornen de confiança i / o van a una empresa privada?

JI: Els salaris forenses digitals varien àmpliament i, recentment, a causa del segrest i la saturació del mercat de persones que intenten anunciar-se com a examinadors forenses informàtics que no, els salaris estan començant a baixar. (Gran part de la responsabilitat es basa en responsables de contractació de contractes que no poden determinar el veritable conjunt de competències d’un candidat).

No obstant això, en general, una persona amb talent ha de ser capaç de trobar posicions d'entre 60 i 80.000 dòlars a un nivell júnior, de 80 a 120.000 dòlars a un nivell mitjà i de superar els 150.000 dòlars a nivell sènior. Dit això, he conegut a alguns examinadors increïbles que estaven en llocs que pagaven només 50.000 dòlars per any com a oficials de policia local, i he conegut investigadors pobres que van fer més de 250.000 dòlars per any perquè comercialitzaven bé el seu nom.

En termes molt generals, els examinadors forenses treuen el màxim partit en casos de litigi en defensa o en eDiscovery si poden executar un gran nombre de casos alhora (i facturar a diversos clients). Normalment, aquests nivells de salari són seguits per contractistes del govern federal, empleats del govern federal, empleats del govern estatal, examinadors militars i, finalment, per governs locals, respectivament.

• Apreneu sobre les carreres militars aplicables a l’aplicació de la llei
• Descobriu les carreres federals d'aplicació de la llei

Les retribucions comercials són les que depenen de l’experiència, la mida de l’empresa i l’interès corporatiu en forenses (ja sigui per la proactivitat o la vergonya del públic).

TR: Quins consells teniu per a algú que intenta decidir si vol o no treballar com a examinador forense digital o per a algú que acaba de començar al camp?

JI: Llegiu aquest article! De debò, passaria una mica de temps a LinkedIn i arribaria a persones amb coneixements forenses digitals per fer-los moltes de les mateixes preguntes que em vau preguntar.

Trobeu persones que treballin per a les organitzacions o empreses per a les quals voleu treballar i deixeu-les que us expliquin el dia a dia. Em poso a una o dues preguntes a la setmana a través de les adreces de correu electrònic de LinkedIn o de l’escola i estic encantat de poder oferir-me el consell en funció de les seves situacions individuals.

Si teniu una mica de diners per gastar, us proposo inscriure-us a una de les classes de formació que ofereixen els grans fabricants d’eines forenses d’ordinadors per tal de tenir en compte el que està involucrat amb el treball i les maneres en què es fa.

Si la classe té interès, examinaré els excel·lents programes d'algunes universitats en els nivells de BS o MS (com el Masters of Computer Forensics disponible a la Universitat de George Mason a Fairfax, Virginia, on jo ensenyo).

• Més informació sobre com esdevenir un examinador forense digital

TR: Si teniu qualsevol cosa que vulgueu afegir sobre la vostra carrera o el camp en general, no dubteu a compartir-lo.

JI: La informàtica forense definitivament no és per a tothom, i això’ s bé. Abans de passar molt de temps o diners, busqueu un professional forense digital a la vostra zona, oferiu-li una tassa de cafè i trieu el cervell durant una hora. La majoria de nosaltres estem més que disposats a compartir el nostre coneixement, ja que així s’està formant nosaltres mateixos.

Digital Forensics és un camp de creixement (hem d'encarar-ho, els ordinadors no se'n van aviat) i hi ha molta feina per a tothom. Tanmateix, si no vals la veritat i no pots resoldre la teva feina davant de l'adversitat, no durarà molt aquest negoci on la reputació és tot.

És possible que no conegui a un determinat examinador forense personalment, però puc garantir-li que sóc una trucada de telèfon d'algú que ho faci, i que els "fitxers de sala" no oficials passin ràpidament entre els examinadors. Una instància de poca sinceritat o falta de responsabilitat pot acabar amb una carrera professional.

Dit això, ha estat un camp fantàstic per a mi, i estic agraït a tothom amb qui he treballat en el passat per les lliçons que m'han ensenyat i les experiències que han donat. Ha estat un viatge salvatge.