Allt om att vara en digital kriminaltekniker

Det finns liten fråga att tekniken har förändrats väsentligt hur polisen gör affärer. Precis som sant är tanken att vår ständigt framåtskridande teknik förändrar den typ av brott som polisdetektiverna helt och hållet undersöker, alltså ökningen av digitala rättsmedicinska jobb.

Cyberspace blir alltmer en "hög brottsgrannskap", och behovet av en polis närvaro är uppenbart. Det är där fältet digitala och multimediavetenskap och människor som John Irvine kommer in.

En av pionjärerna inom det digitala forensics-fältet, John genomförde datorundersökningar innan de flesta visste att det fanns en sådan sak. För närvarande tjänar han som vice vd för teknologisk utveckling hos CyTech Services, ett privat företag som specialiserat sig på dataräddning och digital forensics.

John är också en adjungerad professor i digital forensics på George Mason University, där han undervisar juridiska och etiska frågor i datorteknik. Han har en civilingenjörsexamen i informationssystem och ett examensbevis i programvaruteknik.

Han har arbetat inom datorteknik sedan 1997 både inom den offentliga och privata sektorn, inklusive arbete med FBI, DEA och många privata konsultföretag. Han också volontärer med Arcola volontär brandkåren. Så upptagen som han, hittade han tiden att svara på några frågor för oss om det snabbt växande fältet för digital kriminalteknik och hur det är att jobba i branschen.

Intervju med Digital Forensics Expert John Irvine:

Tim Roufa: Du har många års erfarenhet av digital forensics, till den punkt som du har etablerat dig som en erkänd expert på området. Det tar självklart mycket jobb och utbildning för att uppnå det du har kunnat, men hur började du?

John Irvine: Helt av misstag! Liksom de flesta berättelser om stora karriärer, föll jag in på det på grund av händelse, inte planering. Jag har alltid haft ett stort intresse för teknik. Som barn lägger jag samman den första PC-klonen på blocket. Från fem års ålder visste jag att jag ville vara en FBI-agent. Så småningom slog de två intressena av.

Samtidigt som jag satt på mitt kontor som arbetade med mjukvaruprojektledning en dag, slog jag på mig att äntligen nå ut till FBI. Detta var innan Internet var, bra, INTERNET, så jag kunde inte enkelt få information online. Jag ringde till mitt lokala FBI-fältkontor, lämnade mitt namn och adress på telefonsvararen för intresserade kandidater och svarade ja på frågan om att ha datorkunskaper.

Jag fick vad jag kallar "Så du vill vara ett specialagent?" Paket några veckor senare. Jag öppnade broschyren och första sidan blåste bort min livslånga dröm i en mening. Min karriär som FBI-agent slutade innan det började med kravet på 20/40 okorrigerad syn eller bättre. På en tid före LASIKs underverk var jag omkring 20/2000.

På baksidan av paketet var det som såg ut som en 17^th generationen, dåligt skevad, nästan oläslig kopia av ett jobbpost för en "datorspecialist" som tydligen hade inkluderats på grund av min uttalade förmåga med datorer. Jag tänkte, "Jo, kanske kan jag fixa skrivare eller något för FBI. Det kommer åtminstone att få mig i dörren."

Jag skickade mitt CV till den HR-person som anges på arbetsbeskrivningen, och jag fick ett samtal ungefär en vecka senare från en av programansvariga på FBI: s datoranalysgrupp. Han sa, "Ditt CV var dirigerat till mig eftersom du sa att du var en" dator generalist "i ditt brev. Vad vet du om datormedicin? "" Inget, "svarade jag. Han sa, "Stor. Kom in för en intervju."

TR: Hur blev du först intresserad av digital kriminalteknik?

JI: I intervjun berättade de personer som jag träffade mig att jag kunde vara en nörd med dålig syn och fortfarande hjälpa till att fånga de dåliga killarna. Tydligen kunde mina generalistiska förmågor, vilket innebär att jag effektivt skulle kunna använda olika operativsystem och hade ganska bra kunskaper om både hårdvaruinternaler och större applikationer, vara en bra passform på deras lag.

Det var verkligen allt jag behövde höra. Jag trodde att jag hade spelat med Linux och Mac-operativsystem förutom Windows bara för skojs skull; Jag inser inte att det var allt som satte scenen för en framtida karriär.

TR: Förutom din rättsmedicinska erfarenhet har du spenderat mycket tid på att arbeta för den federala regeringen. Har den erfarenheten hjälpt dig att förbereda dig för din nuvarande karriär?

JI: Innan jag arbetade för FBI, hade jag tillbringat en hel del tid som en statsentreprenör. Faktum är att jag under min högre årskurs skulle lämna när klockan ringde och skulle köra upp gatan till en försvarskontraktör där jag arbetade som assistent till cheferna för HR och Special Security. Senare arbetade jag för ett mjukvaruföretag som hade ett antal regeringskunder.

Förutom att jag redan har en säkerhetsvärdighet vid en mycket ung ålder hjälpte mig med att uppleva en rad olika hårdvaruplattformar, programvaror och - viktigast av allt - olika typer av människor i regeringen och den professionella världen. Oavsett hur det ser ut, är datorkriminalitet lika mycket om de personer som använder de datorer du analyserar som det handlar om själva hårdvaran.

I den andra delen av vår intervju med digital forensics professor och expert John Irvine lär vi oss om några av fallets fallgropar och han förklarar varför det här jobbet inte är för alla.

Intervju med Digital Forensics Expert John Irvine, Del 2:

TR: Mellan din kandidatexamen i ledning, ditt mjukvaruteknik och din magisterexamen i informationssystem, hur bra känner du att dina grader förberett dig för din karriärväg?

JI: Var och en av dessa program tog med sig något till bordet för att jag arbetade med datorteknik. För det första anser jag att det är viktigt att säga att datorteknik inte är en datavetenskaplig disciplin. Det är lika mycket en undersökande funktion eftersom det är en teknisk utmaning. Om antingen färdighetssätt saknas kommer man att ha en mycket svårare tid att arbeta framgångsrikt i fältet.

MS i informationssystem hjälpte mig att ge mig en bättre förståelse av operativsystem, filsystem och datormekanik. Men min BS i Management var lika bra med min kurs i psykologi, sociologi, ledning och redovisning. Jag kan inte riktigt ge en kant i någon grad över den andra för användbarhet i fältet.

Som sagt vill jag se till att jag säger några saker. Computer Forensics är en lärlingsdisciplin. Fler program har skett under de senaste åren - den där jag undervisar vid George Mason University medföljer - som erbjuder utmärkta kurser i datormedicin. Men du lär dig verkligen handeln när du är på plats och arbetar med reella fall tillsammans med en senior examinator.

Dessutom behöver du inte ha en programmeringsbakgrund för att fungera framgångsrikt i fältet. Faktum är att jag har haft betydligt bättre lycka utbildningsutredare i de tekniska detaljerna i jobbet än vad jag har haft för att undervisa programmars metoder för undersökning och konst av "hunch". Om man inte har en teknisk bakgrund i skolan, Det är INTE en avskräckande att komma in i fältet.

• Lär dig vilken typ av examen du ska tjäna för en rättsvetenskap karriär
• Utforska de typer av grader du borde tjäna för kriminologi och brottslighet karriärer

TR: Du har arbetat både inom den privata och offentliga sektorn och utför mycket av samma arbete. Hur skulle du beskriva skillnaden mellan de två?

JI: De största skillnaderna mellan arbete inom den offentliga och privata sektorn är i allmänhet procedur och hastighet. I federalvärlden är förfarandena generellt (men inte alltid) kraftigt föreskrivna, och produktionshastigheten är i allmänhet mindre kritisk (med några anmärkningsvärda undantag).

I den kommersiella världen drivs rutinerna i stor utsträckning av personlig erfarenhet eller arbetsgivarens preferenser, och produktionshastigheten är mycket högre. Jag hade tillbringat fyra månader på en enda hårddisk en gång hos en federal arbetsgivare på grund av den mängd data den innehöll, men i den kommersiella världen strävar du oftast efter att ha en omkörningstid på dagar eller veckor högst.

TR: Vad är en typisk arbetsdag som för en digital forensics analytiker eller examinator?

JI: Arbetsdagen för en digital forensics professionell är allt annat än typiskt. Beroende på vilken organisation du arbetar för, kanske du arbetar med en stadig ström av barnpornografiska fall, eller du kan analysera ämnen som är så höga att du tittar på dem på CNN medan du gör jobbet.

Du kan dock ofta förvänta sig att vara i ett alltför varmt kontor (på grund av antalet datorer på ditt skrivbord som överväger vanlig kontorsluft), och du blir väldigt bra när du kopplar ihop en fungerande komponent från en massa icke fungerande sådana.

Mycket av din dag kommer att spenderas i dokumentation. Du kanske skriver en analys av analys, peer-granskning av en annan granskarens rapport, eller noterar allt du gjorde när du genomförde en tentamen. Den bästa undersökningen i världen är meningslös om du inte kan kommunicera tydligt i en skriftlig rapport som lätt kan förstås av en agent, officer, advokat eller juryn. Plus, om din skriftliga rapport är dålig kommer det naturligtvis att ifrågasätta dina tekniska förmågor av dem som försöker läsa den.

• Läs mer om varför skriva färdigheter är så viktiga i någon kriminologi karriär

Beroende på var du jobbar, är det en potentiell del av att utföra digital rättsmedicinsk analys att vittna i domstol. Om du arbetar i en brottsbekämpningsmiljö är det nästan garanterat, men även företagsledare kan behöva vittna under en orättvis uppsägningsprocess eller att stödja efterföljande brottsbekämpningsåtgärder från att spåra ett intrång. Vissa undersökare som jag har känt är stora bakom tangentbordet och kan skriva fantastiska rapporter, men de faller ifrån varandra när de kallas för att vittna i domstol.

TR: Du skrev en artikel med titeln The Mörkare sidan av Digital Forensics. Kan du berätta lite om några av fallgroparna i jobbet?

JI: Du refererar faktiskt till ett blogginlägg som jag skrev för en tid sedan som hämtades av några digitala rättsmedicinska försäljningsställen och har repostats gång på gång. Jag hade ingen aning om att det skulle ha sådana "ben" när jag skrev det; Jag var bara förvånad över att människor som ville komma in på fältet fortfarande hade ingen aning om vad det verkligen medförde.

Datortillsik har varit en fantastisk karriär för mig, men det finns definitivt fallgropar. Faktum är att de två första lektionerna som jag undervisar är centrerade kring verkligheten i jobbet och jag är chockad varje gång när jag upptäcker att jag är den första personen som har berättat för mina elever vad jobbet verkligen är efter de har valt det som sin examensfält.

Jag har inte vetenskapliga siffror, men jag skulle uppskatta 70-80% av datormedicinska fall över hela världen är relaterade till barnpornografi. Ju närmare du kommer till statlig och lokal brottsbekämpning, desto högre blir antalet.

Även om du koncentrerar dig på datorintrång och incidenter, hittar du ofta barnpornografi som ett syfte eller resultat av intrånget (eller helt enkelt existerande på de datorer du undersöker från den vanliga användaren av maskinen).

Exponering för barnpornografi, särskilt för åtta timmar om dagen, fyrtio timmar i veckan, femtio och två veckor om året, tar sin vägtull. Det är inte bara att titta på stillbilder. Du tittar också på videon och du ser och hör allt.

Om du kan fortsätta att göra det, kommer du sannolikt att utveckla en mycket mörk, kyrkogårdssans för humor för att bekämpa den. Jag volontar också med en brand och räddningstrupp, och du ser mycket av samma humor där; Det är en hanteringsmekanism som utvecklats av människor som arbetar i de mer grymma områdena i livet.

Beroende på det arbete du gör kommer du också att bli utsatt för grafiska bilder och text av mord, tortyr, våldtäkt, terrorism och bara om brott, förödelse, pornografi eller avvikelse du kan tänka dig.

Datorer är bra verktyg för bra, och de är också utmärkta verktyg för att begå brott och sprida hat. Som en kriminalteknisk granskare blir du utsatt för allt, dag in och dag ut. I en grupp hade vi ett skämt som riffade på en reklam när vi pratade om människor som "surfade ner på Internet". Vi lade till, "… och då får vårt lag en skovel och börjar gräva."

På grund av arbetet och det innehåll som en examinator utsätts för försvinner inte många personer som går in i fältet. I genomsnitt skulle jag säga ungefär femtio procent av de människor som kommer in i det lämnar inom ungefär två år. Det verkar vara märket när en undersökare har fått tillräckligt med fall under hans eller hennes bälte för att antingen bli avvägd av (eller immun mot) exponeringen. Om du kan göra det förbi det tvååriga varumärket har du generellt en lång karriär framför dig i datormedicin.

TR: Hur har fältet digital forensics förändrats under din karriär med sådana snabba framsteg inom datateknik under det senaste decenniet?

JI: Datormedicin har förändrats enormt när jag började på 90-talet. Senare tittade du på varje fil på en hårddisk (eftersom du kunde), och mobila enheter var inte ens en tanke. Disketter skulle komma in av hundratals, men nu ser du dem aldrig.

Idag är mängden data så stor att du måste vara mycket mer påpekad i dina sökningar, och mobila enheter är ett lika, om inte mer viktigt ämne för undersökning.

Dessutom har djupet av verktyg förändrats avsevärt. I de tidiga dagarna skrevs de flesta verktyg av poliser som hade tagit några programmeringskurser eller som var självlärda. Vi hade dussintals engångsverktyg som vi skulle cobble tillsammans för att göra en undersökning.

Nu är verktygen mycket mer professionella och mångsidiga. En bra examinator har fortfarande en stor "verktygslåda" för att fungera, men han eller hon har mycket bättre basplattformsalternativ för att genomföra den övergripande undersökningen. Branschen försöker alltid att flytta till magiken "hitta alla bevisknappar", och vissa verktyg är kantade nära det för vissa typer av fall.

Politiskt har olika typer av fall skiftats enormt. Ursprungligen användes datormedicin för det mesta av brottsbekämpning. Efter den 9/11 flyttade mycket av arbetet mot motrorism. Nu är datorintrång det heta ämnet, och många karriärer har flyttat mot incidenter. Fältet förändras enormt med tiden.

TR: För närvarande tjänar du som vice vd för teknologisk utveckling på CyTech Services. Om du kan dela dem med oss, vilka slags innovationer har du kunnat få hand om din karriär?

JI: Att göra flytten till CyTech Services har varit en fantastisk för mig. I min position kan jag inte bara använda min datormedicinsk erfarenhet, men jag kan också använda min bakgrund i programhantering. CyTech producerar CyFIR Enterprise (CyTech Forensics and Incident Response) för att utföra företagsdator rättsmedicinska undersökningar.

Mitt bidrag här är att vidareutveckla verktyget med en praktiserande öga. CyFIRs arkitektur tillåter till exempel utredare att söka varje nod på ett företagsnätverk samtidigt för rättsmedicinska data utan att kräva att användarna slutar arbeta för en långsiktig bildbehandling.

Om det finns ett skadligt kodutbrott i en organisation, har CyFIR möjlighet att lokalisera alla berörda maskiner inom några minuter i stället för dagar eller veckor. Det här är enormt när du utför incidentrespons, eDiscovery eller interna undersökningar på ett stort företagsnätverk eller när du svarar på en kompromiss med flera butiker som säljer kreditkortsdata från kassan. Det gamla tänkandet att "bilda allt och sortera igenom det senare" flyger inte längre i ett företags sammanhang.

Medan jag inte är en "innovation" i sig, med min ledningsbakgrund, har jag varit exceptionellt lycklig att identifiera kandidater som gör enastående rättsmedicinska undersökare.

Återuppta inflationen är tyvärr ett stort problem i vår bransch, och någon som ser bra ut på papper kanske bara har kunskap om buzzword-nivå om att faktiskt genomföra en tentamen. Genom en intervjuprocess som jag har utvecklat över tiden har jag varit mycket framgångsrik att hitta rätt kandidater med de färdigheter som är nödvändiga för positionen.

På utbildnings sidan har jag kunnat vidarebefordra mina kunskaper och - viktigare - min erfarenhet till framtida generationer av rättsmedicinska granskare. Under de första två dagarna av klassen som jag nämnde finner jag att en eller två personer varje termin kommer att berätta för mig att de inte inser vad de hade förhandlat till när de startade programmet och tackar mig för att låta dem veta vad jobbet var gillar, för att de inte kände sig bekväma med att utföra den typen av arbete.

På den tiden kan jag styra dem till ett datasäkerhetsprogram som inte kommer att ha samma slags innehållsproblem som väntar på dem i framtiden. På samma sätt kan jag ganska snabbt identifiera de elever som verkligen verkar ha "knack", och jag kan hjälpa till att peka dem i rätt riktning för att starta sin karriär.

Strax: John Irvine delar råd om hur man får ett jobb i digital forensics

I den sista delen av vår intervju med digital forensicsexpert John Irvine lär vi oss varför fältet är så viktigt, vad som kan leda till eftertraktade granskare och vad du kan göra för att komma igång i en karriär som digital rättsmedicinsk expert.

Intervju med Digital Forensics Expert John Irvine, Del 3:

TR: Varför är fältet för digital kriminalteknik så värdefull för regeringar och företag?

JI: Digital kriminalteknik är värdefull för både regeringar och företag för exakt samma anledning - information. Om denna information är bevis för ett federalt brottmål eller kunskap om insider som stjäl företags intellektuell egendom för en konkurrent, tillhandahåller digitala rättsmedicinska personer uppgifter som kunderna annars inte har tillgång till.

I mycket enkla termer kan man likna jobbet hos en digital rättsmedicinsk granskare till en fotoutvecklare. Om jag till exempel har en ouppbyggd filmrulle i mina händer, är det nästan värdelöst för mig som någon form av bevis. Om någon emellertid utvecklar den filmen till bilder (eller återställer data från en hårddisk i vårt fall), kan det innehålla allt som åklagaren, HR-chefen eller företagsäkerhetschefen behöver.

Nu när jag tänker på det, måste jag komma fram till en ny analogi för framtiden. Barn i skolan idag vet nog inte ens vad en "filmrulle" är längre!

TR: Vad tycker du mest om ditt jobb, och varför fortsätter du att göra det?

JI: Digital forensics appellerar till mig på ett antal nivåer. Först och främst tillåter jag mig att göra meningsfulla bidrag till människors säkerhet och säkerhet utan att vara begränsad av fysiska begränsningar av syn eller ålder. Jag kanske inte är agenten jagar någon ner i en gränd, men jag kan ge den här agenten uppgifterna från ämnets mobiltelefon som förseglar fallet och öppnar tre mer.

Därefter appellerar digital forensics mig till det för att det är en hybrid av min kärlek till brottsbekämpning och intelligens (min TiVo är fylld med polis och spionprogram) och min inre nörd. Om du tittar på de visar, ser du även en utveckling av dessa tecken på skärmen. För femton år sedan var de über-nördarna med brutna glasögon och besvärliga sociala graces. Nu har datormedicinsk undersökare vanligtvis en torr humor och en stor känsla för stil!

TR: Vad tar det för att bli framgångsrik som en digital kriminalteknisk granskare eller analytiker?

JI: I första hand tar det en uppriktig passion för rättvisa (och jag använder det i en allomfattande term) med en kärlek till saker som är tekniska. Om du har dessa två saker, är du väl på väg.

Formella utbildningsprogram finns nu som inte existerade för några år sedan, och det är väl värt att ta sig tid att undersöka dem för att se vad varje har att erbjuda. Dessutom har många av de rättsmedicinska verktygen där ute klasser (med hjälp av det verktyg som säljs av företaget, inklusive min egen) som kan komma igång.

Som jag säger till mina studenter kräver fältet en mycket stark känsla av personligt ansvar. Du måste vara villig att sätta ditt namn och rykte på linjen med varje fall du analyserar, eftersom du kan mycket väl hamna i domstol med utgångspunkt i innehållet i din rapport. Om du saknar övertygelse, nåd under press eller godhet, är detta absolut inte karriärfältet för dig.

Slutligen är framgångsrikt hjälpt enormt genom att hitta en bra mentor i fältet och arbeta axel till axel med den personen medan du lär dig handeln. Skolor kan ge dig en bra grund, men fallupplevelse hjälper dig att sätta folk bakom barer.

TR: Hur mycket ska din genomsnittliga digitala kriminaltekniska examinator förvänta sig att tjäna, och hur mycket kan de tjäna om de blir ansedda och / eller går till ett privat företag?

JI: Digital rättsmedicinsk lön varierar kraftigt, och från och med nyligen på grund av sekvestration och marknadsmättnad av personer som försöker annonsera sig som datormedicinska granskare som inte är, börjar lönerna komma ner. (Mycket av ansvaret ligger hos dåliga anställningschefer som inte kan bestämma en kandidats sanna färdighetsuppsättning.)

Men i allmänhet bör en person med talang kunna hitta positioner mellan $ 60- $ 80.000 på ungdomsnivå, $ 80- $ 120.000 på mellannivå och upp till och över $ 150.000 på högre nivå. Som sagt har jag känt några fantastiska granskare som befann mig i positioner som bara betalade 50 000 dollar per år som lokala poliser, och jag har visat elaka granskare som gjorde mer än 250 000 dollar per år eftersom de marknadsförde sitt namn bra.

I mycket allmänna termer gör rättsmedicinska granskare det mesta i försvarsmål eller i eDiscovery om de kan köra ett stort antal fall på en gång (och fakturera flera kunder). Dessa lönivåer följs typiskt av federala statsentreprenörer, federala statliga medarbetare, statstjänstemän, militärer, och slutligen kommunala undersökare.

• Lär dig om militär brottsbekämpning karriär
• Upptäck Federal Law Enforcement Careers

Kommersiella löner springer avståndet beroende på erfarenhet, företagets storlek och företagsintresse i rättsmedicin (antingen på grund av proaktivitet eller allmän förlägenhet).

TR: Vilka råd har du för någon som försöker bestämma huruvida de vill arbeta som digital forensics examinator eller för någon som bara börjar på fältet?

JI: Läs den här artikeln! Allvarligt skulle jag spendera lite tid på LinkedIn och nå ut till personer i digital forensics för att fråga dem många av de samma frågorna du har frågat mig.

Hitta personer som arbetar för de organisationer eller företag du vill arbeta för och låt dem berätta om den dagliga mallen. Jag fält en eller två förfrågningar i veckan genom antingen min LinkedIn eller skoladress, och jag är glad att kunna ge mitt råd beroende på deras enskilda situationer.

Om du har lite pengar att spendera, skulle jag föreslå att du anmäler dig till en av de utbildningskurser som erbjuds av de stora datorteknikverktygstillverkarna för att få en känsla för vad som är inblandat i arbetet och hur det görs.

Om klassen håller ditt intresse, skulle jag titta på de utmärkta programmen i vissa universitet på antingen BS eller MS-nivåerna (som Masters of Computer Forensics tillgänglig från George Mason University i Fairfax, Virginia, där jag undervisar).

• Läs mer om hur du blir en digital kriminaltekniker

TR: Om du har något annat du vill lägga till om din karriär eller fältet i allmänhet, var god och dela det med dig.

JI: Datorteknik är definitivt inte för alla, och den där’ s okej. Innan du spenderar mycket tid eller pengar, hitta en digital kriminaltekniker i ditt område, erbjuda att köpa honom eller henne en kopp kaffe och plocka hjärnorna i en timme. De flesta av oss är mer än villiga att dela med oss ​​av vår kunskap, så det är hur vi kom upp oss själva.

Digital Forensics är ett tillväxtfält (låt oss möta det, datorer går inte bort när som helst snart), och det finns gott om arbete för alla. Men om du inte värderar sanning och inte kan stå upp för ditt arbete inför motgång, kommer du inte länge att vara kvar i denna verksamhet där rykte är allting.

Jag kanske inte känner till en given rättsmedicinsk undersökare personligen, men jag kan garantera dig att jag är ett telefonsamtal bort från någon som gör det, och de inofficiella "hall-filerna" kommer snabbt över mellan examinatorerna. Ett exempel på dålig glädje eller brist på ansvar kan avsluta en karriär i sina spår.

Allt sagt, det har varit ett fantastiskt fält för mig, och jag är tacksam till alla jag har arbetat med tidigare för de lektioner de har lärt mig och de erfarenheter som de har givit. Det har varit en vild åktur.