Todo sobre ser un examinador forense digital

Hay pocas dudas de que la tecnología ha cambiado significativamente la forma en que la policía hace negocios. Igual de verdad es la noción de que nuestra tecnología cada vez más avanzada está cambiando el tipo de delitos que los detectives de la policía investigan por completo, de ahí el aumento en los trabajos forenses digitales.

El ciberespacio se está convirtiendo cada vez más en un "barrio de alto crimen", y la necesidad de una presencia policial es evidente. Ahí es donde entra el campo de las ciencias digitales y multimedia y gente como John Irvine.

Uno de los pioneros del campo de la ciencia forense digital, John estaba llevando a cabo investigaciones informáticas antes de que la mayoría de las personas supieran que existía tal cosa. Actualmente, se desempeña como Vicepresidente de Desarrollo de Tecnología en CyTech Services, una empresa privada que se especializa en recuperación de datos y análisis forense digital.

John también es profesor adjunto de medicina forense digital en la Universidad George Mason, donde enseña temas legales y éticos en informática forense. Tiene una maestría en ciencias en sistemas de información y un certificado de posgrado en ingeniería de sistemas de software.

Ha trabajado en informática forense desde 1997 tanto en el sector público como en el privado, incluido el trabajo con el FBI, la DEA y numerosas firmas privadas de consultoría. También es voluntario en el Departamento de Bomberos Voluntarios de Arcola. Tan ocupado como está, encontró el tiempo para responder algunas preguntas sobre el rápido crecimiento del campo de la ciencia forense digital y cómo es trabajar en la industria.

Entrevista con el experto en forense digital John Irvine:

Tim Roufa: Tiene años de experiencia en análisis forense digital, hasta el punto de que se ha establecido como un experto reconocido en el campo. Obviamente, se requiere mucho trabajo y educación para lograr lo que has podido, pero ¿cómo empezaste?

John Irvine: ¡Completamente por accidente! Como la mayoría de las historias de grandes carreras, caí en él debido a la casualidad, no a la planificación. Siempre me ha interesado mucho la tecnología. Cuando era niño, armé el primer clon de PC en el bloque. Además, desde los cinco años, supe que quería ser agente del FBI. Con el tiempo, los dos intereses se integraron.

Mientras estaba sentado en mi oficina trabajando en la gestión de proyectos de software un día, sentí el impulso de finalmente llegar al FBI. Esto fue antes de que Internet fuera, bueno, INTERNET, por lo que no podía obtener información fácilmente en línea. Llamé a mi oficina local del FBI, dejé mi nombre y mi dirección en el contestador automático para los candidatos interesados, y respondí "sí" a la pregunta sobre tener habilidades informáticas.

Unas semanas después recibí lo que llamo el paquete "¿Entonces quieres ser un agente especial?". Abrí el folleto y en la primera página borré mi sueño de toda una vida. Mi carrera como agente del FBI terminó antes de que comenzara con el requisito de 20/40 de visión no corregida o mejor. En un tiempo antes de las maravillas de LASIK, tenía alrededor de 20/2000.

En la parte posterior del paquete era lo que parecía un 17^th Copia de generación, mal inclinada, casi ilegible de un puesto de trabajo para un "especialista en computación" que aparentemente se incluyó debido a mi capacidad declarada con las computadoras. Pensé: “Bueno, tal vez pueda arreglar impresoras o algo para el FBI. Al menos eso me pondrá en la puerta.

Envié mi currículum vitae a la persona de recursos humanos que figura en la descripción del trabajo, y recibí una llamada una semana más tarde de uno de los gerentes de programa del Equipo de respuesta de análisis de computadora del FBI. Dijo: "Tu currículum me fue enviado porque dijiste que eras un" generalista informático "en tu carta de presentación. ¿Qué sabes sobre informática forense? "" Nada ", le contesté. Él dijo: "Genial. Venga para una entrevista ".

TR: ¿Cómo te interesaste por primera vez en la ciencia forense digital?

JI: En la entrevista, las personas con las que me reuní me dijeron que podía ser un friki con mala vista y que todavía podía ayudar a atrapar a los malos. Aparentemente, mis habilidades generalistas, lo que significa que podría usar diferentes sistemas operativos y tener un conocimiento bastante bueno tanto de los componentes internos del hardware como de las aplicaciones principales, serían un gran ajuste para su equipo.

Eso fue realmente todo lo que necesitaba escuchar. Pensé que había estado jugando con los sistemas operativos Linux y Mac además de Windows solo por diversión; No me di cuenta de que todo estaba preparando el escenario para una futura carrera.

TR: Además de su experiencia forense, ha pasado mucho tiempo trabajando para el gobierno federal. ¿Te ayudó esa experiencia a prepararte para tu carrera actual?

JI: Antes de trabajar para el FBI, había pasado bastante tiempo como contratista del gobierno. De hecho, durante mi último año de escuela secundaria, me retiraba cuando sonaba la campana y conducía por la calle a un contratista de defensa donde trabajaba como asistente de los Directores de Recursos Humanos y Seguridad Especial. Más tarde, trabajé para una compañía de software que tenía varios clientes gubernamentales.

Además de tener una autorización de seguridad a una edad muy temprana, esa experiencia me ayudó a exponerme a diferentes plataformas de hardware, aplicaciones de software y, lo que es más importante, a diferentes tipos de personas en el mundo gubernamental y profesional. Independientemente de su aspecto, el análisis forense informático se refiere tanto a las personas que utilizan las computadoras que analiza como al hardware en sí.

En la segunda parte de nuestra entrevista con el profesor de medicina forense digital y experto John Irvine, aprendemos sobre algunos de los escollos de la profesión y explica por qué este trabajo no es para todos.

Entrevista con el experto en forense digital John Irvine, Parte 2:

TR: Entre su licenciatura en administración, su certificado de ingeniería de software y su maestría en sistemas de información, ¿qué tan bien se siente su preparación preparada para su carrera?

JI: Cada uno de esos programas trajo algo a la mesa para mí trabajando en informática forense. Primero, creo que es importante decir que la informática forense NO es una disciplina informática. Es tanto una función de investigación como un desafío técnico. Si falta alguno de los conjuntos de habilidades, será mucho más difícil trabajar con éxito en el campo.

La MS en Sistemas de información me ayudó a comprender mejor los sistemas operativos, los sistemas de archivos y la mecánica de las computadoras. Sin embargo, mi licenciatura en administración fue igualmente útil con mis cursos de psicología, sociología, administración y contabilidad. Realmente no puedo dar una ventaja en un grado sobre el otro para la utilidad en el campo.

Dicho esto, quiero asegurarme de decir algunas cosas. La informática forense es una disciplina de aprendizaje. Han surgido más programas en los últimos años, uno en el que imparto clases en la Universidad George Mason, que ofrecen excelentes cursos de informática forense. Sin embargo, realmente aprendes el oficio una vez que estás en un puesto trabajando en casos reales junto a un examinador senior.

Además, NO es necesario tener un fondo de programación para trabajar con éxito en el campo. De hecho, he tenido mucha mejor suerte en la capacitación de investigadores en los detalles técnicos del trabajo que en enseñar a los programadores los métodos de investigación y el arte de "la corazonada". Si uno no tiene una formación técnica en la escuela, Eso NO es un impedimento para entrar en el campo.

• Aprenda qué tipo de título debe obtener para una carrera de ciencia forense
• Explore los tipos de títulos que debe obtener para las carreras de criminología y justicia penal

TR: Has trabajado tanto en el sector público como en el privado, realizando gran parte del mismo trabajo. ¿Cómo describirías la diferencia entre los dos?

JI: Las mayores diferencias entre el trabajo en los sectores público y privado son generalmente el procedimiento y la velocidad. En el mundo federal, los procedimientos de uno son generalmente (pero no siempre) muy prescritos, y la velocidad de producción es generalmente menos crítica (con algunas excepciones notables).

En el mundo comercial, los procedimientos son impulsados ​​en gran medida por la experiencia personal o las preferencias de su empleador, y la velocidad de producción es mucho mayor. Pasé cuatro meses en un solo disco duro una vez con un empleador federal debido a la cantidad de datos que contenía, pero en el mundo comercial, por lo general, tiene como objetivo un tiempo de respuesta de días o semanas como máximo.

TR: ¿Cómo es una jornada laboral típica para un analista forense digital o un examinador?

JI: La jornada laboral para un profesional forense digital es todo menos típica. Dependiendo de la organización para la que esté trabajando, puede estar trabajando en un flujo constante de casos de pornografía infantil, o puede estar analizando temas de tan alto perfil que los está viendo en CNN mientras está haciendo el trabajo.

Sin embargo, a menudo puede esperar estar en una oficina excesivamente caliente (debido a la cantidad de computadoras en su escritorio que tienen un aire acondicionado de oficina típico), y obtendrá una excelente capacidad para juntar un componente funcional de un montón de dispositivos que no funcionan. unos

Gran parte de su día se dedicará a la documentación. Es posible que esté escribiendo un informe de análisis, un compañero revisando el informe de otro examinador o observando todo lo que hizo al realizar un examen. El mejor examen del mundo es inútil si no puede comunicarse claramente en un informe escrito que pueda ser comprendido fácilmente por un agente, funcionario, abogado o jurado. Además, si su informe escrito es deficiente, naturalmente pondrá en tela de juicio sus habilidades técnicas por parte de aquellos que intentan leerlo.

• Aprenda más sobre por qué las habilidades de escritura son tan importantes en cualquier carrera de criminología

Dependiendo de dónde trabaje, testificar en la corte es una parte potencial del análisis forense digital. Si está trabajando en un entorno de aplicación de la ley, está casi garantizado, pero incluso el personal forense corporativo podría tener que declarar durante una demanda por despido improcedente o respaldar las acciones de aplicación de la ley subsiguientes de rastrear una intrusión. Algunos de los examinadores que conozco son excelentes detrás del teclado y pueden escribir informes fantásticos, pero se desmoronan cuando se les llama a declarar ante el tribunal.

TR: Usted escribió un artículo titulado The Lado más oscuro de la ciencia forense digital. ¿Puedes contarnos un poco sobre algunas de las trampas del trabajo?

JI: En realidad, estás haciendo referencia a una publicación de blog que escribí hace un eón que fue recogida por unos pocos medios forenses digitales y que se ha vuelto a publicar una y otra vez. No tenía idea de que tendría tales "piernas" cuando lo escribí; Simplemente me sorprendió que las personas que querían ingresar al campo aún no tuvieran idea de lo que realmente implicaba.

La informática forense ha sido una carrera fantástica para mí, pero definitivamente hay dificultades. De hecho, las dos primeras sesiones de clase que imparto están centradas en las realidades del trabajo, y me sorprendo cada vez que descubro que soy la primera persona que les ha dicho a mis alumnos cómo es realmente el trabajo después Lo han elegido como su campo de grado.

No tengo cifras científicas, pero estimaría que alrededor del 70-80% de los casos de informática forense en todo el mundo están relacionados con la pornografía infantil. Cuanto más te acerques a las autoridades estatales y locales, mayor será el número.

Incluso si se está concentrando en las intrusiones en la computadora y la respuesta a incidentes, a menudo encontrará pornografía infantil como un propósito o resultado de la intrusión (o simplemente existiendo en las computadoras que examina el usuario habitual de la máquina).

La exposición a la pornografía infantil, en particular durante ocho horas al día, cuarenta horas a la semana, cincuenta y dos semanas al año, tiene su efecto. No es solo mirar imágenes fijas. También estás viendo los videos, y estás viendo y escuchando todo.

Si puedes seguir haciéndolo, lo más probable es que desarrolles un sentido del humor muy oscuro y de cementerio para combatirlo. También me ofrezco como voluntario con un escuadrón de bomberos y rescate, y ves mucho del mismo humor allí; es un mecanismo de afrontamiento desarrollado por personas que trabajan en las áreas más sombrías de la vida.

Además, dependiendo del trabajo que estés haciendo, estarás expuesto a imágenes gráficas y textos de asesinatos, torturas, violaciones, terrorismo y casi cualquier crimen, depravación, pornografía o desviación que puedas imaginar.

Las computadoras son excelentes herramientas para el bien, y también son excelentes herramientas para cometer delitos y difundir el odio. Como examinador forense de computadoras, estarás expuesto a todo eso, día tras día. En un grupo tuvimos una broma que en un anuncio publicitario en ese momento hablaba de personas que "navegaron hasta el fondo de Internet". Añadimos: "… y luego nuestro equipo obtiene una pala y comienza a cavar".

Debido al trabajo y al contenido al que está sometido el examinador, muchas personas que ingresan al campo no duran. En promedio, diría que aproximadamente el cincuenta por ciento de las personas que ingresan se van dentro de unos dos años. Esa parece ser la marca cuando un examinador ha tenido suficientes casos bajo su cinturón para verse afectado por (o inmune a) la exposición. Si puede superar los dos años, generalmente tiene una larga carrera por delante en informática forense.

TR: Con estos rápidos avances en la tecnología informática en la última década, ¿cómo ha cambiado el campo de la ciencia forense digital en su carrera?

JI: La informática forense ha cambiado enormemente desde que comencé en los años 90. En ese entonces, mirabas todos los archivos en un disco duro (porque podías), y los dispositivos móviles ni siquiera eran un pensamiento. Los disquetes vendrían por cientos, pero ahora, nunca los ves.

Hoy en día, la cantidad de datos es tan grande que tiene que ser mucho más preciso en sus búsquedas, y los dispositivos móviles son un tema de examen igual, si no más importante.

Además, la profundidad de las herramientas ha cambiado significativamente. En los primeros días, la mayoría de las herramientas estaban escritas por policías que habían tomado algunas clases de programación o que eran autodidactas. Teníamos docenas de servicios de un solo uso que deberíamos improvisar para hacer un examen.

Ahora, las herramientas son mucho más profesionales y polivalentes. Un buen examinador todavía tendrá una gran "caja de herramientas" para trabajar, pero tiene muchas mejores opciones de plataforma base para realizar el examen general. La industria siempre está tratando de pasar al mágico botón "encontrar todas las pruebas", y algunas herramientas se están acercando a eso para ciertos tipos de casos.

Políticamente, los tipos de casos han cambiado enormemente. Originalmente, la informática forense era utilizada principalmente por la policía para casos penales. Después del 11 de septiembre, gran parte del trabajo cambió hacia el contraterrorismo. Ahora, las intrusiones informáticas son el tema candente, y muchas carreras se han movido hacia la respuesta a incidentes. El campo cambia tremendamente con los tiempos.

TR: Actualmente se desempeña como Vicepresidente de Desarrollo de Tecnología en CyTech Services. Si puede compartirlas con nosotros, ¿en qué tipo de innovaciones ha podido participar en su carrera?

JI: Mudarme a CyTech Services ha sido fantástico para mí. En mi posición, no solo puedo usar la experiencia forense de mi computadora, sino que también puedo usar mi experiencia en administración de proyectos de software. CyTech produce CyFIR Enterprise (CyTech Forensics and Incident Response) para realizar investigaciones forenses informáticas empresariales.

Mi contribución aquí es seguir desarrollando la herramienta con el ojo de un practicante. Por ejemplo, la arquitectura de CyFIR permite a los investigadores buscar todos los nodos en una red empresarial a la vez en busca de datos forenses, sin requerir que los usuarios dejen de trabajar por un largo proceso de generación de imágenes.

Si hay un brote de código malicioso en una organización, CyFIR tiene la capacidad de localizar todas las máquinas afectadas en cuestión de minutos en lugar de días o semanas. Esto es enorme cuando se realizan respuestas a incidentes, eDiscovery o investigaciones internas en una red de una gran empresa o cuando se responde a un compromiso de punto de venta de múltiples tiendas que está robando datos de tarjetas de crédito de las vías de pago. El viejo pensamiento de "imagina todo y lo resuelve más tarde" ya no vuela en un contexto empresarial.

Si bien no es una "innovación" en sí misma, con mi experiencia en administración, he tenido la suerte excepcional de identificar a los candidatos que son destacados examinadores forenses.

Desgraciadamente, la inflación del currículum es un gran problema en nuestra industria, y alguien que se ve bien en el papel puede tener solo un conocimiento a nivel de palabra de moda para realizar un examen. A través de un proceso de entrevistas que he desarrollado a lo largo del tiempo, he tenido un gran éxito en la búsqueda de los candidatos adecuados con las habilidades necesarias para el puesto.

En el aspecto educativo, he podido transmitir mi conocimiento y, lo que es más importante, mi experiencia a las generaciones futuras de examinadores forenses. Durante los dos primeros días de clase que mencioné, encuentro que una o dos personas cada semestre me dirán que no se dieron cuenta de lo que habían negociado cuando comenzaron el programa y me agradecieron por informarles cuál era el trabajo. Me gusta, porque no se sentían cómodos haciendo ese tipo de trabajo.

En ese momento, puedo guiarlos hacia un programa de seguridad informática que no tendrá los mismos tipos de problemas de contenido esperándolos en el futuro. Del mismo modo, puedo identificar rápidamente a los estudiantes que realmente parecen tener "la destreza", y puedo ayudarles a orientarlos en la dirección correcta para comenzar sus carreras.

Hasta la próxima: John Irvine comparte consejos sobre cómo conseguir un trabajo en forense digital

En la parte final de nuestra entrevista con el experto en medicina forense digital John Irvine, aprendemos por qué el campo es tan importante, qué pueden ganar los aspirantes a examinadores y qué puede hacer para comenzar una carrera como experto forense digital.

Entrevista con el experto en investigación forense digital John Irvine, parte 3:

TR: ¿Por qué el campo de la ciencia forense digital es tan valioso para los gobiernos y las empresas?

JI: El análisis forense digital es valioso tanto para los gobiernos como para las empresas por la misma razón: la información. Ya sea que la información sea evidencia de un caso penal federal o el conocimiento de un agente interno que roba la propiedad intelectual de un competidor, los profesionales forenses digitales proporcionan datos que los clientes no tienen disponibles de otra manera.

En términos muy simples, uno podría comparar el trabajo de un examinador forense digital con el de un desarrollador de fotos. Por ejemplo, si tengo un rollo de película sin desarrollar en mis manos, eso es casi inútil para mí como cualquier tipo de evidencia. Sin embargo, si alguien desarrolla esa película en imágenes (o recupera datos de un disco duro en nuestro caso), ese contenido puede proporcionar todo lo que el fiscal, el gerente de recursos humanos o el funcionario de seguridad corporativo necesitan.

Ahora que lo pienso, necesito una nueva analogía para el futuro. ¡Los niños en la escuela hoy en día probablemente ni siquiera saben qué es un "rollo de película"!

TR: ¿Qué es lo que más disfrutas de tu trabajo y por qué sigues haciéndolo?

JI: El análisis forense digital me atrae en varios niveles. En primer lugar, me permite realizar contribuciones significativas a la seguridad de las personas sin estar limitado por las limitaciones físicas de la vista o la edad. Puede que no sea el agente que persigue a alguien por un callejón, pero podría darle a ese agente los datos del teléfono celular del sujeto que sella el caso y abre tres más.

A continuación, los análisis forenses digitales me atraen profundamente porque es un híbrido de mi amor por la aplicación de la ley y la inteligencia (mi TiVo está lleno de programas de policías y espías) y mi geek interno. Si ves esos programas, incluso estás viendo una evolución de esos personajes en la pantalla. Hace quince años, eran los über-nerds con gafas rotas y gracias sociales incómodas. ¡Ahora, el examinador forense de computadoras generalmente tiene un sentido del humor seco y un gran sentido del estilo!

TR: ¿Qué se necesita para tener éxito como examinador o analista forense digital?

JI: Principalmente, se necesita una sincera pasión por la justicia (y lo estoy usando en un término que abarca todo) con un amor por las cosas técnicas. Si tienes esos dos artículos, estás bien encaminado.

Los programas educativos formales están disponibles ahora que no existían hace unos años, y vale la pena tomarse el tiempo para investigarlos y ver lo que cada uno tiene para ofrecer. Además, muchas de las herramientas forenses que hay por ahí tienen clases (usando la herramienta vendida por la compañía, incluida la mía) que pueden ayudarlo a comenzar.

Como les digo a mis alumnos, el campo requiere un gran sentido de responsabilidad personal. Debe estar dispuesto a poner su nombre y reputación en la línea con cada caso que analice, ya que podría muy bien terminar en el tribunal basándose en el contenido de su informe. Si carece de convicción, gracia bajo presión o franqueza, este NO es el campo de carrera para usted.

Por último, tener éxito se ve enormemente ayudado por encontrar un buen mentor en el campo y trabajar hombro con hombro con esa persona mientras aprendes el oficio. Las escuelas pueden brindarte una excelente base, pero la experiencia de casos te ayuda a poner a la gente detrás de las rejas.

TR: ¿Cuánto debería ganar su examinador forense digital promedio, y cuánto podría ganar si se vuelven de buena reputación y / o acuden a una empresa privada?

JI: Los salarios forenses digitales varían ampliamente, y en fecha reciente debido al secuestro y la saturación del mercado de las personas que intentan publicitarse como examinadores forenses informáticos que no lo son, los salarios están empezando a bajar. (Gran parte de la responsabilidad allí reside en los malos gerentes de contratación que no pueden determinar el verdadero conjunto de habilidades de un candidato).

Sin embargo, en general, una persona con talento debería poder encontrar posiciones entre $ 60- $ 80,000 en un nivel junior, $ 80- $ 120,000 en un nivel medio y hasta $ 150,000 en un nivel superior. Dicho esto, he conocido a algunos examinadores asombrosos que estaban en puestos que pagaban solo $ 50,000 por año como agentes de la policía local, y he conocido a malos examinadores que ganaron más de $ 250,000 por año porque comercializaron bien su nombre.

En términos muy generales, los examinadores forenses aprovechan al máximo los casos de litigios de defensa o en eDiscovery si pueden ejecutar un gran número de casos a la vez (y facturar a múltiples clientes). Esos niveles salariales generalmente son seguidos por contratistas del gobierno federal, empleados del gobierno federal, empleados del gobierno estatal, militares y, finalmente, examinadores del gobierno local, respectivamente.

• Aprenda acerca de las carreras militares de la aplicación de ley
• Descubra Carreras Federales de Aplicación de la Ley

Los salarios comerciales abarcan toda la gama según la experiencia, el tamaño de la empresa y el interés corporativo en la medicina forense (ya sea por proactividad o por vergüenza pública).

TR: ¿Qué consejo tiene para alguien que está tratando de decidir si quiere o no trabajar como examinador forense digital, o para alguien que recién comienza en el campo?

JI: ¡Lee este artículo! En serio, pasaría un poco de tiempo en LinkedIn y me pondré en contacto con personas de la ciencia forense digital para hacerles muchas de las mismas preguntas que usted me ha hecho.

Encuentre personas que trabajen para las organizaciones o compañías en las que desea trabajar y permítales que le cuenten sobre la rutina diaria. Respondo una o dos consultas por semana a través de las direcciones de correo electrónico de mi escuela o de LinkedIn, y me complace ofrecerle mis consejos según sus situaciones individuales.

Si tiene un poco de dinero para gastar, le sugiero que se inscriba en una de las clases de capacitación ofrecidas por los grandes fabricantes de herramientas forenses de computadoras para tener una idea de lo que implica el trabajo y las formas en que se realiza.

Si la clase te interesa, vería los excelentes programas en algunas universidades con niveles BS o MS (como el Master of Computer Forensics disponible en George Mason University en Fairfax, Virginia, donde imparto clases).

• Aprenda más sobre cómo convertirse en un examinador forense digital

TR: Si tiene algo más que le gustaría agregar sobre su carrera o el campo en general, no dude en compartirlo.

JI: La informática forense definitivamente no es para todos, y ese’ está bien. Antes de gastar mucho tiempo o dinero, busque un profesional forense digital en su área, ofrézcale a comprarle una taza de café y elija su cerebro durante una hora. La mayoría de nosotros estamos más que dispuestos a compartir nuestro conocimiento, ya que así es como surgimos nosotros mismos.

Digital Forensics es un campo de crecimiento (seamos realistas, las computadoras no desaparecerán pronto) y hay mucho trabajo para todos. Sin embargo, si no valora la verdad y no puede defender su trabajo frente a la adversidad, no durará mucho en este negocio donde la reputación lo es todo.

Es posible que no conozca personalmente a un examinador forense determinado, pero puedo garantizarle que estoy a una llamada de alguien que sí lo hace, y que esos "archivos de recibo" no oficiales se transfieren rápidamente entre los examinadores. Una instancia de mala sinceridad o falta de responsabilidad puede terminar una carrera en su camino.

Dicho todo esto, ha sido un campo fantástico para mí, y agradezco a todas las personas con las que he trabajado en el pasado por las lecciones que me han enseñado y las experiencias que me han impartido. Ha sido un paseo salvaje.