#DFIR: Nobody asked you!

Hi, minions:

I didn't have anything in mind to write for a while, because I'm embarking on a job that I don't quite know how to approach, yet. But one person has dedicated to me a "Fuck off", (with the relevant block), and that has been the trigger for this article.
If someone disrespects another person, he will lose all reason, even if he is. He loses all argument. Education must always be at the forefront.

I recently read an opinion article that the user z3roTrust wrote on July 18, 2018. The article in question is entitled "Why it’s Probably Best to Leave Digital Forensics and Incident Response (DFIR) to the Professionals".

I must admit that I had to read the title a couple of times before going into it, fearing what I was going to find inside it.

After reading it I had the audacity, (I don't know what the hell I was thinking), to replicate the author to his Twitter publication, with a personal opinion.

I'm not going to recreate the conversation held on Twitter with the author of the article, but I invite you to read it, draw your own conclusions and, if you wish, participate in it, either through comments on this article, or through direct responses on Twitter.

Regarding that conversation, I consider that at no time have I said any nonsense, (and sometimes I say many). But if I am wrong, I would like you to correct me, because I love to learn; I am eager to learn, whoever that knowledge comes from.

I want to make clear something that I have also said to the author, whom I see annoyed by my replies, I do not yet know why. My English is bad and sometimes I get lost in context. At no time have my comments been put forward with malicious intent. I think they were not malicious, but if they were unfortunate, I am sorry. I have simply told the author that I do not agree with some points in his article, (not all), specifying one of those points and asking a clear question, without making any criticism or assessment of its content, at that time.

I would also like to clarify, in case you don't know it yet, that I am not a DFIR professional. So I speak and ask from my complete ignorance, from my point of view, from my own common sense, (although sometimes it is the least of the senses). All because I am curious to know and understand things.

It goes without saying, therefore, that I am no 'great guru' of the DFIR. I am nobody in the industry.

I'm just curious. I don't know everything, nor do I aspire to know everything, (I would rather say that I don't know almost anything). I have no idea how the Community works, or the industry, whatever you want to call it.

Just as I told the author of the article in question, I invite you to read what I think, in a quite clear way, about the DFIR Community and its training, among other things, in the first article I wrote in this Blog, "DFIR: A matter of attitude and aptitude". 

It is very true that nobody has asked me but, if something has been published, I believe that anyone can react to that publication. There is a reason why it is public.
If you don't like it, (if you don't assimilate well), receive feedback, stay in your cave and don't publish anything. Save it for yourself and don't share it because that way you don't become a Community.
We complain a lot about not receiving the necessary feedback within the Community. Personally, I am willing to receive it, to be given it, whether positive or negative. I love being criticized, wherever they come from, (although I don't get any comments). But it's reactions like this that prevent it from existing in the amount it deserves on many occasions. This fact seems to me to be a real pity.
No one possesses the absolute truth about all things.
It is true that there are different approaches when it comes to disagreeing. But expressing disagreement on some points of a text does not mean disagreeing with someone else's work, especially when another question is asked. I believe that I have the strength to be considered and to choose well the words that I will use before speaking.
People can be great because of their knowledge. But they can be even bigger because of their humility.
I do not disagree with each of the points made by the author. In fact, I agree with almost everyone. But it is true that I disagree with some of them.

I have no way of knowing whether working at DFIR is discouraging and/or rewarding. But I can say that I find it an exciting career. A career in which the breadth of knowledge to be possessed requires constant training, but not only for professionals, as the author states. There are many people who, although they are not professionals, carry out very interesting research work.

It is true that no one can know everything. And whoever makes this statement lies. Anyone who does this, by hobby or profession, must specialise in one field, because DFIR, like other subjects, is a multidisciplinary subject.

The author states that the DFIR Professional Community is highly valued for its knowledge and skills. I must disagree on this point. I would say that it is some people within that DFIR Professional Community who are highly valued, because they have chosen DFIR as a way of life and not as a business option. There are people who have only decided to choose that branch for money, (for example).
In all families there are 'black sheep'.
The author makes a statement, which is the one that has caught my attention the most. He states that no attempt at computer forensic investigation should be made, except by qualified and trained professionals

Both that point in your article, and the comments you have made to me on Twitter, seem critical to me because we go back to the article in which I express my opinion about it and where I ask myself a lot of questions: Who qualifies and qualifies to practice DFIR? Are there people without training who can perform a forensic investigation better than a professional? Who certifies and authorizes to do DFIR?....

I don't want to go back into those thoughts which, on the other hand, have been shown to be useless.

I would say to you that I expect your opinion, both positive and negative, but it probably won't do any good.

That's all.


#DFIR: ¡Nadie te ha preguntado!

Hola, secuaces:

No tenía en mente escribir nada durante un tiempo, porque ando embarcado en un trabajo que no sé muy bien cómo enfocar, aún. Pero me han dedicado un "Vete a la mierda", (con el bloqueo pertinente), y eso ha sido el desencadenante para el presente artículo.
Si alguien falta el respeto a otra persona, perderá toda la razón, aunque la tenga. Pierde todo argumento. La educación debe ir siempre por delante.

Recientemente he leído un artículo de opinión que el usuario z3roTrust escribió el día 18 de julio de 2018. El artículo en cuestión lleva por título "¿Por qué es probablemente mejor dejar la investigación forense digital y la respuesta a incidentes (DFIR) a los profesionales?".

Debo reconocer que tuve que leer el título un par de veces antes de adentrarme en él, temiendo lo que me iba a encontrar en su interior.

Después de leerlo he tenido la osadía, (no sé en qué demonios estaba yo pensando), de replicar al autor a su publicación de Twitter, con una opinión personal.

No voy a recrear la conversación mantenida en Twitter con el autor del artículo, pero les invito a que la lean ustedes, saquen sus propias conclusiones y, si lo desean, participen en ella, bien mediante comentarios a este artículo, o bien mediante respuestas directas en Twitter.

Respecto a esa conversación, considero que en ningún momento he dicho ninguna tontería, (y a veces digo muchas). Pero si estoy equivocado, quisiera que me corrigieran ustedes, porque me encanta aprender; estoy deseoso de aprender, venga de quien venga ese conocimiento.

Quiero dejar claro algo que también le he dicho también al autor, al que veo molesto por mis réplicas, no sé aún porqué razón. Mi inglés es malo y a veces me pierdo en el contexto. En ningún momento mis comentarios han sido expuestos con mala intención. Creo que no han sido malintencionados, pero si han sido desafortunados, lo lamento. Simplemente le he dicho al autor que no estoy de acuerdo con algunos puntos en su artículo, (que no con todos), especificando uno de esos puntos y realizando una pregunta clara, sin realizar crítica alguna o hacer valoraciones de su contenido, en ese momento.

Quiero aclarar también, por si ustedes no lo saben aún, que no soy ningún profesional DFIR. Así que hablo y pregunto desde mi completa ignorancia, desde mi punto de vista, desde mi propio sentido común, (aunque a veces es el menor de los sentidos). Todo ello porque tengo curiosidad por saber y por entender las cosas.

Por ende, huelga decir que no soy ningún 'gran gurú' del DFIR. No soy nadie dentro de la industria. Sólo soy un mero curioso. No lo sé todo, ni aspiro a saberlo todo, (más bien yo diría que no sé casi nada). No tengo ni idea de cómo funciona la Comunidad, o la industria, como lo quieran llamar ustedes.

Igual que le dije al autor del artículo en cuestión, les invito a que lean lo que pienso, de una forma bastante clara, sobre la Comunidad DFIR y su capacitación, entre otras cosas, en el primer artículo que escribí en este Blog, "DFIR: Una cuestión de actitud y de aptitud".

Es muy cierto que nadie me ha preguntado pero, si algo ha sido publicado, creo que cualquier persona puede reaccionar ante esa publicación. Por algo es pública.
Si no te gusta, (si no asimilas bien), recibir feedback, quédate en tu cueva y no publiques nada. Guárdatelo para ti y no lo compartas porque así no se hace Comunidad.
Nos quejamos mucho de que no se recibe el feedback necesario dentro la Comunidad. En lo personal, estoy deseoso de recibirlo, de que me lo proporcionen, sea positivo o sea negativo. Me encanta recibir críticas, vengan de donde vengan, (aunque no recibo apenas ningún comentario). Pero son reacciones como esta las que impide que, en muchas ocasiones, exista en la cantidad que se merece. Este hecho me parece que es una verdadera lástima.
Nadie posee la verdad absoluta sobre todas las cosas
Es cierto que hay diferentes enfoques cuando se trata de discrepar. Pero manifestar un desacuerdo en algunos puntos de un texto no significa discrepar con el trabajo de otra persona, más aún cuando se plantea otra pregunta. Creo que tengo la suficiente entereza para ser considerado y elegir bien las palabras que voy a utilizar antes de hablar.
Las personas pueden ser grandes por sus conocimientos. Pero pueden aún más grandes por su humildad.
No discrepo con cada uno de los puntos que expone el autor. De hecho, estoy de acuerdo con casi todos. Pero sí es cierto que discrepo alguno de ellos.

No tengo manera de saber si trabajar en DFIR es desalentador y/o gratificante. Pero sí puedo afirmar que me parece una carrera apasionante. Una carrera en la que la amplitud de conocimientos que hay que poseer requiere de una formación constante, pero no únicamente para los profesionales, como manifiesta el autor. Existen muchas personas que, a pesar de no ser profesionales, realizan unas muy interesantes labores de investigación.

Es cierto que nadie puede saberlo todo. Y quien haga esta afirmación, miente. Cualquier persona que se dedique a esto, por hobby o por profesión, se debe especializar en un campo, porque DFIR, como otras materias, es una materia multidisciplinar.

El autor afirma que la Comunidad profesional DFIR es altamente valorada por sus conocimientos y habilidades. En este punto debo discrepar. Yo diría que son algunas personas de dentro de esa Comunidad profesional DFIR las que están altamente valoradas, porque han elegido DFIR como un estilo de vida y no como una opción de negocio. Existen personas que sólo han decidido elegir esa rama por dinero, (por poner un ejemplo).
En todas las familias hay ovejas negras.
El autor hace una afirmación, que es la que más me ha llamado la atención. Manifiesta que ningún intento de investigación informática forense debe ser realizado, excepto por profesionales cualificados y entrenados.

Tanto ese punto de su artículo, como los comentarios que me ha hecho por Twitter, me parecen críticos porque volvemos al artículo en el que expreso mi opinión sobre ello y donde me planteo un montón de preguntas: ¿Quién cualifica y capacita para practicar DFIR? ¿Existen personas sin capacitación que pueden desempeñar una labor de investigación forense mejor que un profesional? ¿Quién certifica y autoriza para hacer DFIR?...

No quiero adentrarme de nuevo en esos pensamientos que, por otro lado, ha quedado demostrado que no sirven para nada.

Les diría a ustedes que espero su opinión, tanto positiva como negativa, pero probablemente no sirva de nada.

Esto es todo.