تحلیلگر جرم‌شناسی دیجیتال
Digital Forensics Analyst
تحلیلگر جرم‌شناسی دیجیتال (Digital Forensics Analyst) شواهد دیجیتال را از کامپیوتر، گوشی، سرویس‌های ابری و لاگ‌ها طوری جمع‌آوری و نگهداری می‌کند که در دادگاه یا یک تحقیق رسمی قابل دفاع باشد، آن‌ها را تحلیل می‌کند و نتیجه را در گزارشی روشن می‌نویسد. این کار در سه محیط اصلی انجام می‌شود: شرکت‌های پاسخ به رخداد امنیتی (که در بازار با نام DFIR شناخته می‌شوند)، آزمایشگاه‌های پلیس و نهادهای قضایی، و شرکت‌های مشاوره و eDiscovery که برای وکلا کار می‌کنند. هوش مصنوعی در این شغل ابزار کمکی است، نه موضوع اصلی کار.
مقدمه و تعریف شغل
تحلیلگر جرم‌شناسی دیجیتال، که در فارسی فارنزیک دیجیتال هم گفته می‌شود، با شواهد دیجیتال کار می‌کند: داده را از دستگاه‌ها و سرویس‌ها بدون تغییر جمع‌آوری و نگهداری می‌کند، تحلیلش می‌کند تا معلوم شود چه اتفاقی افتاده، و یافته‌ها را طوری گزارش می‌دهد که در دادگاه، تحقیق داخلی یا پرونده‌ای حقوقی قابل دفاع باشد. O*NET، پایگاه رسمی شغل‌های وزارت کار آمریکا، این شغل را چنین تعریف می‌کند: تحقیق دربارهٔ جرایم کامپیوتری و رخدادهای نفوذ، تحلیل شواهد دیجیتال، و حفظ و ارائهٔ آن‌ها در تحقیقات کیفری، تقلب، ضدجاسوسی یا انتظامی. فرق اصلی این شغل با بیشتر کارهای امنیتی این است که خروجی کار باید بعداً در برابر پرسش وکیل طرف مقابل یا قاضی هم بایستد.
این شغل در سه محیط آگهی می‌شود. اول، شرکت‌های پاسخ به رخداد مثل Volexity، GuidePoint، Surefire Cyber و MOXFIVE که پس از نفوذ امنیتی دامنه و اثر آن را روشن می‌کنند (این حوزه را DFIR می‌نامند). دوم، پلیس و نهادهای قضایی: پلیس ایالتی پنسیلوانیا، تیم CART در FBI و پلیس لاس‌وگاس. سوم، شرکت‌های مشاوره و eDiscovery مثل Charles River Associates و CGS که برای وکلا و شرکت‌ها شواهد جمع می‌کنند و تحلیل می‌کنند. عنوان دقیق «Digital Forensic Analyst» هم در آگهی‌ها هست (CGS) و هم در O*NET؛ در پلیس بیشتر «Digital Forensic Examiner» و در شرکت‌های DFIR بیشتر «DFIR Consultant» می‌گویند. هوش مصنوعی در بیشتر این آگهی‌ها اصلاً نیامده است؛ استثناها MOXFIVE است که پلتفرم تحقیق مبتنی بر LLM می‌سازد و GuidePoint که استقبال از ابزارهای AI را خواسته است. در عوض سازندگان ابزار، یعنی Magnet Forensics، Cellebrite و OpenText، قابلیت‌های AI را به محصولاتشان اضافه کرده‌اند. دربارهٔ حقوق در بریتانیا: Glassdoor میانهٔ حقوق پایهٔ این عنوان را حدود ۲۹٫۵ هزار پوند نشان می‌دهد و در فهرست کارفرمایانش آزمایشگاه‌های خصوصی مثل SYTECH و CCL با بازه‌هایی حدود ۱۹ تا ۲۸ هزار پوند دیده می‌شوند، اما در آگهی‌هایی که ITJobsWatch در شش ماه منتهی به ۲۳ اکتبر ۲۰۲۶ با عنوان Forensics Analyst شمرده، میانه ۴۵ هزار پوند است.
چه چیزی می‌سازید؟
مثال‌های واقعی از خروجی کار یک تحلیلگر جرم‌شناسی دیجیتال
گزارش forensic و خط زمانی رخداد
Volexity از تحلیلگر می‌خواهد گزارش‌های مفصل forensic، خلاصهٔ مدیریتی و گزارش فنی بنویسد. GuidePoint هم می‌خواهد گزارش هم برای مخاطب فنی و هم مدیریتی، یافته‌ها، اثر کسب‌وکاری و راه‌های واقع‌بینانهٔ رفع مشکل را کامل توضیح دهد.
جمع‌آوری و نگهداری شواهد با زنجیرهٔ نگهداری
تمرکز اصلی Digital Forensic Analyst I در CGS حفظ و جمع‌آوری دادهٔ موبایل و دادهٔ ذخیره‌شده در ابر است؛ با سفر برای جمع‌آوری در محل، کار در آزمایشگاه forensic شرکت و رعایت همهٔ قواعد chain of custody مربوط به قوانین شواهد.
تحلیل مک و گوشی در پروندهٔ سرقت اسرار تجاری
در CRA تحلیلگر ارشد بررسی می‌کند آیا داده‌ای از طریق iCloud، AirDrop، USB یا راه‌های دیگر نگه داشته یا خارج شده است، و با بررسی گوشی، کارهای کاربر مثل پاک کردن پیام‌ها را مشخص می‌کند.
بررسی رخداد ابری و نفوذ به ایمیل تجاری
Surefire Cyber از مشاور ارشد می‌خواهد پرونده‌های کوچک و متوسطی مثل نفوذ به ایمیل تجاری (BEC) و باج‌افزار را رهبری کند. MOXFIVE می‌نویسد امروز تصاحب حساب کاربری جای بدافزار را گرفته و تحقیق در Azure، GCP، AWS و اپ‌های SaaS مرز تازهٔ این کار است.
شواهد برای پروندهٔ کیفری و دادگاه
در پلیس پنسیلوانیا کارشناس دستگاه‌های الکترونیکی را بررسی می‌کند تا اطلاعات مرتبط با پرونده را پیدا، حفظ و استخراج کند، شواهد را برای دادستانی آماده می‌کند و در صورت درخواست شهادت می‌دهد.
احراز اصالت عکس و ویدیو
با گسترش محتوای ساخته‌شده با AI، ابزارهایی مثل Magnet Verify و Amped Authenticate برای این ساخته شده‌اند که نشان دهند یک فایل اصلی دوربین است یا ویرایش یا تولید شده. در هیچ‌کدام از آگهی‌های این بررسی خواسته نشده بود؛ شاخه‌ای تخصصی است، نه کار روزمرهٔ همهٔ تحلیلگران.
تخصص‌های مختلف تحلیلگر جرم‌شناسی دیجیتال
این شغل یک عنوان واحد نیست — مسیرهای تخصصی متعددی دارد
پاسخ به رخداد و مشاورهٔ DFIR
Incident Response / DFIR Consulting
بررسی نفوذ، باج‌افزار و نفوذ به ایمیل تجاری برای مشتریان، اغلب با کار خارج از ساعت اداری؛ مثل Volexity، GuidePoint، Surefire Cyber و MOXFIVE. تحلیل حافظه و تحقیق در ابر در این شاخه اهمیت روزافزون دارد.
کارشناس جرم‌شناسی دیجیتال در پلیس و دادگستری
Law Enforcement Digital Forensic Examiner
بررسی دستگاه‌ها در پرونده‌های کیفری و شهادت در دادگاه؛ مثل پلیس ایالتی پنسیلوانیا و تیم CART در FBI. معمولاً بررسی سوابق و مجوز امنیتی لازم است و پلیس پنسیلوانیا گرفتن گواهی CFCE را شرط کرده است.
جرم‌شناسی موبایل
Mobile Device Forensics
استخراج و تحلیل دادهٔ گوشی و تبلت با ابزارهایی مثل Cellebrite و Oxygen؛ تمرکز اصلی آگهی CGS و بخشی از کار در CRA. دورهٔ FOR585 در SANS به همین شاخه می‌پردازد.
جرم‌شناسی برای دعاوی و eDiscovery
Litigation Forensics & eDiscovery
جمع‌آوری و تحلیل شواهد زیر نظر وکیل در پرونده‌های حقوقی، سرقت اسرار تجاری و تحقیقات داخلی؛ مثل CRA و CGS. در سطوح بالا شهادت به‌عنوان شاهد خبره هم بخشی از کار است.
احراز اصالت عکس، ویدیو و صدا
Media Authentication
بررسی اینکه یک فایل رسانه‌ای اصلی است یا ویرایش یا با AI ساخته شده؛ با ابزارهایی مثل Magnet Verify و Amped Authenticate. Magnet، که خودش Verify را می‌فروشد، استدلال می‌کند deepfake detector های مبتنی بر AI خروجی قابل دفاع در دادگاه نمی‌دهند و به‌جای آن روش‌های قابل توضیح و تکرارپذیر لازم است.
تفاوت با شغل‌های مشابه
کجا این شغل تمام می‌شود و شغل دیگری شروع می‌شود؟
تحلیلگر SOC بیشتر وقتش را صرف بررسی هشدارهای زنده و مهار سریع حمله می‌کند. تحلیلگر جرم‌شناسی دیجیتال معمولاً بعد از ماجرا وارد می‌شود: شواهد را با chain of custody حفظ می‌کند، اتفاق را بازسازی می‌کند و گزارشی می‌نویسد که ممکن است به دادگاه برسد. کار او به نفوذ امنیتی هم محدود نیست و پرونده‌های کیفری، سرقت اسرار تجاری و eDiscovery را هم شامل می‌شود. این دو به هم وصل‌اند: صفحهٔ متخصص امنیت سایبری، پاسخ به رخداد و Forensics دیجیتال را یکی از شاخه‌های آن شغل می‌داند و MOXFIVE سابقهٔ کار به‌عنوان تحلیلگر SOC را برای مشاور DFIR می‌پذیرد.
کارشناس eDiscovery بیشتر روی پردازش، جستجو و آماده‌سازی حجم زیادی از اسناد برای بررسی وکلا در پلتفرم‌هایی مثل Relativity و Nuix کار می‌کند. تحلیلگر جرم‌شناسی دیجیتال جمع‌آوری forensic را انجام می‌دهد و وقتی پرسش «چه کسی، چه وقت، چه کرد» مطرح است، تحلیل عمیق artifact ها را. مرزشان نزدیک است: آگهی Digital Forensic Analyst I در CGS آشنایی با مدل EDRM و نرم‌افزارهای پشتیبانی دعاوی را امتیاز می‌داند.
تحلیلگر استراتژی تقلب روی دادهٔ تراکنش‌ها قاعده و استراتژی طراحی می‌کند که روی همهٔ پرونده‌ها اثر می‌گذارد. تحلیلگر جرم‌شناسی دیجیتال وقتی وارد می‌شود که یک مورد مشخص باید با شواهد دیجیتال قابل دفاع بررسی شود؛ مثلاً بخش Forensic Services در CRA به شرکت‌ها و وکلایشان در پاسخ به اتهام تقلب، سوءاستفاده و تخلف کمک می‌کند. اولی بیشتر با SQL و مدل‌ها سروکار دارد و دومی با دستگاه‌ها، لاگ‌ها و قواعد شواهد.
تست‌کنندهٔ نفوذ و ردتیمر (از جمله ردتیمر AI که همین ذهنیت را روی مدل‌ها به کار می‌برد) با اجازه به سیستم حمله می‌کند تا ضعف‌ها را پیش از مهاجم واقعی پیدا کند. تحلیلگر جرم‌شناسی دیجیتال در سمت دفاع است و ردپای کاری را که انجام شده بازسازی می‌کند. این دو گاهی کنار هم کار می‌کنند: واحد DFIR در GuidePoint در تمرین‌های Purple Team نقش Blue Team را در همکاری با Red Team شرکت بازی می‌کند.
تأثیر در صنایع مختلف
تحلیلگر جرم‌شناسی دیجیتال در همه صنایع مشغول به کار است — نه فقط شرکت‌های فناوری
پلیس و دادگستری
واحدهای جرایم کامپیوتری مثل Northeast Computer Crimes Task Force در پلیس پنسیلوانیا، تیم CART در FBI و بخش تحقیقات دیجیتال پلیس لاس‌وگاس شواهد دیجیتال پرونده‌های کیفری را بررسی می‌کنند
مشاورهٔ حقوقی و دعاوی
CRA زیر نظر وکیل در پرونده‌های سرقت اسرار تجاری، تقلب و تخلف تحقیق می‌کند و در صورت نیاز شاهد خبره به دادگاه معرفی می‌کند
پاسخ به رخداد امنیتی
Volexity، GuidePoint، Surefire Cyber و MOXFIVE پس از باج‌افزار، نفوذ به ایمیل تجاری و نفوذهای پیچیده دامنه و اثر رخداد را مشخص می‌کنند
بیمهٔ سایبری
Coalition، شرکت بیمهٔ سایبری، برای مشتریانش در آلمان تیم پاسخ به رخداد می‌سازد؛ Surefire هم می‌نویسد روشش را کسانی طراحی کرده‌اند که دوشادوش شرکت‌های حقوقی، بیمه‌گرها و کارگزاران کار کرده‌اند
پیمانکاران دولتی و eDiscovery
CGS در هماهنگی با تیم‌های حقوقی و واحدهای IT مشتری از دستگاه‌ها، ایمیل‌ها و منابع ابری داده جمع‌آوری forensic می‌کند؛ دفتر اصلی‌اش آزمایشگاه forensic و دیتاسنتر دارد
ادغام و تملک شرکت‌ها
Volexity ارزیابی امنیتی در معاملات M&A را جزو وظایف تحلیلگر forensic آورده و CRA نقش جداگانه‌ای برای due diligence امنیتی دارد
رسانه و اعتبار محتوا
برنامهٔ SemaFor در DARPA ابزار تشخیص رسانهٔ ساختگی و دستکاری‌شده می‌سازد و استاندارد C2PA (Content Credentials) راهی برای ثبت منشأ و ویرایش‌های محتوای دیجیتال ارائه می‌کند
تصورات غلط رایج
قبل از تصمیم‌گیری، این باورهای اشتباه را بشناسید
این کار مثل سریال‌های جنایی است؛ چند کلیک و جواب پیدا می‌شود
بخش بزرگی از کار مستندسازی و دقت است. آگهی CGS رعایت chain of custody، پیروی مداوم از رویه‌های استاندارد و کنترل کیفیت پیش از تحویل را جزو وظایف آورده و FBI از کارشناس می‌خواهد در صورت لزوم دربارهٔ روش به‌دست آوردن داده در دادگاه شهادت دهد. یافته‌ای که نشود توضیح داد یا تکرار کرد، به کار پرونده نمی‌آید.
فقط پلیس‌ها این کار را می‌کنند
بیشتر آگهی‌هایی که در این بررسی دیدیم از بخش خصوصی بودند: شرکت‌های پاسخ به رخداد مثل Volexity و GuidePoint، شرکت‌های مشاوره مثل Charles River Associates، پیمانکاران دولتی مثل CGS و حتی شرکت بیمهٔ سایبری Coalition. هر محیط فرهنگ و پرداخت خودش را دارد.
یک ابزار گران‌قیمت همهٔ کار را انجام می‌دهد
آگهی‌ها معمولاً فهرستی از ابزارهای تجاری و متن‌باز را با هم می‌خواهند (CRA صریحاً «open-source and commercial tools» نوشته). NIST برنامهٔ جداگانه‌ای (CFTT) برای آزمودن قابلیت اطمینان ابزارهای forensic دارد. Magnet Forensics هم می‌نویسد «نرم‌افزار تأییدشده توسط دادگاه» وجود ندارد؛ آنچه پذیرفته می‌شود روش درست و فرد آموزش‌دیده است.
AI به‌زودی کار تحلیلگر را انجام می‌دهد و تشخیص deepfake را هم حل کرده است
MOXFIVE، که خودش پلتفرم تحقیق مبتنی بر LLM می‌سازد، می‌نویسد این ابزارها تحلیلگر را تقویت می‌کنند و جایش را نمی‌گیرند و خروجی‌شان باید با همان استاندارد شواهد سنجیده شود. Cellebrite هم می‌نویسد تصمیم نهایی و امضای هر یافته با بررسی‌کننده است. دربارهٔ deepfake، Magnet به مطالعه‌ای از CSIRO، سازمان علمی ملی استرالیا، استناد می‌کند که در آن هیچ‌کدام از ۱۶ ابزار تشخیص deepfake نتوانستند در شرایط واقعی به‌طور پایدار deepfake ها را تشخیص دهند.
بدون مدرک مخصوص جرم‌شناسی دیجیتال نمی‌شود وارد شد
پلیس پنسیلوانیا علاوه بر مدرک‌های forensic و کامپیوتر، ترکیب معادلی از تجربه و آموزش را هم می‌پذیرد و CRA در آگهی Associate Principal نوشته مدرک ترجیح دارد اما با تجربهٔ کافی قابل چشم‌پوشی است. آگهی‌ها مسیرهای مختلفی را می‌پذیرند: MOXFIVE سابقهٔ SOC را، GuidePoint ترکیب تجربهٔ IT و امنیت را و پلیس پنسیلوانیا فارغ‌التحصیل تازه را. در عوض گواهی‌نامه‌هایی مثل GCFE یا CFCE در این شغل وزن زیادی دارند.
یک روز کاری واقعی
در هر سطح روز کاری چه شکلی است؟
جونیور (۰–۲ سال)
کار بیشتر جمع‌آوری، پردازش و مستندسازی است و تحلیل‌ها زیر نظر فرد باتجربه‌تر انجام می‌شود. سفر کوتاه‌مدت برای جمع‌آوری شواهد در محل در بعضی نقش‌ها، مثل CGS، عادی است.
- ◆رفتن به محل مشتری برای جمع‌آوری داده از لپ‌تاپ و گوشی و پر کردن فرم chain of custody
- ◆پردازش داده‌ها در ابزارهایی مثل Autopsy، Axiom یا Cellebrite و مرور نتایج اولیه
- ◆کنترل کیفیت خروجی پیش از تحویل به وکیل یا مشتری
- ◆به‌روزرسانی ابزارها و ثبت تغییرات نسخه‌ها
میانی (۲–۵ سال)
پرونده‌های کوچک و متوسط را خودتان پیش می‌برید، با مشتری یا وکیل حرف می‌زنید و گزارش می‌نویسید. در شرکت‌های DFIR نوبت on-call و کار آخر هفته هم بخشی از کار است.
- ◆بررسی لاگ‌های Microsoft 365 یا AWS در یک پروندهٔ نفوذ به ایمیل تجاری
- ◆تحلیل حافظهٔ یک سرور با Volatility برای فهم اینکه چه چیزی در حال اجرا بوده است
- ◆نوشتن اسکریپت Python برای مرتب کردن هزاران خط لاگ
- ◆نوشتن گزارش با دو بخش: جزئیات فنی و خلاصه برای مدیران
ارشد (۵+ سال)
تحقیقات پیچیده را از ابتدا تا انتها رهبری می‌کنید، کار تیم را بازبینی می‌کنید و در سطوح بالاتر ممکن است به‌عنوان شاهد خبره در دادگاه حاضر شوید. جذب پروژه و پیشنهاد قیمت هم در شرکت‌های مشاوره بخشی از کار است.
- ◆تعیین دامنه و روش تحقیق برای یک پروندهٔ سرقت اسرار تجاری همراه با وکیل
- ◆بازبینی گزارش اعضای تیم پیش از ارسال
- ◆آماده شدن برای شهادت یا تهیهٔ affidavit
- ◆تصمیم دربارهٔ اینکه کدام ابزار تازه، از جمله ابزارهای AI، به فرایند تیم اضافه شود و چطور راستی‌آزمایی شود
مسئولیت‌ها و وظایف
مسئولیت‌های اصلی
وظایف روزانه و مهارت‌های مورد نیاز در این شغل
- ◈جمع‌آوری شواهد از کامپیوتر، گوشی، سرور، ایمیل و سرویس‌های ابری به روشی که داده تغییر نکند و قابل دفاع باشد
- ◈ثبت chain of custody و رعایت رویه‌های استاندارد در تمام مراحل نگهداری شواهد
- ◈تحلیل artifact های سیستم‌عامل، سیستم فایل، حافظه و لاگ‌ها برای بازسازی اتفاقی که افتاده است
- ◈بررسی رخدادهای امنیتی مثل باج‌افزار و نفوذ به ایمیل تجاری برای تعیین دامنه و اثر آن
- ◈نوشتن اسکریپت برای خودکار کردن کارهای تکراری تحلیل
- ◈راستی‌آزمایی خروجی ابزارها، از جمله ابزارهای مبتنی بر AI، پیش از استفاده در گزارش
- ◈نوشتن گزارش forensic، خلاصهٔ مدیریتی و در صورت نیاز affidavit یا شهادت در دادگاه
- ◈هماهنگی با وکلا، واحد IT مشتری یا بازپرس پرونده برای تعیین دامنهٔ کار
- ◈کنترل کیفیت کار پیش از تحویل و به‌روز نگه داشتن ابزارها و رویه‌ها
مهارت‌های مورد نیاز
مهارت‌های فنی، نرم و حوزه‌ای که یک تحلیلگر جرم‌شناسی دیجیتال موفق به آن‌ها نیاز دارد
مهارت‌های فنی
Windows، macOS و Linux و سیستم فایل‌هایی مثل NTFS، APFS، HFS+ و FAT؛ CRA شناخت عمیق آن‌ها را می‌خواهد
جمع‌آوری از کامپیوتر، گوشی، سرور، ایمیل و منابع ابری بدون تغییر داده (از شرایط آگهی CGS)
ثبت هر مرحلهٔ نگهداری و انتقال شواهد طبق قواعد شواهد؛ در آگهی‌های CGS و CRA آمده است
خواندن ردپای فعالیت کاربر و برنامه‌ها در سیستم‌عامل؛ CRA مثلاً plist ها، unified logs و FSEvents در macOS را نام برده است
کار با دادهٔ iOS و Android و ابزارهایی مثل Cellebrite و Oxygen؛ تمرکز اصلی آگهی CGS
Volexity بر memory forensics تأکید دارد و Volatility را نام می‌برد
GuidePoint تحلیل ترافیک شبکه و بررسی لاگ را از رشته‌های اصلی DFIR می‌داند
Microsoft 365، Google Workspace، AWS، Azure، GCP و OCI در آگهی Volexity؛ CloudTrail و Entra ID در آگهی MOXFIVE
Python و Bash (Volexity) یا PowerShell، Python، Bash و Go (GuidePoint) برای خودکار کردن تحلیل
Volexity و Coalition تجربه با EDR هایی مثل CrowdStrike Falcon و SentinelOne را خواسته‌اند
کنار هم گذاشتن رویدادها از منابع مختلف؛ Coalition از Plaso نام برده است
مهارت‌های نرم
GuidePoint و Surefire هر دو توانایی توضیح یافته‌ها برای مخاطب فنی و غیرفنی را می‌خواهند
پیروی مداوم از رویه‌های استاندارد و کنترل کیفیت پیش از تحویل (آگهی CGS)
Surefire کار مؤثر زیر فشار و مدیریت اولویت‌های هم‌زمان را می‌خواهد؛ پرونده‌های رخداد معمولاً فوری‌اند
FBI و پلیس پنسیلوانیا شهادت در دادگاه را جزو کار آورده‌اند و پلیس لاس‌وگاس تجربهٔ شهادت را می‌خواهد
پلیس لاس‌وگاس کار در جایگاهی را می‌خواهد که رازداری در آن به‌شدت رعایت می‌شده است
دانش حوزه‌ای
کار زیر نظر وکیل، affidavit و شهادت؛ O*NET امضای affidavit و ادای شهادت را جزو وظایف این شغل آورده است
CGS آشنایی با مدل مرجع EDRM و نرم‌افزارهایی مثل Relativity و Nuix را امتیاز می‌داند
NIST SP 800-86، برنامهٔ آزمون ابزار CFTT در NIST و اسناد SWGDE
Coalition برای نقش آلمان آشنایی با GDPR و الزامات اروپا دربارهٔ رسیدگی به رخداد را خواسته است
شناخت deepfake، روش‌های احراز اصالت و استاندارد C2PA؛ برای شاخهٔ احراز اصالت رسانه
نقشه راه و مسیر آموزشی
نقشه راه تبدیل شدن به تحلیلگر جرم‌شناسی دیجیتال
این مسیر گام به گام شما را از صفر تا حرفه‌ای هدایت می‌کند.
پایه‌های IT: سیستم‌عامل، شبکه، خط فرمان و Python
پیش از هر ابزار forensic باید بدانید یک کامپیوتر و شبکه چطور کار می‌کند. آگهی Digital Forensic Examiner 1 پلیس ایالتی پنسیلوانیا حتی در سطح ورودی واحد درسی شبکه و امنیت می‌خواهد و آگهی Charles River Associates (CRA) شناخت عمیق Windows، macOS و Linux و سیستم فایل‌هایشان را. Volexity هم اسکریپت‌نویسی با Python و Bash را برای خودکار کردن تحلیل لازم می‌داند.
مبانی جرم‌شناسی دیجیتال و قواعد شواهد
آنچه این شغل را از بقیهٔ کارهای امنیتی جدا می‌کند، کار با «شواهد» است: داده باید بدون تغییر حفظ شود، هر دست‌به‌دست شدنش ثبت شود (chain of custody) و نتیجه طوری نوشته شود که در دادگاه قابل دفاع باشد. O*NET نوشتن گزارش، امضای affidavit و ادای شهادت را جزو وظایف این شغل آورده است. راهنمای NIST SP 800-86 این موضوع را از دید IT توضیح می‌دهد و اسناد SWGDE از دید جامعهٔ forensic.
منابع پیشنهادی
ابزارها و تمرین روی دادهٔ آموزشی
با ابزارهای رایگان شروع کنید و روی داده‌هایی تمرین کنید که برای آموزش منتشر شده‌اند، نه روی دستگاه دیگران. Autopsy و The Sleuth Kit متن‌باز و رایگان‌اند. Digital Corpora تصویر دیسک، حافظه و ترافیک شبکه را برای آموزش رایگان در اختیار می‌گذارد و NIST در CFReDS مجموعه‌هایی از شواهد شبیه‌سازی‌شده با محتوای مستند منتشر می‌کند تا بتوانید نتیجهٔ کارتان را با پاسخ معلوم مقایسه کنید. آگهی CGS تجربه با ابزارهایی مثل EnCase، Cellebrite، Oxygen و FTK Imager را می‌خواهد؛ بیشترشان تجاری‌اند، اما منطق کار با آن‌ها همان است که در ابزارهای رایگان یاد می‌گیرید.
پاسخ به رخداد: حافظه، endpoint و ابر
در شرکت‌های DFIR بیشتر پرونده‌ها نفوذ امنیتی‌اند. Volexity بر تحلیل حافظه تأکید دارد و Volatility را نام می‌برد؛ GuidePoint و Coalition از Velociraptor نام می‌برند. بخش روزافزونی از کار در ابر است: Volexity بررسی فعالیت در Microsoft 365، Google Workspace، AWS، Azure، GCP و OCI را می‌خواهد و MOXFIVE لاگ‌هایی مثل CloudTrail و لاگ‌های Entra ID را.
تخصص، گواهی‌نامه و جای AI در کار
در این شغل گواهی‌نامه وزن واقعی دارد: پلیس پنسیلوانیا گرفتن CFCE را در دورهٔ آزمایشی شرط کرده و آگهی‌های CGS، CRA و GuidePoint از GCFE، GCFA، EnCE و گواهی‌های Cellebrite و Magnet نام می‌برند. هم‌زمان یک شاخه انتخاب کنید (موبایل، پاسخ به رخداد، eDiscovery یا احراز اصالت رسانه) و یاد بگیرید خروجی ابزارهای AI را مثل هر ابزار دیگری راستی‌آزمایی کنید.
ابزارها و استک فنی
ابزارهایی که هر مهندس AI باید بشناسد، دسته‌بندی‌شده بر اساس اولویت
تصویربرداری و تحلیل دیسک و کامپیوتر
ابزار رایگان تهیهٔ تصویر از دیسک، فایل و حافظه و پیش‌نمایش آن؛ در آگهی CGS و (به‌صورت FTK) در آگهی‌های Surefire و Coalition آمده است
پلتفرم تجاری تحلیل کامپیوتر، موبایل و ابر؛ Surefire و Coalition آن را نام برده‌اند. نسخه‌های جدیدش ابزارهای AI هم دارند
نرم‌افزار تجاری جمع‌آوری، triage، تحلیل و گزارش شواهد دیجیتال؛ با نام EnCase در آگهی‌های CGS و Surefire و در فهرست ابزارهای O*NET آمده است
موبایل و دستگاه‌های Apple
استخراج و تحلیل دادهٔ موبایل برای تحقیقات؛ در آگهی CGS آمده و گواهی‌های CCO و CCPA که آن آگهی نام برده، گواهی‌های Cellebrite برای Inseyetsاند
ابزار متن‌باز برای خواندن لاگ‌ها، رویدادها و فایل‌های plist در iOS؛ برای تمرین رایگان مناسب است
پاسخ به رخداد، حافظه و خط زمانی
ابزار متن‌باز دید و جمع‌آوری داده از endpoint ها؛ در آگهی‌های GuidePoint و Coalition آمده است
Plaso موتوری بر پایهٔ Python برای ساخت خودکار خط زمانی (super timeline) است و Timesketch برای بررسی آن؛ Coalition از Plaso نام برده است
مجموعهٔ رایگان و متن‌باز ابزارهای پاسخ به رخداد و forensic که SANS نگهداری می‌کند؛ در فهرست ابزارهای آگهی Coalition آمده است
eDiscovery، احراز اصالت رسانه و AI
از نرم‌افزارهای پشتیبانی دعاوی که آگهی CGS آشنایی با آن‌ها را امتیاز می‌داند؛ امروز خودش را پلتفرم AI برای کاربردهای حقوقی (Relativity aiR) معرفی می‌کند
نرم‌افزار تحقیق و تحلیل داده که آگهی CGS در کنار Relativity نام برده است؛ محصولات تازه‌اش را با AI معرفی می‌کند
احراز اصالت عکس، ویدیو و صدا با تحلیل ساختار فایل؛ به گفتهٔ Magnet نشان می‌دهد فایل اصلی دوربین است یا ویرایش یا با ابزارهایی مثل face-swap ساخته شده
تحلیل اصالت عکس و ویدیو، تشخیص دستکاری و شناسایی دستگاه منبع؛ سازنده‌اش آن را ابزار forensics عکس، ویدیو و deepfake معرفی می‌کند
مسیر پیشرفت شغلی
از جونیور تا Staff Engineer — چه مهارت‌هایی نیاز دارید و چه درآمدی انتظار داشته باشید
تحلیلگر یا کارشناس جونیور (Analyst I / Examiner 1)
۰ تا ۲ سال
~$100K
میانگین سالانه (آمریکا)
جمع‌آوری شواهد در محل یا از راه دور، ثبت chain of custody، اجرای ابزارها و تحلیل در سطح پایه تا متوسط، کنترل کیفیت پیش از تحویل؛ مثل Digital Forensic Analyst I در CGS (۱+ سال) و Digital Forensic Examiner 1 در پلیس پنسیلوانیا (ورودی با مدرک کارشناسی)
تحلیلگر یا مشاور DFIR
۲ تا ۵ سال
~$113K
میانگین سالانه (آمریکا)
انجام مستقل تحقیقات کوچک و متوسط (مثل نفوذ به ایمیل تجاری و باج‌افزار)، تحلیل حافظه و لاگ‌های ابری، نوشتن گزارش برای مشتری و وکیل؛ Volexity و CRA برای این سطح ۳ تا ۵ سال تجربه می‌خواهند
تحلیلگر یا مشاور ارشد
۵+ سال
~$141K
میانگین سالانه (آمریکا)
رهبری تحقیقات پیچیده از ابتدا تا انتها، نظارت بر کیفیت کار تیم، بهبود ابزار و فرایند، ارتباط مستقیم با مشتری؛ آگهی Senior Associate در CRA ۵ تا ۷ سال و آگهی GuidePoint ۷ سال تجربه می‌خواهد
Principal / مدیر تحقیقات / شاهد خبره
۷ تا ۱۰+ سال
تعیین روش تحقیق، شهادت به‌عنوان شاهد خبره، ارتباط با نهادهای انتظامی و جذب پروژه؛ آگهی Associate Principal در CRA برای ۷ تا ۱۰+ سال تجربه، تجربهٔ کار به‌عنوان testifying expert را می‌خواهد
چالش‌ها و جنبه‌های منفی
واقعیت‌هایی که کمتر در آگهی‌های شغلی می‌بینید — قبل از ورود بدانید
مواجهه با محتوای آزاردهنده
عمومیدر واحدهای جرایم علیه کودکان، دیدن این محتوا بخش عادی کار است: پلیس لاس‌وگاس صریحاً نوشته بررسی‌ها شامل مواجههٔ مداوم با CSAM است و تحلیلگر با صحنه‌های جرم خشن هم روبه‌رو می‌شود. آگهی FBI هم همین را دربارهٔ کارشناس جرم‌شناسی دیجیتال گفته است. پیش از ورود به مسیر پلیس، این را جدی بسنجید.
دفاع از یافته‌ها در دادگاه
عمومیگزارش شما ممکن است زیر پرسش وکیل طرف مقابل برود. FBI، پلیس پنسیلوانیا و CRA شهادت را جزو کار آورده‌اند. هر ادعا باید با شواهد و روشی قابل تکرار پشتیبانی شود؛ این بیش از سرعت، کیفیت کار را تعیین می‌کند.
کار خارج از ساعت اداری
استارتاپرخدادهای امنیتی منتظر ساعت کاری نمی‌مانند. Surefire نوبت on-call و آخر هفته می‌خواهد، GuidePoint در دوره‌های اوج رخداد در دسترس بودن خارج از ساعت اداری را شرط کرده و برنامهٔ نقش MOXFIVE چهارشنبه تا یکشنبه است.
عقب ماندن ابزارها از اپ‌ها و محتوای تازه
عمومیاپها و محتوای AI سریع‌تر از ابزارها تغییر می‌کنند. در پروفایل Heather Barnhart در SANS کارگاهی معرفی شده که می‌گوید ابزارهای موجود به‌خصوص در پردازش داده‌های اپ‌های شخص ثالث و محتوای مبتنی بر AI عقب می‌مانند. یعنی باید بتوانید artifact تازه را خودتان بررسی و ابزار را راستی‌آزمایی کنید.
اعتماد به خروجی AI و تشخیص deepfake
عمومیسازندگان ابزار قابلیت‌های AI اضافه می‌کنند، اما خروجی آن‌ها شاهد نیست. DARPA می‌نویسد روش‌های صرفاً آماری برای تشخیص رسانهٔ ساختگی به‌سرعت ناکافی می‌شوند، و Magnet، که خودش ابزار احراز اصالت می‌فروشد، deepfake detector ها را به دلیل نادقیق بودن، جعبهٔ سیاه بودن و تکرارناپذیری برای دادگاه مناسب نمی‌داند.
بررسی سوابق و الزامات استخدام دولتی
شرکت بزرگنقشهای پلیس و دولت شرایط خاص خودشان را دارند: پلیس پنسیلوانیا بررسی سوابق و انطباق با CJIS و اقامت در ایالت را می‌خواهد و FBI توانایی گرفتن مجوز امنیتی Top Secret-SCI را. این روندها ممکن است ماه‌ها طول بکشد.
حقوق و بازار کار جهانی
حقوق جهانی تحلیلگر جرم‌شناسی دیجیتال
حقوق سالانه در کشورهای مختلف بر اساس داده‌های منتشرشده؛ منبع هر ردیف با آیکون کنار نام کشور باز می‌شود.
* ارقام سالانه‌اند. منبع هر رقم:
- Glassdoor US, 'Digital Forensic Analyst', estimate updated Apr 2025, base pay (78 salaries): 25th–75th pct; median
- CGS posting, Digital Forensic Analyst I (Washington DC, hybrid; 1+ years), posted Mar 12, 2026: pay range; median = midpoint
- Charles River Associates posting, Consulting Associate/Cybersecurity & Incident Response, Forensic Services (US offices; 3–5 years), open Oct 2026: base range; median = midpoint
- Charles River Associates posting, Senior Associate/Digital Forensics, Forensic Services (US offices; 5–7+ years), open Oct 2026: base range; median = midpoint
- Charles River Associates posting, Consulting Associate/Cybersecurity & Incident Response, Forensic Services (Toronto; 3–5 years), open Oct 2026: CAD base range; median = midpoint
- Charles River Associates posting, Associate Principal/Cybersecurity & Incident Response, Forensic Services (Toronto; 7–10+ years), open Oct 2026: CAD base range; median = midpoint
- Glassdoor UK, 'Digital Forensic Analyst', estimate updated Oct 2026, base pay (87 salaries): 25th–75th pct; median
- Glassdoor India, 'Digital Forensic Analyst', estimate updated Mar 2024, base pay (13 salaries): 25th–75th pct; median
چگونه از صفر شروع کنیم
برنامه گام‌به‌گام برای ورود به مهندسی هوش مصنوعی
ماه ۱: مبانی شواهد دیجیتال
چرخهٔ کار forensic، chain of custody و نقش گزارش را یاد بگیرید.
ماه ۲: Autopsy و دادهٔ آموزشی
یک تصویر دیسک آموزشی را با Autopsy بررسی کنید و اولین گزارش کامل را بنویسید.
ماه ۳: artifact های Windows و خط زمانی
رجیستری، event log ها و ساخت خط زمانی با Plaso.
ماه ۴: حافظه و endpoint
تحلیل حافظه با Volatility 3 و آشنایی با Velociraptor.
ماه ۵: موبایل و ابر
تحلیل پایهٔ artifact های iOS با iLEAPP و آشنایی با لاگ‌های Microsoft 365 و AWS.
ماه ۶: گواهی و پورتفولیو
برای GCFE آماده شوید، دو گزارش پروژه را مرتب کنید و برای نقش‌های Analyst I یا مشاور جونیور DFIR اقدام کنید.
پروژه‌های پیشنهادی برای رزومه
گزارش کامل تحلیل یک تصویر دیسک آموزشی
مبتدییکی از تصویرهای دیسک منتشرشده برای آموزش در Digital Corpora یا CFReDS را با Autopsy بررسی کنید و گزارشی بنویسید که مثل گزارش واقعی باشد: فرم chain of custody، مقادیر hash، پرسش‌های تحقیق، یافته‌ها با ارجاع به artifact ها، و محدودیت‌های تحلیل. نسخهٔ خلاصه‌ای هم برای یک مدیر غیرفنی اضافه کنید.
خط زمانی یک سناریوی آموزشی
متوسطاز دادهٔ یک سناریوی آموزشی خط زمانی بسازید و آن را در Timesketch بررسی کنید. در گزارش توضیح دهید هر رویداد از کدام منبع آمده، کجا منابع با هم تناقض دارند و چه چیزی را نمی‌توان با اطمینان گفت.
تحلیل حافظه در یک چالش آموزشی
متوسطیک چالش تحلیل حافظه در CyberDefenders را با Volatility 3 حل کنید و اگر قوانین چالش اجازه می‌دهد، writeup روشنی منتشر کنید که روش و استدلال شما را نشان دهد، نه فقط جواب‌ها را.
راستی‌آزمایی دو ابزار روی دادهٔ مرجع
پیشرفتهبه سبک برنامهٔ CFTT در NIST، یک دادهٔ مرجع را با دو ابزار مختلف (مثلاً Autopsy و یک ابزار دیگر) بررسی کنید و نتیجه‌ها را با هم و با پاسخ‌های مرجع مقایسه کنید. هر اختلاف را مستند کنید؛ این همان کاری است که پیش از اعتماد به یک ابزار در پروندهٔ واقعی لازم است.
مطالعهٔ موردی اصالت عکس با و بدون AI
پیشرفتهیک مجموعهٔ کوچک بسازید: چند عکس اصلی که خودتان گرفته‌اید، نسخه‌های ویرایش‌شدهٔ آن‌ها و چند تصویر ساخته‌شده با AI. بررسی کنید متادیتا، ساختار فایل و Content Credentials (استاندارد C2PA) چه چیزی را نشان می‌دهند و چه چیزی را نه، و نتیجه را با استدلال Magnet دربارهٔ محدودیت deepfake detector ها مقایسه کنید.
مثال‌های واقعی و Case Studies
داستان‌های واقعی از مهندسانی که در این حوزه تأثیرگذار بوده‌اند
طبق ویکی‌پدیا، کارشناسی مهندسی مکانیک از UC Berkeley، کارشناسی ارشد فناوری آموزشی از NYU و دکترای علوم کامپیوتر از University College Dublin دارد. مدیر Digital Forensics and Investigations در دفتر واشنگتن Stroz Friedberg بوده، در مرکز جرایم سایبری وزارت دفاع آمریکا تیم تحقیق و توسعه را رهبری کرده و در MITRE کار کرده است.
نویسندهٔ کتاب Digital Evidence and Computer Crime و چند کتاب دیگر در این حوزه است، در پرونده‌های مدنی و کیفری شهادت کارشناسی داده و طبق همین مقاله سردبیر مجلهٔ Digital Investigation است. در برگزاری کنفرانس‌های DFRWS هم نقش دارد.
مسیر او از مهندسی مکانیک و آموزش به این حوزه رسیده است. به نظر می‌رسد ترکیب کار عملی، شهادت در دادگاه و نوشتن، اعتباری می‌سازد که هر کدام به‌تنهایی نمی‌سازد.
دکترای علوم کامپیوتر از Purdue دارد. پیش‌تر در @stake پژوهشگر و سرپرست فنی تیم DFIR بوده و بیش از ۱۵ سال در Basis Technology کار کرده تا اینکه Sleuth Kit Labs از آن جدا شد.
نویسندهٔ کتاب File System Forensic Analysis است و Sleuth Kit Labs را بنیان گذاشته که برنامه‌های Autopsy و Cyber Triage را توسعه می‌دهد. رئیس کنفرانس‌های OSDFCon (کنفرانس جرم‌شناسی دیجیتال متن‌باز) و ResponderCon است.
Autopsy، که او توسعه‌اش را پیش می‌برد، رایگان و متن‌باز است؛ یعنی می‌شود بدون هزینه تمرین را شروع کرد. به نظر می‌رسد فهم سیستم فایل در سطح پایه، که موضوع کتاب اوست، مهارتی است که به هر ابزار تجاری دیگری هم منتقل می‌شود.
طبق پروفایلش در SANS، معاون آموزش (VP of Curriculum) در SANS Institute و رئیس هیئت علمی SANS Technology Institute است و عنوان SANS Fellow را دارد.
SANS او را به‌خاطر پیشبرد جرم‌شناسی گوشی‌های هوشمند و تحلیل artifact های Windows می‌شناسد. مدرس دورهٔ FOR585 (تحلیل عمیق گوشی‌های هوشمند) است و در پروفایلش کارگاهی با حضور او دربارهٔ کار با اپ‌های پشتیبانی‌نشده و محتوای AI در تحقیقات موبایل معرفی شده است.
تخصص در یک شاخهٔ مشخص، اینجا موبایل، می‌تواند به جایگاهی برسد که در آن آموزش دیگران و تعیین مسیر یک حوزه هم بخشی از کار می‌شود.
نمونه آگهی استخدام واقعی + تحلیل
یک آگهی واقعی از شرکت فعال در حال استخدام، با تحلیل هر بخش
Digital Forensic Analyst I
تحلیل نیازمندی‌ها
Minimum of an undergraduate degree, preferably in Digital Forensic Science or Computer Science/Engineering
مدرک کارشناسی لازم است؛ رشتهٔ جرم‌شناسی دیجیتال یا کامپیوتر ترجیح دارد اما شرط نیست. در این شغل مدرک معمولاً با گواهی‌نامه‌های تخصصی تکمیل می‌شود.
مهم1+ years of relevant experience in where the analyst understands the forensic lifecycle and can properly perform scoping activities, evidence acquisitions on a range of devices, and execute forensic analysis at an intermediate level
یک سال تجربه کافی است، اما باید کل چرخه را بشناسید: تعیین دامنهٔ کار، جمع‌آوری شواهد از دستگاه‌های مختلف و تحلیل در سطح متوسط. در میان آگهی‌های این بررسی، در کنار نقش ورودی پلیس پنسیلوانیا، کمترین سابقه را می‌خواهد.
ضروریExperience using industry standard forensic tools such as: EnCase, Cellebrite, Oxygen, FTK Imager, MacQuisition, X1 Social Discovery, Logicube Falcon
فهرست بلند است، اما «such as» یعنی تجربه با بخشی از این‌ها کافی است. بیشترشان تجاری‌اند؛ اگر به آن‌ها دسترسی ندارید، با ابزارهای رایگان مثل Autopsy و FTK Imager منطق کار را یاد بگیرید و در مصاحبه همین را توضیح دهید.
ضروریGeneral understanding of Mac/Windows filesystems, mobile devices, and encryption
باید بدانید داده در Mac، Windows و گوشی کجا و چطور ذخیره می‌شود و رمزنگاری چه محدودیتی برای جمع‌آوری ایجاد می‌کند. این دانش پایه است و ابزارها جایش را نمی‌گیرند.
ضروریExperience preserving desktops, laptops, mobile devices/tablets, servers, both cloud and on-premise email implementations, nontraditional cloud data sources, social media, etc. in a forensically sound manner
«Forensically sound» یعنی داده طوری حفظ شود که بعداً بتوان ثابت کرد تغییری نکرده است. تنوع منابع، از لپ‌تاپ تا ایمیل ابری و شبکه‌های اجتماعی، نشان می‌دهد کار امروز فقط تصویربرداری از هارد دیسک نیست.
ضروریAbility to communicate effectively and tactfully in both verbally and in written format to team members and technical/non-technical clients
مشتری‌های این نقش اغلب وکیل‌اند، نه متخصص فنی. باید بتوانید هم با واحد IT مشتری حرف فنی بزنید و هم برای وکیل توضیح دهید چه چیزی جمع شده و چه چیزی نه.
مهمMust be willing to travel regularly on short notice; must have a valid passport for occasional international travel
جمع‌آوری در محل مشتری انجام می‌شود و زمانش را پرونده تعیین می‌کند، نه شما. اگر سفرهای ناگهانی برایتان ممکن نیست، این نوع نقش مناسب نیست.
مهمPossess at least one industry-standard certification (EnCE, CCE, CCFE, GCFE, GCFA, CCO, CCPA, CCME, etc.)
در بخش «Ideally» آمده، پس شرط نیست، اما فهرستش نشان می‌دهد این بازار به گواهی‌نامه اهمیت می‌دهد: هم گواهی‌های مستقل مثل GCFE و GCFA و هم گواهی‌های ابزار مثل EnCE و CCO/CCPA (Cellebrite).
مفیدتحلیل مسئولیت‌ها
Perform forensic data collection and basic forensic analysis in both on-site and remote capacity
کار اصلی در این سطح جمع‌آوری است و تحلیل در حد پایه. یعنی دقت در مرحلهٔ جمع‌آوری مهم‌ترین مهارت شماست؛ اشتباه در این مرحله را بعداً نمی‌شود جبران کرد.
Coordinate directly with legal teams/client IT departments to understand project scope
پیش از جمع‌آوری باید روشن شود چه چیزی، از چه کسانی و در چه بازهٔ زمانی لازم است. این هماهنگی با وکیل و IT مشتری بخشی از کار فنی است، نه کار جانبی.
Manage all chain of custody best practices associated with the rules of evidence
هر بار که شواهد دست‌به‌دست یا جابه‌جا می‌شود باید ثبت شود. بدون این زنجیره، حتی تحلیل درست هم ممکن است در دادگاه پذیرفته نشود.
Maintain forensic tool set by staying current on version updates and new options in the market
ابزارها مدام به‌روز می‌شوند تا با دستگاه‌ها و اپ‌های تازه کار کنند. دنبال کردن نسخه‌ها و شناخت گزینه‌های جدید بخشی از شرح شغل است.
Assist in developing, documenting, and refining procedures to accomplish discovery process requirements
«Discovery» به مرحلهٔ تبادل شواهد در دعاوی حقوقی اشاره دارد. این آگهی بیشتر در سمت eDiscovery و حقوقی است تا پاسخ به رخداد امنیتی.
Perform quality checks on work products prior to delivering to the client
پیش از تحویل، کار باید دوباره بررسی شود. در این شغل یک اشتباه کوچک در گزارش می‌تواند اعتبار کل پرونده را زیر سؤال ببرد.
Consistently adhere to standard operating procedures
رویهٔ یکسان یعنی کار قابل تکرار و قابل دفاع. خلاقیت در این شغل در حل مسئله است، نه در دور زدن رویه‌ها.
نتیجه‌گیری کلی
این آگهی چهرهٔ کمتر دیده‌شدهٔ این شغل را نشان می‌دهد: جمع‌آوری دقیق شواهد از گوشی و منابع ابری برای تیم‌های حقوقی، با رعایت کامل chain of custody، رویه‌های استاندارد و کنترل کیفیت. فقط یک سال تجربه خواسته شده و بازهٔ حقوق ۸۰ تا ۱۲۰ هزار دلار در سال اعلام شده است. در کل آگهی اشاره‌ای به هوش مصنوعی نیست؛ چیزی که در این نقش ارزش دارد دقت، مستندسازی و شناخت ابزارهاست.
آینده و روندها
پیش‌بینی ۵–۱۰ ساله و مهارت‌هایی که باید یاد بگیرید
O*NET این شغل را «Bright Outlook» علامت زده و نوشته انتظار می‌رود سریع رشد کند و شغلی تازه و در حال ظهور است. معیار «رشد سریع» در O*NET رشد ۵٪ یا بیشتر در بازهٔ ۲۰۲۵ تا ۲۰۳۵ است و پیش‌بینی BLS برای گروه رسمی این شغل، یعنی Computer Occupations, All Other، رشد «سریع‌تر از میانگین» (۵ تا ۶٪) است. این گروه بزرگ و متنوع است و عدد آن مخصوص تحلیلگران جرم‌شناسی دیجیتال نیست.
منبع: O*NET 15-1299.06 (BLS projections 2025–2035)
مهارت‌های نوظهور که باید یاد بگیرید
پیش‌بینی‌های آینده
طبق پیش‌بینی BLS که O*NET برای این شغل نشان می‌دهد، اشتغال در گروه Computer Occupations, All Other از ۲۰۲۵ تا ۲۰۳۵، ۵ تا ۶٪ رشد می‌کند که BLS آن را سریع‌تر از میانگین همهٔ شغل‌ها می‌داند.
BLS پیش‌بینی می‌کند اشتغال تحلیلگران امنیت اطلاعات (Information Security Analysts)، گروه رسمی همسایه برای نقش‌های امنیتی شرکت‌ها، از ۲۰۲۵ تا ۲۰۳۵، ۲۱٪ رشد کند.
BLS برای تکنسین‌های علوم جنایی (Forensic Science Technicians)، گروهی که کار آزمایشگاهی جمع‌آوری و تحلیل شواهد در پرونده‌های کیفری را انجام می‌دهد، رشد ۱۳٪ از ۲۰۲۵ تا ۲۰۳۵ پیش‌بینی کرده است.
سازندگان ابزار در حال خودکار کردن بخشی از بررسی دستی‌اند: Magnet در Axiom دسته‌بندی خودکار تصاویر و پرسش‌وپاسخ با AI روی دادهٔ پرونده را اضافه کرده، Cellebrite ابزار Genesis را برای پرسش‌وپاسخ روی شواهد عرضه کرده و OpenText از «اتوماسیون مبتنی بر AI» در EnCase می‌گوید. هر دو شرکت تأکید می‌کنند نتیجه‌ها به منبع ارجاع می‌دهند تا قابل راستی‌آزمایی باشند. پس ارزش تحلیلگر بیشتر به قضاوت، راستی‌آزمایی، گزارش و دفاع از یافته‌ها منتقل می‌شود و مرور دستی هزاران مورد کمتر می‌شود. SANS هم دربارهٔ Protocol SIFT، طرح پژوهشی‌اش برای به‌کارگیری AI در هماهنگ کردن مراحل تحقیق، صریحاً نوشته که هنوز از نظر forensically sound بودن و اعتبار به‌عنوان شاهد راستی‌آزمایی نشده و در دادگاه قابل استناد نیست. ریسک دیگر محتوای ساختگی است: هم DARPA و هم Magnet می‌نویسند روش‌های صرفاً آماری یا جعبه‌سیاه برای تشخیص آن کافی نیستند، یعنی این بخش از کار دشوارتر می‌شود، نه ساده‌تر.
منابع
اطلاعات این صفحه در تاریخ ۱ آبان ۱۴۰۵ از این ۴۶ منبع بررسی شده است.
- Digital Forensic Analyst I — CGS (job posting)
- Incident Response and Forensic Analyst — Volexity (job posting)
- Senior Associate/Digital Forensics — Charles River Associates (job posting)
- Associate Principal/Digital Forensics — Charles River Associates (job posting)
- Consulting Associate/Cybersecurity & Incident Response, US — Charles River Associates (job posting)
- Consulting Associate/Cybersecurity & Incident Response, Toronto — Charles River Associates (job posting)
- Associate Principal/Cybersecurity & Incident Response, Toronto — Charles River Associates (job posting)
- Senior DFIR Consultant — GuidePoint Security (job posting)
- Senior Consultant, DFIR — Surefire Cyber (job posting)
- Senior Consultant, DFIR (Wed-Sun) — MOXFIVE (job posting)
- Incident Response Lead, Germany — Coalition (job posting)
- Digital Forensic Examiner 1 — Pennsylvania State Police (job posting)
- Digital Forensic Examiner — FBI, USAJOBS (job posting)
- ICAC Forensic Analyst — Las Vegas Metropolitan Police Department (job posting)
- Glassdoor — Digital Forensic Analyst salaries, United States
- Glassdoor — Digital Forensic Analyst salaries, United Kingdom
- Glassdoor — Digital Forensic Analyst salaries, India
- ITJobsWatch — Forensics Analyst (UK)
- O*NET OnLine — 15-1299.06 Digital Forensics Analysts
- O*NET OnLine — Bright Outlook: Digital Forensics Analysts
- BLS Occupational Outlook Handbook — Information Security Analysts
- BLS Occupational Outlook Handbook — Forensic Science Technicians
- Eoghan Casey — Wikipedia
- Dr. Brian Carrier — Cyber Triage team page
- Heather Barnhart — SANS Institute profile
- Magnet Forensics — Magnet Axiom 9.0: AI tools and more
- Magnet Forensics — Making Magnet Copilot's AI capabilities available offline
- Magnet Forensics — The case for media authentication in court
- Cellebrite — AI for Investigations: 5 Myths, Debunked
- Cellebrite Genesis — product page
- OpenText Forensic (EnCase) — product page
- DARPA — Semantic Forensics (SemaFor)
- C2PA — Content Credentials
- NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response
- NIST — Computer Forensics Tool Testing Program (CFTT)
- SWGDE — Scientific Working Group on Digital Evidence
- EDRM — Electronic Discovery Reference Model
- Digital Corpora — forensic datasets for education
- Autopsy — training
- NIST — Computer Forensic Reference Data Sets (CFReDS)
- SANS — SIFT Workstation (and Protocol SIFT note)
- Cellebrite — Training & Certification (CCO + CCPA)
- OpenText — DF310 EnCase Certified Examiner (EnCE) Prep
- Exterro FTK Imager — product page
- Velociraptor — GitHub repository
- Senior Associate/Cybersecurity Consultant Due Diligence Advisory — Charles River Associates (job posting)