瘋?cè)嗽缒觊g學(xué)計(jì)算機(jī)的，后來(lái)入了行，在IT圈也混了些日子，不過(guò)德才資確實(shí)極差，吃不了這碗飯，那時(shí)恨透了IT這個(gè)詞，聽(tīng)著就煩?？墒悄菚?huì)兒怎么也想不到從IT衍生的幾個(gè)詞都流行起來(lái)了：互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能……
早年間說(shuō)話(huà)要是嘴里時(shí)不常蹦出個(gè)洋詞兒，會(huì)讓人覺(jué)得：?jiǎn)?，洋氣啊，高大上?。划?dāng)下一樣，嘴里沒(méi)互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能、機(jī)器學(xué)習(xí)什么的，都不好意思和別人聊天。沒(méi)辦法，要想混得開(kāi)，現(xiàn)在瘋?cè)俗炖镆彩沁@些詞兒，懂不懂先不說(shuō)，詞兒得說(shuō)溜了，亦步亦趨，人云亦云嘛。
雖說(shuō)大數(shù)據(jù)這個(gè)詞今天看來(lái)還非常玄幻，大不大先不談，從宏觀(guān)來(lái)看，每天產(chǎn)生海量數(shù)據(jù)，但是就某一個(gè)點(diǎn)來(lái)說(shuō)，數(shù)據(jù)積累的規(guī)模遠(yuǎn)不能稱(chēng)大！但不得不說(shuō)數(shù)據(jù)已然成為了財(cái)富，數(shù)據(jù)為王的時(shí)代確實(shí)已經(jīng)開(kāi)啟，有人說(shuō)：誰(shuí)擁有數(shù)據(jù)，誰(shuí)就先人一步。這話(huà)一點(diǎn)不夸張，但是也不全面，有了食材，得會(huì)做，才能成為一個(gè)好廚子。同樣，有了數(shù)據(jù)，得有好的數(shù)據(jù)分析思維方法，才能去發(fā)現(xiàn)數(shù)據(jù)中的秘密和隱含的價(jià)值。從無(wú)意義的數(shù)據(jù)到有價(jià)值的信息需要一個(gè)過(guò)程，推動(dòng)這個(gè)過(guò)程的就是數(shù)據(jù)分析。說(shuō)到數(shù)據(jù)分析的思維方法，大概有那么幾種：
一是對(duì)照，又叫做對(duì)比，但看一個(gè)數(shù)據(jù)或者一類(lèi)數(shù)據(jù)往往意義不大，往往需要和另一個(gè)或另一組數(shù)據(jù)放在一起對(duì)照，有時(shí)就有意思了。例如今天體重長(zhǎng)了3斤，哦，知道長(zhǎng)了三斤，別的分析不出來(lái)，但是一看昨天長(zhǎng)了5斤，這時(shí)你就該感嘆了：我靠！減肥成功，體重增長(zhǎng)程度實(shí)現(xiàn)了負(fù)增長(zhǎng)！
二是拆分，從字面來(lái)看，就是拆解分析。當(dāng)你需要對(duì)某一個(gè)指標(biāo)做分析時(shí)，拆分可能會(huì)讓數(shù)據(jù)更加清晰，便于查找細(xì)節(jié)。例如你發(fā)現(xiàn)昨天體重長(zhǎng)了5斤，今天長(zhǎng)了3斤。第一反應(yīng)就是看昨天吃了多少分量的東西，今天吃了多少，把吃的東西按照主食、副食、肉類(lèi)、水果、零食拆開(kāi)來(lái)看，往往才有意義。
三是降維，當(dāng)數(shù)據(jù)維度太多是，我們不可能每個(gè)維度都拿來(lái)分析，有時(shí)就需要一些有關(guān)聯(lián)的或者有意義的指標(biāo)來(lái)分析，從中篩選出對(duì)我們有意義的數(shù)據(jù)進(jìn)行分析即可。例如，主食、肉類(lèi)、甜食可能是體重增長(zhǎng)的主要原因，需要仔細(xì)分析下。
四是增維，和降維相對(duì)，有降就有增。當(dāng)前數(shù)據(jù)的維度如果不能很好地幫助我們發(fā)現(xiàn)問(wèn)題的時(shí)候，有時(shí)就需要對(duì)某項(xiàng)或者某幾項(xiàng)數(shù)據(jù)做一個(gè)運(yùn)算，增加一個(gè)維度指標(biāo)。例如知道主食是體重增長(zhǎng)的主要原因，知道其中碳水化合物是關(guān)鍵，這是可以算算每種主食的碳水化合物含量，得到一個(gè)新的維度指標(biāo)更加直觀(guān)。
其實(shí)，今天瘋?cè)讼牒痛蠹艺f(shuō)的就是這些數(shù)據(jù)分析思維方法在電子數(shù)據(jù)取證的數(shù)據(jù)庫(kù)取證中是經(jīng)常被用到的。隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)、數(shù)據(jù)庫(kù)技術(shù)的發(fā)展和應(yīng)用，幾乎所有行業(yè)都在應(yīng)用數(shù)據(jù)庫(kù)系統(tǒng)管理本行業(yè)本單位的業(yè)務(wù)。用就有亂用的，也就有了涉及數(shù)據(jù)庫(kù)取證的案件。數(shù)據(jù)庫(kù)取證核心就是利用各種數(shù)據(jù)分析思維方法以及數(shù)據(jù)庫(kù)知識(shí)對(duì)數(shù)據(jù)庫(kù)中存儲(chǔ)的數(shù)據(jù)進(jìn)行分析，發(fā)現(xiàn)案件線(xiàn)索或者是犯罪事實(shí)。當(dāng)然，搞數(shù)據(jù)庫(kù)取證肯定得有一些數(shù)據(jù)庫(kù)的基礎(chǔ)知識(shí)，今天瘋?cè)诉@里不談這些，只說(shuō)說(shuō)數(shù)據(jù)分析的思維方法。瘋?cè)宿垡晦圻@些年辦的數(shù)據(jù)庫(kù)取證案件，大致有以下兩類(lèi)：
一、針對(duì)單一數(shù)據(jù)庫(kù)信息系統(tǒng)分析的案件
這類(lèi)取證只需分析某特定業(yè)務(wù)信息數(shù)據(jù)庫(kù)系統(tǒng)中數(shù)據(jù)來(lái)發(fā)現(xiàn)案件線(xiàn)索或者犯罪事實(shí)，這類(lèi)案件有一個(gè)共同特點(diǎn)，就是嫌疑人對(duì)本單位數(shù)據(jù)庫(kù)信息系統(tǒng)進(jìn)行超越本角色的提權(quán)非法操作，來(lái)達(dá)到自己非法的目的，從中受益。所用的數(shù)據(jù)分析思維方法無(wú)外乎上面提到的哪幾種。
例如：瘋?cè)饲靶┠贽k理了一件某市住房維修基金管理中心張三貪污的案件，該管理中心的住房維修基金管理系統(tǒng)為單機(jī)系統(tǒng)，張三對(duì)收費(fèi)系統(tǒng)進(jìn)行提權(quán)非法操作，將交款的房屋業(yè)主繳費(fèi)記錄刪除，將所繳費(fèi)用據(jù)為己有。辦案時(shí)，瘋?cè)藢?duì)其后臺(tái)數(shù)據(jù)庫(kù)進(jìn)行分析，確定主數(shù)據(jù)表后，發(fā)現(xiàn)繳費(fèi)記錄在數(shù)據(jù)庫(kù)表中已經(jīng)被刪除，從數(shù)據(jù)表中得不到任何線(xiàn)索，只得通過(guò)對(duì)主數(shù)據(jù)表的日志入手來(lái)得到嫌疑人究竟刪除了多少記錄，得到結(jié)果是與數(shù)據(jù)庫(kù)中主數(shù)據(jù)表具有同樣結(jié)構(gòu)的表，表中包含很多數(shù)據(jù)項(xiàng)，其中一些數(shù)據(jù)項(xiàng)對(duì)辦案部門(mén)分析案情沒(méi)有用處，再與辦案部門(mén)溝通后，采取降維處理，保留了一些關(guān)鍵的數(shù)據(jù)項(xiàng)，使得結(jié)果直觀(guān)可見(jiàn)，為辦案部門(mén)后續(xù)工作提供了很大便利。
再比如在一起醫(yī)院結(jié)算員李四為住院病患非法退費(fèi)的案子。犯罪嫌疑人李四伙同該院的醫(yī)生、護(hù)士，共同利用該院醫(yī)療信息系統(tǒng)運(yùn)行管理上的漏洞，為病患進(jìn)行非法退費(fèi)，貪污公款三十余萬(wàn)元。瘋?cè)嗽趯?duì)數(shù)據(jù)庫(kù)后臺(tái)分析后，確定主數(shù)據(jù)表，那么如何確定哪些是非法退費(fèi)呢？根據(jù)辦案部門(mén)提供信息確定非法退費(fèi)基本均發(fā)生在正常工作日八小時(shí)之外。因此，以此為條件很快確定了可能的非法退費(fèi)記錄，同樣將結(jié)果降維，把對(duì)案件有用的數(shù)據(jù)項(xiàng)保留，結(jié)果反饋承辦人。在取證分析過(guò)程中，瘋?cè)税l(fā)現(xiàn)其他結(jié)算員中有某幾個(gè)在系統(tǒng)中退費(fèi)金額巨大，這引起了瘋?cè)说呐d趣，于是對(duì)其他幾名結(jié)算員的退費(fèi)記錄進(jìn)行查詢(xún)匯總對(duì)比，發(fā)現(xiàn)結(jié)果具有的特征與得到的李四非法退費(fèi)結(jié)果及其相似，于是瘋?cè)藢⒔Y(jié)果反饋辦案部門(mén)，最終為辦案部門(mén)再次提供了重要線(xiàn)索。
再比如某監(jiān)獄私放在押犯案件，嫌疑人王五偽造在押犯甲、乙、丙法律文書(shū)，并非法修改三人在監(jiān)管改造系統(tǒng)中的數(shù)據(jù)記錄，為三人進(jìn)行違規(guī)減刑。在對(duì)該監(jiān)獄監(jiān)管改造系統(tǒng)后臺(tái)數(shù)據(jù)庫(kù)進(jìn)行分析前，取證人員發(fā)現(xiàn)該系統(tǒng)日常進(jìn)行離線(xiàn)同步備份，備份周期以自然月為單位，相對(duì)固定，而就在私放在押犯甲乙丙三人時(shí)間點(diǎn)的前后，系統(tǒng)備份日期出現(xiàn)了異常，因此取證小組設(shè)計(jì)了比對(duì)各個(gè)備份文件中嫌疑人甲乙丙的在押情況數(shù)據(jù)記錄，來(lái)確定非法修改痕跡的思路。很快，經(jīng)過(guò)分析對(duì)比，得到了和我們推斷一樣的結(jié)果。
上述案件在進(jìn)行數(shù)據(jù)庫(kù)取證時(shí)，基本都用到了數(shù)據(jù)分析思維方法中的對(duì)照和降維，對(duì)照是為了更好地發(fā)現(xiàn)彼此間的相似與不同，而降維是為了更好地實(shí)現(xiàn)分析和結(jié)果呈現(xiàn)。
二、跨平臺(tái)跨行業(yè)數(shù)據(jù)庫(kù)信息系統(tǒng)聯(lián)合分析的案件
隨著各行各業(yè)行業(yè)數(shù)據(jù)庫(kù)系統(tǒng)的深度應(yīng)用和數(shù)據(jù)積累，信息系統(tǒng)產(chǎn)生了大量的數(shù)據(jù)，數(shù)據(jù)積累也到了較為可觀(guān)的程度。各行業(yè)各系統(tǒng)數(shù)據(jù)存在一個(gè)問(wèn)題，共享程度不高，但恰恰是這個(gè)問(wèn)題的存在，同時(shí)將數(shù)據(jù)分析的思維方法運(yùn)用到數(shù)據(jù)庫(kù)取證中，逐漸衍生出新的一類(lèi)數(shù)據(jù)庫(kù)取證。這類(lèi)案件分析相對(duì)復(fù)雜，往往需要進(jìn)行跨平臺(tái)跨庫(kù)的聯(lián)合分析，其共同特點(diǎn)是但看一個(gè)行業(yè)數(shù)據(jù)庫(kù)中的數(shù)據(jù)，發(fā)現(xiàn)不了異常，但是如果跨平臺(tái)進(jìn)行聯(lián)合分析，往往能夠發(fā)現(xiàn)大量線(xiàn)索。
例如：瘋?cè)饲靶┠暧龅竭^(guò)這樣一個(gè)案例，某交警隊(duì)交警違規(guī)刪除車(chē)輛違章記錄從中獲利的案子。由于該單位早期違章信息管理系統(tǒng)數(shù)據(jù)庫(kù)后臺(tái)設(shè)計(jì)相對(duì)簡(jiǎn)單，并沒(méi)有保留數(shù)據(jù)庫(kù)日志，因此案件分析一時(shí)遇到困難。但后來(lái)發(fā)現(xiàn)該地區(qū)還有一家單位負(fù)責(zé)將違章告知違章車(chē)主，同樣有一個(gè)后臺(tái)數(shù)據(jù)庫(kù)記錄車(chē)輛違章信息且信息記錄保存完好。這兩個(gè)數(shù)據(jù)庫(kù)后臺(tái)記錄相同的記錄，像車(chē)牌號(hào)、違章地點(diǎn)所記錄數(shù)據(jù)內(nèi)容完全相同，只是其他一些數(shù)據(jù)項(xiàng)有差異，因此，對(duì)照兩個(gè)數(shù)據(jù)庫(kù)中的數(shù)據(jù)記錄，即可確定哪些記錄被刪除。但其中違章時(shí)間數(shù)據(jù)項(xiàng)有差異，因此需要對(duì)違章時(shí)間數(shù)據(jù)項(xiàng)進(jìn)行技術(shù)處理，這就用到了數(shù)據(jù)分析中的拆分，在根據(jù)當(dāng)時(shí)案件具體情況設(shè)定條件（技術(shù)細(xì)節(jié)這里不談了），最終確定了被刪除的記錄。
再比如瘋?cè)饲靶r(shí)候看的一個(gè)案例，某市存在違規(guī)領(lǐng)取低保的案例，但從社保系統(tǒng)中很難發(fā)現(xiàn)異常，但根據(jù)掌握事實(shí)，確實(shí)存在違規(guī)領(lǐng)取低保的現(xiàn)象，因此辦案部門(mén)調(diào)取當(dāng)?shù)毓ど?、房產(chǎn)等后臺(tái)數(shù)據(jù)庫(kù)信息，設(shè)定違規(guī)領(lǐng)取低保的條件，經(jīng)過(guò)比對(duì)分析，很快得到結(jié)果。（具體技術(shù)細(xì)節(jié)就不談了），在進(jìn)行數(shù)據(jù)分析取證中遇到的最大問(wèn)題就是各個(gè)平臺(tái)數(shù)據(jù)庫(kù)記錄數(shù)據(jù)項(xiàng)并不是按照統(tǒng)一的格式規(guī)范，因此分析前需要對(duì)數(shù)據(jù)進(jìn)行清洗規(guī)范，這個(gè)過(guò)程中就會(huì)用到拆分的方法，或保留關(guān)鍵數(shù)據(jù)內(nèi)容去除無(wú)意義數(shù)據(jù)內(nèi)容，或者一列變兩列甚至更多。
當(dāng)然，瘋?cè)艘灿H歷過(guò)不少這樣的案例，例如違規(guī)領(lǐng)取退休金、房產(chǎn)交易等等。這些案子由于各種原因技術(shù)細(xì)節(jié)就不在這里說(shuō)了，總之用的技術(shù)方法大同小異。在數(shù)據(jù)清洗中，往往用到拆分的思維方法，比如房產(chǎn)系統(tǒng)中在記錄身份證號(hào)時(shí)，有的只記錄業(yè)主的，有的記錄的是全部家庭成員且在一個(gè)數(shù)據(jù)項(xiàng)中記錄，這時(shí)就需要對(duì)數(shù)據(jù)項(xiàng)進(jìn)行拆分。
上述案件在進(jìn)行數(shù)據(jù)庫(kù)取證時(shí)，除了用到數(shù)據(jù)分析思維方法中的對(duì)照和降維外，在進(jìn)行數(shù)據(jù)清洗規(guī)范格式的時(shí)候，經(jīng)常用到拆分和增維，拆分是為了統(tǒng)一一個(gè)可進(jìn)行關(guān)聯(lián)的數(shù)據(jù)項(xiàng)，增維往往更有利于我們進(jìn)行直觀(guān)的分析。
打了這么多字，瘋?cè)苏娴挠行├?，這也算個(gè)體力活。要想掰開(kāi)了揉碎了說(shuō)，還得打不少字，不是瘋?cè)藨?，只不過(guò)這里畢竟是公眾號(hào)，有的分析細(xì)節(jié)還是不說(shuō)的好。想透徹地和瘋?cè)肆牧牡脑?huà)，可以關(guān)注我的公眾號(hào)，當(dāng)然也可以添加瘋?cè)说奈⑿?，咱們好好聊。?shù)據(jù)在一天天積累，可能有一天，真正的大數(shù)據(jù)時(shí)代真的會(huì)到來(lái)，先不說(shuō)技術(shù)多么深不可測(cè)，這些簡(jiǎn)單的數(shù)據(jù)分析的思維方法還是要傳遞的。能達(dá)到這個(gè)目的，瘋?cè)诉@些字兒就沒(méi)有白打。您說(shuō)是不是。
不假思索，即興寫(xiě)來(lái)，一孔之見(jiàn)，信口開(kāi)河。瘋?cè)搜辕傉Z(yǔ)，觀(guān)者圖一樂(lè)。足矣。
聯(lián)系客服
