دن فارمر از پژوهشگران امنیت سامانه‌های یونیکس است که نام او با ابزارهای حسابرسی و تحلیل پس از رخداد پیوند خورده است. فارمر و ویتسه ونما مجموعه The Coroner’s Toolkit را برای بررسی شواهد رایانه‌ای منتشر کردند. نسخه‌های اصلی این مجموعه در آرشیو دبیان باقی مانده‌اند. این آثار به دوره‌ای تعلق دارند که بسیاری از ابزارهای تحلیل جرم‌یابی دیجیتال هنوز در حال شکل‌گیری بودند. پرسشی که آن‌ها دنبال می‌کردند همچنان قابل فهم است. پس از یک رخداد، چه داده‌ای هنوز وجود دارد و چگونه می‌توان آن را بدون از بین بردن معنایش گردآوری کرد؟
زمان روی یک دیسک چگونه خوانده می‌شود؟
فایل فقط نام و محتوای فعلی ندارد. فراداده آن می‌تواند از تغییر، دسترسی یا تغییر ویژگی‌های ساختاری خبر دهد. با کنار هم گذاشتن این داده‌ها می‌توان ترتیب احتمالی رویدادها را بررسی کرد. اما هیچ زمان منفردی توضیح کامل اتفاق نیست. ساعت سیستم ممکن است دقیق نباشد، منطقه زمانی متفاوت باشد یا رفتار فایل‌سیستم با فرض تحلیل‌گر سازگار نباشد. ابزار یک جدول زمانی می‌سازد، ولی تفسیر این جدول به شناخت محیط وابسته است.
یکی از نکات ارزشمند این شیوه پژوهش، توجه به پویایی شواهد است. خواندن یک سامانه زنده می‌تواند خود اثری بر آن بگذارد. اطلاعات حافظه یا وضعیت فرایندها ممکن است با خاموش‌شدن از دست برود، در حالی که بررسی اشتباه رسانه اصلی می‌تواند فراداده را تغییر دهد. بنابراین تحلیل‌گر پیش از انتخاب ابزار باید بداند به دنبال پاسخ کدام سؤال است و چه نوع داده‌ای برای آن پاسخ لازم دارد.
ابزار تاریخی به‌عنوان سند روش
خواندن راهنما و سورس یک مجموعه قدیمی فقط برای اجرای برنامه نیست. از روی آن می‌توان دید نویسندگان چه داده‌ای را قابل گردآوری می‌دانستند، چه مفروضاتی درباره سیستم‌عامل داشتند و در کجا به ابزارهای بیرونی وابسته بودند. نسخه سیستم‌عامل و فایل‌سیستم بر نتیجه اثر می‌گذارد. اجرای همان روش روی سامانه امروزی بدون بررسی سازگاری ممکن است خروجی‌ای تولید کند که ظاهری معتبر اما معنایی متفاوت دارد.
در کار فارمر، توجه به ضعف پیکربندی و توجه به آثار پس از حادثه دو مرحله از چرخه امنیت‌اند. اولی می‌پرسد کدام شرایط امکان سوءاستفاده را فراهم کرده است و دومی می‌پرسد چه شاهدی از آنچه واقعاً رخ داده باقی مانده است. میان این دو نباید علامت تساوی گذاشت. وجود یک تنظیم ضعیف اثبات استفاده مهاجم از آن نیست. چنین تفکیکی در گزارش حرفه‌ای کمک می‌کند مشاهده، فرضیه و نتیجه‌گیری در جای خود بمانند. مطالعه کار مشترک فارمر و ونما از این منظر، تمرینی برای پیوند دادن ابزار فنی با کیفیت استدلال درباره شواهد است.
