Основы компьютерной криминалистики и цепочка хранения доказательств

Цифровая криминалистика — это методичное извлечение, сохранение и анализ цифровых доказательств, чтобы результаты выдерживали проверку, в том числе в суде.

Это не просто восстановление данных. Определяющее требование — обоснованность: каждое действие должно быть задокументировано, воспроизводимо и беспристрастно.

• Идентификация релевантных источников доказательств
• Сохранение без изменений
• Анализ с использованием проверенных методов
• Представление в понятных воспроизводимых отчётах

При реагировании на инцидент в реальном времени собирайте доказательства из источников, начиная с наиболее изменчивых и заканчивая наименее изменчивыми. Данные, которые исчезают быстрее всего, необходимо захватить первыми.

• Регистры CPU и кэш
• Таблица маршрутизации, кэш ARP, список процессов, сетевые соединения
• RAM (память)
• Временные файловые системы
• Диск
• Удалённое ведение журналов и архивные носители

RFC 3227 закрепляет этот принцип. Если слишком рано снять образ диска, артефакты оперативной RAM будут навсегда утрачены.

Цепочка хранения доказательств — это документированная хронологическая запись, показывающая, кто, когда и зачем работал с доказательством и что именно с ним сделал.

Одного пропуска в этой цепочке достаточно, чтобы доказательство признали недопустимым. Каждая передача фиксируется.

• Кто собрал и получил предмет
• Что представляет собой предмет (серийный номер, хеш, описание)
• Когда произошла каждая передача
• Где он хранился
• Почему изменился ответственный за хранение

Криптографические хеши доказывают, что доказательства не изменились. Вычисляйте хеш при получении и повторяйте вычисление позже; совпадение значений подтверждает целостность.

Используйте SHA-256 как современный стандарт. MD5 и SHA-1 всё ещё встречаются в устаревших инструментах, но слабы в отношении коллизий; многие лаборатории фиксируют оба значения для взаимной проверки.

Блокировщик записи устанавливается между следователем и диском с доказательствами, разрешая чтение и физически или логически запрещая запись. Это гарантирует, что оригинал не будет изменён во время получения копии.

• Аппаратные блокировщики записи — подключаемые устройства, предпочтительные при работе для суда
• Программные блокировщики записи переводят ОС в режим монтирования только для чтения

Даже обычное подключение диска может изменить временные метки доступа, поэтому для исходного носителя блокировщик обязателен.

Золотое правило: анализируйте проверенную копию, а оригинал сохраняйте. Оригинал помещают в хранилище доказательств и стараются как можно меньше с ним работать.

Рекомендуется создать как минимум две копии: рабочий образ для анализа и архивный эталон, который не подвергается изменениям. Хеши обеих копий должны совпадать с хешем источника.

Заметки, сделанные непосредственно во время работы, тоже являются доказательствами. Фиксируйте действия по мере их выполнения, а не записывайте их позже по памяти.

• Указывайте время каждого действия (используйте UTC, чтобы избежать неоднозначности)
• Фотографируйте место происшествия и состояние устройства
• Записывайте названия и версии инструментов
• Фиксируйте все аномалии и ошибки

Если событие не записано, то в суде считается, что его фактически не было.

До начала работы подтвердите наличие правового основания: ордера, согласия, внутреннего разрешения или применимого нормативного акта. Превышение пределов полномочий может поставить под сомнение всё дело и привести к юридической ответственности следователя.

Криминалистика зависит от юрисдикции. Трансграничные данные, ожидания сотрудников в отношении конфиденциальности и законодательство о защите данных (GDPR, KVKK) ограничивают, что именно можно собирать и каким образом.

Результаты должны быть воспроизводимыми: другой эксперт, использующий проверенные инструменты с теми же доказательствами, должен прийти к тому же выводу.

Поэтому лаборатории используют заведомо исправные инструменты с управлением версиями (по возможности проверенные с помощью NIST CFTT) и документируют версии инструментов. Пользовательские или непроверенные сценарии подрывают обоснованность результатов.

Выделенная изолированная рабочая станция предотвращает перекрёстное загрязнение и случайную утечку доказательств в сеть.

• Полностью изолированная от сети или защищённая строгими правилами брандмауэра
• Стерилизованные (очищенные и проверенные) целевые носители для образов
• Проверенный набор инструментов (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Доступ с ведением журнала

Возможность доказать целостность должна сохраняться не только при получении, но и на протяжении всего хранения. Периодически вычисляйте хеш заново, а также делайте это после каждой передачи, сравнивая результат с исходным значением.

• Пломбы на физических носителях, обнаруживающие вскрытие
• Хранилище доказательств с контролем доступа и ведением журнала
• Зафиксированный хеш при каждой передаче по цепочке хранения доказательств

Если позднее вычисленный хеш отличается от исходного, доказательство считается скомпрометированным, а сделанные на его основе выводы оспариваются.

Проверьте своё понимание порядка получения данных.

Вы изучили основы криминалистического исследования, результаты которого можно обосновать:

• Порядок изменчивости определяет последовательность сбора данных
• Цепочка хранения доказательств фиксирует каждую передачу
• Хеширование (SHA-256) подтверждает целостность
• Блокираторы записи защищают оригиналы
• Всегда работайте с проверенными копиями
• Документирование, правовые рамки и воспроизводимость делают доказательства допустимыми в суде

Далее: применение этих принципов для создания образов дисков и восстановления артефактов.