База данных может быть одновременно рабочим инструментом организации, источником сведений о спорных операциях и цифровым объектом, который продолжает меняться. Экспертиза баз данных и систем управления базами данных (СУБД) устанавливает конкретные технические факты: какие сведения содержатся в представленных объектах, как они формируются, чем различаются копии, какие следы операций сохранились и соответствует ли система измеримым требованиям. Она не заменяет правовую оценку, бухгалтерскую проверку или расследование всей ИТ-инфраструктуры.
Если данные могли изменить или удалить, прежде всего сохраните уже существующие копии, журналы и сведения о времени события. Не восстанавливайте резервную копию поверх единственного экземпляра, не очищайте журналы и не запускайте исправляющие команды без согласованного плана. Работающая, распределённая или облачная база требует способа фиксации, подходящего для её версии и архитектуры.
До полного исследования можно оценить перспективу задачи. По копиям, журналам и документации специалист определяет, какой вывод в принципе достижим, какую часть истории охватывают источники и чего не хватает. Предварительная оценка может показать, что ответ будет определённым, ограниченным либо невозможным при имеющемся составе данных. Это не заключение и не обещание результата; после изучения полного комплекта объектов оценка может уточниться.
Как выбрать направление исследования
Под выражением «экспертиза базы данных» понимают разные технические задачи. Для каждой нужны свои объекты, методы и вопросы. Направление определяют по двум координатам: предмету спора и используемой платформе. Например, история удалённой строки в PostgreSQL требует методики исследования изменений и одновременно учёта устройства PostgreSQL.
По предмету спора
- Экспертиза изменений и удаления данных нужна, когда спор касается истории записей, журналов операций, идентификаторов учётных записей и возможности восстановления.
- Экспертиза соответствия базы данных техническому заданию исследует реализацию конкретных требований, дефекты схемы и функций при споре заказчика с разработчиком.
- Экспертиза миграции баз данных сравнивает источник и целевую систему, проверяет полноту переноса и согласованные преобразования.
- Экспертиза производительности и причин сбоев СУБД нужна при спорах о зафиксированных замедлениях, блокировках, отказах и соблюдении SLA.
- Рецензия на заключение экспертизы БД и СУБД проверяет уже готовое заключение, его объекты, методы и обоснованность, но не проводит новое первичное исследование вместо автора.
По используемой СУБД
- Экспертиза СУБД PostgreSQL исследует данные, схему, WAL, резервные копии, конфигурацию, запросы, репликацию и миграцию с учётом особенностей конкретной версии PostgreSQL.
- Экспертиза СУБД Oracle исследует данные, схемы, redo, резервные копии, аудит, конфигурацию, запросы, восстановление и миграцию с учётом версии и архитектуры Oracle.
- Экспертиза СУБД MySQL исследует данные, схему, InnoDB, binary log, копии, аудит, конфигурацию, запросы, репликацию, восстановление и миграцию с учётом версии и способа размещения MySQL.
- Экспертиза СУБД Microsoft SQL Server исследует данные, схемы, журнал транзакций, резервные копии, аудит, конфигурацию, запросы, восстановление, сбои и миграцию с учётом версии, редакции и способа размещения SQL Server.
- Экспертиза СУБД IBM Db2 исследует данные, журналы транзакций, образы резервных копий, аудит, HADR, диагностику, восстановление, сбои и миграцию с обязательным уточнением платформы и версии Db2.
- Экспертиза СУБД SQLite исследует файл базы вместе с WAL, SHM и журналом отката, схему и данные приложения, целостность, возможность восстановления и полноту миграции.
- Экспертиза СУБД MongoDB исследует BSON-документы, WiredTiger, журнал, oplog, аудит, репликацию, шардинг, резервные копии, сбои и миграцию с учётом топологии развёртывания.
- Экспертиза СУБД Firebird исследует FDB, страницы и версии записей, транзакции, gbak и nbackup, трассировку, целостность, восстановление, сбои и миграцию.
- Экспертиза СУБД ClickHouse исследует части данных MergeTree, system.query_log и system.part_log, мутации, резервные копии, репликацию, Keeper, распределённые сбои, производительность и миграцию.
- Экспертиза СУБД Redis исследует ключи и TTL, вытеснение, RDB и AOF, репликацию, Sentinel или Redis Cluster, журналы, потерю данных, сбои, производительность и миграцию.
- Экспертиза СУБД Apache Cassandra исследует SSTable, журналы фиксации, временные метки и маркеры удаления, репликацию и согласованность, repair, снимки, аудит, CDC, сбои и миграцию.
Если вашей СУБД нет в перечне или платформа неизвестна, укажите её предполагаемое название, формат файлов и связанное приложение. Возможность исследования определяется после проверки версии, архитектуры и доступных объектов.
Информационную базу на платформе 1С исследуют в рамках экспертизы 1С. Даты и свойства отдельных файлов относятся к экспертизе обстоятельств создания файлов. Путь атаки, вредоносное ПО и компрометация инфраструктуры требуют экспертизы инцидентов кибербезопасности. При смешанном предмете заранее определяют состав специалистов и границы их задач.
Что может установить эксперт
Возможности определяются не названием продукта, а сохранностью конкретных материалов. Эксперт сопоставляет независимые источники, проверяет альтернативные технические объяснения и формулирует вывод с той степенью определённости, которую позволяют данные.
- структуру схем, таблиц, коллекций, документов, полей, ключей, связей, ограничений, индексов и программных объектов СУБД;
- содержимое указанных записей, документов или ключей в представленной копии либо на определённый момент, если сохранены пригодные снимки и журналы;
- различия между базами, резервными копиями, дампами и версиями схемы;
- механизм формирования выбранного значения хранимой процедурой, триггером, запросом или связанной частью приложения;
- технические признаки операций, ошибок, блокировок, изменений и удаления в пределах доступной истории;
- соответствие конкретных элементов измеримым требованиям ТЗ, спецификации или SLA;
- полноту и корректность миграции по согласованным правилам сопоставления.
Чего нельзя установить только по базе данных
Наличие записи само по себе не подтверждает реальность хозяйственной операции, авторство документа или законность действия. Идентификатор в журнале может обозначать пользователя БД или приложения, сервисную роль, сессию либо иной технический субъект и не обязательно указывает на человека, работавшего с системой. Виновность, умысел, нарушение договора, правовые последствия и размер убытков устанавливаются не ИТ-экспертом. Если для вывода нужны сведения из бухгалтерского учёта, документов, переписки, рабочих станций или сетевой инфраструктуры, назначают комплексное исследование либо экспертизу другого вида.
Объекты исследования и сохранение цифровых следов
Исследоваться может работающий экземпляр, изолированная копия, логический дамп, резервная копия, снимок хранилища либо совокупность журналов. Эти источники не взаимозаменяемы: экспорт таблиц обычно не содержит служебной истории и удалённых объектов, восстановленная резервная копия уже представляет новое состояние, а снимок части распределённой системы может оказаться несогласованным. Нужный способ фиксации выбирают исходя из вопроса; нередко требуется несколько источников.
Базы, копии и программные объекты
К основным объектам относятся физические файлы БД, логические дампы, снимки дисков и виртуальных машин, схемы, таблицы, представления, процедуры, функции, триггеры, индексы, роли и конфигурационные файлы. Для распределённой или облачной системы отдельно описываются узлы, реплики, сервисы и сторона, контролирующая каждый источник.
Журналы и резервные данные
Журнал транзакций, WAL, redo, binary log, журнал аудита, error log и журнал приложения решают разные задачи и имеют разные сроки хранения. Дополнительно могут потребоваться резервные копии, снимки, реплики, журналы операционной системы, IAM и средства мониторинга. Отсутствие события в одном журнале не доказывает, что действие не происходило.
Как не изменить объект
Не запускайте восстановление или исправление на исходном экземпляре, не очищайте журналы и не выполняйте обслуживающие операции, способные изменить страницы, версии записей или служебную историю. К таким операциям в разных СУБД относятся очистка старых версий, compaction, sweep, repair, слияние частей, переиндексация и смена роли реплики. Исследовательские эксперименты проводят на рабочей копии или согласованном стенде.
При создании копии фиксируют источник, узел и роль реплики, состояние сервиса, время начала и окончания с часовым поясом, применённую команду и версию средства, охват томов, позицию журнала или контрольную точку, объём, контрольные суммы, исполнителя и последующие передачи. Такой протокол позволяет проверить не только происхождение файлов, но и транзакционную согласованность полученного комплекта.
Если база находится у другой стороны или у облачного провайдера, способ доступа и перечень выгрузок согласуют заранее. В назначенной судебной экспертизе эксперт получает дополнительные объекты и доступ через суд, следователя или другой назначивший орган. Пароли, ключи и иные секреты передают отдельно от копий по согласованному защищённому каналу.
Какие материалы подготовить
Комплект зависит от вопроса и архитектуры. Для первичной оценки полезнее предоставить точное описание спорного факта и доступные образцы, чем сразу передавать полную копию рабочей базы данных без согласованного порядка доступа и защиты конфиденциальной информации.
- наименование и версия СУБД, схема размещения узлов, операционная система и связанное приложение;
- точный период, часовой пояс, экземпляр, схема, таблица, ключ записи или запрос;
- дамп, резервная копия, снимок либо согласованный доступ только с необходимыми правами;
- журналы транзакций, аудита, ошибок, приложения и мониторинга за релевантный период;
- ТЗ, договор, спецификации, критерии приёмки, SLA, акты и история согласованных изменений;
- описание ролей, учётных записей, фоновых заданий, интеграций и регламентных операций;
- для проверки расчётов — развёрнутая версия приложения или исполняемого артефакта, входные данные, параметры, конфигурация и внешние справочники;
- сведения о создании копий, использованных командах и параметрах, контрольных суммах, хранении и передаче;
- определение суда, постановление или проект вопросов для соответствующего формата работы.
Для облачной системы дополнительно нужны идентификаторы арендатора, региона, экземпляра и снимка, сведения о часовом поясе, сроках хранения логов и процедуре выгрузки. При больших массивах заранее определяют генеральную совокупность, правила включения и исключения, запрос и порядок отбора, версию снимка, обработку пропусков и критерии сравнения. Зафиксированное правило позволяет другой стороне воспроизвести выборку и проверить её контекст.
Форматы работы и предварительный прогноз
На первом обращении можно проверить, относится ли задача к компетенции эксперта, существует ли пригодный объект и понятны ли вопросы. Оценивать вероятный результат можно только после просмотра достаточного объёма материалов. Заключение готовят по итогам исследования полного согласованного комплекта, а не по одному показательному фрагменту.
- Консультация помогает выбрать вид исследования и описать материалы, но не заменяет заключение.
- Предварительный прогноз после изучения материалов оценивает, возможен ли ответ, за какой период сохранились данные и какие ограничения ожидаются.
- Внесудебное исследование проводится по договору и отвечает на согласованные технические вопросы.
- Судебная экспертиза проводится на основании определения или постановления уполномоченного органа либо лица.
- Рецензия оценивает объекты, методы, обоснование и выводы готового заключения. Новое исследование исходного объекта является другой задачей.
Бесплатный организационный разбор ограничивается выбором направления и явными пробелами по описанию задачи. Содержательный прогноз предполагает изучение самих материалов; его формат, стоимость и срок согласуют отдельно. Для первого обращения достаточно описания и перечня источников — рабочую базу, пароли и ключи не следует отправлять до согласования защищённого канала.
Если экспертиза уже назначена, назначенный по делу эксперт не принимает напрямую от одной из сторон дополнительные базы и не обсуждает с ней предполагаемые выводы. Вопросы, новые материалы и уточнение доступа направляются через назначивший орган.
Какие вопросы поставить перед экспертом
Формулировка задаёт объект, период и исследовательскую задачу, поэтому влияет на полноту и определённость вывода. До назначения экспертизы можно отделить технические вопросы от правовых и подготовить проект формулировок для обращения или ходатайства.
Укажите конкретный экземпляр и версию БД, таблицу, коллекцию или ключ, операцию, интервал и часовой пояс. Один вопрос должен решать одну задачу. Не формулируйте технический вопрос так, чтобы эксперт должен был установить виновность, мошенничество, нарушение договора или иную правовую квалификацию; окончательный перечень вопросов судебной экспертизы определяет назначающий орган.
- Какие значения указанных полей содержатся в названных записях, документах или ключах на исследуемом снимке?
- Чем различаются выбранные записи и объекты в двух представленных копиях?
- Имеются ли в доступных материалах технические признаки изменения или удаления указанных записей?
- Какие операции отражены в названных журналах для указанных учётных записей, сессий или транзакций за заданный период?
- Каков механизм формирования значения в указанном поле?
- Соответствует ли реализация перечисленных элементов конкретным пунктам ТЗ?
- Соответствует ли перенос указанной выборки согласованной карте полей, правилам преобразования и допустимым расхождениям?
- Какие технические факторы согласуются по времени с зафиксированным сбоем и позволяют ли материалы установить причинную связь?
Вопрос «кто подделал запись?» заменяют вопросом об операциях, технических идентификаторах и времени. Вместо «нарушил ли подрядчик договор?» сопоставляют названные элементы системы с конкретными пунктами ТЗ. «Достоверность данных» также требует критерия: эксперт может сравнить сведения с указанным источником или проверить их внутреннюю согласованность, но не подтвердить ими событие вне информационной системы.
Выход эксперта за пределы специальных знаний не делает заключение недопустимым автоматически. Суд оценивает его вместе с другими доказательствами. В зависимости от вида судопроизводства и характера недостатков можно ставить вопрос о допросе эксперта, дополнительной или повторной экспертизе, а также о допустимости и доказательственном значении заключения.
Методы и проверяемость вывода
Метод выбирается после определения СУБД, версии и задачи. Обычно сочетаются фиксация и хеширование копий, анализ структуры и метаданных, выполнение документированных запросов, сравнение снимков, исследование журналов, восстановление на изолированном стенде, статический анализ программных объектов и контролируемые тесты.
В заключении следует ясно указать исходные данные и их контрольные суммы, версию и редакцию СУБД, ОС, расширения, конфигурацию, локаль и часовой пояс стенда, последовательность команд, запросы и параметры, полученные результаты, проверенные альтернативы и ограничения. Снимок экрана без источника, неописанный скрипт или вывод автоматического средства без проверки не позволяют воспроизвести ход исследования.
Что вы получите и как использовать результат
Итоговый документ содержит сведения об объектах, ходе и методах исследования, полученных результатах, ответах на вопросы и ограничениях выводов. Иллюстрации, выборки и сравнительные таблицы должны позволять проследить связь между исходным материалом и ответом.
Заключение можно представить в суд или использовать при переговорах, но заранее установленной доказательственной силы оно не имеет и оценивается вместе с другими материалами. Предварительный прогноз помогает до полного исследования запросить недостающие данные или выбрать другой вид специальных знаний.
От чего зависят стоимость и срок
На трудоёмкость влияют объём и число экземпляров, версии и типы СУБД, период, за который требуется восстановить события, сохранность журналов, наличие документации, необходимость восстановления стенда, объём сравнения, режим доступа и участие специалистов других профилей. Точные условия определяются после просмотра материалов. Содержательный прогноз не входит в бесплатный организационный разбор; его формат, стоимость и срок согласуют отдельно.
Проведение экспертизы по уголовному делу
Судебная экспертиза по уголовному делу производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями.
Согласно постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», негосударственными судебно-экспертными учреждениями признаются некоммерческие организации, созданные на основании Гражданского кодекса Российской Федерации и Федерального закона «О некоммерческих организациях» и ведущие судебно-экспертную деятельность согласно своим уставам.
По сведениям организации, проведение судебных экспертиз предусмотрено её уставом (см. действующую редакцию в разделе «Документы организации»). Это само по себе не означает автоматического поручения любой экспертизы. Возможность поручить конкретное исследование определяет назначающий орган.
В случаях, перечисленных пунктом 5 постановления № 28, когда экспертизу по уголовному делу назначает суд, ему следует мотивировать в определении или постановлении поручение исследования учреждению либо конкретному лицу. Пункт 5 постановления № 28 связывает выбор негосударственного учреждения с невозможностью провести исследование в государственном учреждении, обслуживающем соответствующую территорию: например, из-за отсутствия нужного специалиста, материально-технической базы или специальных условий, либо с отводом компетентных государственных учреждений. Дополнительно учитываются квалификация эксперта, основания для отвода и действующий перечень экспертиз, выполняемых только государственными судебно-экспертными организациями.
