База данных может быть одновременно рабочим инструментом организации, источником сведений о спорных операциях и сложным цифровым объектом, который продолжает изменяться. Экспертиза баз данных и систем управления базами данных (СУБД) исследует конкретные технические факты: какие сведения содержатся в заданных объектах, как они формируются, чем различаются копии, какие следы операций сохранились и соответствует ли работа системы измеримым требованиям. Она не заменяет правовую оценку, бухгалтерскую проверку или расследование всей ИТ-инфраструктуры.
До полного исследования возможен содержательный предварительный прогноз. После просмотра достаточного набора копий, журналов и документации специалист оценивает вероятный тип вывода, глубину доступной истории, видимые ограничения и недостающие материалы. Прогноз может быть благоприятным, неблагоприятным или показывать невозможность определённого ответа. Он не является заключением, не гарантирует нужный результат и может уточниться после изучения полного комплекта объектов.
Как выбрать направление исследования
Широкое выражение «экспертиза базы данных» скрывает разные технические задачи. Для каждой нужны свои объекты, методы и вопросы. Эта страница помогает выбрать направление; подробные перечни материалов и вопросов вы найдёте в описаниях конкретных исследований.
- Экспертиза изменений и удаления данных нужна, когда спор касается истории записей, журналов операций, идентификаторов учётных записей и возможности восстановления.
- Экспертиза соответствия базы данных техническому заданию исследует реализацию конкретных требований, дефекты схемы и функций при споре заказчика с разработчиком.
- Экспертиза миграции баз данных сравнивает источник и целевую систему, проверяет полноту переноса и согласованные преобразования.
- Экспертиза производительности и причин сбоев СУБД применяется к зафиксированным замедлениям, блокировкам, отказам и требованиям SLA.
- Рецензия на заключение экспертизы БД и СУБД проверяет уже готовое заключение, его объекты, методы и обоснованность, но не проводит новое первичное исследование вместо автора.
- Экспертиза СУБД PostgreSQL исследует данные, схему, WAL, резервные копии, конфигурацию, запросы, репликацию и миграцию с учётом особенностей конкретной версии PostgreSQL.
- Экспертиза СУБД Oracle исследует данные, схемы, redo, резервные копии, аудит, конфигурацию, запросы, восстановление и миграцию с учётом версии и архитектуры Oracle.
- Экспертиза СУБД MySQL исследует данные, схему, InnoDB, binary log, копии, аудит, конфигурацию, запросы, репликацию, восстановление и миграцию с учётом версии и способа размещения MySQL.
- Экспертиза СУБД Microsoft SQL Server исследует данные, схемы, журнал транзакций, резервные копии, аудит, конфигурацию, запросы, восстановление, сбои и миграцию с учётом версии, редакции и способа размещения SQL Server.
- Экспертиза СУБД IBM Db2 исследует данные, журналы транзакций, образы резервных копий, аудит, HADR, диагностику, восстановление, сбои и миграцию с обязательным уточнением платформы и версии Db2.
- Экспертиза СУБД SQLite исследует файл базы вместе с WAL, SHM и журналом отката, схему и данные приложения, целостность, возможность восстановления и полноту миграции.
- Экспертиза СУБД MongoDB исследует BSON-документы, WiredTiger, журнал, oplog, аудит, репликацию, шардинг, резервные копии, сбои и миграцию с учётом топологии развёртывания.
- Экспертиза СУБД Firebird исследует FDB, страницы и версии записей, транзакции, gbak и nbackup, трассировку, целостность, восстановление, сбои и миграцию.
- Экспертиза СУБД ClickHouse исследует части данных MergeTree, system.query_log и system.part_log, мутации, резервные копии, репликацию, Keeper, распределённые сбои, производительность и миграцию.
- Экспертиза СУБД Redis исследует ключи и TTL, вытеснение, RDB и AOF, репликацию, Sentinel или Redis Cluster, журналы, потерю данных, сбои, производительность и миграцию.
- Экспертиза СУБД Apache Cassandra исследует SSTable, журналы фиксации, временные метки и маркеры удаления, репликацию и согласованность, repair, снимки, аудит, CDC, сбои и миграцию.
Если задача касается информационной базы на платформе 1С, прежде всего вам следует прочитать об экспертизе 1С. Даты и свойства отдельных файлов исследуются в рамках экспертизы обстоятельств создания файлов. Путь атаки, вредоносное ПО и компрометация инфраструктуры относятся к экспертизе инцидентов кибербезопасности.
Что может установить эксперт
Возможности определяются не названием продукта, а сохранностью конкретных материалов. Эксперт сопоставляет независимые источники, проверяет альтернативные технические объяснения и формулирует вывод с той степенью определённости, которую позволяют данные.
- структуру схем, таблиц, полей, связей, ограничений, индексов и программных объектов СУБД;
- содержимое указанных записей в представленной копии или на определённый момент, если сохранены пригодные снимки и журналы;
- различия между базами, резервными копиями, дампами и версиями схемы;
- механизм формирования выбранного значения хранимой процедурой, триггером, запросом или связанной частью приложения;
- технические признаки операций, ошибок, блокировок, изменений и удаления в пределах доступной истории;
- соответствие конкретных элементов измеримым требованиям ТЗ, спецификации или SLA;
- полноту и корректность миграции по согласованным правилам сопоставления.
Наличие записи не подтверждает само по себе реальность хозяйственной операции, авторство документа или законность действия. Идентификатор пользователя показывает техническую учётную запись, а не обязательно физическое лицо. Виновность, умысел, правовые последствия, нарушение договора и размер убытков определяются не ИТ-экспертом.
Объекты исследования и сохранение цифровых следов
Исследоваться может работающий экземпляр, изолированная копия, дамп, резервная копия либо совокупность разнородных журналов. Обычный экспорт таблиц часто не содержит служебной истории, настроек и удалённых объектов, поэтому состав фиксируется до копирования.
Базы, копии и программные объекты
К основным объектам относятся физические файлы БД, логические дампы, снимки дисков и виртуальных машин, схемы, таблицы, представления, процедуры, функции, триггеры, индексы, роли и конфигурационные файлы. Для распределённой или облачной системы отдельно описываются узлы, реплики, сервисы и сторона, контролирующая каждый источник.
Журналы и резервные данные
Журнал транзакций, WAL, redo/binlog, журнал аудита, error log и журнал приложения решают разные задачи и имеют разные сроки хранения. Дополнительно могут потребоваться резервные копии, снапшоты, реплики, журналы операционной системы, IAM и средства мониторинга. Отсутствие события в одном журнале не доказывает, что действие не происходило.
Как не изменить объект
Не запускайте на спорной системе непроверенные средства восстановления, не очищайте логи и не выполняйте VACUUM, переиндексацию, миграцию или восстановление поверх исходного экземпляра. Для копий фиксируют источник, дату и способ получения, исполнителя, объём, контрольные суммы и последующие передачи. Исследовательские эксперименты проводят на рабочей копии или согласованном стенде.
Какие материалы подготовить
Комплект зависит от вопроса и архитектуры. Для первичной оценки полезнее предоставить точное описание спорного факта и доступные образцы, чем сразу передавать полную копию рабочей базы данных без согласованного порядка доступа и защиты конфиденциальной информации.
- наименование и версия СУБД, схема размещения узлов, операционная система и связанное приложение;
- точный период, часовой пояс, экземпляр, схема, таблица, ключ записи или запрос;
- дамп, резервная копия, снимок либо согласованный доступ только с необходимыми правами;
- журналы транзакций, аудита, ошибок, приложения и мониторинга за релевантный период;
- ТЗ, договор, спецификации, критерии приёмки, SLA, акты и история согласованных изменений;
- описание ролей, учётных записей, фоновых заданий, интеграций и регламентных операций;
- сведения о создании копий, контрольных суммах и хранении;
- определение суда, постановление или проект вопросов для соответствующего формата работы.
При тысячах таблиц и миллиардах строк сначала выделяют спорные сущности, период и критерии сравнения. Это не означает выбор только удобных заказчику данных: границы должны позволять проверить контекст, зависимости и альтернативные объяснения.
Форматы работы и предварительный прогноз
Организационный разбор проверяет компетенцию, наличие объекта и понятность вопросов. Содержательный прогноз начинается только после первичного изучения достаточного объёма материала. Полное заключение создаётся после исследования согласованного набора и проверки версий.
- Консультация помогает выбрать вид исследования и описать материалы, но не заменяет заключение.
- Предварительный прогноз оценивает вероятное направление вывода, доступную глубину и ограничения.
- Внесудебное исследование проводится по договору и отвечает на согласованные технические вопросы.
- Судебная экспертиза проводится по назначению суда или органа расследования в процессуальном порядке.
- Рецензия анализирует готовое заключение и предоставленные к нему материалы, не выдавая новое исследование за проверку текста.
Если экспертиза уже назначена, эксперт не принимает от стороны дополнительные базы и не даёт ей частный прогноз по существу поручения. Вопросы, новые материалы и уточнение доступа направляются через назначивший орган.
Какие вопросы поставить перед экспертом
Формулировка задаёт объект, период и исследовательскую задачу, поэтому влияет на полноту и определённость вывода. Мы поможем изучить ситуацию, отделить технические вопросы от правовых и подготовить проект формулировок для обращения или ходатайства.
Укажите конкретный экземпляр и версию БД, таблицу, запись, операцию, интервал и часовой пояс. Один вопрос должен решать одну задачу. Не используйте слова «виновен», «мошенничество», «нарушил договор» или «несанкционированно», если требуется установить технические факты; окончательный перечень вопросов судебной экспертизы определяет назначающий орган.
- Какие сведения содержатся в указанных объектах представленной базы данных?
- Чем различаются выбранные записи и объекты в двух представленных копиях?
- Имеются ли в доступных материалах технические признаки изменения или удаления указанных записей?
- Какие операции отражены под заданными идентификаторами за указанный период?
- Каков механизм формирования значения в указанном поле?
- Соответствует ли реализация перечисленных элементов конкретным пунктам ТЗ?
- Полно и корректно ли перенесены указанные данные из источника в целевую систему?
- Какие технические факторы вызвали зафиксированный сбой или отклонение показателя?
- Достаточны ли представленные материалы для ответа и какие ограничения обнаружены?
Вопрос «кто подделал запись?» корректируется на вопрос об операциях, технических идентификаторах и времени. Вопрос «нарушил ли подрядчик договор?» заменяется сопоставлением конкретных элементов с пунктами ТЗ. Вопрос «достоверны ли данные?» уточняется до сравнения с названным источником и заданным критерием.
Причина этих замен — в разграничении компетенции. Эксперт по базам данных может установить операции, свойства записей и технические идентификаторы, но не вправе решать, кто виновен, был ли умысел, нарушен ли договор и какие правовые последствия наступили. Например, учётная запись указывает на технический идентификатор, а не доказывает, какое физическое лицо выполнило действие. Правовую оценку и выводы о виновности делает суд или орган расследования по совокупности доказательств.
Если эксперт всё же отвечает за пределами специальных знаний или подменяет техническое исследование правовым выводом, заключение не становится недопустимым автоматически. Однако это позволяет оспаривать компетентность эксперта, относимость, допустимость, достоверность и обоснованность заключения, просить допрос эксперта либо назначение дополнительной или повторной экспертизы. В уголовном процессе обнаруженная некомпетентность может повлечь отвод эксперта; в иных процессах отвод возможен только по применимым основаниям. При существенном нарушении процессуального порядка сторона вправе добиваться исключения заключения или признания его недопустимым доказательством по правилам соответствующего вида судопроизводства.
Методы и проверяемость вывода
Метод выбирается после определения СУБД, версии и задачи. Обычно сочетаются фиксация и хеширование копий, анализ структуры и метаданных, выполнение документированных запросов, сравнение снимков, исследование журналов, восстановление на изолированном стенде, статический анализ программных объектов и контролируемые тесты.
В заключении должны быть понятны исходные данные, версия инструмента, запросы и параметры, полученные результаты, проверенные альтернативы и ограничения. Снимок экрана без источника, неописанный скрипт или вывод автоматического средства без проверки не обеспечивают воспроизводимости.
Что вы получите и как использовать результат
Итоговый документ содержит сведения об объектах, проведённых действиях, применённых методах, результатах, ответах и пределах вывода. Иллюстрации, выборки и сравнительные таблицы должны позволять проследить связь между исходным материалом и ответом.
Заключение может быть представлено в суд или использовано при переговорах, но не имеет заранее установленной доказательственной силы и оценивается вместе с другими материалами. Неблагоприятный прогноз помогает не заказывать полное исследование вслепую, запросить недостающие данные или выбрать другой вид специальных знаний.
От чего зависят стоимость и срок
На трудоёмкость влияют объём и число экземпляров, версии и типы СУБД, глубина требуемой истории, сохранность журналов, наличие документации, необходимость восстановления стенда, объём сравнения, режим доступа и участие специалистов других профилей. Точные условия определяются после просмотра материалов. Цена и срок предварительного прогноза, его форма и включение в первичный разбор согласуются отдельно и не предполагаются автоматически.
Проведение экспертизы по уголовному делу
Судебная экспертиза по уголовному делу производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями.
Согласно постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», негосударственными судебно-экспертными учреждениями признаются некоммерческие организации, созданные на основании Гражданского кодекса Российской Федерации и Федерального закона «О некоммерческих организациях» и ведущие судебно-экспертную деятельность согласно своим уставам.
По сведениям организации, проведение судебных экспертиз предусмотрено её уставом (см. действующую редакцию в разделе «Документы организации»). Это само по себе не означает автоматического поручения любой экспертизы. Возможность поручить конкретное исследование определяет назначающий орган с учётом предмета дела, квалификации эксперта, оснований для отвода и действующего перечня экспертиз, выполняемых только государственными судебно-экспертными организациями.
