Удаление записи меняет состояние базы, но не обязательно уничтожает все сведения о ней одновременно. Следы могут сохраниться в журнале транзакций или аудита, резервной копии, снимке, реплике, журнале приложения и физических структурах хранения. Экспертиза баз данных и СУБД позволяет сопоставить эти источники, реконструировать хронологию конкретных операций в пределах сохранившихся данных и определить, восстановление каких сведений по представленным источникам невозможно.
До полного исследования можно проверить, есть ли в доступном комплекте нужные виды копий и журналов. Это особенно важно для источников с коротким сроком хранения. Предварительный просмотр не гарантирует обнаружения записи: аудит мог быть отключён, старые версии — очищены, а резервные данные — перезаписаны.
Когда требуется исследование изменений и удаления
Такое исследование выбирают, когда спор касается определённых записей, документов или ключей, а также конкретного периода и операций. В отличие от расследования кибератаки оно сосредоточено на технической истории самой БД и связанных с ней источников.
- изменены сумма, статус, дата, реквизит, документ, ключ или связанная запись;
- удалены записи о документах или хозяйственных операциях, учётные записи, таблицы, коллекции либо журналы;
- две стороны представили разные копии базы;
- нужно сопоставить операцию с учётной записью, сессией и временем;
- нужно оценить возможность восстановления исторического состояния;
- есть подозрение на работу фонового задания, интеграции или скрипта;
- нужно проверить объяснение о штатном сбое или восстановлении из резервной копии.
Если изменение обнаружено после миграции, восстановления или общего сбоя, направление выбирают по главному вопросу. Историю конкретных объектов исследуют здесь; полноту всего переноса — в рамках экспертизы миграции; причины отказа системы — в рамках экспертизы производительности и сбоев. В одной работе эти задачи можно сочетать, заранее разделив вопросы и объекты.
Если спор касается даты создания отдельного DOCX, PDF или иного файла и его файловых метаданных, применяется экспертиза обстоятельств создания файлов. Путь проникновения, вредоносное ПО и действия на узлах инфраструктуры требуют DFIR-исследования.
Предмет и границы выводов
Эксперт исследует технические обстоятельства создания, изменения и удаления конкретных объектов БД, отражённые в доступных материалах. Он может описать последовательность событий, значения, идентификаторы и согласованность источников, но формулирует выводы только в пределах содержащихся в них сведений.
Учётная запись, IP-адрес или имя приложения не тождественны человеку. Операцию мог выполнить сервис, интеграция, триггер, фоновое задание или лицо, использовавшее чужие реквизиты. Эксперт описывает обнаруженную операцию и технический контекст, но не разрешает вопросы о виновности, умысле, наличии мошенничества и иной правовой квалификации.
Какие объекты исследуются
Состав объектов определяется движком, версией, архитектурой и настройками хранения. Логический дамп часто показывает лишь состояние выбранных данных на момент выгрузки и не содержит прошлых версий, служебных файлов и полной истории.
Рабочая база и её копии
Исследуются физические файлы, логические выгрузки, резервные копии, снимки, реплики и архивы виртуальных машин. Они сохраняют разные сведения и не заменяют друг друга. Для каждой копии фиксируют источник, узел и роль реплики, состояние сервиса, время начала и окончания с часовым поясом, команду и версию средства, позицию журнала или контрольную точку, охват томов, размер и контрольные суммы с указанием алгоритма. Эти сведения необходимы для проверки, но согласованность копии подтверждают отдельно средствами и критериями конкретной СУБД: проверяют резервную копию, полноту томов, контрольную точку или позицию журнала и состояние реплик.
Транзакционные и аудиторские журналы
Назначение и полнота WAL, redo, binary log, transaction log и аудита зависят от СУБД и режима журналирования; эти источники нельзя считать взаимозаменяемыми. Они могут использоваться для восстановления, повторения операций, репликации или фиксации выбранных действий. Исходный запрос, прежнее значение и идентификатор учётной записи сохраняются не во всех режимах.
Что ограничивает восстановление
В реляционной СУБД старую версию может удалить очистка MVCC, а в других системах — compaction, merge, sweep, TTL или вытеснение ключа. На результат также влияют повторное использование страниц, шифрование, ротация журналов, неполный набор томов и восстановление поверх прежнего состояния. Поэтому сам факт существования транзакционного журнала ещё не означает, что из него можно извлечь значение любой удалённой записи.
Связанные источники
Для проверки технической гипотезы о событии могут потребоваться журналы приложения, ОС, IAM, VPN, прокси и мониторинга; конфигурация; код триггеров и процедур; расписания задач; карта ролей; документы о штатных работах. Источники сопоставляют по времени и идентификаторам, отдельно отмечая расхождения и возможные причины.
Как сохранить работающую систему
Рабочая база продолжает меняться. Если вы уполномочены управлять системой, до согласования способа фиксации не запускайте новые операции, способные изменить спорные следы, и не меняйте действующие регламенты обслуживания. Вместе с владельцем системы, администратором и специалистом выберите способ получить согласованный снимок или резервную копию без неоправданного риска для эксплуатации. Доступ только для чтения позволяет осмотреть текущее состояние, но сам по себе его не сохраняет.
Исходный комплект хранят отдельно, ограничивают права на его изменение, регистрируют каждую передачу и после неё повторно проверяют контрольные суммы. Аналитические запросы и эксперименты выполняют на рабочей копии или стенде. В протоколе фиксируют участников, команды, время, часовой пояс и состояние сервиса. Если система находится у другой стороны, доступ получают с её согласия либо через назначивший орган; самовольно копировать объект не следует. Данные облачного провайдера запрашивают с учётом договора и применимого процессуального порядка.
Какие материалы подготовить
Сначала опишите спорную операцию, объект, ожидаемое и фактическое значение, период и уже выполненные действия администраторов. Полную копию рабочей базы на этом этапе передавать не требуется. Пароли и ключи направляют только после согласования защищённого канала.
- СУБД, точная версия, режим журналирования, сроки хранения журналов и исторических версий данных, топология;
- экземпляр, база или keyspace, схема, таблица, коллекция, документ, ключ или partition key и связанные объекты;
- временной интервал и часовой пояс каждого источника;
- полные и инкрементальные цепочки резервного копирования, снимки, дампы, реплики, каталоги или манифесты и протоколы их создания;
- транзакционные и платформенные журналы изменений, репликации, аудита, ошибок, приложения и ОС;
- учётные записи, роли, сервисы, фоновые задания и интеграции;
- документы о штатных операциях, восстановлении и обновлениях;
- определение, постановление либо согласованное внесудебное задание.
Какие вопросы поставить перед экспертом
Вопросы должны относиться к конкретным объектам и доступным источникам. До назначения экспертизы можно отделить сопоставление операций с техническими идентификаторами от установления личности и подготовить проверяемое задание для нужного периода.
Укажите таблицу, коллекцию или пространство ключей, идентификатор объекта, поле, экземпляр, временной интервал и часовой пояс. Разделите изменение, удаление, восстановление и сопоставление идентификаторов на самостоятельные задачи. Окончательные вопросы и материалы судебной экспертизы определяет назначающий орган.
- Имеются ли технические признаки изменения указанного объекта — строки, документа или ключа?
- Какие значения указанного объекта отражены в названных источниках и в какой последовательности?
- Имеются ли признаки удаления указанного объекта?
- Какой период истории доступен по представленным журналам и копиям?
- Под какими техническими идентификаторами отражены исследуемые операции?
- Согласуются ли временные отметки разных источников после учёта часовых поясов, смещения часов и допустимой погрешности?
- Возможно ли восстановить указанные значения и в каком объёме?
- Чем различаются две указанные копии базы данных, зафиксированные на названные моменты времени?
- Согласуются ли обнаруженные признаки изменения с выполнением указанной штатной процедуры или фоновой задачи и какие альтернативные причины проверены?
Вопрос «кто удалил запись?» заменяют вопросом об операции, учётной записи, сессии и сопоставимых журналах. Вместо «была ли запись подделана?» перечисляют значения и изменения, которые требуется проверить. «Можно ли всё восстановить?» уточняют перечнем объектов, источников и периодом.
Техническая последовательность операций не доказывает, кто действовал лично, с каким мотивом и виновен ли он. Правовую оценку даёт уполномоченный орган в пределах своей компетенции, а виновность устанавливает суд. Если заключение приписывает пользователю умысел или содержит правовую квалификацию, следует проверить пределы компетенции эксперта и обоснованность такого вывода. Дальнейшие действия зависят от вида процесса и существенности недостатка.
Методы исследования
После фиксации копий эксперт анализирует структуру и служебные объекты, сопоставляет состояния и проверяет временную последовательность. Восстановление или воспроизведение операций по журналам выполняют в изолированной среде, не изменяя исходный комплект.
В заключении указывают контрольные суммы входных объектов с алгоритмами, параметры стенда, версии средств извлечения и анализа, точные тексты или контрольные суммы скриптов, последовательность команд, запросы и контрольные суммы полученных файлов. Найденные значения, проверенные альтернативные технические объяснения и ограничения описывают отдельно. Результаты автоматического средства сверяют с исходными материалами и документацией для исследуемой версии. Если нужное событие не фиксировалось или источник допускает несколько толкований, об этом говорят прямо.
Предварительный прогноз и итоговый результат
Для предварительной оценки полезны описание СУБД, перечень копий, образец журналов, сроки их хранения и идентификаторы спорных записей, транзакций или сессий. По ним можно оценить предполагаемый период исследования, возможную полноту восстановления и точность сопоставления времени. Полный анализ может изменить эту оценку.
После процессуального назначения результат оформляется как заключение эксперта. Исследование по договору завершается внесудебным документом; порядок его представления и оценки зависит от вида судопроизводства. В обоих случаях документ должен описывать объекты, порядок фиксации, методы, хронологию, найденные значения и ограничения выводов.
От чего зависят срок и стоимость
Трудоёмкость зависит от числа и объёма копий, формата журналов, периода исследования, состояния носителей, необходимости развернуть совместимую среду, количества объектов и источников для сопоставления. Точные условия определяются после просмотра материалов. Организационный разбор помогает выбрать направление и увидеть явные пробелы в комплекте. Изучение материалов по существу и письменный предварительный прогноз заказываются отдельно; формат, стоимость и срок согласуют до начала работы.
Проведение экспертизы по уголовному делу
Судебная экспертиза по уголовному делу производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями.
Согласно постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», негосударственными судебно-экспертными учреждениями признаются некоммерческие организации, созданные на основании Гражданского кодекса Российской Федерации и Федерального закона «О некоммерческих организациях» и ведущие судебно-экспертную деятельность согласно своим уставам.
По сведениям организации, проведение судебных экспертиз предусмотрено её уставом (см. действующую редакцию в разделе «Документы организации»). Это само по себе не означает автоматического поручения любой экспертизы. Возможность поручить конкретное исследование определяет назначающий орган.
В случаях, перечисленных пунктом 5 постановления № 28, когда экспертизу по уголовному делу назначает суд, ему следует мотивировать в определении или постановлении поручение исследования учреждению либо конкретному лицу. Пункт 5 постановления № 28 связывает выбор негосударственного учреждения с невозможностью провести исследование в государственном учреждении, обслуживающем соответствующую территорию: например, из-за отсутствия нужного специалиста, материально-технической базы или специальных условий, либо с отводом компетентных государственных учреждений. Дополнительно учитываются квалификация эксперта, основания для отвода и действующий перечень экспертиз, выполняемых только государственными судебно-экспертными организациями.
