Изменение или удаление строки не исчезает из всех технических источников одновременно. Следы могут сохраниться в журнале транзакций, аудите, резервной копии, снапшоте, реплике, журнале приложения или на носителе. Экспертиза изменений и удаления данных — специализированное направление экспертизы баз данных и СУБД, которое устанавливает доступную хронологию конкретных операций и пределы возможного восстановления.
До полной работы специалист может просмотреть образцы логов, описание СУБД и перечень копий, оценить глубину истории, вероятную восстанавливаемость и доступный уровень атрибуции. Такой прогноз не является заключением и не гарантирует обнаружение требуемой записи: журналирование могло быть отключено, версии очищены, а резервные данные перезаписаны.
Когда требуется исследование изменений и удаления
Направление подходит, когда спор сформулирован вокруг определённых записей, периода и операций. Оно отличается от общего расследования кибератаки тем, что исследует техническую историю самой БД и связанных с ней журналов.
- изменены сумма, статус, дата, реквизит или связанная запись;
- удалены документы, транзакции, пользователи, таблицы или журнал;
- две стороны представили разные копии базы;
- нужно сопоставить операцию с учётной записью, сессией и временем;
- нужно оценить возможность восстановления исторического состояния;
- есть подозрение на работу фонового задания, интеграции или скрипта;
- нужно проверить объяснение о штатном сбое или восстановлении из резервной копии.
Если спор касается даты создания отдельного DOCX, PDF или иного файла и его файловых метаданных, применяется экспертиза обстоятельств создания файлов. Путь проникновения, вредоносное ПО и действия на узлах инфраструктуры требуют DFIR-исследования.
Предмет и границы выводов
Эксперт исследует технические обстоятельства создания, изменения и удаления конкретных объектов БД, отражённые в доступных материалах. Он может описать последовательность событий, значения, идентификаторы и согласованность источников, но не дополняет вывод фактами, которых в них нет.
Учётная запись, IP-адрес или имя приложения не тождественны человеку. Операция может выполняться сервисом, интеграцией, триггером или лицом, использовавшим чужие реквизиты. Слова «несанкционированно», «фальсифицировал», «виновен» и «мошенничество» относятся к правовой оценке. Корректный вывод описывает обнаруженную операцию и технический контекст.
Какие объекты исследуются
Набор определяется движком и режимами хранения. Один логический дамп часто показывает текущее содержимое, но не содержит прошлых версий, файлов конфигурации и полной истории.
Рабочая база и её копии
Исследуются физические файлы, логические выгрузки, резервные копии, снимки, реплики, архивы и согласованные снимки виртуальных машин. Для каждой копии фиксируются источник, дата, способ получения, размер и контрольная сумма. Сравнивают сопоставимые состояния с учётом операций, выполненных после копирования.
Транзакционные и аудиторские журналы
WAL, redo, binlog и transaction log предназначены прежде всего для целостности и восстановления, а аудит — для фиксации выбранных действий. Они различаются составом, форматом и сроком хранения. Наличие журнальной записи может показать операцию или изменение, но имя фактического исполнителя сохраняется не всегда.
Связанные источники
Для проверки версии могут потребоваться логи приложения, ОС, IAM, VPN, прокси и мониторинга; конфигурация; код триггеров и процедур; расписания задач; карта ролей; переписка об инциденте. Эти источники сопоставляются по времени и идентификаторам, а расхождения объясняются.
Как сохранить работающую систему
Рабочая база изменяется каждую секунду. До фиксации не очищайте логи, не восстанавливайте данные поверх исходника, не запускайте неизвестные средства восстановления, не переиндексируйте спорные объекты и не меняйте срок хранения журналов. Вместе с администратором и владельцем системы выберите допустимый способ создать снимок или резервную копию либо предоставить доступ только для чтения.
Оригинальный набор сохраняют отдельно, а аналитические запросы и эксперименты выполняют на копии или стенде. Документируются участники, команды, время, часовой пояс и контрольные суммы. Если данные находятся у провайдера, заранее выясняют доступность журналов и порядок их процессуального получения.
Какие материалы подготовить
Эксперту нужен не максимальный объём без описания, а полный контекст выбранной операции. Укажите объект, ожидаемое и спорное значение, период и известные действия администраторов.
- СУБД, точная версия, режим журналирования, сроки хранения записей и топология;
- экземпляр, схема, таблица, первичный ключ и связанные объекты;
- временной интервал и часовой пояс каждого источника;
- бэкапы, снапшоты, дампы, реплики и сведения об их создании;
- журналы транзакций, аудита, ошибок, приложения и ОС;
- учётные записи, роли, сервисы, фоновые задания и интеграции;
- документы о штатных операциях, восстановлении и обновлениях;
- определение, постановление либо согласованное внесудебное задание.
Какие вопросы поставить перед экспертом
Вопросы должны относиться к конкретным объектам и доступным источникам. Мы поможем отделить техническую атрибуцию от установления личности и сформировать проверяемое задание для нужного периода.
Укажите таблицу, ключ записи, поле, экземпляр, временной интервал и часовой пояс. Разделите изменение, удаление, восстановление и атрибуцию на самостоятельные задачи. Суд определяет окончательные вопросы и материалы назначенной экспертизы.
- Имеются ли технические признаки изменения записи с указанным ключом?
- Какие значения этой записи отражены в доступных источниках и в какой последовательности?
- Имеются ли признаки удаления указанной записи или объекта?
- Какой период истории доступен по представленным журналам и копиям?
- Под какими техническими идентификаторами отражены исследуемые операции?
- Согласуются ли временные отметки разных источников?
- Возможно ли восстановить указанные значения и с какой полнотой?
- Чем различаются рабочая копия и резервная копия на заданную дату?
- Могло ли изменение быть результатом указанной штатной процедуры или фоновой задачи?
- Достаточны ли материалы для категорического ответа и какие ограничения имеются?
Вопрос «кто удалил запись?» корректируется до операции, учётной записи, сессии и сопоставимых логов. Вопрос «была ли запись подделана?» заменяется описанием конкретных изменений. Вопрос «можно ли всё восстановить?» уточняется перечнем записей, источников и периода.
Идентификатор учётной записи и техническая последовательность операций ещё не доказывают, кто действовал лично, с каким мотивом и виновен ли он в правовом смысле. Эти обстоятельства суд или орган расследования устанавливает по совокупности цифровых и иных доказательств, а эксперт отвечает только в пределах специальных знаний о БД. Если он приписывает пользователю умысел или даёт правовую квалификацию, это не аннулирует заключение автоматически, но требует проверить его компетентность и оспаривать относимость, допустимость, достоверность и обоснованность соответствующего вывода. В уголовном процессе обнаруженная некомпетентность может повлечь отвод эксперта; в иных процессах отвод возможен лишь по предусмотренным ими основаниям. В зависимости от влияния ошибки можно просить допрос, дополнительную или повторную экспертизу, а при существенном процессуальном нарушении — ставить вопрос об исключении заключения либо признании его недопустимым доказательством в применимом процессе.
Методы исследования
После фиксации копий эксперт анализирует структуру, служебные таблицы, журналы и резервные данные, выполняет документированные запросы, сравнивает состояния и проверяет временную последовательность. Восстановление или replay выполняются в изолированной среде, чтобы не изменить исходный объект.
Результаты автоматического инструмента проверяют по исходным материалам и документации к соответствующей версии СУБД. В заключении указывают команды, запросы, параметры, найденные значения, альтернативные объяснения и ограничения. Если журнал не фиксировал нужное событие, об этом говорят прямо.
Предварительный прогноз и итоговый результат
Для прогноза полезны описание СУБД, перечень копий, образец журналов, сроки хранения записей и несколько спорных идентификаторов. Специалист оценивает глубину истории, возможность восстановления, доступную точность времени и уровень технической атрибуции. Неблагоприятная оценка позволяет остановить разрушительные действия, запросить данные у провайдера или выбрать иной объект.
Итоговое заключение описывает объекты, фиксацию, методы, хронологию, найденные значения и пределы вывода. Оно может использоваться в процессе, но оценивается вместе с другими доказательствами. После назначения судебной экспертизы сторона не передаёт материалы и не получает частный прогноз непосредственно от назначенного эксперта.
От чего зависят срок и стоимость
Трудоёмкость определяется числом и объёмом копий, форматом журналов, глубиной истории, состоянием носителя, необходимостью развернуть совместимую среду, количеством записей и источников для корреляции. Точные условия и формат предварительного прогноза согласуются после просмотра материалов; отсутствие подтверждённой цены не заменяется универсальным обещанием.
Проведение экспертизы по уголовному делу
Согласно Постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. N 28 "О судебной экспертизе по уголовным делам" экспертиза по уголовному делу может быть проведена либо государственным экспертным учреждением, либо некоммерческой организацией, созданной в соответствии с Гражданским кодексом Российской Федерации и Федеральным законом "О некоммерческих организациях", осуществляющих судебно-экспертную деятельность в соответствии с принятыми ими уставами.
Коммерческие организации и лаборатории, индивидуальные предприниматели, образовательные учреждения не имеют права проводить экспертизу по уголовному делу, ровно как и некоммерческие организации, для которых экспертная деятельность не является уставной. Экспертиза, подготовленная указанными организациями в рамках уголовного процесса, может быть признана недопустимым доказательством, т.е. доказательством, полученным с нарушением требований процессуального закона.
Недопустимые доказательства не могут использоваться в процессе доказывания, в том числе, исследоваться или оглашаться в судебном заседании, и подлежат исключению из материалов уголовного дела.
Так как АНО "Судебный эксперт" является автономной некоммерческой организацией, а проведение судебных экспертиз является её основной уставной деятельностью (см. раздел "Документы организации"), то она имеет право проводить экспертизы в том числе и по уголовным делам.
