Методы электронной судебной экспертизы и эмуляция на службе специалистов по обеспечению долговременной сохранности электронных документов

Заметка Ребекки МакГиннес (Rebecca (Becky) McGuinness – на фото) была опубликована 18 марта 2013 года на блоге на сайте фонда «Открытые планеты» (Open Planets Foundation, OPF) под заголовком «Digital Forensics and Emulation for Preservationista»

Многие из инструментов и методов, разработанных для судебной электронной экспертизы (digital forensics, используется также термин «электронная криминалистика» - Н.Х.) могут быть интегрированы в практику обеспечения долговременной сохранности электронной информации и документов (digital preservation). Это особенно верно в отношении:

• Процессов обеспечения неизменности и целостности, анализа и экспертизы ценности материалов перед помещением их в хранилище или в электронный архив;


• Переданных в дар персональных электронных архивов, когда фактически передаются физическое оборудование и носители информации, а не электронный контент.

Хорошая практика электронной судебной экспертизы охватывает:

• Сбор данных (acquisition): деятельность по фиксации (to secure) и обеспечению неизменности состояния физических и электронных доказательств. Сюда входит создание образов жёстких дисков, создание метаданных и изготовление аутентичных копий, используемых  в ходе дальнейшего изучения. Эти методы могут также использоваться для того, чтобы «зафиксировать и обеспечить неизменность состояния» физических носителей и электронного контента;


• Изучение (examination): строгое, систематическое изучение данных с целью выявления представляющей интерес для следствия информации. На данном этапе используются такие методы, как выявление дубликатов; выявление системных файлов операционной системы, программ и т.д.; выявление случаев использования шифрования, персональных данных; и анализ развития событий во времени (time line analysis). Эти методы могут дополнить существующие методы характеризации данных, используемые в области обеспечения электронной сохранности (digital preservation);


• Анализ: часто выполняемый вручную анализ извлеченных данных; оценка их отношения к расследованию. Деятельность специалиста по обеспечению  электронной сохранности также может включать оценку того, в какой степени электронные материалы имеют отношение к конкретной коллекции; поиск и/или удаление персональных данных и создание профиля контента.

Эти инструменты и методы электронной судебной экспертизы в сочетании с привычными инструментами, применяемыми для обеспечения долговременной сохранности электронных материалов, могут быть использованы в рамках предшествующего вводу данных в хранилище/архивную систему workflow-процесса, который:

• Фиксирует данные в момент получения;


• Допускает работу инструментов только над созданными копиями, защищая исходные носители информации и данные;


• Обеспечивает сбор метаданных, необходимых для принятия обоснованных решений в отношении контента.

Какими именно будут эти решения, на практике зависит от различных факторов, в число которых входят тип предоставляемого доступа, полученные от правообладателей разрешения и политика учреждения.

Возможен, например, сценарий, когда подмножество контента извлекается из образа носителя информации и помещается в электронное хранилище. Доступ к этому материалу может предоставляться с использованием средств эмуляции, выбор которых, как и выбор отображающего контент программного обеспечения, делается на основе метаданных, собранные в ходе процесса, предшествовавшего вводу данных в хранилище.

Когда это допускается имеющимися требованиями и разрешениями, может появиться потенциально увлекательная возможность виртуализировать некоторые образы носителей информации, сформированные на основе оригинальных носителей. Образ должен быть работоспособен под управлением поддерживаемой средствами эмуляции операционной системы, и успех здесь не гарантирован. В тех случаях, когда такой подход работает, доступ к материалам может быть предоставлен через эмулированную версию оригинального компьютера, возможно, принадлежавшего автору или исследователю. В статьях, опубликованных в изданиях The Atlantic ( http://www.theatlantic.com/entertainment/archive/2010/04/snooping-through-salman-rushdies-computer/39260/   ) и в The New York Times  ( http://www.nytimes.com/2010/03/16/books/16archive.html?pagewanted=all ), описан прекрасный пример использования этих и похожих методов для сохранения персонального электронного архива известного писателя Салмана Рушди (Salman Rushdie).

Фонд «Открытые планеты» проведет два семинара-«хакатона» с акцентом на эти темы:

• 15-17 мая в Копенгагене, Дания (  http://wiki.opf-labs.org/...


• 3-5 июня в Чепел-Хилл (Chapel Hill), штат Северная Каролина, США (программа будет выложена в ближайшее время).

Ребекка МакГиннес (Rebecca (Becky) McGuinness)

Источник: сайт фонда «Открытые планеты»
http://www.openplanetsfoundation.org/blogs/2013-03-18-digital-forensics-and-emulation-preservationista