Форензика что это - от ударения до карьеры

Ноутбук бухгалтера, с которого предположительно ушли платёжки на подставные реквизиты. 72 часа на снятие образа через dd, восстановление удалённой переписки из Telegram Desktop и оформление заключения для юристов. Звучит как сериал - но это обычный вторник в DFIR-команде. Ниже - всё, что стоит знать о форензике: от того, где ставить ударение, до конкретных книг, инструментов и вакансий на российском рынке.

Форензика - что это такое и как правильно произносить​

Ударение в слове "форензика" ставится на второй слог: форЕнзика. На слух - [фарЭнзика], с ударным "э". Слово - калька с английского forensics, которое восходит к латинскому forensis - "относящийся к форуму". В Древнем Риме форум был местом суда, и forensic означало "судебный" - связанный с представлением доказательств на публичном процессе. Форензика на английском - digital forensics или computer forensics, полная форма - forensic science, то есть "судебная наука". Подробнее - в нашем подробном разборе расследование кибератаки.

При заимствовании в русский язык слово сузилось. Английское forensics покрывает любую судебную экспертизу - от баллистики до токсикологии. Русская "форензика" почти всегда означает компьютерную криминалистику: работу с цифровыми носителями, образами дисков, дампами памяти и сетевым трафиком. "Цифровая криминалистика" и "компьютерная криминалистика" - полные синонимы форензики, оба корректны. В вакансиях и на конференциях чаще встречается "форензика" - компактнее и привычнее для индустрии.

Простая аналогия: форензик-специалист - криминалист, только вместо отпечатков пальцев и гильз он работает с файлами, логами и метаданными. Как эксперт на месте преступления фиксирует каждую улику, не нарушая её целостности, так и цифровой криминалист снимает образ диска побитово, чтобы ни один байт не изменился. Результат - заключение, которое можно предъявить в суде или использовать для внутреннего расследования.

Компьютерная форензика и форензик-аудит: в чём разница​

Поиск по слову "форензик" выдаёт и описания расследований хакерских атак, и услуги консалтинговых компаний по проверке финансово-хозяйственной деятельности. Два разных мира - путать их не стоит.

Компьютерная форензика (digital forensics) - работа с цифровыми носителями: снятие образов дисков, анализ дампов оперативной памяти, восстановление удалённых файлов, разбор системных логов. Цель - найти следы инцидента (атаки, утечки, внутреннего мошенничества) и зафиксировать доказательства так, чтобы они выдержали юридическую проверку.

Форензик-аудит (forensic audit, forensic accounting) - финансовое расследование: поиск схем вывода активов, анализ закупочных цепочек, выявление мошеннических сделок. Инструменты здесь - бухгалтерские документы, банковские выписки, реестры контрагентов. Консалтинговые компании предлагают именно такие услуги: расследование корпоративного мошенничества и коррупции, экспертизу для арбитражных споров.

Общее - результат должен выдерживать юридическую проверку. Но набор навыков, инструментов и образование у специалистов отличаются радикально. Дальше речь пойдёт исключительно о компьютерной форензике - digital forensics.

Этапы форензик-расследования на практике​

Процесс цифрового расследования стандартизирован. ISO/IEC 27037 описывает четыре фазы работы с цифровыми доказательствами: идентификация, сбор, получение (acquisition) и сохранение. NIST добавляет анализ и представление результатов. На практике расследование инцидента проходит через все эти стадии - но живое расследование, конечно, менее аккуратно, чем стандарт на бумаге.

Идентификация и сбор доказательств​

Первый шаг - определить, какие устройства и носители могут содержать релевантные данные. Это не только очевидные ноутбуки и серверы, но и смартфоны, USB-накопители, сетевое оборудование (логи маршрутизаторов, DHCP-записи), облачные хранилища.

Порядок сбора критичен: волатильные данные - содержимое оперативной памяти, текущие сетевые соединения, кэш ARP-таблицы - исчезают при выключении устройства. Поэтому дамп RAM снимается первым, до любых других действий. Выдернул шнур из розетки раньше времени - потерял всё, что было в памяти. Каждое устройство документируется: серийный номер, местоположение, состояние на момент изъятия, кто и когда изъял.

Сохранение целостности данных​

Задача - гарантировать, что доказательства не были изменены. Для этого используются write-блокираторы (аппаратные устройства, физически запрещающие запись на носитель) и побитовое копирование. Снимается полный образ диска, включая неиспользуемое пространство и slack space. Целостность подтверждается хеш-суммами - если SHA-256 образа совпадает с SHA-256 оригинала, данные идентичны:
Оригинальный носитель после снятия образа - в сейф. Вся дальнейшая работа ведётся только с копией. Цепочка хранения (chain of custody) фиксирует, кто, когда и зачем обращался к доказательствам. Без неё грамотный адвокат оспорит результаты экспертизы в суде - и будет прав.

Извлечение и анализ​

Здесь начинается основная работа. Эксперт копается в файловой системе, реестре Windows, журналах событий, метаданных файлов, артефактах браузеров, истории USB-подключений, Prefetch-файлах, таблице $MFT.

Приходится учитывать техники антифорензики - целенаправленное уничтожение следов атакующим. В терминологии MITRE ATT&CK это техника Indicator Removal (T1070) с подтехниками: Clear Windows Event Logs (T1070.001), Clear Linux or Mac System Logs (T1070.002), Timestomp (T1070.006) - подмена временных меток файлов. Отдельно - Disable or Modify Tools (T1562.001), когда атакующий отключает логирование и средства защиты.

Задача форензика - распознать следы этих техник. Очищенный Event Log - сам по себе артефакт: запись EventID 1102 (Log was cleared) говорит не меньше, чем удалённые события. Подменённые временные метки обнаруживаются через сопоставление $MFT timestamps с $STANDARD_INFORMATION - если $SI-дата новее $FN-даты, это признак timestomping. Атакующий думал, что замёл следы, а на деле оставил красный флаг.

Согласно OWASP (A09:2021 - Security Logging and Monitoring Failures), отсутствие или некорректная настройка логирования - одна из ключевых проблем безопасности: без логов расследование инцидента превращается в работу вслепую.

Документирование и представление результатов​

Каждый шаг расследования фиксируется: какие инструменты использовались, какие параметры задавались, какие результаты получены. Заключение оформляется в форме, понятной неспециалистам - судьям, руководству компании, следователям. Для уголовных дел в России это заключение эксперта по ст. 204 УПК РФ, для корпоративных расследований - технический отчёт с выводами и рекомендациями.

Инструменты компьютерной форензики​

Первая команда - список процессов, вторая - сетевые соединения, третья - аргументы командной строки каждого процесса. Стартовый набор для выявления подозрительной активности в дампе памяти. Если видите svchost.exe с нетипичным родительским процессом - копайте дальше.

Артефакты Windows и сетевая форензика​

Eric Zimmerman Tools - набор бесплатных утилит для парсинга Windows-артефактов: MFTECmd (парсинг $MFT), PECmd (Prefetch), Registry Explorer (реестр), EvtxECmd (Event Logs), ShellBags Explorer, Timeline Explorer. В российских DFIR-командах - фактический стандарт. Бесплатно, быстро, с хорошей документацией.

Wireshark - анализатор сетевого трафика с графическим интерфейсом. В форензике используется для разбора pcap-файлов, полученных с IDS/IPS или при перехвате трафика. Фильтрация по протоколам, восстановление TCP-сессий, извлечение файлов из сетевого потока - всё из коробки.

Belkasoft X - коммерческий инструмент для извлечения и анализа данных с компьютеров, мобильных устройств и облачных сервисов. Поддерживает timeline-анализ и геолокацию, работает с зашифрованными данными.

NIST поддерживает программу Computer Forensics Tool Testing (CFTT), которая тестирует и валидирует форензик-инструменты. Там же доступна National Software Reference Library (NSRL) - база хешей известного ПО, позволяющая отфильтровать системные файлы при анализе и сфокусироваться на уникальных объектах.

Книги по форензике - что реально стоит читать​

Списки книг по цифровой криминалистике кочуют из статьи в статью - одни и те же названия, часто без пояснения, зачем их вообще открывать. Ниже - только то, что применимо на практике, с объяснением, кому и когда какую брать.

Н.Н. Федотов "Форензика - компьютерная криминалистика" - единственная фундаментальная книга на русском языке. Написана доступно, охватывает юридические и технические аспекты. Часть инструментов устарела, но правовая и методологическая база по-прежнему актуальна. Начинать стоит с неё - хотя бы чтобы понять, как форензика устроена в российском правовом поле.

Brian Carrier "File System Forensic Analysis" - детальный разбор файловых систем FAT, NTFS, Ext, UFS на уровне структур данных. Автор - создатель The Sleuth Kit. Книга тяжёлая, но если хочется понимать, что именно происходит при восстановлении удалённого файла и почему slack space может содержать обрывки старых данных - без неё никуда.

Michael Hale Ligh и соавторы "The Art of Memory Forensics" - разбор анализа дампов памяти Windows, GNU/Linux и macOS. Привязана к Volatility Framework. Одна из немногих форензика-книг, где теория подкреплена практическими примерами с реальными malware-сэмплами. Обязательна для тех, кто хочет работать с memory forensics.

Harlan Carvey "Windows Registry Forensics" - узкая тема, но для расследований на Windows критически важная. Реестр хранит данные о подключённых USB-устройствах, последних открытых файлах, программах автозапуска, сетевых подключениях. Книга учит эти данные извлекать и интерпретировать.

Laura Chappell "The Official Wireshark Certified Network Analyst Study Guide" - для тех, кому нужна сетевая форензика. Покрывает анализ трафика от базовых фильтров до разбора вредоносных коммуникаций.

Не стоит пытаться читать всё одновременно. Федотов - для контекста. Затем Carrier или "Art of Memory Forensics" в зависимости от того, дисковая или memory-форензика интереснее. Остальное - по мере необходимости.

Вакансии в форензике и профессия форензик-специалиста​

Трезвая картина: форензика - не массовый рынок вакансий. Позиций значительно меньше, чем в пентесте или SOC-мониторинге. Но специалисты нужны, и спрос растёт: IBM X-Force фиксирует рост атак с использованием действительных учётных данных на 71% год к году, а по данным CrowdStrike, облачные intrusions выросли на 26%. Больше инцидентов - больше расследований.

В России профессия форензик-специалиста реализуется в нескольких типах организаций:

• DFIR-команды вендоров и интеграторов - расследования инцидентов для заказчиков. Самый широкий спектр задач и кейсов.
• Экспертные подразделения силовых ведомств - криминалистическая экспертиза по уголовным делам. Требуется профильное образование и допуски.
• Внутренние ИБ-отделы крупных компаний - расследование утечек и инсайдерских угроз. Часто совмещается с ролью incident responder.
• Консалтинг - forensic audit (финансовые расследования), но это ближе к бухгалтерии, чем к технической компьютерной форензике.

На собеседованиях спрашивают: опыт работы с FTK Imager или Autopsy, понимание файловых систем NTFS и Ext4, навыки работы с Volatility, знание артефактов Windows (Prefetch, Amcache, ShellBags, Event Logs). Для senior-позиций - опыт с EnCase или X-Ways Forensics, знание стандартов chain of custody, умение оформлять заключения для суда.

По данным IBM, Bureau of Labor Statistics прогнозирует рост вакансий в computer forensics на 31% к 2029 году. Российский рынок пропорционально скромнее, но тренд аналогичный. Не стоит ожидать "лёгкого входа" - форензика требует глубоких технических знаний, усидчивости и внимания к деталям.

Форензика для начинающих: с чего начать​

Пошаговый план для тех, кто хочет войти в цифровую криминалистику.

1. Разберитесь с основами ОС. Форензик работает с артефактами операционных систем: файловая система NTFS (MFT, журнал транзакций $LogFile), реестр Windows, Event Log. Для GNU/Linux - структура /var/log, inode-based файловые системы, journalctl. Без этого фундамента инструменты бесполезны - как микроскоп без знания биологии.

2. Поставьте инструменты и попробуйте руками. Установите Autopsy, скачайте тестовые образы с CFReDS (Computer Forensic Reference Data Sets от NIST) или Digital Corpora. Попробуйте найти удалённые файлы, построить timeline, проанализировать веб-артефакты. Бесплатно, нужен только компьютер и время.

3. Освойте анализ памяти. Готовые дампы RAM для тренировки доступны на сайте Volatility. Установите Volatility 3, попробуйте извлечь список процессов, сетевые соединения, определить подозрительный процесс. Навык memory forensics - то, что отличает начинающего от продвинутого специалиста.

4. Изучите артефакты Windows. Установите Eric Zimmerman Tools, разберите $MFT, Prefetch и ShellBags на тестовых образах. Большинство расследований на практике - это Windows, знание этих артефактов критично.

5. Читайте writeups реальных инцидентов. Публикации DFIR-команд дают представление о том, как расследования выглядят от начала до конца: какие артефакты оказались ключевыми, какие техники антифорензики использовал атакующий, как оформлялись выводы.

6. Рассмотрите сертификацию. GIAC GCFE (Certified Forensic Examiner) - один из наиболее уважаемых сертификатов в отрасли. CHFI (Computer Hacking Forensic Investigator) от EC-Council - более доступный по стоимости вариант. Сертификация не заменяет опыт, но помогает пройти HR-фильтр.

7. Практикуйтесь на CTF-задачах. Форензик-таски на CTF-платформах - способ набить руку в разборе артефактов, анализе pcap-файлов и дампов памяти в условиях, приближённых к реальным.

Путь от «хочу в форензику» до первой рабочей задачи - минимум полгода-год при системном подходе. Навыки накапливаются через практику, не через чтение.

Одна вещь, которую редко говорят вслух: форензика - это не про героическое расследование одного большого инцидента. Это рутина. Снятие образов, ожидание копирования терабайтных дисков, однотипный парсинг артефактов, многочасовой timeline analysis. Романтики в профессии ровно столько, сколько в работе детектива из реальной жизни - немного. Но каждый десятый кейс даёт находку, ради которой всё стоит делать: удалённый файл, который не до конца затёрт; очищенный лог, в котором осталась одна запись; timestamp, который не бьётся с остальными.

Самый недооценённый навык в форензике - не техника, а умение писать заключения. Можно виртуозно владеть Volatility и Eric Zimmerman Tools, но если отчёт не может прочитать следователь или юрист - цена навыков стремится к нулю. На российском рынке это ощущается особенно остро: технически грамотных людей больше, чем тех, кто способен оформить результат так, чтобы он прошёл в суде.

И ещё: DFIR - digital forensics and incident response - это не два отдельных направления, а единый процесс. Расследование без навыков реагирования бессмысленно, а реагирование без фиксации доказательств уничтожает возможность разобраться в причинах. Если стоит выбор между "чистой форензикой" и incident response - не выбирайте, учитесь и тому и другому. Если хочется обсудить подходы к DFIR с теми, кто работает руками - на форуме codeby.net регулярно разбирают подобные кейсы.