Бесследная криминалистика

В расследовании порой встречаются носители информации с огромным числом файлов. Это сравнимо не с библиотекой, а скорее с тем самым стогом сена, в котором надо найти иголку (нужные файлы). В этом помогают такие методы как дедупликация и кластеризация. Дедупликация работает по принципу «оставить один экземпляр». Компьютер вычисляет хэш каждого файла и мгновенно видит, какие объекты полностью идентичны по содержимому. Если в системе обнаружены тысячи одинаковых системных библиотек, копий фотографий или резервных архивов, достаточно проанализировать один файл из каждой группы. Остальные помечаются как дубликаты и уходят в фон. Это не означает их уничтожение: они сохраняются для доказательственной полноты, но перестают отнимать время. Кластеризация идёт дальше и работает уже не с идентичностью, а со сходством. Здесь файлы группируются по близости содержимого, структуры или поведения. Документы с похожими текстами, версии одного отчёта, изображения одной сцены, пересохранённые в разных форматах, автоматически попадают в один кластер. Для этого используются «нечёткие» хэши и статистические признаки: распределение байтов, фрагменты текста, повторяющиеся шаблоны. В отличие от дедупликации, кластеризация отвечает не на вопрос «это то же самое?», а на вопрос «насколько это похоже?». #технологии #кримтехника #кримтактика