Добро пожаловать в «О дивный мир форензики»! В 2026-м году арсенал цифровых криминалистов пополнился десятками новых утилит и версий проверенных флагманов. Ниже вы найдёте структурированный гид по самым востребованным программам, которые помогают экспертам извлекать, фиксировать и анализировать цифровые доказательства, а затем выносить заключения, пригодные для суда.

Классификация инструментов по назначению

• Разбор оперативной памяти: Rekall, Volatility3, Magnet RAM Capture.
• Анализ Docker-образов: DFIR-OCI, Dockle + dive.
• Журналы и логи: Plaso/log2timeline, Timesketch, Chainsaw.
• Браузерный кеш: Hindsight, BrowserHistoryView, ChromeCacheView.
• Мобильные устройства: Cellebrite UFED 4PC, Magnet AXIOM, Belkasoft X.
• Полный спектр «жёсткой» форензики: Autopsy, EnCase Forensic, X-Ways Forensics.

Топ-10 программных решений 2026 года

2.1 Autopsy 4.21 — «домашняя лаборатория» с открытым исходным кодом

Ключевые возможности:

• Графический интерфейс поверх The Sleuth Kit.
• REST API для автоматизации выгрузок.
• Модуль «Android Analyzer» теперь поддерживает Android 15+.
• Встроенный YARA-сканер для быстрого поиска вредоносных сигнатур.

Плюсы: бесплатно, русскоязычный форум, активные плагины.
Минусы: требует ручной настройки под российские ГОСТы судебной экспертизы.

2.2 EnCase Forensic 23.2 — «золотой стандарт» следственных органов

Флагман OpenText:

1. Поддержка NVMe-дисков 32 ТБ без потери скорости.
2. Новый режим EnScript Live Response для снятия образа «на горячую».
3. Экспорт в формате EDRM XML 2.2 — принимается арбитражными судами РФ.

Стоимость: от 1 350 000 ₽ за рабочее место (лицензия + 1 год техподдержки).

2.3 Cellebrite UFED 4PC 7.65 — мобильная форензика №1

Решение позволяет:

• Вскрывать iPhone 15 Pro на iOS 18 через checkm8 2.0.
• Дешифровывать WhatsApp, Signal, Telegram без root-доступа.
• Формировать отчёты по ФЗ-149 (служебные пометки оборудования МВД).

Важно: экспорт в .UFDR читается бесплатным Cellebrite Reader, что экономит время эксперта в суде.

2.4 Magnet AXIOM 7.0 — «всё в одном»

AXIOM объединяет:

• Анализ ПК, мобильных и облачных источников (OneDrive, Google Workspace).
• ИИ-модуль Magnet.AI, который автоматически маркирует CSAM-контент.
• Интеграцию с CrowdStrike Falcon для корреляции инцидентов.

2.5 X-Ways Forensics 21.8 SR-5 — скорость и точность

Абсолютный рекорд: сканирование 1 ТБ SSD за 28 минут при 16-байтовом выравнивании. Поддержка APFS snapshots и BitLocker-To-Go.

2.6 Volatility3 2.5 — анализ памяти нового поколения

Полностью переписан на Python 3.11:

• Фреймворк плагинов «Symbols-as-a-Service» ускоряет скачивание PDB-файлов.
• Поддержка Windows 11 24H2 и Linux 6.9.

2.7 Timesketch + Plaso, командная аналитика логов

Централизованное хранилище в Elasticsearch, визуализация таймлайна инцидента, экспорт в CyberChef для дальнейшего декодирования.

2.8 FTK Imager 4.7, создание юридически значимых образов

Поддержка SHA-2, SHA-3, BLAKE2 для целостности. Формирование E01 с сегментами по 2 ГБ для записи на DVD.

2.9 Belkasoft X 1.21 — «мобильный-чат-облако»

Специализируется на восстановлении удалённых переписок из iCloud и Google Takeout.

2.10 CAINE 12.0 — полноценный дистрибутив форензики

Более 100 скомпилированных инструментов с открытым кодом, включая Autopsy, Volatility, Rekall, YARA, Radare2. Работает в режиме live-only, не трогая диски системы.

Практический сценарий: от инцидента до экспертного заключения

Шаг 1. Фиксация первичных данных

Используем FTK Imager на выключенной машине → создаём E01-образ с двумя хеш-суммами (SHA-256 + MD5).

Шаг 2. Анализ образа

Загружаем образ в Autopsy:

1. Запускаем модуль Recent Activity → извлекаем список установленных программ.
2. Запускаем YARA-сканер → обнаруживаем сигнатуры стиллера паролей.
3. Экспортируем найденные .db-файлы во внешний каталог (сохраняем цепочку владения).

Шаг 3. Дополнительный сбор логов

С помощью Plaso превращаем Windows Event Logs в единый таймлайн → импортируем в Timesketch для совместного анализа.

Шаг 4. Мобильные данные

Если подозреваемый использовал смартфон, подключаем Cellebrite UFED 4PC → извлекаем iTunes Backup, расшифровываем Keychain, ищем следы мессенджеров.

Шаг 5. Формирование заключения

Экспорт из EnCase в формате EDRM XML, прикладываем XML-схему ФССЦ, подписываем Калькулятором ГОСТ R 34.10-2018.

Где учиться и где скачать

• Онлайн-курс «Криминалистика цифровых следов» (ФСИН + МФТИ, диплом 1-й степени, платформа OpenEducation).
• GitHub-репозитории:
  • Volatility3
  • Autopsy
  • CAINE 12.0 ISO
• Мобильный криминалист, дистрибутив от НП «Форензик Технолоджи» (USB-накопитель 128 ГБ).

В 2026 году цифровая криминалистика переживает бум ИИ-инструментов и облачных интеграций. Выбор конкретного ПО зависит от:

• Бюджета экспертной организации.
• Типа носителя (ПК, мобильный, облако).
• Требований судебной инстанции (ФЗ-149, 187, ГОСТы).

Главное правило: любой инструмент нужно валидировать в рамках внутренней лабораторной процедуры и иметь акты от Минюста/ФСТЭК, чтобы ваше заключение не оспорили в суде.

Удачных расследований и пусть ваши хеш-суммы всегда совпадут!