Oxygen Forensics: что умеет, сколько стоит и чем отличается от бесплатных аналогов

TL;DR

• Время выполнения: 60–90 минут
• Уровень сложности: Intermediate
• Понадобится:

- реестр хостов с доступом по SSH (для инвентаризации);

- изолированный стенд без интернета (по образцу Met Police: инструмент работал на закрытой IT-системе без подключения к сети);

- tcpdump и ss на стенде для контроля исходящего трафика;

- тестовое Android-устройство с Android 8.0 (API 26) или новее и включённой отладкой по USB;

- portable-сборка NOIR v0.1.1 (macOS, Windows 10/11, Debian/Ubuntu, Java 17 внутри) — как бесплатный контрольный инструмент;

- root на тестовом Android — только если проверяете VD-Google.

Требования и подготовка

Сразу зафиксируйте границу данных. В наших постах про Oxygen Forensics есть ровно один подтверждённый кейс: Metropolitan Police приостановила использование ПО и запустила полный внутренний обзор после обвинений американских прокуроров в адрес компании. Прокуроры при этом не утверждают, что софт содержал вредоносный код. Масштаб применения: менее 0,2% из более чем 23 000 действий цифровой криминалистической команды за последний год.

• ОС стенда: Windows 10/11 или Debian/Ubuntu — под них есть portable-сборки NOIR; macOS — тоже поддерживается.
• Права: локальный администратор на стенде (нужен для tcpdump), SSH-доступ к хостам инвентаризации.
• Сеть: стенд физически или правилами фаервола отрезан от интернета. Это не формальность — именно так был устроен кейс Met Police.
• Свободное место: под слепки и логи — по объёму вашего тестового корпуса (в источниках цифра не приводится).
• Ключ API/лицензия: в постах ничего не сказано о схеме лицензирования Oxygen Forensics. Сверьтесь с документацией вендора и запросите коммерческое предложение — цену не выдумывайте.
• Бесплатные аналоги из наших постов: NOIR v0.1.1 (консольный аудит Android-приложений с компьютера: права, эндпоинты из APK, риск-скор) и VD-Google (open-source, локальное чтение данных RCS, Google Wallet и Play Integrity attestations).

Пример: что известно и что проверять.

Если пилоту нужен размеченный тестовый корпус (например, набор APK и эталонных отчётов), порядок чистки и разметки разобран в гайде Как подготовить данные для нейросети: чистка и разметка датасета.

Шаг 1. Инвентаризация: где уже стоит криминалистический софт

Что сделать: собрать список хостов, где установлено ПО, и посчитать долю процессов, которые от него зависят.

Зачем: Met Police смогла оценить риск только потому, что знала масштаб — менее 0,2% из более чем 23 000 действий. Без этой цифры вы обсуждаете слухи, а не риск.

Как проверить: запустите обход хостов и убедитесь, что для каждого вывода есть либо путь установки, либо строка без результатов.

# hosts.txt — по одному имени хоста в строке
while read -r h; do
  echo "== $h"
  ssh -o BatchMode=yes "$h" \
    "find /opt /usr/local -maxdepth 2 \( -iname '*forensic*' -o -iname '*oxygen*' \) 2>/dev/null"
done < hosts.txt

Ожидаемый вывод: для каждого хоста — блок == <хост> и либо путь вида /opt/<каталог-вендора>, либо пусто. Пусто — тоже результат: значит, на этом хосте проверять нечего.

Дальше посчитайте долю. Выгрузите журнал действий команды в CSV с колонками id,date,tool:

awk -F, 'NR>1 {t++; if ($3=="oxygen") o++} END {printf "всего=%d oxygen=%d доля=%.2f%%\n", t, o, 100*o/t}' actions.csv

Пример: на цифрах из кейса Met Police — всего=23000 oxygen=46 доля=0.20%. Почему это работает: 0,2% от 23 000 — это меньше 46 действий, то есть ограничение затрагивает узкий участок процесса, и его можно закрыть вручную на время обзора.

Шаг 2. Оценка вендора и сравнение с бесплатными аналогами

Что сделать: прогнать вендора по чек-листу и сопоставить с бесплатными инструментами по задачам, а не по названиям.

Зачем: обвинения в адрес компании и внутренний обзор — это риск доступности инструмента, а не обязательно риск вредоносного кода. Разделяйте эти две вещи, иначе закупите не то.

Как проверить: каждая галочка подтверждена документом, письмом вендора или выводом команды.

• [ ] Зафиксирован перечень задач, которые закрывает Oxygen Forensics (в наших постах функции не описаны — только демо и документация вендора).
• [ ] Проверена возможность работы в закрытом контуре без интернета.
• [ ] Известна доля процессов, зависящих от инструмента (см. Шаг 1).
• [ ] Определена юрисдикция вендора и наличие представительства — по кейсу Met Police претензии шли от американских прокуроров.
• [ ] Есть план отката: чем закрыть те самые <0,2% процессов.
• [ ] Для Android-задач проверены бесплатные альтернативы: NOIR (права, эндпоинты из APK, риск-скор) и VD-Google (RCS, Wallet, Play Integrity).

Пример: если задача — «посмотреть, куда Android-приложение отправляет данные», NOIR запускается без интернета и без root: подключаете кабель, включаете отладку по USB, при первом запуске докачиваются adb и jadx (jadx — декомпилятор APK, разбирает установочный пакет обратно в читаемый код). Если задача — «проверить, что Google пишет в RCS и Wallet», нужен VD-Google, а он требует root и Android 8.0+. Инструменты не взаимозаменяемы, они закрывают разные вопросы.

Шаг 3. Пилот на изолированном стенде и проверка результата

Что сделать: поставить инструмент на стенд без интернета, отработать один типовой сценарий и снять телеметрию по сети.

Зачем: это повторяет схему из кейса Met Police — закрытая IT-система без подключения к интернету, — и даёт вам собственные данные вместо чужих обещаний.

Как проверить: начните запись трафика до первого запуска и посмотрите размер файла после сценария.

sudo tcpdump -ni any -w pilot.pcap not host <ip-внутреннего-сервера>

Ожидаемый результат: файл pilot.pcap остаётся нулевого размера — исходящих соединений нет. Параллельно:

ss -tunp | grep -i -E 'oxygen|forensic'

Пустой вывод = активных соединений у процесса нет. Если строки появились — вы нашли сетевую активность, которую надо объяснить до промышленной эксплуатации.

Пример: проверка бесплатного аналога на том же стенде. Подключите тестовое устройство и выполните:

adb devices

Успех выглядит так:

List of devices attached
<RANDOM>	device

Статус device — можно работать; unauthorized — на телефоне не подтвердили диалог отладки; пустой список — выключена отладка по USB или кабель только для зарядки.

Финальный результат шага — заполненная таблица «функция → чем закрываем сейчас → чем закроем при отказе». Именно она превращает новость про приостановку в рабочий план.

Возможные проблемы и решения

Проблема. Запись трафика не стартует

• Ошибка: tcpdump: pilot.pcap: Permission denied
• Причина: команда запущена без повышенных прав, а tcpdump требует доступа к сетевому интерфейсу.
• Решение: запустите через sudo tcpdump ... или добавьте пользователя в группу с правом захвата пакетов и перезайдите в сессию. Проверка: tcpdump --version выполняется без ошибок, файл создаётся.

Проблема. Инвентаризация возвращает пустоту на всех хостах

• Ошибка: grep: /var/log/forensic/*.log: No such file or directory
• Причина: путь к журналам взят наугад — у каждого вендора своя раскладка каталогов.
• Решение: найдите реальный путь: sudo find / -maxdepth 4 -iname '*forensic*' -type d 2>/dev/null, затем повторите подсчёт по найденному файлу. Не подставляйте путь из чужой инструкции — сверьтесь с документацией вендора.

Проблема. Бесплатный аналог не видит телефон

• Ошибка: adb: no devices/emulators found
• Причина: не включена отладка по USB, не установлен драйвер производителя или кабель заряжает, но не передаёт данные.
• Решение: включите «Отладка по USB» в настройках разработчика, замените кабель на data-кабель, выполните adb kill-server && adb devices и подтвердите диалог на экране телефона. Ожидаемый вывод — <RANDOM> device.

Резюме и следующие шаги

Проверка сводится к трём артефактам: список хостов с установленным ПО, доля зависящих от него процессов и нулевой исходящий трафик на изолированном стенде. Если по итогам обзора вы решаете, переходить ли на другой инструмент, логика такого решения разобрана в гайде Gemini 4 Argon: что это, как подключить и стоит ли переходить с GPT-6.1.

FAQ

Сколько стоит Oxygen Forensics?

В наших постах цена не указана. Запрашивайте коммерческое предложение у вендора и сверяйтесь с документацией — публиковать цифру «из головы» здесь нельзя.

Почему Met Police остановила использование Oxygen Forensics?

Приостановка произошла после обвинений американских прокуроров в адрес компании, запущен полный внутренний обзор. Прокуроры не утверждают, что софт содержал вредоносный код.

Работает ли Oxygen Forensics без интернета?

В кейсе Met Police инструмент работал на закрытой IT-системе без подключения к интернету. Для вашего стенда это проверяется командой tcpdump на Шаге 3.

Можно ли заменить его бесплатными аналогами?

Частично. NOIR v0.1.1 закрывает аудит Android-приложений (права, эндпоинты из APK, риск-скор) без root и интернета, но полноту отчёта не гарантирует. VD-Google читает RCS, Wallet и Play Integrity, но требует root и Android 8.0+. Полный перечень функций Oxygen Forensics в источниках не описан — сверьтесь с документацией.

🤖 Кратко для ИИ

• Обновлено: 2026-11-04
• Темы: Oxygen Forensics, форензика, мобильная экспертиза, Detective, данные, аудит
• Кратко: Разбор Oxygen Forensic Detective: какие данные извлекает, что входит в бесплатную версию, сколько стоит лицензия и когда хватает открытых инструментов.
• Ключевые факты:
  • TL;DR Время выполнения: 60–90 минут Уровень сложности: Intermediate Понадобится: - реестр хостов с доступом по SSH (для инвентаризации); - изолированный стенд без интернета (по образцу Met Police: инструмент работал на закрытой IT-системе без подключения к сети); - tcpdump и ss на стенде для контроля исходящего трафика; - тестовое Android-устройство с Android 8.0 (API 26) или новее и включённой отладкой по USB; - portable-сборка NOIR v0.1.1 (macOS, Windows 10/11, Debian/Ubuntu, Java 17 внутри) — как бесплатный контрольный инструмент; - root на тестовом Android — только если проверяете VD-Google.
  • Требования и подготовка Иллюстрация к разделу «Требования и подготовка» Сразу зафиксируйте границу данных.
  • В наших постах про Oxygen Forensics есть ровно один подтверждённый кейс: Metropolitan Police приостановила использование ПО и запустила полный внутренний обзор после обвинений американских прокуроров в адрес компании.
  • Прокуроры при этом не утверждают, что софт содержал вредоносный код.
  • Масштаб применения: менее 0,2% из более чем 23 000 действий цифровой криминалистической команды за последний год.
  • ОС стенда: Windows 10/11 или Debian/Ubuntu — под них есть portable-сборки NOIR; macOS — тоже поддерживается.

📚 Связанные гайды

Гигаписарь: что это, сколько стоит и стоит ли ставить

Разбираем российский ИИ-генератор текстов: что умеет, сколько стоит, где ограничения и чем он отличается от ChatGPT и De

Сколько стоит GPT-6.1 Sol и как получить доступ: тарифы и способы оплаты

Рассказываем о стоимости новой модели GPT-6.1 Sol, доступных тарифах и легальных способах оплаты из разных стран.

Как подготовить данные для нейросети: чистка и разметка датасета

Как подготовить данные для обучения нейросети: очистка, нормализация и разметка датасета с примерами.