# Oxygen Forensics: что умеет, сколько стоит и чем отличается от бесплатных аналогов

> AI Release · @ai_release1 · https://ai-release.org/guides/oxygen-forensics-obzor.html

## TL;DR
- Время выполнения: 60–90 минут
- Уровень сложности: Intermediate
- Понадобится:
  - реестр хостов с доступом по SSH (для инвентаризации);
  - изолированный стенд без интернета (по образцу Met Police: инструмент работал на закрытой IT-системе без подключения к сети);
  - `tcpdump` и `ss` на стенде для контроля исходящего трафика;
  - тестовое Android-устройство с Android 8.0 (API 26) или новее и включённой отладкой по USB;
  - portable-сборка NOIR v0.1.1 (macOS, Windows 10/11, Debian/Ubuntu, Java 17 внутри) — как бесплатный контрольный инструмент;
  - root на тестовом Android — только если проверяете VD-Google.

## Требования и подготовка
![Иллюстрация к разделу «Требования и подготовка»](https://ai-release.org/guides/img/oxygen-forensics-obzor-ru-1.jpg?v=1793781872)


Сразу зафиксируйте границу данных. В наших постах про Oxygen Forensics есть ровно один подтверждённый кейс: Metropolitan Police приостановила использование ПО и запустила полный внутренний обзор после обвинений американских прокуроров в адрес компании. Прокуроры при этом **не** утверждают, что софт содержал вредоносный код. Масштаб применения: менее 0,2% из более чем 23 000 действий цифровой криминалистической команды за последний год.

- ОС стенда: Windows 10/11 или Debian/Ubuntu — под них есть portable-сборки NOIR; macOS — тоже поддерживается.
- Права: локальный администратор на стенде (нужен для `tcpdump`), SSH-доступ к хостам инвентаризации.
- Сеть: стенд физически или правилами фаервола отрезан от интернета. Это не формальность — именно так был устроен кейс Met Police.
- Свободное место: под слепки и логи — по объёму вашего тестового корпуса (в источниках цифра не приводится).
- Ключ API/лицензия: в постах ничего не сказано о схеме лицензирования Oxygen Forensics. Сверьтесь с документацией вендора и запросите коммерческое предложение — цену не выдумывайте.
- Бесплатные аналоги из наших постов: NOIR v0.1.1 (консольный аудит Android-приложений с компьютера: права, эндпоинты из APK, риск-скор) и VD-Google (open-source, локальное чтение данных RCS, Google Wallet и Play Integrity attestations).

**Пример:** что известно и что проверять.

| Инструмент | Что известно из наших постов | Условия запуска | Цена |
|---|---|---|---|
| Oxygen Forensics | применялся криминалистической командой Met Police; работал на закрытой IT-системе без интернета; менее 0,2% из 23 000 действий; набор функций в источнике не описан | закрытый контур без доступа в сеть | в постах не указана — запрашивайте КП, сверяйтесь с документацией |
| NOIR v0.1.1 (Verlintas) | аудит Android-приложений с ПК: права, эндпоинты из APK, риск-скор; portable под macOS, Windows 10/11, Debian/Ubuntu; Java 17 внутри; adb и jadx докачиваются при первом запуске | кабель + включённая отладка по USB; root и интернет не нужны; полнота отчёта не гарантируется | в посте не указана — сверьтесь с репозиторием |
| VD-Google | локальное чтение данных RCS, Wallet и Play Integrity attestations; русский язык в интерфейсе | root, Android 8.0 (API 26)+, ни одного разрешения, включая доступ в интернет | распространяется свободно (open-source, GitHub) |

Если пилоту нужен размеченный тестовый корпус (например, набор APK и эталонных отчётов), порядок чистки и разметки разобран в гайде [Как подготовить данные для нейросети: чистка и разметка датасета](https://ai-release.org/guides/kak-podgotovit-dannye-dlya-neyroseti-chistka-i-razmetka.html?utm_source=tg&utm_medium=channel&utm_campaign=guide_inline&utm_content=guide_to_guide).

## Шаг 1. Инвентаризация: где уже стоит криминалистический софт

**Что сделать:** собрать список хостов, где установлено ПО, и посчитать долю процессов, которые от него зависят.

**Зачем:** Met Police смогла оценить риск только потому, что знала масштаб — менее 0,2% из более чем 23 000 действий. Без этой цифры вы обсуждаете слухи, а не риск.

**Как проверить:** запустите обход хостов и убедитесь, что для каждого вывода есть либо путь установки, либо строка без результатов.

```bash
# hosts.txt — по одному имени хоста в строке
while read -r h; do
  echo "== $h"
  ssh -o BatchMode=yes "$h" \
    "find /opt /usr/local -maxdepth 2 \( -iname '*forensic*' -o -iname '*oxygen*' \) 2>/dev/null"
done < hosts.txt
```

Ожидаемый вывод: для каждого хоста — блок `== <хост>` и либо путь вида `/opt/<каталог-вендора>`, либо пусто. Пусто — тоже результат: значит, на этом хосте проверять нечего.

Дальше посчитайте долю. Выгрузите журнал действий команды в CSV с колонками `id,date,tool`:

```bash
awk -F, 'NR>1 {t++; if ($3=="oxygen") o++} END {printf "всего=%d oxygen=%d доля=%.2f%%\n", t, o, 100*o/t}' actions.csv
```

**Пример:** на цифрах из кейса Met Police — `всего=23000 oxygen=46 доля=0.20%`. Почему это работает: 0,2% от 23 000 — это меньше 46 действий, то есть ограничение затрагивает узкий участок процесса, и его можно закрыть вручную на время обзора.

## Шаг 2. Оценка вендора и сравнение с бесплатными аналогами
![Иллюстрация к разделу «Шаг 2. Оценка вендора и сравнение с бесплатными аналогами»](https://ai-release.org/guides/img/oxygen-forensics-obzor-ru-2.jpg?v=1793781877)


**Что сделать:** прогнать вендора по чек-листу и сопоставить с бесплатными инструментами по задачам, а не по названиям.

**Зачем:** обвинения в адрес компании и внутренний обзор — это риск доступности инструмента, а не обязательно риск вредоносного кода. Разделяйте эти две вещи, иначе закупите не то.

**Как проверить:** каждая галочка подтверждена документом, письмом вендора или выводом команды.

- [ ] Зафиксирован перечень задач, которые закрывает Oxygen Forensics (в наших постах функции не описаны — только демо и документация вендора).
- [ ] Проверена возможность работы в закрытом контуре без интернета.
- [ ] Известна доля процессов, зависящих от инструмента (см. Шаг 1).
- [ ] Определена юрисдикция вендора и наличие представительства — по кейсу Met Police претензии шли от американских прокуроров.
- [ ] Есть план отката: чем закрыть те самые <0,2% процессов.
- [ ] Для Android-задач проверены бесплатные альтернативы: NOIR (права, эндпоинты из APK, риск-скор) и VD-Google (RCS, Wallet, Play Integrity).

**Пример:** если задача — «посмотреть, куда Android-приложение отправляет данные», NOIR запускается без интернета и без root: подключаете кабель, включаете отладку по USB, при первом запуске докачиваются adb и jadx (jadx — декомпилятор APK, разбирает установочный пакет обратно в читаемый код). Если задача — «проверить, что Google пишет в RCS и Wallet», нужен VD-Google, а он требует root и Android 8.0+. Инструменты не взаимозаменяемы, они закрывают разные вопросы.

## Шаг 3. Пилот на изолированном стенде и проверка результата
![Иллюстрация к разделу «Шаг 3. Пилот на изолированном стенде и проверка результата»](https://ai-release.org/guides/img/oxygen-forensics-obzor-ru-3.jpg?v=1793781882)


**Что сделать:** поставить инструмент на стенд без интернета, отработать один типовой сценарий и снять телеметрию по сети.

**Зачем:** это повторяет схему из кейса Met Police — закрытая IT-система без подключения к интернету, — и даёт вам собственные данные вместо чужих обещаний.

**Как проверить:** начните запись трафика до первого запуска и посмотрите размер файла после сценария.

```bash
sudo tcpdump -ni any -w pilot.pcap not host <ip-внутреннего-сервера>
```

Ожидаемый результат: файл `pilot.pcap` остаётся нулевого размера — исходящих соединений нет. Параллельно:

```bash
ss -tunp | grep -i -E 'oxygen|forensic'
```

Пустой вывод = активных соединений у процесса нет. Если строки появились — вы нашли сетевую активность, которую надо объяснить до промышленной эксплуатации.

**Пример:** проверка бесплатного аналога на том же стенде. Подключите тестовое устройство и выполните:

```bash
adb devices
```

Успех выглядит так:

```
List of devices attached
<RANDOM>	device
```

Статус `device` — можно работать; `unauthorized` — на телефоне не подтвердили диалог отладки; пустой список — выключена отладка по USB или кабель только для зарядки.

Финальный результат шага — заполненная таблица «функция → чем закрываем сейчас → чем закроем при отказе». Именно она превращает новость про приостановку в рабочий план.

## Возможные проблемы и решения

**Проблема. Запись трафика не стартует**
- Ошибка: `tcpdump: pilot.pcap: Permission denied`
- Причина: команда запущена без повышенных прав, а `tcpdump` требует доступа к сетевому интерфейсу.
- Решение: запустите через `sudo tcpdump ...` или добавьте пользователя в группу с правом захвата пакетов и перезайдите в сессию. Проверка: `tcpdump --version` выполняется без ошибок, файл создаётся.

**Проблема. Инвентаризация возвращает пустоту на всех хостах**
- Ошибка: `grep: /var/log/forensic/*.log: No such file or directory`
- Причина: путь к журналам взят наугад — у каждого вендора своя раскладка каталогов.
- Решение: найдите реальный путь: `sudo find / -maxdepth 4 -iname '*forensic*' -type d 2>/dev/null`, затем повторите подсчёт по найденному файлу. Не подставляйте путь из чужой инструкции — сверьтесь с документацией вендора.

**Проблема. Бесплатный аналог не видит телефон**
- Ошибка: `adb: no devices/emulators found`
- Причина: не включена отладка по USB, не установлен драйвер производителя или кабель заряжает, но не передаёт данные.
- Решение: включите «Отладка по USB» в настройках разработчика, замените кабель на data-кабель, выполните `adb kill-server && adb devices` и подтвердите диалог на экране телефона. Ожидаемый вывод — `<RANDOM>	device`.

## Резюме и следующие шаги

Проверка сводится к трём артефактам: список хостов с установленным ПО, доля зависящих от него процессов и нулевой исходящий трафик на изолированном стенде. Если по итогам обзора вы решаете, переходить ли на другой инструмент, логика такого решения разобрана в гайде [Gemini 4 Argon: что это, как подключить и стоит ли переходить с GPT-6.1](https://ai-release.org/guides/gemini-4-argon-chto-eto-kak-podklyuchit-i-stoit-li-pere.html?utm_source=tg&utm_medium=channel&utm_campaign=guide_inline&utm_content=guide_to_guide).

## FAQ

**Сколько стоит Oxygen Forensics?**
В наших постах цена не указана. Запрашивайте коммерческое предложение у вендора и сверяйтесь с документацией — публиковать цифру «из головы» здесь нельзя.

**Почему Met Police остановила использование Oxygen Forensics?**
Приостановка произошла после обвинений американских прокуроров в адрес компании, запущен полный внутренний обзор. Прокуроры не утверждают, что софт содержал вредоносный код.

**Работает ли Oxygen Forensics без интернета?**
В кейсе Met Police инструмент работал на закрытой IT-системе без подключения к интернету. Для вашего стенда это проверяется командой `tcpdump` на Шаге 3.

**Можно ли заменить его бесплатными аналогами?**
Частично. NOIR v0.1.1 закрывает аудит Android-приложений (права, эндпоинты из APK, риск-скор) без root и интернета, но полноту отчёта не гарантирует. VD-Google читает RCS, Wallet и Play Integrity, но требует root и Android 8.0+. Полный перечень функций Oxygen Forensics в источниках не описан — сверьтесь с документацией.