Что такое LEMF? За кулисами современного центра мониторинга правоохранительных органов

A LEMF (Центр мониторинга правоохранительной деятельности) — это система, используемая правоохранительными органами для осуществления законного перехвата. Она принимает, записывает, декодирует и анализирует данные, которые операторы связи (CSP) предоставляют в соответствии с судебным постановлением. На протяжении многих лет система LEMF по сути представляла собой очень надежный устройство записи разговоров. Сегодня ей приходится управлять сотнями операторов, на которых возложены соответствующие обязательства, и тысячами циклов действия ордеров, а главное — преобразовывать зашифрованный IP-трафик в полезную оперативную информацию.

В данном руководстве объясняется, для чего предназначена современная система LEMF, на какие интерфейсы ETSI она опирается, почему факс по-прежнему играет важную роль, и почему Аналитика IP-данных с использованием глубокого анализа пакетов (DPI) именно это сейчас отличает одну LEMF от другой.

Основные выводы

• A LEMF is the agency-side counterpart to the operator’s mediation function: it receives intercept-related information (IRI) via HI2 и содержание коммуникации (CC) посредством HI3. Warrants travel over HI1 between the agency’s administration function and the operator’s ADMF. Modern LEMF products usually include that agency-side warrant management as well.
• Управление CSP (подключение поставщиков, точки передачи, сертификаты, качество передачи) не менее важно, чем сама запись.
• Управление ордерами охватывает весь жизненный цикл: от вынесения судебного постановления и присвоения LIID до активации, продления и деактивации. Электронные интерфейсы, такие как ETSI TS 103 120 для заказов и в Германии ETSI-ESB Запросы на получение информации постепенно вытесняют факс, однако по-прежнему необходимы резервные рабочие процессы, предусматривающие использование факса.
• Прослушивание аудиозаписей по-прежнему остается одной из основных задач. Однако в настоящее время основная ценность расследований заключается в Аналитика IP-адресов: реконструкция сеансов, классификация зашифрованных приложений на основе DPI, временные шкалы, карты и графы взаимосвязей.
• Целостность доказательств (подписанные исходные данные, журналы аудита, декодирование с управлением версиями) определяет, будут ли результаты признаны в суде.

Что такое LEMF?

В эталонной модели законного перехвата ETSI и 3GPP оператор связи (CSP) управляет функцией администрирования (ADMF), точками перехвата и функцией посредничества/доставки. Правоохранительный орган (LEA) управляет функцией LEMF. Между ними находится интерфейсы передачи данных:

• HI1 содержит административную информацию: активацию, изменение и деактивацию ордера. Основные сведения см. в нашей статье о HI1, HI2 и HI3.
• HI2 содержит данные IRI: кто с кем общался, когда, из какого места и с какими идентификаторами.
• HI3 передает данные: голос, видео, сообщения или необработанные IP-пакеты.

The LEMF is where the HI2 and HI3 streams come together, are matched to a case and are made available to authorised investigators, analysts and interpreters.

Основы современной системы LEMF

Модуль	Цель	Типовые стандарты / интерфейсы
Управление CSP	Регистрация обязательных поставщиков, конечных точек, сертификатов, тестовых перехватов, мониторинга доставки	ETSI TS 102 232-1, TLS/IPsec, национальные криптографические шлюзы
Управление ордерами	Материалы дел, LIID, сроки, активация, продление, деактивация	ETSI TS 103 120 (HI1), резервный вариант связи по факсу; для запросов информации — ETSI-ESB / E-Mail-ESB (Германия)
Прием данных (бэкенд)	Круглосуточный прием и хранение HI2/HI3, буферизация, проверка целостности	ETSI TS 101 671 / ES 201 671, ETSI TS 102 232-1–7, 3GPP TS 33.108 / 33.128
Декодирование	Восстановление звонков, сообщений, веб-сессий, электронных писем и файлов	Декодеры протоколов, OCR, извлечение метаданных
Аналитика IP-адресов и DPI	Классификация зашифрованного трафика, определение его характеристик, корреляция, визуализация	Сигнатуры DPI, отпечатки TLS (JA4), аналитика потоков данных
Аудио-рабочая станция	Воспроизведение, транскрипция, идентификация говорящего, мониторинг в реальном времени	SIP/RTP, преобразование речи в текст, голосовая биометрия
Доказательства и экспорт	Цепочка ответственности, подписанные экспортные документы, отчеты, готовые к представлению в суд	Хеширование, цифровые подписи, журналы аудита
Обмен между LEMF	Обмен данными о перехваченных объектах между ведомствами	ETSI TS 103 462 (ILHI)

Управление CSP: о чём никто не говорит

Агентство получает данные не от одного оператора, а от десятков или даже сотен: операторов мобильной связи, виртуальных операторов мобильной связи (MVNO), провайдеров фиксированного доступа в Интернет, провайдеров VoIP, а также — все чаще — от OTT-сервисов и облачных коммуникационных сервисов. У каждого из них есть свои конечные точки передачи, IP-адреса, сертификаты, поддерживаемые версии стандартов и особенности работы.

Таким образом, зрелая система LEMF включает в себя специальный Управление CSP модуль:

• Реестр поставщиков: юридическое лицо, контактные лица, круглосуточная горячая линия, поддерживаемые услуги и версии ETSI, а также сопоставление типов целевых идентификаторов (MSISDN, IMSI, IMEI, SIP URI, имя пользователя, IP-адрес) с оператором, к которому необходимо обратиться.
• Управление конечными устройствами и шифрованием: IP-адреса функций доставки CSP (в идеале с понятными для человека псевдонимами в окне мониторинга), сроки действия сертификатов и национальные криптографические шлюзы, обеспечивающие защиту передачи данных.
• Внедрение и тестовые перехваты: проведение структурированных приемочных испытаний перед запуском нового провайдера, включая проверку форматирования записей HI2 и HI3. Такие же требования применяются и в обратном порядке, когда оператор подключает новое агентство.
• Контроль качества доставки: автоматическая проверка на отсутствие порядковых номеров, некорректные записи, сбои в поддержании соединения и IRI, которые невозможно сопоставить с контентом.

От качества данного модуля зависит, насколько быстро новый ордер вступает в силу и смогут ли аналитики в итоге работать с полными данными.

Управление ордерами: от судебного постановления до аннулирования

Каждый процесс перехвата начинается с выдачи законного постановления. Система управления ордерами LEMF преобразует это постановление в техническую меру:

1. Создание дела: следственный орган, номер дела в прокуратуре, правовые основания и ответственные следователи.
2. Определение меры: идентификаторы абонентов, услуги (голосовая связь, SMS, передача данных, обмен сообщениями), даты начала и окончания, а также адресат — поставщик услуг связи.
3. Задание по курсу LIID: уникальный идентификатор законного перехвата (Lawful Interception Identifier) связывает каждую запись IRI и CC именно с этой мерой.
4. Передача в CSP: по возможности в электронном виде через HI1.
5. Контроль сроков: автоматические напоминания перед истечением срока действия, рабочие процессы продления и немедленная деактивация по окончании срока действия заказа.
6. Принцип «четырёх глаз» и контрольный след на каждом этапе.

HI1 и ETSI TS 103 120

ETSI TS 103 120 defines a structured interface for warrant information, encoded in XML or JSON and exchanged over HTTPS. It can carry authorisations, tasking objects and delivery instructions between agencies and providers. It replaces paper and fax, cuts activation times and removes typing errors from target identifiers. For a deeper look, read Объяснение стандарта ETSI TS 103 120.

ETSI-ESB и E-Mail-ESB в Германии

В Германии в Технической директиве TR TKÜV описываются ETSI-ESB процедура (Elektronische Schnittstelle Behörden) для запросов и ответов на запросы информации, например, запросов о данных о дорожном движении. Она основана на стандарте ETSI TS 102 657. В техническом регламенте TR TKÜV также описывается упрощённый E-Mail-ESB procedure, and it allows ETSI TS 103 120 (with TS 103 707), the ETSI interface for warrant information, as an alternative electronic channel, by agreement with the Bundesnetzagentur. A LEMF operated by a German agency, or one that works with German CSPs, must be able to handle both. The upcoming rules on quick freeze and Хранение IP-адресов добавит новые типы запросов в эти каналы.

Почему факс по-прежнему играет важную роль

Факс устарел, но не исчез. Многие небольшие поставщики и в рамках некоторых трансграничных процессов заказы по-прежнему принимаются только по факсу. Поэтому агентства по-прежнему ожидают:

• Шаблоны факсов для активации, продления и деактивации, заполняемые автоматически на основе данных дела (уполномоченный орган, номер дела, идентификатор объекта, LIID, срок, контактное лицо).
• Прием факсов с распознаванием текста (OCR), чтобы полученные подтверждения индексировались и их можно было найти с помощью поиска.
• A программа для просмотра факсов в приложении для анализа, поскольку факс также является средством связи, которое может быть перехвачено.

Цель состоит в том, чтобы использовать факс в качестве контролируемого резервного варианта, одновременно переводя всех провайдеров, которые могут его поддерживать, на HI1 или ESB.

Получение данных: HI2 и HI3 в масштабе

Бэкенд LEMF должен принимать данные круглосуточно и никогда не терять данные, даже в случае сбоя на сайте или недоступности нижестоящего хранилища. Типичные требования:

• Кластеризация «активный/активный» на двух географически разнесённых площадках, причём каждая из них способна самостоятельно выдерживать большую часть нагрузки.
• Параллельный прием сигналов Legacy и IP where needed: some countries still deliver circuit-switched content over ISDN (ETSI TS 101 671), while others, such as Germany since 2022, require IP-based delivery (ETSI TS 102 232-5/-6) for PSTN/ISDN services too; plus Gigabit or 10-Gigabit IP inputs for ETSI TS 102 232 deliveries.
• Локальная буферизация на принимающих серверах, чтобы необработанные данные за несколько дней сохранились даже в случае сбоя в работе системы хранения.
• Цифровая подпись исходных данных сразу после его сохранения, чтобы в любой момент можно было подтвердить его целостность.
• Взаимосвязь между IRI и CC: сопоставление по корреляционному номеру и назначение на основе правил записей IRI-CONTINUE и IRI-REPORT, поступающих без соответствующего содержимого. Для получения дополнительной информации см. IRI против CC.
• Стандартная поддержка: ETSI TS 101 671 / ES 201 671 for circuit-switched services where national rules still use it, ETSI TS 102 232 parts 1 to 7 for IP-based services, 3GPP TS 33.108 and TS 33.128 for mobile networks up to 5G, and ETSI TS 103 462 for handover between LEMFs.

Аудио: «Audio Workbench»

Прослушивание телефонных разговоров далеко не утратило свою актуальность. Следователи рассчитывают на профессиональную аудиолабораторию:

• Воспроизведение с использованием маркеров, циклов, разделенных по направлению каналов (входящий/исходящий), регулировка скорости с коррекцией высоты тона и применением аудиофильтров — и все это без каких-либо изменений исходной записи.
• Мониторинг в режиме реального времени перечень приоритетных мер, включая звонки на авторизованные телефонные номера с аутентификацией по PIN-коду.
• Преобразование речи в текст и идентификация говорящего чтобы за считанные минуты прослушать часы аудиозаписей.
• Окна транскрипции с использованием шаблонов, ссылок на сопутствующие товары и полнотекстового поиска по всему делу.
• Доступ на основе ролей для переводчики, при этом их доступ ограничивается только теми записями, которые им назначены.

Настоящее преимущество: аналитика данных IP и глубокий анализ пакетов

Сегодня для большинства целей основную часть перехваченных данных составляет IP-трафик, причём большая его часть зашифрована. Система LEMF, способная отображать лишь “10 ГБ TLS”, практически бесполезна. Именно здесь глубокий анализ пакетов и здесь на помощь приходит аналитика:

• Восстановление и декодирование сеанса: веб-страницы, электронная почта (POP3, IMAP, SMTP), передача файлов, VoIP-звонки и незашифрованные протоколы чата преобразуются в читаемые “объекты”, включая метаданные и вложения, которые открываются в защищённой изолированной среде.
• Классификация зашифрованных услуг: даже если восстановить содержимое не удается, DPI определяет приложение (например, WhatsApp, Signal, Threema или Telegram) и показывает, какой объем данных был обменен и когда. Спецслужбы всё чаще ожидают, что классификаторы будут постоянно обновляться и что их настройку смогут осуществлять их собственные сотрудники.
• Классификация контента: декодированный контент автоматически распределяется по таким категориям, как «сообщения», «покупки», «финансы» или «насилие».
• OCR и извлечение метаданных из изображений, документов и факсов (EXIF, IPTC), все из которых индексируются для полнотекстового поиска.
• Просмотр в виде временной шкалы: все протоколы и продукты на одной временной шкале с возможностью масштабирования и точностью до секунды, синхронизированной со списком продуктов.
• Детальный анализ трафика, аналогично инструменту мониторинга сети, с ограничением до тех показателей, на работу с которыми у аналитика есть разрешение.
• Геоаналитика: данные о местоположении от IRI и из приложений на карте, маршруты перемещения, импорт данных о координатах по идентификаторам сотовых сетей, а также оповещения о превышении геозоны, когда объекты отслеживания входят в зону, покидают её или встречаются друг с другом.
• Графы сущностей и связей которые связывают номера телефонов, учетные записи, устройства и местоположения с людьми и группами.
• Оповещения на основе правил по телефонным номерам, IP-адресам, ключевым словам, временным интервалам и геозонам, с отправкой в приложении, по электронной почте или посредством SMS.
• Передача PCAP таким инструментам, как Wireshark, и API декодера что позволяет агентству добавлять собственные модули протоколов без изменения ядра.

В следующей статье из этой серии мы рассмотрим, как работают идентификация по отпечаткам TLS, распознавание моделей трафика и IP-корреляция. О влиянии зашифрованного DNS см. Зашифрованный DNS (DoH/DoT) и законный перехват.

Целостность данных, конфиденциальность и роли

LEMF служит доказательством, поэтому оно должно соответствовать судебным стандартам:

• Цепочка поставок: подписанные исходные данные, экспортированные данные с хэш-кодами и полный журнал аудита, отражающий, кто, к каким данным и когда получал доступ.
• Декодирование с учетом версий: если декодер обновляется и данные декодируются заново, предыдущие результаты и аннотации остаются доступными, а изменения отображаются в истории.
• Защита конфиденциального контента: записи, на которые распространяется правило об исключении (например, касающиеся сущностных аспектов частной жизни), могут быть помечены и заблокированы при условии одобрения администратором.
• Образец для подражания: системные администраторы, администраторы LI, специалисты по ведению дел, аналитики и переводчики, каждый из которых обладает минимальными необходимыми полномочиями вплоть до уровня конкретного дела.
• Рабочие процессы удаления которые фиксируют удаление данных после того, как их хранение перестает быть законным.

Контрольный список покупателя LEMF

• Supports ETSI TS 102 232-1 to -7, 3GPP TS 33.108 / 33.128, ETSI TS 101 671 where national rules still use it, and has a roadmap for TS 103 120 and TS 103 462
• Обеспечивает структурированное управление CSP с помощью тестов при подключении и мониторинга качества предоставления услуг
• Обеспечивает управление ордерами с учетом сроков, принципа «четырёх глаз», поддержки ESB и резервного подключения по факсу
• Классифицирует зашифрованные приложения с помощью DPI, с постоянными обновлениями и настраиваемыми ведомством правилами
• Включает API плагина декодера и экспорт в формат PCAP
• Обеспечивает отображение временной шкалы, карты, графиков и уведомлений в одном приложении
• Регистрирует данные о поступлении, ведет полный журнал аудита и управляет версиями при декодировании
• Работает в режиме «активный/активный» с локальной буферизацией и обеспечивает горизонтальную масштабируемость

Как ICS помогает правоохранительным органам и операторам

ICS International Carrier Services имеет long-standing experience in telecommunications, lawful interception and compliance, has taken solutions through BNetzA acceptance and works with security-cleared staff. Because we operate LI on the provider side every day, we know exactly what arrives at a LEMF, and what goes wrong on the way.

• Требования и сопровождение тендера: мы помогаем агентствам формулировать реалистичные требования к системам LEMF, основанные на стандартах — от интерфейсов ETSI до технологий DPI и аналитики.
• Внедрение CSP и тестирование интерфейса: настройка передачи данных, управление сертификатами, проверка соответствия формату и тестирование доставки для новых провайдеров.
• Интеграция HI1 и ESB: интеграция системы управления ордерами со стандартом ETSI TS 103 120 и рабочими процессами немецкой системы ESB, включая контролируемый переход на резервный вариант с использованием факса.
• Обеспечение качества доставки: автоматическая проверка потоков HI2/HI3 и мониторинг полноты данных.
• ICS LEMF: our law enforcement monitoring facility, combining CSP and warrant management with recording and analysis. Ask us about the current feature set and roadmap. Operators can use our Test LEMF to verify their HI2/HI3 delivery. See ICS LEMF.
• Пользовательские декодеры и интеграции разработано с учётом особенностей вашей среды. См. Интеграция и индивидуальная разработка.
• Обучение для технических специалистов по стандартам ETSI, интерфейсам и устранению неисправностей.

Узнайте больше о наших решение для мониторинга деятельности правоохранительных органов, наша работа с регулирующие органы и правоохранительные органы, или Запросить демонстрацию ICS LEMF.

Часто задаваемые вопросы

Что означает аббревиатура LEMF?

LEMF — это аббревиатура от «Law Enforcement Monitoring Facility» (Центр мониторинга правоохранительных органов). Это система, управляемая правоохранительным органом и предназначенная для приема, записи и анализа телекоммуникационных данных, законно перехваченных у операторов связи.

В чём заключается разница между LEMF и LIMS?

LIMS (Система управления законным перехватом) runs on the operator side. It administers interception targets and controls the network’s points of interception and the mediation function. The LEMF runs on the agency side and receives the results. The LIMS exchanges warrants with the agency over HI1; the operator’s mediation function delivers the results to the LEMF over HI2 and HI3.

Какие стандарты ETSI должен поддерживать LEMF?

At a minimum, ETSI TS 102 232 parts 1 to 7 for IP services, ETSI TS 101 671 / ES 201 671 for circuit-switched services where national rules still use it, plus 3GPP TS 33.108 and TS 33.128 for mobile networks. ETSI TS 103 120 (warrant interface) and ETSI TS 103 462 (inter-LEMF handover) are increasingly required.

Может ли система LEMF анализировать зашифрованный трафик?

Система LEMF не способна взломать сквозное шифрование. Однако с помощью глубокого анализа пакетов, идентификации TLS по отпечаткам и анализа потоков данных она может определить, какое приложение использовалось, когда и насколько интенсивно, а также соотнести эту активность с другими данными по делу.

Почему устройства LEMF до сих пор поддерживают функцию факса?

Некоторые поставщики и трансграничные процедуры по-прежнему принимают заказы только по факсу. Современная система LEMF формирует факсимильные заказы на основе данных по делам и индексирует полученные факсы с помощью технологии OCR, в то время как поставщики постепенно переходят на электронные интерфейсы, такие как ETSI TS 103 120 или ESB.

Похожие статьи

• HI1 vs HI2 vs HI3: понимание трех интерфейсов законного перехвата
• ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
• Как работает функция посредничества: Мост между вашей сетью и правоохранительными органами
• Что такое законный перехват? Полное руководство
• ICS LEMF: Центр мониторинга правоохранительных органов

Внешние ресурсы

• Стандарты ETSI в области законного перехвата (TC LI)
• Bundesnetzagentur: Technical Directive TR TKÜV, Edition 8.4 (English, PDF)