Что такое LEMF? За кулисами современного центра мониторинга правоохранительных органов

A LEMF (Центр мониторинга правоохранительной деятельности) — это система, используемая правоохранительными органами для осуществления законного перехвата. Она принимает, записывает, декодирует и анализирует данные, которые операторы связи (CSP) предоставляют в соответствии с судебным постановлением. На протяжении многих лет система LEMF по сути представляла собой очень надежный устройство записи разговоров. Сегодня ей приходится управлять сотнями операторов, на которых возложены соответствующие обязательства, и тысячами циклов действия ордеров, а главное — преобразовывать зашифрованный IP-трафик в полезную оперативную информацию.

В данном руководстве объясняется, для чего предназначена современная система LEMF, на какие интерфейсы ETSI она опирается, почему факс по-прежнему играет важную роль, и почему Аналитика IP-данных с использованием глубокого анализа пакетов (DPI) именно это сейчас отличает одну LEMF от другой.

Основные выводы

• LEMF является аналогом функции посредничества оператора со стороны агентства. Он получает информацию, связанную с ордерами, через HI1, информация, связанная с перехватом (IRI), посредством HI2 и содержание коммуникации (CC) посредством HI3.
• Управление CSP (подключение поставщиков, точки передачи, сертификаты, качество передачи) не менее важно, чем сама запись.
• Управление ордерами охватывает весь жизненный цикл: от вынесения судебного постановления и присвоения LIID до активации, продления и деактивации. Электронные интерфейсы, такие как ETSI TS 103 120 для заказов и в Германии ETSI-ESB Запросы на получение информации постепенно вытесняют факс, однако по-прежнему необходимы резервные рабочие процессы, предусматривающие использование факса.
• Прослушивание аудиозаписей по-прежнему остается одной из основных задач. Однако в настоящее время основная ценность расследований заключается в Аналитика IP-адресов: реконструкция сеансов, классификация зашифрованных приложений на основе DPI, временные шкалы, карты и графы взаимосвязей.
• Целостность доказательств (подписанные исходные данные, журналы аудита, декодирование с управлением версиями) определяет, будут ли результаты признаны в суде.

Что такое LEMF?

В эталонной модели законного перехвата ETSI и 3GPP оператор связи (CSP) управляет функцией администрирования (ADMF), точками перехвата и функцией посредничества/доставки. Правоохранительный орган (LEA) управляет функцией LEMF. Между ними находится интерфейсы передачи данных:

• HI1 содержит административную информацию: активацию, изменение и деактивацию ордера. Основные сведения см. в нашей статье о HI1, HI2 и HI3.
• HI2 содержит данные IRI: кто с кем общался, когда, из какого места и с какими идентификаторами.
• HI3 передает данные: голос, видео, сообщения или необработанные IP-пакеты.

Именно в LEMF эти три потока данных сливаются воедино, сопоставляются с конкретным делом и становятся доступными для уполномоченных следователей, аналитиков и переводчиков.

Основы современной системы LEMF

Модуль	Цель	Типовые стандарты / интерфейсы
Управление CSP	Регистрация обязательных поставщиков, конечных точек, сертификатов, тестовых перехватов, мониторинга доставки	ETSI TS 102 232-1, TLS/IPsec, национальные криптографические шлюзы
Управление ордерами	Материалы дел, LIID, сроки, активация, продление, деактивация	ETSI TS 103 120 (HI1), резервный вариант связи по факсу; для запросов информации — ETSI-ESB / E-Mail-ESB (Германия)
Прием данных (бэкенд)	Круглосуточный прием и хранение HI2/HI3, буферизация, проверка целостности	ETSI TS 101 671 / ES 201 671, ETSI TS 102 232-1–7, 3GPP TS 33.108 / 33.128
Декодирование	Восстановление звонков, сообщений, веб-сессий, электронных писем и файлов	Декодеры протоколов, OCR, извлечение метаданных
Аналитика IP-адресов и DPI	Классификация зашифрованного трафика, определение его характеристик, корреляция, визуализация	Сигнатуры DPI, отпечатки TLS (JA4), аналитика потоков данных
Аудио-рабочая станция	Воспроизведение, транскрипция, идентификация говорящего, мониторинг в реальном времени	SIP/RTP, преобразование речи в текст, голосовая биометрия
Доказательства и экспорт	Цепочка ответственности, подписанные экспортные документы, отчеты, готовые к представлению в суд	Хеширование, цифровые подписи, журналы аудита
Обмен между LEMF	Обмен данными о перехваченных объектах между ведомствами	ETSI TS 103 462 (ILHI)

Управление CSP: о чём никто не говорит

Агентство получает данные не от одного оператора, а от десятков или даже сотен: операторов мобильной связи, виртуальных операторов мобильной связи (MVNO), провайдеров фиксированного доступа в Интернет, провайдеров VoIP, а также — все чаще — от OTT-сервисов и облачных коммуникационных сервисов. У каждого из них есть свои конечные точки передачи, IP-адреса, сертификаты, поддерживаемые версии стандартов и особенности работы.

Таким образом, зрелая система LEMF включает в себя специальный Управление CSP модуль:

• Реестр поставщиков: юридическое лицо, контактные лица, круглосуточная горячая линия, поддерживаемые услуги и версии ETSI, а также сопоставление типов целевых идентификаторов (MSISDN, IMSI, IMEI, SIP URI, имя пользователя, IP-адрес) с оператором, к которому необходимо обратиться.
• Управление конечными устройствами и шифрованием: IP-адреса функций доставки CSP (в идеале с понятными для человека псевдонимами в окне мониторинга), сроки действия сертификатов и национальные криптографические шлюзы, обеспечивающие защиту передачи данных.
• Внедрение и тестовые перехваты: проведение структурированных приемочных испытаний перед запуском нового провайдера, включая проверку форматирования записей HI2 и HI3. Такие же требования применяются и в обратном порядке, когда оператор подключает новое агентство.
• Контроль качества доставки: автоматическая проверка на отсутствие порядковых номеров, некорректные записи, сбои в поддержании соединения и IRI, которые невозможно сопоставить с контентом.

От качества данного модуля зависит, насколько быстро новый ордер вступает в силу и смогут ли аналитики в итоге работать с полными данными.

Управление ордерами: от судебного постановления до аннулирования

Каждый процесс перехвата начинается с выдачи законного постановления. Система управления ордерами LEMF преобразует это постановление в техническую меру:

1. Создание дела: следственный орган, номер дела в прокуратуре, правовые основания и ответственные следователи.
2. Определение меры: идентификаторы абонентов, услуги (голосовая связь, SMS, передача данных, обмен сообщениями), даты начала и окончания, а также адресат — поставщик услуг связи.
3. Задание по курсу LIID: уникальный идентификатор законного перехвата (Lawful Interception Identifier) связывает каждую запись IRI и CC именно с этой мерой.
4. Передача в CSP: по возможности в электронном виде через HI1.
5. Контроль сроков: автоматические напоминания перед истечением срока действия, рабочие процессы продления и немедленная деактивация по окончании срока действия заказа.
6. Принцип «четырёх глаз» и контрольный след на каждом этапе.

HI1 и ETSI TS 103 120

ETSI TS 103 120 определяет структурированный интерфейс на основе XML для передачи информации об ордерах. Он позволяет передавать разрешения, задания и инструкции по доставке между ведомствами и поставщиками. Этот интерфейс заменяет бумажные документы и факсы, сокращает время активации и исключает опечатки в идентификаторах целей. Для более подробного ознакомления читайте Объяснение стандарта ETSI TS 103 120.

ETSI-ESB и E-Mail-ESB в Германии

В Германии в Технической директиве TR TKÜV описываются ETSI-ESB процедура (Elektronische Schnittstelle Behörden) для запросов и ответов на запросы информации, например, запросов о данных о дорожном движении. Она основана на стандарте ETSI TS 102 657. В техническом регламенте TR TKÜV также описывается упрощённый E-Mail-ESB процедуру, а также содержит ссылку на стандарт ETSI TS 120, определяющий интерфейс ETSI для информации об ордерах, в качестве дополнительного электронного варианта. Система LEMF, управляемая немецким ведомством или взаимодействующая с немецкими поставщиками услуг связи (CSP), должна поддерживать оба варианта. Предстоящие правила, касающиеся оперативного блокирования и Хранение IP-адресов добавит новые типы запросов в эти каналы.

Почему факс по-прежнему играет важную роль

Факс устарел, но не исчез. Многие небольшие поставщики и в рамках некоторых трансграничных процессов заказы по-прежнему принимаются только по факсу. Поэтому агентства по-прежнему ожидают:

• Шаблоны факсов для активации, продления и деактивации, заполняемые автоматически на основе данных дела (уполномоченный орган, номер дела, идентификатор объекта, LIID, срок, контактное лицо).
• Прием факсов с распознаванием текста (OCR), чтобы полученные подтверждения индексировались и их можно было найти с помощью поиска.
• A программа для просмотра факсов в приложении для анализа, поскольку факс также является средством связи, которое может быть перехвачено.

Цель состоит в том, чтобы использовать факс в качестве контролируемого резервного варианта, одновременно переводя всех провайдеров, которые могут его поддерживать, на HI1 или ESB.

Получение данных: HI2 и HI3 в масштабе

Бэкенд LEMF должен принимать данные круглосуточно и никогда не терять данные, даже в случае сбоя на сайте или недоступности нижестоящего хранилища. Типичные требования:

• Кластеризация «активный/активный» на двух географически разнесённых площадках, причём каждая из них способна самостоятельно выдерживать большую часть нагрузки.
• Параллельный прием сигналов Legacy и IP: Интерфейсы ISDN первой скорости (с возможностью перехода на протокол SIP), а также гигабитные или 10-гигабитные IP-входы для передачи данных в соответствии со стандартом ETSI TS 102 232.
• Локальная буферизация на принимающих серверах, чтобы необработанные данные за несколько дней сохранились даже в случае сбоя в работе системы хранения.
• Цифровая подпись исходных данных сразу после его сохранения, чтобы в любой момент можно было подтвердить его целостность.
• Взаимосвязь между IRI и CC: сопоставление по корреляционному номеру и назначение на основе правил записей IRI-CONTINUE и IRI-REPORT, поступающих без соответствующего содержимого. Для получения дополнительной информации см. IRI против CC.
• Стандартная поддержка: ETSI TS 101 671 / ES 201 671 для услуг с коммутацией каналов, ETSI TS 102 232, части 1–7, для услуг на основе IP, 3GPP TS 33.108 и TS 33.128 для мобильных сетей до 5G, а также ETSI TS 103 462 для передачи вызова между LEMF.

Аудио: «Audio Workbench»

Прослушивание телефонных разговоров далеко не утратило свою актуальность. Следователи рассчитывают на профессиональную аудиолабораторию:

• Воспроизведение с использованием маркеров, циклов, разделенных по направлению каналов (входящий/исходящий), регулировка скорости с коррекцией высоты тона и применением аудиофильтров — и все это без каких-либо изменений исходной записи.
• Мониторинг в режиме реального времени перечень приоритетных мер, включая звонки на авторизованные телефонные номера с аутентификацией по PIN-коду.
• Преобразование речи в текст и идентификация говорящего чтобы за считанные минуты прослушать часы аудиозаписей.
• Окна транскрипции с использованием шаблонов, ссылок на сопутствующие товары и полнотекстового поиска по всему делу.
• Доступ на основе ролей для переводчики, при этом их доступ ограничивается только теми записями, которые им назначены.

Настоящее преимущество: аналитика данных IP и глубокий анализ пакетов

Сегодня для большинства целей основную часть перехваченных данных составляет IP-трафик, причём большая его часть зашифрована. Система LEMF, способная отображать лишь “10 ГБ TLS”, практически бесполезна. Именно здесь глубокий анализ пакетов и здесь на помощь приходит аналитика:

• Восстановление и декодирование сеанса: веб-страницы, электронная почта (POP3, IMAP, SMTP), передача файлов, VoIP-звонки и незашифрованные протоколы чата преобразуются в читаемые “объекты”, включая метаданные и вложения, которые открываются в защищённой изолированной среде.
• Классификация зашифрованных услуг: даже если восстановить содержимое не удается, DPI определяет приложение (например, WhatsApp, Signal, Threema или Telegram) и показывает, какой объем данных был обменен и когда. Спецслужбы всё чаще ожидают, что классификаторы будут постоянно обновляться и что их настройку смогут осуществлять их собственные сотрудники.
• Классификация контента: декодированный контент автоматически распределяется по таким категориям, как «сообщения», «покупки», «финансы» или «насилие».
• OCR и извлечение метаданных из изображений, документов и факсов (EXIF, IPTC), все из которых индексируются для полнотекстового поиска.
• Просмотр в виде временной шкалы: все протоколы и продукты на одной временной шкале с возможностью масштабирования и точностью до секунды, синхронизированной со списком продуктов.
• Детальный анализ трафика, аналогично инструменту мониторинга сети, с ограничением до тех показателей, на работу с которыми у аналитика есть разрешение.
• Геоаналитика: данные о местоположении от IRI и из приложений на карте, маршруты перемещения, импорт данных о координатах по идентификаторам сотовых сетей, а также оповещения о превышении геозоны, когда объекты отслеживания входят в зону, покидают её или встречаются друг с другом.
• Графы сущностей и связей которые связывают номера телефонов, учетные записи, устройства и местоположения с людьми и группами.
• Оповещения на основе правил по телефонным номерам, IP-адресам, ключевым словам, временным интервалам и геозонам, с отправкой в приложении, по электронной почте или посредством SMS.
• Передача PCAP таким инструментам, как Wireshark, и API декодера что позволяет агентству добавлять собственные модули протоколов без изменения ядра.

В следующей статье из этой серии мы рассмотрим, как работают идентификация по отпечаткам TLS, распознавание моделей трафика и IP-корреляция. О влиянии зашифрованного DNS см. Зашифрованный DNS (DoH/DoT) и законный перехват.

Целостность данных, конфиденциальность и роли

LEMF служит доказательством, поэтому оно должно соответствовать судебным стандартам:

• Цепочка поставок: подписанные исходные данные, экспортированные данные с хэш-кодами и полный журнал аудита, отражающий, кто, к каким данным и когда получал доступ.
• Декодирование с учетом версий: если декодер обновляется и данные декодируются заново, предыдущие результаты и аннотации остаются доступными, а изменения отображаются в истории.
• Защита конфиденциального контента: записи, на которые распространяется правило об исключении (например, касающиеся сущностных аспектов частной жизни), могут быть помечены и заблокированы при условии одобрения администратором.
• Образец для подражания: системные администраторы, администраторы LI, специалисты по ведению дел, аналитики и переводчики, каждый из которых обладает минимальными необходимыми полномочиями вплоть до уровня конкретного дела.
• Рабочие процессы удаления которые фиксируют удаление данных после того, как их хранение перестает быть законным.

Контрольный список покупателя LEMF

• Поддерживает стандарты ETSI TS 101 671, TS 102 232-1–7, 3GPP TS 33.108 / 33.128 и имеет план развития для стандартов TS 103 120 и TS 103 462
• Обеспечивает структурированное управление CSP с помощью тестов при подключении и мониторинга качества предоставления услуг
• Обеспечивает управление ордерами с учетом сроков, принципа «четырёх глаз», поддержки ESB и резервного подключения по факсу
• Классифицирует зашифрованные приложения с помощью DPI, с постоянными обновлениями и настраиваемыми ведомством правилами
• Включает API плагина декодера и экспорт в формат PCAP
• Обеспечивает отображение временной шкалы, карты, графиков и уведомлений в одном приложении
• Регистрирует данные о поступлении, ведет полный журнал аудита и управляет версиями при декодировании
• Работает в режиме «активный/активный» с локальной буферизацией и обеспечивает горизонтальную масштабируемость

Как ICS помогает правоохранительным органам и операторам

ICS International Carrier Services имеет более 20 лет опыта работы в сфере телекоммуникаций, законного прослушивания и обеспечения соблюдения нормативных требований, содержит несколько разрешений BNetzA и сотрудничает с персоналом, прошедшим проверку на допуск к секретной информации. Поскольку мы ежедневно работаем с LI на стороне поставщика, мы точно знаем, что поступает в LEMF и какие сбои возникают по пути.

• Требования и сопровождение тендера: мы помогаем агентствам формулировать реалистичные требования к системам LEMF, основанные на стандартах — от интерфейсов ETSI до технологий DPI и аналитики.
• Внедрение CSP и тестирование интерфейса: настройка передачи данных, управление сертификатами, проверка соответствия формату и тестирование доставки для новых провайдеров.
• Интеграция HI1 и ESB: интеграция системы управления ордерами со стандартом ETSI TS 103 120 и рабочими процессами немецкой системы ESB, включая контролируемый переход на резервный вариант с использованием факса.
• Обеспечение качества доставки: автоматическая проверка потоков HI2/HI3 и мониторинг полноты данных.
• ICS LEMF: наше собственное программное обеспечение для центров мониторинга правоохранительных органов, включающее функции управления CSP и ордерами, аудиоредактор и IP-аналитику на основе DPI. Операторы используют версию Test LEMF для проверки качества передачи сигналов HI2/HI3. См. ICS LEMF.
• Пользовательские декодеры и интеграции разработано с учётом особенностей вашей среды. См. Интеграция и индивидуальная разработка.
• Обучение для технических специалистов по стандартам ETSI, интерфейсам и устранению неисправностей.

Узнайте больше о наших решение для мониторинга деятельности правоохранительных органов, наша работа с регулирующие органы и правоохранительные органы, или Запросить демонстрацию ICS LEMF.

Часто задаваемые вопросы

Что означает аббревиатура LEMF?

LEMF — это аббревиатура от «Law Enforcement Monitoring Facility» (Центр мониторинга правоохранительных органов). Это система, управляемая правоохранительным органом и предназначенная для приема, записи и анализа телекоммуникационных данных, законно перехваченных у операторов связи.

В чём заключается разница между LEMF и LIMS?

LIMS (Система управления законным перехватом) работает на стороне оператора. Он управляет объектами прослушивания, а также контролирует точки прослушивания в сети и функцию посредничества. LEMF работает на стороне ведомства и принимает результаты. Оба модуля соединены через интерфейсы передачи данных HI1, HI2 и HI3.

Какие стандарты ETSI должен поддерживать LEMF?

Как минимум, стандарты ETSI TS 101 671 / ES 201 671 для услуг с коммутацией каналов и ETSI TS 102 232, части 1–7, для IP-услуг, а также 3GPP TS 33.108 и TS 33.128 для мобильных сетей. Все чаще требуются стандарты ETSI TS 103 120 (интерфейс гарантий) и ETSI TS 103 462 (передача между LEMF).

Может ли система LEMF анализировать зашифрованный трафик?

Система LEMF не способна взломать сквозное шифрование. Однако с помощью глубокого анализа пакетов, идентификации TLS по отпечаткам и анализа потоков данных она может определить, какое приложение использовалось, когда и насколько интенсивно, а также соотнести эту активность с другими данными по делу.

Почему устройства LEMF до сих пор поддерживают функцию факса?

Некоторые поставщики и трансграничные процедуры по-прежнему принимают заказы только по факсу. Современная система LEMF формирует факсимильные заказы на основе данных по делам и индексирует полученные факсы с помощью технологии OCR, в то время как поставщики постепенно переходят на электронные интерфейсы, такие как ETSI TS 103 120 или ESB.

Похожие статьи

• HI1 vs HI2 vs HI3: понимание трех интерфейсов законного перехвата
• ETSI TS 103 120 Объяснения: Интерфейсы хэндовера для современных IP-сетей
• Как работает функция посредничества: Мост между вашей сетью и правоохранительными органами
• Что такое законный перехват? Полное руководство
• ICS LEMF: Центр мониторинга правоохранительных органов

Внешние ресурсы

• Стандарты ETSI в области законного перехвата (TC LI)
• Федеральное сетевое агентство: Техническая директива TR TKÜV, редакция 8.3 (на английском языке, PDF)