В этой статье мы рассмотрим особый случай видеофайлов: файлы с несколькими видеопотоками. Что это такое и почему важно в цифровой криминалистике (и, возможно, в расследовании инцидентов)?

Большинство форматов видеофайлов представляют из себя контейнер:

"Файл-контейнер используется для идентификации и чередования различных типов данных. Более простые форматы контейнеров могут содержать различные типы аудиоформатов, в то время как более продвинутые форматы контейнеров могут поддерживать несколько аудио- и видеопотоков, субтитров, информации о главах и метаданных (тегов) наряду с синхронизацией информации, необходимой для совместного воспроизведения различных потоков." (из Википедии)

В приведённом выше описании вы можете найти понятие «поток»: поток содержит однородные данные, например, аудиопоток (фрагмент данных, содержащий только аудио) или видеопоток (только видеоданные).

Типичное видео содержит один видеопоток для визуальных элементов и один или несколько аудиопотоков озвучания. Довольно часто встречаются видео с более чем одним аудиопотоком: основным может быть оригинальный звук (например, английская озвучка), а второстепенным — перевод (например, русский). Однако легальных причин, чтобы видеофайл включал в себя несколько видеопотоков, довольно мало (нам известны только видеорегистраторы, которые записывают видео разного качества в виде отдельных потоков в один и тот же видеофайл).

В цифровом криминалистическом расследовании обнаружение в одном видеофайле нескольких видеопотоков может стать "красным флагом", сигнализирующим о том, что внутри может скрываться нелегальное содержимое. Вот почему так важно иметь быстрый способ различать и анализировать такие файлы.

Как работают неспециализированные продукты?

Одна из проблем работы с подобными видео заключается в том, что их очень легко пропустить. Проводник Windows покажет вам миниатюру основного (обычно, вполне невинного) видеоряда. Просмотр видео (что, безусловно, является очень не эффективным способом, ведь нынче даже у обычного пользователя могут храниться терабайты медиафайлов) тоже не поможет: когда вы открываете такие видео в стандартном проигрывателе, он по умолчанию покажет вам основной (первый) видеопоток. Никакого предупреждения о том, что внутри есть что-то ещё, ни намёка, ни указания!

Более того, не все специализированные инструменты цифровой криминалистики дадут вам такую информацию. Вы, конечно, можете вручную открыть соответствующее меню и посмотреть, есть ли внутри второй видеопоток, и переключиться на него, если есть. Однако на это уйдет много времени, да и эксперт должен не забыть о возможности такой ситуации.

Поиск интересующих файлов с помощью Belkasoft X

Belkasoft Evidence Center X (или, для краткости, Belkasoft X) — новый продукт для цифровой криминалистики и расследования инцидентов от "Белкасофт", способный анализировать мобильные и компьютерные устройства, облачные данные и дампы памяти. Одна из функций продукта — поиск видеофайлов с несколькими видеопотоками.

Создайте или откройте дело в Belkasoft X и добавьте источник данных. Вы можете добавить компьютерный криминалистический образ (например, E01 / Ex01, L01 / Lx01 и т. д.), мобильный криминалистический образ (такой как UFD, GrayKey ZIP и т. д.) или просто папку с вашего компьютера.

Рис. 1. Добавление образа

На экране Выберите дополнительные параметры анализа установите флажок Видео и начните поиск.

Рис. 2. Выбор видеоформатов

Программа найдёт существующие видео и восстановит удалённые. Как быстро найти интересующие файлы?

Рис. 3. Галерея найденных видео

В виде Галерея щёлкните правой кнопкой мыши и выберите Добавить или сбросить фильтры. В Таблице щёлкните любой значок фильтра. Откроется окно Добавить фильтр. Внутри раскройте критерий Количество видеопотоков и установите флажок Отобразить только видеофайлы с несколькими видеопотоками.

Рис. 4. Фильтр видеопотоков

Обычно после применения этого фильтра останется весьма ограниченное количество файлов. В нашем тестовом примере нашлись только два из 147 видео:

Рис. 5. Видео после фильтрации

Если вы переключитесь на Таблицу, вы обнаружите, что оба видео действительно имеют два видеопотока.

Рис. 6. Два видеофайла в таблице

В Belkasoft X вы можете воспроизвести медиафайлы с помощью встроенного Медиаплеера. Другой вариант — открыть файл в видеопроигрывателе, установленном по умолчанию в вашей системе. Один из наших тестовых видеофайлов содержит промо-ролик "Белкасофт" первым видеопотоком. Ничего интересного, если только вы не заинтересованный покупатель (шутим: это очень хорошее видео эволюции нашего продукта, показывающее, насколько продуманным стал его интерфейс).

Рис. 7. Встроенный медиаплеер

Однако, если вы переключитесь на второй видеопоток (это можно сделать, нажав на желтый треугольник и выбрав Видеодорожка 2)...

Рисунок 8. Выбор видеопотока в медиаплеере

...то отобразится нечто совсем другое: несколько пингвинов, снятых руководителем "Белкасофт" во время его антарктического путешествия в прошлом году:

Рис. 9. Пингвины, спрятанные во втором потоке

Звук останется прежним, но вы можете переключиться на второй аудиопоток, в котором слышны порывы сильного антарктического ветра и крики пингвинов.

Как вы сами убедились, визуальная часть может быть совершенно разной в разных потоках, и её непросто проанализировать без автоматизации.

Анализ видеопотоков с помощью Belkasoft X

Теперь, когда среди ваших видео есть несколько кандидатов в "плохие парни", как вы можете быстро определить, содержат ли они незаконный контент? Благодаря описанному выше фильтру у вас есть вариант смотреть существенно меньшие количества видео, но что если даже после фильтрации осталось несколько сотен видеороликов по два часа каждый?

"Белкасофт" может помочь вам в дальнейшем анализе.

Извлечение ключевых кадров

Во-первых, вы можете извлечь ключевые кадры для каждого интересующего видео. Ключевой кадр — это кадр (то есть неподвижное изображение) из видео, который значительно отличается от предыдущего ключевого кадра. Извлечение ключевого кадра имеет огромное преимущество перед извлечением кадра каждую секунду или около того: если в сцене ничего не меняется, ключевой кадр не создастся. Представьте себе круглосуточную камеру видеонаблюдения в месте, где ничего не происходит. Она показывает одну и ту же картину в течение всего дня, и, используя подход «извлечение каждую секунду», вы получите тысячи почти идентичных изображений, в то время как подход с ключевыми кадрами даст вам только несколько изображений, когда кто-то появляется в кадре.

Рис. 10. Опция извлечения ключевых кадров в Belkasoft X

Например, для нашего короткого тестового видео с пингвинами будут извлечены только два ключевых кадра, поскольку во время съёмки пингвины вели себя спокойно. Количество извлекаемых кадров можно настроить — вы можете указать в параметрах Belkasoft X, насколько два кадра должны отличаться, чтобы это привело к созданию нового ключевого кадра.

Рис. 11. Ключевые кадры, извлечённые из каждого потока

Ключевые кадры, сгенерированные по видеофайлу, позволяют проанализировать его содержание, не тратя часы на его просмотр. При этом вы ничего не пропустите: все основные изменения в кадре приведут к извлечению отдельного ключевого кадра.

В нашем случае ключевые кадры из первого видеопотока идут первыми, и имя изображения содержит подсказку: каждый кадр вначале имеет префикс типа 'stm_00' (означающий, что он извлечён из первого видеопотока) и, далее, префикс 'stm_02' (ключевые кадры из второго видеопотока; как нетрудно догадаться, поток номер 1 предназначен для аудио).

Теперь вы можете прокрутить набор ключевых кадров для каждого интересующего вас видео и просмотреть второстепенные ключевые кадры. Всё в порядке или нет?

Ещё больше функций: автоматический анализ ключевых кадров

Опять же, если количество видео слишком велико, ключевых кадров извлечётся слишком много, что сделает покадровый просмотр неэффективным. В этом случае вы можете выбрать интересующие вас видео и стартовать из их контекстного меню функцию анализа отмеченных элементов. В этом меню выберите интересующий вас вид анализа: например, определение порнографии или детектирование лиц. Результаты будут помещены на вкладке Обзор -> Изображения -> Порнография или Обзор -> Изображения -> Лица. Продукт позволяет делать и другие типы анализа изображений, такие как определение кожи, оружия или текста.

Рис. 12. Параметры анализа изображений

С помощью описанных приёмов вы можете быстро найти файлы с нелегальным видео-контентом , который кто-то попытался скрыть с помощью приёма со вторичным видеопотоком. Вы можете сделать это, даже не просматривая второй видеопоток, что сэкономит часы, а может даже и дни вашего времени.

Заключение

Видеофайлы могут содержать несколько потоков, но обычно имеют только один видеопоток. Наличие нескольких видеопотоков в одном файле довольно подозрительно. Чтобы быстро найти такие файлы среди тысяч видеороликов, хранящихся на устройстве, вы можете использовать встроенный фильтр Belkasoft X или отсортировать их по столбцу Видеопотоки. Вы можете ещё больше ускорить свою работу, извлекая ключевые кадры с помощью Belkasoft X даже для вторичных видеопотоков с последующей автоматической классификацией изображений на порнографию, кожу, лица или оружие, встроенной в продукт для цифровой криминалистики и расследования инцидентов от компании "Белкасофт".

Полезные ссылки