Экспертиза причин сбоев и недоступности сайта реконструирует техническую хронологию инцидента: когда появились признаки отказа, какие компоненты изменили состояние и какие причины согласуются с сохранившимися цифровыми следами. Она применяется в спорах с разработчиком, хостингом или подрядчиком сопровождения, а также при внутреннем расследовании.
Часть следов быстро перезаписывается. Поэтому до исправлений важно сохранить логи, снимки виртуальных машин, конфигурации, мониторинг и резервные копии. После первичного просмотра эксперт может дать предварительный прогноз о наиболее вероятном классе причины и достаточности данных. Это не окончательный вывод и не обещание установить виновное лицо.
Какие ситуации исследуются
Недоступность для одного пользователя и полный отказ сервиса — разные события. Задача начинается с точного определения симптома, периода, точки наблюдения и затронутых функций.
- сайт возвращал ошибки или не отвечал в определённый период;
- после обновления перестал работать отдельный сценарий;
- база данных потеряла, продублировала или повредила записи;
- ресурс исчерпал процессор, память, диск или соединения;
- внешний API, DNS, сертификат или сеть нарушили доступ;
- стороны спорят о связи действий администратора с инцидентом.
Предмет и возможные выводы
Предметом являются техническая хронология, состояние компонентов и причинные связи, которые подтверждаются логами, конфигурациями, версиями и независимыми наблюдениями. Эксперт проверяет несколько разумных объяснений, а не выбирает первое совпавшее событие.
Вывод может быть категорическим, вероятностным или сообщать о невозможности выделить одну причину. Совпадение обновления по времени со сбоем ещё не доказывает причинность; нужны механизм, последовательность и отсутствие более убедительной альтернативы.
Что сохранить после инцидента
Сбор должен быть законным, минимально изменяющим систему и документированным. Перезапуск, очистка диска или повторное развёртывание способны уничтожить именно те следы, которые нужны для ответа.
Цифровые объекты
Сохраняют исходные выгрузки, а рабочий анализ проводят на копиях. Для файлов фиксируют источник, время, часовой пояс и контрольные суммы.
- логи приложения, веб-сервера, базы, операционной системы и средств защиты;
- метрики мониторинга, трассировки, события оркестратора и облачной платформы;
- конфигурации, секреты в допустимом защищённом виде и историю изменений;
- снимки виртуальных машин, контейнеров, дисков и резервные копии;
- код, сборки, зависимости и журнал развёртываний;
- ответы DNS, сведения сертификатов и данные внешних провайдеров.
Контекст и документы
Технические записи интерпретируются с учётом архитектуры и действий команды. Нужна не только выборка строк с ошибками, но и окружающий интервал, позволяющий увидеть начало и развитие события.
- схема компонентов и ответственных зон;
- точное описание симптомов и точки наблюдения;
- журнал изменений, релизов и административных действий;
- обращения пользователей и уведомления мониторинга;
- договоры уровня сервиса и отчёты провайдеров;
- сведения о восстановительных работах и изменённом состоянии.
Как реконструируется причина
Исследование строится от временной шкалы к техническому механизму. Часовые пояса и рассинхронизация часов проверяются отдельно, иначе события разных систем могут быть расположены в неверном порядке.
- идентифицируются источники и оценивается их полнота;
- временные метки приводятся к общей шкале с указанием погрешности;
- выделяются первый симптом, развитие, реакция и восстановление;
- изменения сопоставляются с состоянием ресурсов и ошибками;
- проверяются внешние зависимости и альтернативные причины;
- описание механизма проверяется на согласованность со всеми существенными следами.
Вопросы, которые можно поставить эксперту
Вопрос должен называть период, систему и наблюдаемый отказ. Организация поможет определить, какие источники нужны и можно ли объединить их в одну временную шкалу, не подменяя технический анализ правовой оценкой ответственности.
Нельзя спрашивать только «кто виноват». Корректная постановка отделяет причину, техническую возможность действий и зафиксированную последовательность. Окончательные вопросы судебной экспертизы устанавливает назначающий орган, а материалы передаются через него.
- В какой период по представленным данным сайт был недоступен и для каких точек наблюдения?
- Какие события предшествовали появлению указанного отказа?
- Какой технический механизм согласуется с обнаруженными ошибками и состоянием компонентов?
- Могло ли указанное изменение конфигурации вызвать наблюдаемый результат?
- Связан ли отказ с исчерпанием ресурсов и какими данными это подтверждается?
- Согласуется ли инцидент со сбоем хостинга, сети или внешнего API?
- Какие действия по восстановлению отражены в логах и как изменили состояние?
- Достаточны ли материалы для исключения альтернативных причин?
Некорректно: «Администратор уронил сайт?» Корректно: «Какие изменения внесены перед отказом и могли ли они технически вызвать наблюдаемый симптом?»
Некорректно: «Хостинг обязан возместить простой?» Корректно: «С каким компонентом инфраструктуры согласуются события недоступности в указанный период?»
По журналам и мониторингу эксперт может восстановить техническую причину и последовательность отказа, но в пределах специальных знаний нельзя определить виновность администратора, мотив действий, намерение причинить ущерб или обязанность хостинга возместить простой. Правовую и субъективную сторону события устанавливает суд либо орган расследования на основе всех доказательств. Если эксперт вышел за эту границу, заключение не аннулируется автоматически: проверяют его компетентность, связь спорного суждения с вопросами и обоснованность технической части. В уголовном процессе установленная некомпетентность может повлечь отвод; в других процессах применяются их собственные основания отвода. Сторона вправе оспаривать относимость, допустимость, достоверность и обоснованность заключения, просить о допросе, дополнительной или повторной экспертизе, а при существенном процессуальном нарушении — ставить вопрос об исключении или недопустимости доказательства в предусмотренном законом порядке.
Предварительный прогноз
После экспресс-проверки логов, мониторинга и истории изменений эксперт сообщает, можно ли построить временную шкалу, какие причины выглядят наиболее вероятными и какие источники важно срочно запросить. Прогноз может показать, что сохранился только факт недоступности, но не данные о её внутреннем механизме.
Новые журналы провайдера, конфигурации или снимок системы способны изменить оценку. Предварительный прогноз не заменяет полное исследование альтернатив и не является основанием заранее назвать ответственную сторону. Для назначенной судом экспертизы частное общение по существу инцидента с одной стороной недопустимо.
Граница с экспертизой киберинцидента
Не каждый сбой является атакой. Ошибка приложения, переполнение диска, истёкший сертификат и отказ внешнего сервиса исследуются как эксплуатационный инцидент. При признаках несанкционированного доступа, вредоносного кода или DDoS нужна экспертиза инцидента кибербезопасности с соответствующей процедурой сохранения следов.
Текущее качество и воспроизводимые дефекты без исторической реконструкции рассматривает экспертиза работоспособности сайта. Общее направление и выбор услуги описаны на странице экспертизы сайта.
Что вы получите
Заключение содержит перечень источников, оценку их сохранности, нормализованную хронологию, результаты анализа версий и конфигураций, проверку альтернатив и ответы. Если точную продолжительность или единственную причину установить нельзя, это указывается вместе с пределами. Эксперт не рассчитывает автоматически упущенную выгоду и не гарантирует вывод о виновности.
Проведение экспертизы по уголовному делу
Согласно Постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. N 28 "О судебной экспертизе по уголовным делам" экспертиза по уголовному делу может быть проведена либо государственным экспертным учреждением, либо некоммерческой организацией, созданной в соответствии с Гражданским кодексом Российской Федерации и Федеральным законом "О некоммерческих организациях", осуществляющих судебно-экспертную деятельность в соответствии с принятыми ими уставами.
Коммерческие организации и лаборатории, индивидуальные предприниматели, образовательные учреждения не имеют права проводить экспертизу по уголовному делу, ровно как и некоммерческие организации, для которых экспертная деятельность не является уставной. Экспертиза, подготовленная указанными организациями в рамках уголовного процесса, может быть признана недопустимым доказательством, т.е. доказательством, полученным с нарушением требований процессуального закона.
Недопустимые доказательства не могут использоваться в процессе доказывания, в том числе, исследоваться или оглашаться в судебном заседании, и подлежат исключению из материалов уголовного дела.
Так как АНО "Судебный эксперт" является автономной некоммерческой организацией, а проведение судебных экспертиз является её основной уставной деятельностью (см. раздел "Документы организации"), то она имеет право проводить экспертизы в том числе и по уголовным делам.
