После сбоя сервера, подозрительного подключения или утечки важно выяснить, что произошло в сети и какие данные это подтверждают. Компьютерно-сетевая экспертиза сопоставляет журналы событий, записи трафика, настройки оборудования и следы на устройствах. Она помогает восстановить последовательность соединений, проверить причины недоступности сервиса и оценить, можно ли связать отдельные события между собой.
До полного исследования можно получить предварительный прогноз: сохранились ли нужные источники, какой ответ наиболее вероятен и насколько определённым он будет. Это особенно полезно, когда есть только адрес подключения или несколько строк журнала. Для прогноза нужно изучить материалы; условия и объём этой работы согласуют отдельно.
Когда нужна компьютерно-сетевая экспертиза
К исследованию обращаются, когда стороны по-разному объясняют сетевое событие: администратор связывает сбой с атакой, подрядчик — с настройками заказчика, а пользователь оспаривает действия своей учётной записи. По данным за спорный период проверяют и другие возможные объяснения произошедшего. Типовые задачи включают:
- Подключение к корпоративной сети, серверу или облачному сервису: когда оно состоялось, через какой узел и какие действия зарегистрированы.
- Предполагаемую утечку: есть ли следы передачи данных наружу, что известно о получателе и можно ли определить конкретные переданные файлы.
- Недоступность сайта или интернет-сервиса: согласуются ли сбои с потоком запросов, ошибкой приложения, перегрузкой инфраструктуры или изменением настроек.
- Спор о работе сети и услугах подрядчика: соответствовали ли соединения и настройки согласованным техническим требованиям в условиях проведённой проверки.
- Публикацию сообщения, отправку письма или электронный платёж: какие технические сведения связывают событие с сессией, устройством или учётной записью.
- Подключения к Wi-Fi, удалённое управление и взаимодействие устройств, включая датчики и другие устройства интернета вещей.
Это направление относится к компьютерно-технической экспертизе. Если главный вопрос — как применялись Wi-Fi, виртуальная частная сеть VPN, облачная платформа или удалённый доступ в конкретной системе, задачи подробнее разобраны в разделе экспертизы использования сетевых технологий. Когда вместе с сетевыми событиями нужно исследовать заражённые устройства и другие цифровые следы инцидента, может потребоваться более широкое киберкриминалистическое исследование.
Что можно установить и где заканчиваются технические выводы
Эксперт выясняет, какие события зарегистрированы, как работала система и чем подтверждается предполагаемая связь между подключением, действием и последствием. Но даже подробная запись входа сама по себе не показывает все последующие действия пользователя.
Источник подключения и человек — разные вопросы
IP-адрес может принадлежать общему шлюзу организации, оператору, VPN-сервису или промежуточному узлу. При некоторых вариантах преобразования сетевых адресов NAT один внешний адрес используется несколькими устройствами или абонентами. Для сопоставления соединений могут понадобиться внешний адрес и порт источника, записанные сервисом, точное время с часовым поясом, протокол и записи оператора или шлюза. В некоторых системах нужны также адрес и порт назначения. Без них техническая привязка иногда остаётся неоднозначной.
MAC-адрес используется для адресации сетевого интерфейса в локальном сегменте и обычно не передаётся через маршрутизаторы до интернет-сервера. Имя аккаунта обозначает учётную запись. Эти признаки могут изменяться или использоваться разными людьми. Проверяют, не получил ли посторонний доступ к аккаунту, не пользовались ли им несколько человек и не выполнялись ли действия программой либо через удалённое управление. Эксперт указывает, какие сведения о событии подтверждены техническими источниками; установление личности и правовая оценка требуют совокупности материалов дела.
Передача данных, атака и ущерб
Большой объём исходящего трафика может означать резервное копирование, обновление или передачу постороннему получателю. Чтобы говорить о конкретном файле, нужны сведения о содержимом передачи либо согласующиеся следы на отправляющем и принимающем устройстве, в приложении или хранилище. Объём переданных данных не раскрывает их содержание.
Распределённая атака на отказ в обслуживании, или DDoS, проверяется по характеру и распределению запросов, нагрузке, ошибкам и состоянию сервиса. Рост посещаемости или недоступность сайта сами по себе не доказывают атаку. Выявленная уязвимость показывает возможность воздействия, но ещё не подтверждает её использование в прошлом. Техническую причину остановки и её продолжительность отделяют от расчёта убытков, для которого нужны финансовые документы и соответствующий специалист.
Можно технически проверить, соответствовало ли действие правам доступа, если известны действовавшие правила и настройки. Преступность действия, виновность, умысел, принадлежность прав на информацию, клевету и допустимость доказательств эксперт этого профиля не устанавливает. Смысл спорной публикации исследуется с участием лингвиста, а правовую оценку даёт суд.
Какие материалы подготовить
Укажите спорный интервал, сервис, предполагаемое событие и то, какие источники сохранились. Не нужно заранее выгружать все данные корпоративной сети. Состав объектов определяют по вопросам, схеме взаимодействия и доступности данных; слишком узкая выборка может скрыть обычную работу системы и помешать проверить причину сбоя. Для первоначального разбора пригодятся:
- Журналы серверов, приложений, межсетевых экранов, прокси-серверов, систем обнаружения атак, удалённого доступа и облачной платформы — вместе с описанием формата, периода и способа выгрузки.
- Сохранённые записи сетевых пакетов, например PCAP, и сведения о точке записи, фильтрах, времени захвата и возможных потерях пакетов.
- Конфигурации маршрутизаторов, коммутаторов, точек доступа, VPN-шлюзов; схемы сети, правила доступа, данные о выдаче адресов устройствам и преобразовании адресов.
- Образы или согласованные копии данных рабочих станций, серверов, телефонов и хранилищ, если на них могли остаться следы спорных действий.
- Исходные письма с полными заголовками, выгрузки переписки, сведения о сеансах и операциях приложения; резервные копии, относящиеся к нужному периоду.
- Техническое задание, договор, акты, обращения в поддержку, данные мониторинга и документы о правах пользователей; при судебном назначении — определение или постановление и переданные материалы дела.
Пароли, токены и ключи доступа не отправляйте в обычной заявке. Журналы и конфигурации тоже могут содержать секреты: до их передачи согласуйте защищённый канал и необходимые меры, сохранив неизменённые исходные файлы. Если для согласованного исследования нужен доступ, заранее определяют его основание, границы, способ предоставления и действия специалиста. Эксперт не получает скрытый доступ к чужим аккаунтам и не истребует самостоятельно сведения, которых у стороны нет. В судебной работе недостающие материалы запрашиваются через назначивший орган.
Как сохранить следы и не остановить работающую сеть
Сообщите ответственному администратору о необходимости сохранить журналы, их архивы, настройки и сведения о времени. Рабочие журналы могут перезаписываться, а список текущих подключений исчезнуть после перезагрузки. Не меняйте часы устройств, не очищайте историю и не устанавливайте на исследуемые системы программы для «поиска взломщика» без согласованного плана.
При продолжающейся атаке защиту сервиса и сохранение следов согласуют с командой реагирования. Нельзя оставлять опасное соединение активным только ради экспертизы. Изоляция, отключение, изменение прав доступа и восстановление могут изменить данные; фиксируют, кто, когда и какие действия выполнил. Возможность сохранить оперативную память и текущие сессии оценивает специалист с учётом риска для системы.
При получении копий документируют источник, способ извлечения, период, настройки выгрузки, ответственных лиц и последующие передачи. Контрольная сумма — хеш — позволяет сравнивать содержимое файлов на разных этапах. Она не подтверждает, что журнал первоначально был достоверным или полным. Исходные выгрузки сохраняют отдельно, а анализ ведут на рабочих копиях. При необходимости осмотра действующей сети заранее согласуют время работ, разрешённые действия, фиксацию изменений и порядок восстановления работы.
Как эксперт проверяет сетевые события
Сначала определяют, что каждый источник действительно записывает. Журнал межсетевого экрана может показывать разрешённое соединение, но не содержание операции; предупреждение системы обнаружения атак требует проверки, поскольку срабатывание бывает ошибочным. Адрес клиента в заголовке веб-запроса сопоставляют с записями прокси и настройками доверия: без такой проверки поле может содержать сведения, заданные отправителем. Затем сопоставляют записи с устройствами, приложениями и условиями их работы. Порядок проверки:
- Проверяется происхождение и целостность материалов, охват спорного периода, пропуски, изменения формата и ограничения выгрузки.
- Сравниваются часы источников, часовые пояса, синхронизация и возможное расхождение времени. В общей хронологии сохраняются исходные отметки и объясняется пересчёт.
- Сопоставляются адреса, порты, протоколы, идентификаторы сессий и аккаунты с настройками сети и следами на конечных устройствах.
- Проверяются версии о штатной операции, ошибке, перегрузке, автоматическом процессе и постороннем воздействии. Признаки вредоносной активности соотносятся с данными приложения и устройства.
- При необходимости выполняются согласованные проверки на копии или в изолированной среде. В заключении указываются схема и параметры проверок, инструменты, их версии и ограничения результата.
Новая запись трафика показывает происходящее с момента её начала. Она не восстанавливает пакеты, которые никто не записал в прошлом. Аналогично, действующая конфигурация не доказывает состояние сети на дату инцидента: нужны архивы, история изменений или другие подтверждения. Тест текущей пропускной способности позволяет оценить работу в условиях его проведения, но не заменяет данные о качестве связи в спорный период.
В зашифрованном соединении часть технических сведений может оставаться доступной, а содержимое — закрытым. Для расшифровки нужны подходящие данные о ключах сеанса и корректная запись. Законно полученные исходные данные на конечном устройстве могут позволить исследовать содержание отдельно, без расшифровки трафика. Один сертификат сервера или пароль пользователя не гарантирует расшифровку. Удалённые журналы удаётся восстановить только при наличии сохранившихся копий или следов; если данных нет, эксперт объясняет, какие вопросы остались без ответа. Отсутствие обнаруженных следов не означает, что событие не происходило.
Примеры вопросов на экспертизу
Свяжите вопрос с конкретной системой, периодом и материалами. Например, при подозрении на копирование документов различают соединение с хранилищем, успешную загрузку и последующее использование файла. Эксперт поможет оценить, позволяют ли данные ответить на эти вопросы.
При судебном назначении окончательный круг, редакцию вопросов и объём исследования определяет суд или иной назначивший орган. В зависимости от обстоятельств могут быть поставлены такие вопросы:
- Какие соединения с указанным сервером зарегистрированы в представленных материалах за спорный период, каковы их адреса, время и иные доступные параметры?
- Какие действия с исследуемыми данными отражены в журналах приложения и можно ли сопоставить их с конкретной сетевой сессией?
- Содержат ли материалы признаки передачи указанных файлов за пределы сети? Какие сведения подтверждают или ограничивают этот вывод?
- Какие сведения позволяют сопоставить внешний адрес соединения с внутренним устройством или учётной записью при исследуемых настройках сети?
- Какие подключения к точке доступа Wi-Fi зафиксированы и какие данные сохранились об активности подключённых устройств?
- Содержат ли журналы и запись трафика признаки воздействия на доступность сервиса? Как эти события соотносятся с зарегистрированными сбоями?
- Какими техническими причинами объясняется недоступность сервиса при исследованных условиях и какие альтернативные причины проверены?
- Соответствуют ли исследуемые настройки и результаты согласованных проверок указанным техническим требованиям?
- Какие признаки изменения или неполноты журналов выявлены и как они влияют на возможность восстановить хронологию?
- Какие технические сведения связывают отправку указанного письма или публикацию сообщения с исследуемой сессией, устройством либо аккаунтом?
Вопрос о том, «кто совершил преступление», требует правовой оценки и установления обстоятельств за пределами сетевых следов. Если вопрос касается денег, содержания высказываний или состояния оборудования, может потребоваться комплексное исследование со специалистами другого профиля. Совместное исследование в пределах одной специальности проводят комиссией экспертов этой специальности.
Предварительный прогноз и выбор формата работы
При первом обращении выясняют, относится ли задача к специализации эксперта, все ли материалы представлены и возможно ли исследование. Изучив материалы, эксперт оценивает, каким может быть вывод, насколько он определён, каких источников не хватает и какие данные могут изменить прогноз. Прогноз может оказаться благоприятным, неблагоприятным или показать, что определённый ответ невозможен. При появлении новых материалов он может измениться.
Если судебная экспертиза уже назначена, назначенный эксперт не даёт одной стороне частный прогноз по переданному объекту и не принимает от неё дополнительные материалы напрямую. Уточнения и объекты передают через назначивший орган; общение по существу исследования ведут через него. В письме до назначения сообщают о возможности исследования, кандидатуре эксперта, материалах, ориентировочном сроке и стоимости, но не дают вывод по спору.
Судебная экспертиза проводится после процессуального назначения. Внесудебное исследование заказывают по договору, например для переговоров или подготовки обращения в суд. Консультация и справка помогают разобрать отдельный вопрос; условия прогноза и форму ответа согласуют до начала. При наличии готового заключения подходит рецензирование компьютерной экспертизы: специалист проверяет исходные данные, методику и обоснованность выводов, но рецензия не отменяет заключение и не заменяет новое исследование объектов.
Что вы получите и как использовать результат
В документе указывают, что исследовано, откуда получены данные, какие методы применены, как проходила работа, какие объяснения проверены и каковы ответы на вопросы. Для каждого существенного вывода нужна связь с конкретными записями и условиями проверки. Если источники противоречат друг другу или не позволяют ответить, это отражается в результате, а не скрывается за общим утверждением об атаке. Заключение по назначенной экспертизе направляют назначившему органу; результат договорного исследования передают заказчику на согласованных условиях.
Применение Федерального закона от 31 мая 2001 года № 73-ФЗ и его положений к негосударственным экспертам разобрано на отдельной странице закона о судебно-экспертной деятельности. Порядок назначения, представления документов и оценки результата зависит также от вида судопроизводства. Сторона может заявить ходатайство о приобщении внесудебного документа, назначении экспертизы или разъяснении выводов. Уполномоченный орган решает вопрос о процессуальном использовании результата и оценивает доказательства; оплата работы не определяет вывод эксперта.
До передачи объектов уточните квалификацию специалиста для работы с вашей системой, нет ли конфликта интересов и нужны ли специалисты другого профиля. Согласуйте доступ, защищённый канал передачи, хранение, возврат оригиналов, электронные копии и состав приложений. Конфиденциальность не даёт оснований обходить установленный порядок предоставления материалов участникам процесса.
Стоимость, сроки и первый шаг
На объём работы влияют длительность спорного периода, число источников, объём журналов и трафика, сложность сети, расхождение времени, необходимость осмотра и проверок. Дистанционное исследование возможно, когда достаточно надлежащим образом полученных копий. Если нужен доступ к оборудованию или действующей сети, способ и условия осмотра согласуют отдельно. Возможность срочной работы оценивают по задаче и сохранности данных.
Ориентиры по форматам: судебная экспертиза — от 100 000 ₽, срок от 10 рабочих дней; внесудебное исследование — от 100 000 ₽, срок от 10 рабочих дней; рецензия — от 80 000 ₽, срок 10 рабочих дней; консультация и справка — от 20 000 ₽, срок 2–3 рабочих дня. Точный объём и условия определяют после просмотра комплекта; условия содержательного прогноза согласуют отдельно.
Для первого обращения опишите событие, систему и период, перечислите сохранившиеся источники и сообщите, назначена ли экспертиза. Не прикладывайте пароли, ключи и избыточные персональные данные. Согласовать следующий шаг можно через форму обращения или по телефону 8 (800) 333-24-09.
Проведение экспертизы по уголовному делу
Судебная экспертиза по уголовному делу производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями.
Согласно постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», негосударственными судебно-экспертными учреждениями признаются некоммерческие организации, созданные на основании Гражданского кодекса Российской Федерации и Федерального закона «О некоммерческих организациях» и ведущие судебно-экспертную деятельность согласно своим уставам.
По сведениям организации, проведение судебных экспертиз предусмотрено её уставом (см. действующую редакцию в разделе «Документы организации»). Это само по себе не означает автоматического поручения любой экспертизы. Возможность поручить конкретное исследование определяет назначающий орган.
В случаях, перечисленных пунктом 5 постановления № 28, когда экспертизу по уголовному делу назначает суд, ему следует мотивировать в определении или постановлении поручение исследования учреждению либо конкретному лицу. Пункт 5 постановления № 28 связывает выбор негосударственного учреждения с невозможностью провести исследование в государственном учреждении, обслуживающем соответствующую территорию: например, из-за отсутствия нужного специалиста, материально-технической базы или специальных условий, либо с отводом компетентных государственных учреждений. Дополнительно учитываются квалификация эксперта, основания для отвода и действующий перечень экспертиз, выполняемых только государственными судебно-экспертными организациями.
