Компьютерно-сетевая экспертиза: что исследует, какие задачи решает и какие вопросы ставить
Компьютерно-сетевая экспертиза отвечает на вопросы о том, что происходило в сети: кто и откуда подключался к системе, какие данные передавались, когда на сайте появилась публикация. Это один из четырёх видов компьютерно-технической экспертизы. Назначают её по делам о взломах и утечках и в спорах о действиях в интернете.
Что такое компьютерно-сетевая экспертиза
Компьютерно-техническую экспертизу делят на виды по объекту исследования: аппаратно-компьютерную, программно-компьютерную, информационно-компьютерную и компьютерно-сетевую. Сетевая исследует сетевое взаимодействие: работу сайтов и веб-сервисов, почтовый трафик, логи серверов, следы удалённого доступа и распространения информации в сети.
Отдельной экспертной специальности для неё нет. В перечне Минюста России компьютерно-техническая экспертиза представлена одной специальностью, «Исследование информационных компьютерных средств», и сетевые вопросы решают в её рамках.
На практике сетевые вопросы редко ставят отдельно. Чтобы восстановить картину взлома, эксперт изучает и журналы сетевого оборудования, и содержимое дисков, и вредоносную программу. Поэтому в определении суда обычно стоит «компьютерно-техническая экспертиза», а её вид определяют поставленные вопросы.
Что исследует эксперт
Объекты сетевой экспертизы удобно разбить на три группы.
Сетевые ресурсы
Сайты и их содержимое, веб-сервисы и их программные интерфейсы (API), почтовые серверы, доменные записи.
Журналы и трафик
Журналы серверов, сетевого оборудования и средств защиты, записи о подключениях и передаче данных, сохранённый сетевой трафик.
Устройства и настройки
Серверы и рабочие станции, маршрутизаторы и межсетевые экраны, их конфигурация, учётные записи и права доступа.
Журналы хранятся ограниченное время и перезаписываются, поэтому сохранять их нужно сразу после инцидента.
Какие задачи решает сетевая экспертиза
- Установить, был ли несанкционированный доступ к системе, когда и каким способом он получен.
- Восстановить действия нарушителя: какие компьютеры и серверы он посещал, какие данные копировал или изменял.
- Определить, с какого сетевого адреса (IP-адреса), устройства и под какой учётной записью выполнялись действия.
- Установить объём и канал утечки: почта, облачное хранилище, съёмный носитель, сетевое соединение.
- Подтвердить, что материал был опубликован на сайте в определённую дату, и установить источник рассылки.
- Проверить настройки сети и средств защиты: могла ли атака быть предотвращена.
По типу задачи делят так же, как во всей компьютерно-технической экспертизе. Диагностические отвечают, в каком состоянии объект и как он работает. Идентификационные устанавливают тождество: с этого ли устройства шла рассылка. Классификационные относят объект к группе: вредоносна ли программа. Ситуационные восстанавливают механизм события: как и в какой последовательности происходил доступ.
Когда назначают сетевую экспертизу
- Взлом информационной системы или сайта.
- Утечка клиентской базы или коммерческих документов.
- Атака программы-шифровальщика, которая зашифровала данные и остановила работу компании.
- Спор о том, кто входил в систему и выполнял операции под учётной записью.
- Спор о публикации в интернете: была ли она, когда появилась и кто её разместил.
- Уголовные дела о неправомерном доступе к компьютерной информации (статья 272 УК РФ) и о вредоносных программах (статья 273 УК РФ).
По уголовным делам электронные носители изымают по правилам статьи 164.1 УПК РФ с участием специалиста. На нарушение этого порядка защита позже ссылается, когда оспаривает доказательства.
Чем судебная экспертиза отличается от расследования инцидента
Расследование инцидента компания заказывает сама, чтобы понять, что произошло, и закрыть уязвимость. Результат оформляют отчётом или заключением специалиста, которое можно приложить к иску или заявлению в полицию.
Судебную экспертизу назначает суд определением (статья 79 ГПК РФ, статья 82 АПК РФ), а по уголовному делу ещё и следователь или дознаватель постановлением (статья 195 УПК РФ). Эксперт отвечает на вопросы, которые поставил суд или следователь, и предупреждён об уголовной ответственности за заведомо ложное заключение.
Расследование помогает вовремя сохранить данные и понять, какие вопросы ставить. Если другая сторона оспорит его выводы, суд может назначить судебную экспертизу по тем же материалам.
Какими методами работает эксперт
Анализ журналов
Журналы дают эксперту больше всего сведений. Он сопоставляет записи серверов, приложений, сетевого оборудования и средств защиты, выстраивает общую хронологию и ищет нетипичные события: входы в нерабочее время, подбор паролей, массовые выгрузки.
Анализ сетевого трафика
Если трафик записывался, по нему видно, какие узлы обменивались данными, в каком объёме и по каким протоколам. Запись трафика ведут не везде, поэтому чаще эксперт работает с журналами соединений.
Исследование устройств и настроек
Конфигурация маршрутизаторов и межсетевых экранов показывает, какие подключения были разрешены и кто менял правила. Образы серверов и рабочих станций хранят следы на самих узлах: запущенные программы, созданные файлы, подключённые носители.
Анализ вредоносных программ
Если при атаке использовалась программа, эксперт устанавливает её функции, время активности и адреса, с которыми она связывалась.
Целостность каждого источника фиксируют контрольными суммами, а в заключении называют применённые программные средства и их версии. Без этого исследование нельзя воспроизвести и проверить.
Какие материалы нужны эксперту
Состав материалов зависит от вопросов. Чаще всего эксперту передают:
- выгрузки журналов серверов, приложений, сетевого оборудования и средств защиты;
- образы серверов и рабочих станций (полные копии их дисков), которых коснулся инцидент;
- сведения о сети: схему, перечень узлов, учётных записей и прав доступа;
- регламенты безопасности и документы по инциденту: акты, служебные записки, переписку;
- определение суда или постановление следователя, если экспертиза судебная.
Часть сведений хранится у провайдера или хостинга: данные о соединениях и о том, кому в нужный момент был выделен адрес. Эксперт не вправе собирать материалы сам: это запрещает статья 16 закона № 73-ФЗ, а в гражданском деле ещё и статья 85 ГПК РФ. Такие сведения запрашивают через суд или следователя и передают эксперту.
Что сохранить сразу после инцидента
От первых действий зависит, что потом сможет установить эксперт.
- Изолируйте затронутые системы от сети, но не выключайте их: при выключении пропадает содержимое оперативной памяти.
- Сохраните журналы серверов, сетевого оборудования и средств защиты за весь доступный период.
- Не переустанавливайте системы и не разворачивайте резервную копию поверх повреждённых данных: следы атаки будут стёрты.
- Запишите, кто, когда и что делал с системами после того, как инцидент обнаружили.
- Узнайте у провайдера и хостинга, как долго они хранят журналы.
Вопросы эксперту: примеры формулировок
Вопросы ставят о фактах, которые можно установить технически. Правовую оценку эксперт не даёт: вопрос «виновен ли сотрудник в утечке» суд отклонит, а вопрос «под какой учётной записью выгружена база» допустим.
При подозрении на взлом
- Имеются ли в журналах сервера следы доступа извне в период с [дата] по [дата]?
- Каким способом получен доступ: через уязвимость, подбор пароля или чужую учётную запись, к которой получили доступ?
- Какие действия выполнены в системе после получения доступа и какие файлы изменены?
- С каких сетевых адресов выполнялись подключения?
При утечке данных
- Копировались ли файлы [перечень] с сервера или рабочей станции в указанный период?
- По какому каналу они переданы: электронная почта, облачное хранилище, съёмный носитель, сетевое соединение?
- Под какой учётной записью и с какого устройства выполнялось копирование?
- Каков объём переданных данных?
При споре о публикации или рассылке
- Размещался ли материал по адресу [адрес страницы] и в какой период он был доступен?
- С какого почтового сервера и с какого адреса отправлены сообщения?
- Вносились ли изменения в содержимое страницы после [дата]?
Поля в квадратных скобках заполняют данными дела. Точные формулировки зависят от того, какие журналы и образы сохранились, поэтому перечень вопросов лучше согласовать с экспертом до ходатайства.
Как проходит исследование
- Приём материалов. Эксперт получает журналы и образы систем и фиксирует их целостность контрольными суммами.
- Сопоставление источников. Записи разных журналов сводят в одну шкалу времени.
- Реконструкция события. Определяют точку входа, действия в системе и затронутые узлы.
- Заключение. В нём описаны исходные данные, методы, ход исследования и ответ на каждый вопрос.
Вывод зависит от полноты данных. Если журналы велись не на всех узлах или часть записей утрачена, эксперт указывает, что установить не удалось и почему.
Что экспертиза не установит
Сетевая экспертиза устанавливает технические факты: адрес, устройство, учётную запись, время. Кто именно сидел за компьютером, она сама по себе не показывает: этот вывод делает суд или следствие по совокупности доказательств.
Сетевой адрес тоже не указывает на человека. Он может принадлежать офису с десятками сотрудников, публичной точке доступа или промежуточному серверу. Поэтому от вывода «подключение выполнено с такого-то адреса» до конкретного устройства нужен ещё один шаг: сведения провайдера и данные самого устройства.
Частые вопросы
Можно ли провести сетевую экспертизу, если журналы не велись?
Частично. Эксперт работает с тем, что осталось: образами систем, резервными копиями и журналами смежных источников. Выводов при этом получается меньше.
Можно ли доказать, что журналы не подделаны?
Эксперт проверяет целостность журналов, ищет следы удаления и подмены записей и сопоставляет данные разных источников.
Сколько длится исследование?
Срок зависит от объёма журналов и числа систем. Оценку бюро даёт после изучения материалов.
Что делать дальше
Если спор связан со взломом, утечкой или действиями в сети, сначала сохраните данные, затем покажите материалы эксперту. Бюро бесплатно оценит, какие вопросы имеет смысл ставить и что удастся установить.
Судебная компьютерно-техническая экспертиза
Нужна экспертиза по этой теме? Опишите ситуацию, и эксперт бесплатно подскажет формат, сроки и стоимость.