Раздел 1. Концептуальные основы компьютерной экспертизы центров обработки данных

Центр обработки данных представляет собой сложный технический комплекс, включающий серверное оборудование, системы хранения данных, сетевую инфраструктуру и программное обеспечение, объединённые для централизованной обработки и хранения информации. Компьютерная экспертиза ЦОД в Москве направлена на исследование указанных компонентов с целью установления фактов, имеющих доказательственное значение в рамках судопроизводства или досудебного разбирательства. Специфика данного вида исследования обусловлена архитектурной сложностью объектов, необходимостью обеспечения неизменности цифровых следов и высокой степенью интеграции аппаратных и программных средств.

В отличие от экспертизы отдельного персонального компьютера, исследование серверной инфраструктуры требует учёта факторов непрерывности работы систем, распределённости ресурсов и наличия механизмов виртуализации. Эксперт сталкивается с необходимостью анализа не только файловой системы, но и конфигураций гипервизоров, журналов событий операционной системы, сетевых логов и служебных данных платформы управления. Компьютерная экспертиза ЦОД позволяет восстановить хронологию событий, установить факты несанкционированного доступа, выявить следы удаления информации и определить технические причины сбоев в работе инфраструктуры.

Объектами исследования выступают физические серверы, системы хранения данных, RAID-массивы, виртуальные машины, конфигурационные файлы, журналы регистрации событий и сетевые пакеты. Каждый из перечисленных объектов требует применения специализированных методик извлечения и интерпретации данных. Например, при изъятии серверного оборудования критически важным является корректное документирование конфигурации RAID-массива, поскольку нарушение последовательности подключения дисков может привести к невозможности восстановления данных . Эксперт обязан обеспечить создание побитовых копий носителей и контрольных сумм, гарантирующих аутентичность исследуемых данных.

Союз «Федерация судебных экспертов» располагает необходимыми техническими и кадровыми ресурсами для проведения компьютерной экспертизы ЦОД любой сложности. Стоимость исследования начинается от 20 000 рублей, при этом выезд на место экспертного осмотра оплачивается дополнительно. В случаях, когда требуется представление интересов в суде, нашими юристами обеспечивается полное сопровождение процесса, включая подготовку процессуальных документов и участие в судебных заседаниях. Компьютерная экспертиза ЦОД в Москве проводится с соблюдением требований процессуального законодательства, что обеспечивает допустимость заключения эксперта в качестве доказательства.

Раздел 2. Объекты и предмет исследования в рамках компьютерной экспертизы ЦОД

Предмет компьютерной экспертизы ЦОД составляют фактические данные, устанавливаемые на основе специальных знаний в области информационных технологий и цифровой криминалистики. К числу типовых задач относится установление факта наличия или отсутствия информации на носителях, определение времени создания, изменения или удаления файлов, выявление признаков несанкционированного доступа к серверным ресурсам, а также восстановление удалённых данных. Отдельное направление составляет анализ конфигураций виртуальных сред, позволяющий установить параметры виртуальных машин, действия администраторов и пользователей, а также причинно-следственные связи между событиями в инфраструктуре.

Серверное оборудование, выступающее объектом исследования, характеризуется разнообразием форм-факторов и конфигураций. Роль сервера может выполнять как специализированное стоечное устройство, так и обычный компьютер, используемый для предоставления сетевых услуг. Обнаружение серверного оборудования в ходе следственного действия требует внимательного анализа сетевого взаимодействия устройств: выявление сетевого хранилища или факта обращения локальных компьютеров к определённому узлу позволяет определить вектор дальнейшего исследования . При изъятии оборудования необходимо учитывать, что накопители на жёстких магнитных дисках часто используются в составе RAID-массивов, и их извлечение без документирования конфигурации массива приводит к затруднениям при последующем анализе.

Системы хранения данных и RAID-контроллеры представляют собой отдельную категорию объектов. Экспертная практика свидетельствует, что недостаточная компетенция специалиста, привлечённого к изъятию, может привести к утрате значимой информации. Например, ограничение копированием отдельных жёстких дисков без изъятия аппаратного контроллера RAID-массива или без фиксации порядка подключения дисков создаёт препятствия для корректной реконструкции массива в лабораторных условиях . Компьютерная экспертиза ЦОД предполагает, что эксперт обладает знаниями о различных уровнях RAID, методах реконструкции и инструментах анализа дисковых массивов.

Программное обеспечение, установленное на серверах, также является объектом исследования. Анализу подлежат операционные системы, серверные приложения, системы управления базами данных, средства виртуализации и специализированное программное обеспечение. Установление факта использования нелицензионного программного обеспечения, выявление вредоносных программ, анализ следов взлома и модификации системных файлов относятся к компетенции эксперта по компьютерной экспертизе ЦОД. При этом работа с программным обеспечением требует создания образа исследуемого носителя и проведения анализа исключительно с копией, что обеспечивает сохранность оригинальных данных.

Раздел 3. Методические подходы к фиксации и изъятию данных серверной инфраструктуры

Этап фиксации и изъятия данных является определяющим для последующего исследования. Ошибки, допущенные на данной стадии, могут привести к утрате или искажению информации, что делает выводы эксперта недостоверными. В серверных средах сложность данного этапа обусловлена непрерывностью работы систем, их распределённостью и зависимостью от инфраструктуры оператора. Компьютерная экспертиза ЦОД требует применения методик, обеспечивающих неизменность цифровых следов и процессуальную чистоту собранных доказательств.

Первоочередной задачей является создание побитовой копии исследуемых носителей. Работа эксперта всегда ведётся с копией, а оригинальные носители сохраняются в неизменном виде. Сразу после получения объектов вычисляются контрольные суммы MD5 и SHA-256, которые впоследствии позволяют подтвердить, что данные не были модифицированы. Каждое действие эксперта фиксируется в журнале обращений с указанием времени, характера операции и использованного программного обеспечения. Соблюдение указанных требований обеспечивает допустимость заключения эксперта в качестве доказательства.

Для серверных и виртуализированных сред характерна необходимость извлечения не только файлов, но и сопутствующих данных: журналов операционной системы, логов приложений, конфигураций сетевых интерфейсов, сведений об учётных записях. Журналы событий операционной системы фиксируют попытки входа, изменения прав доступа, установку и удаление программ. Сетевые логи, формируемые файерволами и маршрутизаторами, позволяют отследить внешние и внутренние взаимодействия, попытки подключения и объёмы передаваемых данных . Чем полнее представлены логи за исследуемый период, тем выше вероятность установления обстоятельств инцидента.

При работе с виртуальными средами эксперту требуется доступ к образам виртуальных машин, снимкам состояния и конфигурационным файлам гипервизора. Предоставление доступа к облачной платформе или виртуальному серверу осуществляется через временные учётные записи, созданные специально для экспертизы. Важно, чтобы предоставленный доступ позволял создавать криминалистические копии без риска изменения данных . Компьютерная экспертиза ЦОД в случаях, когда инфраструктура расположена в облаке, требует от эксперта опыта работы именно с виртуальными и облачными средами, поскольку методы извлечения данных в них существенно отличаются от работы с физическими серверами.

Раздел 4. Анализ журналов и служебных данных как источник доказательственной информации

Журналы событий и служебные данные образуют значительный массив сведений, на которых строится исследование серверной инфраструктуры. Ни один источник в отдельности не даёт полной картины: журналы операционной системы показывают действия на уровне машины, журналы приложений раскрывают содержание обработки запросов, журналы платформы управления отражают управляющие воздействия, конфигурации описывают условия, в которых эти действия совершались. Только совместный анализ перечисленных источников позволяет установить обстоятельства дела с необходимой степенью достоверности.

Журналы хостинговой платформы фиксируют операции управления: создание и удаление виртуальных машин, изменение их параметров, подключение дополнительных дисков, настройку сетевых правил. Записи содержат идентификатор пользователя, выполнившего операцию, время, наименование операции и результат. Указанные сведения особенно важны, когда требуется установить, кто именно распоряжался ресурсом, поскольку доступ к платформе может осуществляться через разные учётные записи и из разных мест.

Конфигурационные данные описывают устройство и настройки системы: файлы конфигурации операционной системы, параметры сетевых интерфейсов, правила фильтрации трафика, настройки служб, описания виртуальных машин. Сопоставление текущих конфигураций с их более ранними версиями даёт возможность выявить изменения, произведённые в интересующий период. Служебные данные включают сведения об учётных записях и правах доступа, о сессиях пользователей, о подключённых устройствах и сетевых соединениях.

При работе с журналами необходимо учитывать несколько обстоятельств. Во-первых, журналы подвержены ротации: старые записи удаляются или архивируются по достижении определённого объёма или возраста. Полная картина может требовать обращения к архивным журналам и резервным копиям. Во-вторых, время в записях может указываться в разных часовых поясах и с разной точностью; приведение всех отметок к единой шкале является обязательным условием корректного сопоставления. В-третьих, журналы могут быть изменены или удалены лицами, имеющими соответствующие права. Признаками вмешательства служат пропуски в нумерации записей, несоответствие форматов, нарушение хронологии, отсутствие событий, которые должны были произойти .

Восстановление удалённых записей имеет особое значение для компьютерной экспертизы ЦОД. В файловых системах и хранилищах журналов нередко сохраняются фрагменты удалённых данных, которые могут быть извлечены специальными средствами. Восстановленные записи позволяют заполнить пробелы и проверить достоверность сохранившихся сведений. При этом необходимо убедиться, что восстановленный фрагмент относится к исследуемому периоду и не является случайным остатком иной информации.

Раздел 5. Кейс 1: Исследование сервера с RAID-массивом при расследовании инцидента информационной безопасности

В практике Союза «Федерация судебных экспертов» имел место случай, когда в рамках расследования инцидента, связанного с неправомерным доступом к коммерческой тайне, требовалось исследование серверного оборудования, размещённого в ЦОД заказчика. Сервер представлял собой стоечное устройство с четырьмя жёсткими дисками, объединёнными в RAID-массив уровня 5. При изъятии оборудования специалистом, не обладавшим достаточной компетенцией в области серверных технологий, диски были извлечены по отдельности без фиксации порядка их подключения и без изъятия аппаратного RAID-контроллера. Перед экспертами была поставлена задача восстановить работоспособность массива и провести анализ данных, содержащихся на нём.

На начальном этапе исследования было установлено, что конфигурация RAID-массива не документирована, порядок дисков неизвестен, а метаданные контроллера частично утрачены. Экспертами Союза «Федерация судебных экспертов» была проведена работа по идентификации каждого диска, анализу служебных областей и реконструкции исходной конфигурации массива. Использовалось специализированное программное обеспечение для работы с RAID-массивами, позволившее восстановить структуру и получить доступ к файловой системе. Компьютерная экспертиза ЦОД в данном случае потребовала не только знаний файловых систем, но и понимания архитектуры дисковых массивов.

После реконструкции массива была создана побитовая копия логического тома, и дальнейший анализ проводился исключительно с копией. Исследование файловой системы выявило наличие удалённых файлов, содержащих сведения, отнесённые заказчиком к коммерческой тайне. Временные метки файлов и журналы операционной системы позволили установить период, в течение которого осуществлялся доступ к указанным файлам, и идентифицировать учётную запись, использовавшуюся для входа на сервер. Сопоставление данных журналов безопасности с сетевыми логами маршрутизатора подтвердило факт подключения к серверу из внешней сети в указанный период.

По результатам исследования экспертами было подготовлено заключение, содержащее выводы о наличии на исследованном носителе файлов с определённым содержанием, о времени их создания и удаления, а также о факте несанкционированного подключения к серверу. Заключение было принято судом в качестве допустимого доказательства. Данный кейс иллюстрирует критическую важность корректного изъятия серверного оборудования и необходимость участия специалиста, обладающего знаниями в области компьютерной экспертизы ЦОД, на стадии следственного действия.

Стоимость данного исследования составила сумму, превышающую базовый тариф, в связи с необходимостью реконструкции RAID-массива и значительным объёмом исследуемых данных. Выезд эксперта на место осмотра оборудования в ЦОД заказчика был оплачен дополнительно. В дальнейшем заказчику были оказаны юридические услуги по представлению интересов в суде, осуществлённые юристами Союза «Федерация судебных экспертов» совместно с экспертами, проводившими исследование.

Раздел 6. Кейс 2: Экспертиза виртуальной инфраструктуры при споре о доступе к данным

В производство Союза «Федерация судебных экспертов» поступило обращение от организации, являющейся арендатором виртуальной инфраструктуры у облачного провайдера. Предметом спора являлся факт утраты данных, размещённых на виртуальном сервере, и вопрос о том, явилась ли утрата следствием действий провайдера или ошибок самого арендатора. Заказчик требовал установить, имели ли место несанкционированные изменения конфигурации виртуальной машины со стороны персонала провайдера, и определить, когда именно были удалены данные.

Экспертами был запрошен доступ к панели управления облачной платформы и журналам хостинговой платформы за период, предшествовавший инциденту. Провайдер предоставил временный доступ с ограниченными правами, достаточными для создания криминалистических копий журналов и конфигурационных файлов, но исключающими возможность внесения изменений. Компьютерная экспертиза ЦОД в облачной среде потребовала от экспертов понимания архитектуры платформы виртуализации и форматов хранения журналов.

Анализ журналов платформы выявил последовательность операций, выполненных в отношении виртуальной машины заказчика. Было установлено, что за несколько дней до обнаружения утраты данных учётная запись, принадлежавшая сотруднику провайдера, осуществила операцию изменения размера дискового пространства виртуальной машины. Указанная операция сопровождалась предупреждением системы о возможном риске потери данных, которое не было принято во внимание. Журналы также зафиксировали, что непосредственно перед операцией и после неё не производилось создания снимков состояния виртуальной машины, что лишило заказчика возможности восстановления данных.

Дальнейший анализ конфигурационных файлов виртуальной машины и журналов гостевой операционной системы подтвердил, что утрата данных произошла в результате изменения структуры дискового пространства. При этом экспертами было отмечено, что в журналах платформы отсутствовали записи о создании резервных копий за период, предшествовавший инциденту, несмотря на то что договором между заказчиком и провайдером предусматривалось регулярное резервное копирование. Указанное обстоятельство имело существенное значение для разрешения спора.

Заключение экспертов содержало выводы о том, что утрата данных явилась следствием операции, инициированной сотрудником провайдера, и что провайдером не были выполнены обязательства по резервному копированию данных заказчика. Компьютерная экспертиза ЦОД в данном случае позволила установить причинно-следственную связь между действиями персонала провайдера и наступившими последствиями. Заключение было использовано в судебном разбирательстве, по результатам которого требования заказчика были удовлетворены.

Раздел 7. Кейс 3: Восстановление удалённых данных с сервера базы данных

Организация-заказчик обратилась в Союз «Федерация судебных экспертов» с запросом о проведении исследования сервера базы данных, с которого, по утверждению заказчика, были удалены записи, содержащие сведения о финансовых операциях. Инцидент был обнаружен после увольнения сотрудника, имевшего административный доступ к серверу. Заказчик подозревал, что удаление данных было произведено умышленно с целью сокрытия следов хищения. Требовалось установить, какие именно данные были удалены, когда это произошло и с использованием какой учётной записи.

Сервер базы данных представлял собой физическую машину под управлением операционной системы Linux с установленной системой управления базами данных. Администратором заказчика был создан образ диска сервера, который был передан экспертам вместе с копиями журналов операционной системы и журналов СУБД за исследуемый период. Компьютерная экспертиза ЦОД в данном случае была сосредоточена на анализе файлов базы данных и сопутствующих журналов.

Экспертами был проведён анализ файловой системы образа, в ходе которого были идентифицированы файлы базы данных, содержащие свободные страницы и области, не перезаписанные после удаления. Применение специализированного программного обеспечения для восстановления данных СУБД позволило извлечь фрагменты удалённых записей. Восстановленные данные содержали идентификаторы транзакций, суммы и даты операций, а также сведения о контрагентах, что позволило соотнести их с записями, отсутствовавшими в текущей базе.

Сопоставление восстановленных данных с журналами СУБД выявило временные метки удаления. Анализ журналов операционной системы показал, что в указанный период на сервер осуществлялся вход с учётной записи, принадлежавшей уволенному сотруднику, причём вход был выполнен из внешней сети, а не из офиса организации. Сетевые журналы маршрутизатора подтвердили факт подключения с IP-адреса, зарегистрированного за провайдером, услугами которого пользовался указанный сотрудник. Таким образом, компьютерная экспертиза ЦОД позволила установить не только факт удаления данных, но и идентифицировать учётную запись и внешний адрес, с которого было произведено подключение.

По результатам исследования было подготовлено заключение, содержащее перечень восстановленных записей, указание на время их удаления и сведения об учётной записи, использовавшейся для доступа к серверу. Заключение было передано заказчику для использования в рамках уголовного дела. Стоимость исследования определялась сложностью восстановления данных СУБД и значительным объёмом анализируемых журналов.

Раздел 8. Кейс 4: Анализ сетевых журналов при расследовании распределённой атаки

В рамках расследования инцидента, связанного с распределённой атакой типа «отказ в обслуживании» на инфраструктуру интернет-магазина, потребовалось проведение компьютерной экспертизы ЦОД, в котором размещалось серверное оборудование потерпевшей организации. Атака привела к длительному простою ресурса и, как следствие, к значительным убыткам. Заказчик требовал установить источник атаки и определить, какие меры защиты были или не были задействованы со стороны провайдера, предоставлявшего услуги размещения.

Экспертами были исследованы журналы сетевого оборудования, включая файерволы и маршрутизаторы, а также журналы веб-серверов и систем балансировки нагрузки за период, охватывающий несколько дней до начала атаки и в течение всего времени её развития. Объём исследуемых данных составил несколько гигабайт. Для обработки журналов использовались инструменты анализа больших данных, позволившие выделить аномальные паттерны трафика и идентифицировать источники запросов.

Анализ показал, что атака характеризовалась резким возрастанием количества запросов с большого числа IP-адресов, распределённых по различным сетям. Пиковая нагрузка превышала штатные показатели в десятки раз. Журналы файервола зафиксировали, что правила фильтрации, настроенные на ограничение количества соединений с одного адреса, не применялись в отношении исследуемого сегмента сети. При этом в журналах присутствовали записи о том, что система мониторинга провайдера фиксировала возрастание нагрузки за несколько часов до наступления критического состояния, однако реакции со стороны персонала провайдера не последовало.

Экспертами было установлено, что атака привела к исчерпанию ресурсов серверов и отказу в обслуживании легитимных пользователей. Анализ журналов также выявил, что часть атакующего трафика поступала из сетей, принадлежащих известным провайдерам, что впоследствии позволило идентифицировать конкретные устройства, использовавшиеся для генерации запросов. Компьютерная экспертиза ЦОД в данном случае продемонстрировала значение комплексного анализа разнородных журналов для восстановления картины инцидента и установления роли каждой из сторон в его развитии.

Заключение экспертов содержало выводы о характеристиках атаки, её продолжительности и интенсивности, а также о наличии у провайдера технической возможности для предотвращения или смягчения последствий атаки при условии своевременного применения существующих механизмов защиты. Указанные выводы были использованы в судебном разбирательстве о взыскании убытков.

Раздел 9. Кейс 5: Исследование конфигурации гипервизора при установлении факта несанкционированного создания виртуальной машины

Организация-заказчик, использующая собственную инфраструктуру виртуализации на базе гипервизора, обнаружила в сети неизвестную виртуальную машину, осуществлявшую сетевую активность. Возникло подозрение, что указанная виртуальная машина была создана злоумышленником, получившим доступ к платформе управления. Заказчик обратился в Союз «Федерация судебных экспертов» с запросом об установлении обстоятельств создания виртуальной машины, времени её появления и учётной записи, использовавшейся для её развёртывания.

Экспертами был получен доступ к гипервизору и системе централизованного управления. Были созданы копии конфигурационных файлов, журналов гипервизора и журналов системы управления. Анализ журналов показал, что создание виртуальной машины с идентификатором, соответствующим обнаруженной, было произведено в определённую дату и время. Запись содержала идентификатор учётной записи, инициировавшей операцию. Учётная запись принадлежала домену заказчика, однако, по утверждению администраторов, не должна была использоваться для создания виртуальных машин в указанный период.

Дальнейшее исследование конфигурации гипервизора выявило, что виртуальная машина была подключена к виртуальному коммутатору с доступом во внешнюю сеть, при этом правила межсетевого экранирования, действовавшие в отношении сегмента, не применялись к данной виртуальной машине в силу особенностей её подключения. Экспертами было отмечено, что настройки гипервизора допускали создание виртуальных машин с такими параметрами без дополнительной авторизации, что являлось нарушением внутренних регламентов заказчика, однако не было устранено администраторами.

Анализ журналов аутентификации позволил установить, что вход в систему управления с использованием указанной учётной записи был выполнен с IP-адреса, не принадлежавшего заказчику. Сопоставление с журналами VPN-сервера показало, что подключение было осуществлено через учётную запись удалённого сотрудника, который на момент инцидента находился в отпуске и, по его утверждению, не пользовался системой. Компьютерная экспертиза ЦОД позволила установить цепочку событий: компрометация учётных данных удалённого сотрудника, вход в систему управления, создание виртуальной машины, её подключение к сети и последующая активность.

Заключение экспертов содержало выводы о времени создания виртуальной машины, учётной записи, использовавшейся для этой операции, и IP-адресе, с которого был осуществлён вход. Указанные сведения были переданы службе безопасности заказчика для проведения внутреннего расследования и принятия кадровых решений.

Раздел 10. Кейс 6: Экспертиза сервера, изъятого в ходе следственного действия без участия специалиста

В практике Союза «Федерация судебных экспертов» имел место случай, когда серверное оборудование было изъято в ходе следственного действия без участия специалиста, обладающего знаниями в области компьютерной экспертизы ЦОД. Изъятие производилось сотрудниками, не имевшими опыта работы с серверными системами. В результате сервер был отключён от питания без корректного завершения работы операционной системы, а жёсткие диски были извлечены из серверной корзины и упакованы без учёта порядка их подключения к контроллеру.

Перед экспертами была поставлена задача провести исследование изъятого оборудования и ответить на вопросы, касающиеся наличия на сервере определённой информации и следов доступа к ней. При осмотре поступивших объектов было установлено, что накопители не имеют маркировки, позволяющей однозначно определить их взаимное расположение, а серверный корпус не позволяет восстановить исходную схему подключения. Кроме того, в результате некорректного завершения работы операционной системы файловая система содержала значительное количество несогласованных метаданных.

Экспертами был проведён анализ каждого накопителя в отдельности с созданием побитовых копий. Исследование служебных областей позволило идентифицировать принадлежность дисков к одному серверу и определить вероятную последовательность их подключения. Однако отсутствие достоверной информации о конфигурации RAID-массива, если таковая имела место, не позволило с уверенностью восстановить логическую структуру хранилища. Часть данных, относящихся к файловой системе, была доступна для анализа, однако целостность некоторых разделов вызывала сомнения.

Компьютерная экспертиза ЦОД в данном случае была существенно затруднена действиями, совершёнными на стадии изъятия. Эксперты смогли восстановить часть информации, включая файлы, относящиеся к предмету разбирательства, однако полнота исследования была ограничена. В заключении было отмечено, что некорректное изъятие серверного оборудования привело к утрате части служебных данных и создало препятствия для всестороннего анализа. Данный кейс иллюстрирует необходимость привлечения специалиста Союза «Федерация судебных экспертов» к участию в следственных действиях, связанных с изъятием серверного оборудования.

Заказчику были разъяснены возможности, утраченные в результате ненадлежащего изъятия, а также даны рекомендации на будущее. Стоимость исследования была определена с учётом сложности восстановления данных из повреждённой конфигурации. В дальнейшем юристы Союза «Федерация судебных экспертов» представляли интересы заказчика в суде, где указывали на процессуальные нарушения, допущенные при изъятии оборудования, что повлияло на оценку доказательств судом.

Раздел 11. Кейс 7: Установление факта копирования базы данных клиентов

Организация, оказывающая услуги в сфере электронной коммерции, обнаружила признаки того, что база данных клиентов могла быть скопирована и передана третьим лицам. Косвенным свидетельством являлись обращения клиентов с жалобами на звонки от неизвестных лиц, располагавших персональными данными. Заказчик обратился в Союз «Федерация судебных экспертов» с запросом о проведении компьютерной экспертизы ЦОД с целью установить, имело ли место несанкционированное копирование базы данных, когда и с использованием каких средств.

Экспертами были исследованы серверы, задействованные в обработке и хранении клиентских данных, а также рабочие станции администраторов, имевших доступ к базе. С серверов были созданы образы дисков и получены копии журналов. Анализ журналов СУБД показал, что в определённый период выполнялись запросы на выгрузку значительного объёма данных, нехарактерные для штатной работы приложений. Указанные запросы выполнялись с учётной записи, использовавшейся для администрирования, причём время выполнения совпадало с периодом, когда администратор, за которым была закреплена учётная запись, отсутствовал на рабочем месте.

Дальнейшее исследование рабочей станции администратора выявило наличие в журналах браузера и файловой системе следов использования инструментов для работы с базами данных и средств сжатия файлов. Были обнаружены временные файлы, содержавшие фрагменты выгруженных данных, а также архивные файлы, созданные в период, соответствующий времени выполнения подозрительных запросов. Компьютерная экспертиза ЦОД позволила связать активность на сервере с действиями, производившимися на рабочей станции.

Сопоставление данных с журналами сетевого оборудования показало, что в период выполнения выгрузок с рабочей станции осуществлялась передача данных на внешний IP-адрес, не принадлежавший организации. Объём переданных данных соответствовал объёму выгруженной информации. Указанный IP-адрес, по данным открытых источников, использовался для размещения файлообменных ресурсов. Таким образом, экспертами была восстановлена цепочка событий, включавшая выгрузку данных, их упаковку в архив и передачу за пределы инфраструктуры заказчика.

Заключение экспертов содержало выводы о факте несанкционированного копирования базы данных, времени совершения действий, использованных учётных записях и IP-адресе, на который были переданы данные. Материалы были переданы в правоохранительные органы. Стоимость исследования определялась необходимостью анализа нескольких объектов и корреляции данных из различных источников.

Раздел 12. Кейс 8: Исследование сервера, повреждённого в результате инцидента с электропитанием

В ЦОД заказчика произошёл инцидент, связанный с внезапным отключением электропитания, в результате которого один из серверов вышел из строя. Заказчик обратился в Союз «Федерация судебных экспертов» с целью установить, явился ли отказ сервера следствием некорректного завершения работы, дефекта оборудования или иных причин, а также определить, возможно ли восстановление данных, хранившихся на сервере. Инцидент имел значение для разбирательства с поставщиком оборудования и провайдером услуг ЦОД.

Экспертами был проведён осмотр сервера, включавший проверку аппаратных компонентов. Было установлено, что жёсткие диски, входившие в состав RAID-массива, имеют признаки повреждения служебных областей, а контроллер RAID содержит ошибки в метаданных. При создании побитовых копий с дисков были зафиксированы ошибки чтения на нескольких секторах. Компьютерная экспертиза ЦОД в данном случае потребовала применения методов работы с повреждёнными носителями, включая переназначение секторов и использование программных средств обхода ошибок.

Анализ журналов операционной системы, сохранившихся на неповреждённых участках, показал, что сервер был активен в момент отключения питания, при этом корректное завершение работы не производилось. Журналы источника бесперебойного питания, предоставленные заказчиком, свидетельствовали о том, что переход на батарейное питание произошёл, однако время автономной работы оказалось недостаточным для корректного завершения работы сервера. Указанное обстоятельство указывало на то, что конфигурация ИБП не соответствовала нагрузке.

Экспертами был сделан вывод о том, что отказ сервера явился следствием внезапного отключения питания при недостаточной ёмкости ИБП, а не дефекта оборудования. В отношении данных было установлено, что часть файлов может быть восстановлена, однако целостность некоторых файлов, запись которых производилась в момент отключения, не гарантируется. Восстановление RAID-массива и извлечение данных были выполнены с использованием специализированного оборудования и программного обеспечения.

Заключение экспертов содержало выводы о причинах отказа, состоянии данных и возможности их восстановления. Указанные выводы были использованы заказчиком при переговорах с провайдером ЦОД и поставщиком оборудования. Стоимость исследования включала работы по восстановлению повреждённых носителей и анализ значительного объёма журналов.

Раздел 13. Кейс 9: Экспертиза облачного сервера при отсутствии содействия провайдера

Организация-заказчик арендовала виртуальный сервер у облачного провайдера. После возникновения спора с контрагентом возникла необходимость исследования содержимого сервера, однако провайдер отказал в предоставлении прямого доступа к инфраструктуре, ссылаясь на политику конфиденциальности и отсутствие у заказчика прав на физический доступ к оборудованию. Заказчик обратился в Союз «Федерация судебных экспертов» с запросом о проведении компьютерной экспертизы ЦОД в условиях ограниченного доступа к объекту исследования.

Экспертами был проанализирован договор между заказчиком и провайдером, а также условия предоставления услуг. Было установлено, что заказчик имеет право на получение резервных копий своего виртуального сервера и на доступ к журналам платформы в части, касающейся его ресурсов. На основании указанных положений заказчиком был направлен провайдеру официальный запрос на предоставление копий виртуального диска и журналов. После получения материалов эксперты приступили к исследованию.

Предоставленный образ виртуального диска был проанализирован с использованием инструментов, адаптированных для работы с форматами виртуальных машин. Журналы платформы, полученные в ограниченном объёме, позволили установить хронологию операций с виртуальной машиной, включая изменения конфигурации и подключение дополнительных устройств. Однако отсутствие доступа к журналам гипервизора и сетевого оборудования провайдера ограничило возможность установления фактов, относящихся к внешнему взаимодействию.

Компьютерная экспертиза ЦОД в условиях облачной инфраструктуры продемонстрировала важность своевременного получения необходимых материалов. Экспертами было отмечено, что часть вопросов, поставленных заказчиком, не может быть разрешена без предоставления провайдером дополнительных данных, в частности журналов сетевого обмена и сведений о сессиях доступа к панели управления. Заказчику были даны рекомендации по формулированию требований к провайдеру в рамках судебного разбирательства.

По результатам исследования, выполненного в пределах доступных материалов, было подготовлено заключение, содержащее выводы о содержимом виртуального диска, хронологии изменений конфигурации и фактах, установленных по журналам платформы. Заключение было использовано в суде, где юристы Союза «Федерация судебных экспертов» представляли интересы заказчика и ходатайствовали об истребовании дополнительных доказательств у провайдера.

Раздел 14. Кейс 10: Установление времени и обстоятельств изменения конфигурации сервера

В ходе корпоративного спора между акционерами возник вопрос о том, кем и когда были изменены настройки сервера, обеспечивавшего работу ключевого бизнес-приложения. Изменения привели к снижению производительности и, как следствие, к убыткам. Одна из сторон утверждала, что изменения были произведены без надлежащего согласования техническим специалистом, другая сторона настаивала на том, что изменения носили плановый характер и были согласованы. Для разрешения спора была назначена компьютерная экспертиза ЦОД.

Экспертами были исследованы журналы операционной системы, журналы приложений и конфигурационные файлы сервера за период, охватывающий несколько месяцев до и после предполагаемого изменения. Анализ журналов показал, что изменение параметров конфигурации было выполнено в определённое время с использованием учётной записи, имевшей права администратора. Запись об изменении содержала указание на конкретный параметр, значение которого было изменено.

Дальнейшее исследование выявило, что непосредственно перед изменением конфигурации на сервере выполнялись команды, направленные на создание резервной копии конфигурационных файлов. Указанное обстоятельство свидетельствовало о том, что лицо, вносившее изменения, осознавало их значимость и предприняло меры предосторожности. В журналах также содержалась запись о том, что после изменения конфигурации была выполнена проверка работоспособности приложения, завершившаяся успешно.

Сопоставление времени изменения конфигурации с данными из системы контроля доступа в помещение, где располагался сервер, и с журналами корпоративной почты позволило установить, что в указанный период в помещении находился конкретный сотрудник, а в почте имелась переписка, подтверждавшая его осведомлённость о планируемых работах. Компьютерная экспертиза ЦОД позволила связать действия в цифровой среде с действиями конкретного лица.

Заключение экспертов содержало выводы о времени и характере изменений конфигурации, использованной учётной записи и последовательности действий, предшествовавших изменению и последовавших за ним. Указанные выводы были использованы в судебном разбирательстве для оценки добросовестности действий сторон. Стоимость исследования была определена с учётом необходимости корреляции данных из множества источников и анализа значительного объёма журналов.

Раздел 15. Процессуальные и организационные аспекты взаимодействия с Союзом «Федерация судебных экспертов»

Проведение компьютерной экспертизы ЦОД в рамках судопроизводства осуществляется на основании определения суда или постановления следователя. В определении формулируются вопросы, подлежащие разрешению, и указываются объекты, подлежащие исследованию. Союз «Федерация судебных экспертов» принимает поручения на проведение экспертизы как от государственных органов, так и от частных лиц в порядке досудебного исследования. В последнем случае между заказчиком и Союзом заключается договор, в котором определяются объём работ, сроки и стоимость.

Стоимость компьютерной экспертизы ЦОД начинается от 20 000 рублей. Итоговая цена зависит от сложности объекта, объёма исследуемых данных, необходимости восстановления удалённой информации, количества экспертов, привлекаемых к исследованию, и срочности выполнения работ. Выезд эксперта на место экспертного осмотра, включая осмотр серверного оборудования в ЦОД, оплачивается дополнительно. Указанная практика обусловлена необходимостью обеспечения сохранности данных и соблюдения процессуальных требований при изъятии и фиксации объектов.

В случаях, когда заказчику требуется представление интересов в суде, Союз «Федерация судебных экспертов» обеспечивает юридическое сопровождение силами штатных юристов, специализирующихся на ведении сложных категорий дел, связанных с цифровыми доказательствами. Юристы работают в тесном взаимодействии с экспертами, что позволяет эффективно использовать результаты экспертизы в процессе доказывания. При этом юридические услуги оказываются отдельно от экспертных и не входят в стоимость экспертизы.

Эксперты Союза «Федерация судебных экспертов» обладают опытом работы с серверным оборудованием, системами хранения данных, гипервизорами и облачными платформами. При проведении исследования соблюдаются требования к обеспечению неизменности цифровых следов, документированию всех этапов работы и обоснованности выводов. Заключение эксперта содержит вводную часть с указанием основания, состава экспертов и перечня объектов, исследовательскую часть с описанием применённых методов и оборудования, а также выводы, отвечающие на поставленные вопросы. Компьютерная экспертиза ЦОД в Москве и других регионах проводится с соблюдением единых методических подходов, обеспечивающих сопоставимость результатов и допустимость заключений в качестве доказательств.