Введение

Настоящая работа посвящена комплексному анализу теоретических и прикладных аспектов компьютерно-сетевой экспертизы применительно к задачам установления и процессуального подтверждения фактов незаконного проникновения в чужие информационные ресурсы. В условиях стремительной цифровизации всех сфер жизнедеятельности — от банковского сектора до государственных порталов — несанкционированный доступ к компьютерной информации перестал быть маргинальным явлением и превратился в системную угрозу, требующую специализированного экспертного ответа. Компьютерно-сетевая экспертиза в Москве и других регионах России выступает тем инструментом, который позволяет трансформировать разрозненные цифровые следы в доказательственную базу, пригодную для использования в суде.

Актуальность рассматриваемой проблематики обусловлена рядом факторов. Во-первых, российское законодательство относит неправомерный доступ к компьютерной информации к числу преступлений в сфере компьютерной информации (глава 28 УК РФ), при этом квалификация деяния требует установления конкретных технических обстоятельств: каким образом осуществлён доступ, какие средства были использованы, какие последствия наступили. Во-вторых, потерпевшие — будь то кредитные организации, операторы государственных услуг или частные лица — зачастую не обладают ни техническими познаниями, ни процессуальными возможностями для самостоятельной фиксации следов атаки. В-третьих, судебная практика демонстрирует устойчивую потребность в заключениях экспертов, способных не просто констатировать факт наличия вредоносного программного обеспечения, но и реконструировать механизм противоправного воздействия.

Настоящая работа не претендует на исчерпывающее освещение всех аспектов компьютерно-сетевой экспертизы. Её цель — сосредоточиться на тех задачах, которые возникают перед экспертом при исследовании обстоятельств незаконного проникновения в серверы, веб-сайты, порталы, базы данных, банковские приложения и государственные информационные системы. Структура работы построена вокруг логики экспертного исследования: от определения объекта и предмета — через анализ типовых следов проникновения — к формулированию выводов, имеющих доказательственное значение.

Союз «Федерация судебных экспертов» на протяжении длительного времени специализируется на производстве компьютерно-сетевых экспертиз и располагает как методологической базой, так и практическим опытом, позволяющим решать задачи любой степени сложности. Стоимость экспертизы начинается от 20 000 рублей; выезд на место экспертного осмотра оплачивается дополнительно. В случаях, когда требуется представление интересов в суде, Союз обеспечивает сопровождение силами юристов, специализирующихся на делах рассматриваемой категории.

Правовые основания и процессуальный статус компьютерно-сетевой экспертизы

Компьютерно-сетевая экспертиза как самостоятельный вид судебной экспертизы опирается на комплекс нормативных актов, определяющих как общие условия экспертной деятельности, так и специальные требования, связанные с обращением компьютерной информации. Фундаментальную основу составляет Федеральный закон от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», устанавливающий принципы независимости эксперта, его обязанности и ответственность. Процессуальные аспекты назначения и оценки заключения регулируются соответствующими кодексами — Уголовно-процессуальным, Гражданским процессуальным, Арбитражным процессуальным.

Специальное регулирование в рассматриваемой сфере обеспечивается Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», который определяет базовые понятия (информация, информационная система, обладатель информации, оператор информационной системы) и устанавливает общие требования к защите информации. Уголовно-правовая квалификация деяний, связанных с незаконным проникновением в информационные ресурсы, осуществляется по статьям 272 (неправомерный доступ к компьютерной информации), 273 (создание, использование и распространение вредоносных компьютерных программ) и 274 (нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации) Уголовного кодекса РФ.

Применительно к компьютерно-сетевой экспертизе принципиальное значение имеет разграничение компетенции эксперта и правовой квалификации. Эксперт устанавливает технические обстоятельства: имел ли место доступ, каким образом он осуществлялся, какие учётные записи и IP-адреса задействованы, какие изменения внесены в конфигурацию системы или содержимое данных. Вопрос о том, образуют ли эти обстоятельства состав преступления или административного правонарушения, относится к исключительной компетенции органов предварительного расследования и суда. Смешение этих аспектов недопустимо и может повлечь признание заключения недопустимым доказательством.

Отдельного внимания заслуживает вопрос о цепочке сохранности (chain of custody) цифровых доказательств. Компьютерно-сетевая экспертиза в Москве и в других регионах должна производиться с соблюдением требований, гарантирующих неизменность исследуемых объектов. Это означает, что изъятие носителей информации, их транспортировка, хранение и непосредственно исследование должны документироваться на каждом этапе. Нарушение цепочки сохранности создаёт основания для сомнений в достоверности выводов эксперта и может привести к исключению заключения из числа доказательств.

Специфика рассматриваемого вида экспертизы состоит в том, что объекты исследования зачастую являются не физическими предметами в привычном смысле, а логическими сущностями: журналами событий, дампами сетевого трафика, конфигурационными файлами. Это предъявляет повышенные требования к описанию объектов в заключении и к фиксации методов их получения и обработки. Компьютерно-сетевая экспертиза, выполненная без надлежащего документирования процедур клонирования и верификации контрольных сумм, подвергается обоснованной критике в судебных прениях.

Объекты исследования при установлении фактов незаконного проникновения

Объектная база компьютерно-сетевой экспертизы применительно к задачам выявления несанкционированного доступа исключительно широка и неоднородна. Её формируют как аппаратные средства, так и информационные следы, оставленные в результате сетевого взаимодействия. Понимание того, какие именно объекты подлежат исследованию в каждом конкретном случае, определяет выбор методики и последовательность действий эксперта.

Аппаратные сетевые средства составляют материальную основу сетевого взаимодействия. К ним относятся серверы, маршрутизаторы, коммутаторы, межсетевые экраны, системы обнаружения и предотвращения вторжений, точки доступа беспроводных сетей. При расследовании фактов проникновения в чужие серверы или базы данных именно конфигурация этих устройств позволяет установить, какие порты были открыты, какие правила фильтрации действовали, имели ли место попытки подключения извне и с каких адресов.

Программное обеспечение и служебная информация образуют следующий уровень объектов. Операционные системы серверов и сетевого оборудования, их конфигурационные файлы, установленные версии программных продуктов, журналы обновлений — всё это содержит сведения о состоянии системы на момент предполагаемого проникновения и о том, какие изменения были внесены впоследствии. Сопоставление штатной и фактической конфигурации позволяет выявить несанкционированные модификации.

Информация о сетевой активности представляет собой наиболее ценную категорию объектов для задач рассматриваемого типа. Журналы событий (логи) фиксируют время подключений, учётные записи, использованные для доступа, IP-адреса источников и назначения, результаты аутентификации. Дампы сетевого трафика в формате PCAP содержат полные записи сетевых пакетов, позволяющие восстановить последовательность действий злоумышленника с высокой степенью детализации. Пользовательские данные — электронная почта, переписка в мессенджерах, история посещений веб-сайтов, файлы cookie — могут содержать косвенные указания на подготовку или сокрытие противоправного деяния.

Производные и комплексные объекты возникают в результате экспертной обработки первичных данных. К ним относятся образы жёстких дисков, созданные с соблюдением требований верификации, резервные копии данных, снимки состояния виртуальных машин и контейнеров, извлечённые данные из облачных хранилищ. Компьютерно-сетевая экспертиза в Москве предполагает, что работа с такими объектами ведётся с использованием валидированных инструментов и с обязательной фиксацией контрольных сумм (MD5, SHA-256) как исходных носителей, так и созданных копий.

Особую категорию составляют объекты, связанные с банковскими приложениями и государственными порталами. При исследовании фактов незаконного проникновения в банковские приложения объектами выступают журналы транзакций, данные о сессиях, сведения об устройствах, с которых осуществлялся вход, параметры аутентификации. Применительно к порталу государственных услуг исследуются журналы авторизации, история изменения учётных данных, привязка номеров телефонов и адресов электронной почты, а также данные о действиях, совершённых от имени пользователя после предполагаемого взлома. В каждом из этих случаев эксперт должен чётко разграничивать технические данные, доступные для анализа, и информацию, отнесённую к охраняемым законом тайнам, доступ к которой возможен только на основании надлежащим образом оформленного судебного решения.

Задачи установления факта несанкционированного доступа

Центральная задача компьютерно-сетевой экспертизы применительно к рассматриваемой теме состоит в установлении того, имел ли место несанкционированный доступ к информационному ресурсу, и если да, то каким образом он был осуществлён. Решение этой задачи распадается на несколько взаимосвязанных подзадач, каждая из которых требует применения специфических методов и инструментов.

Первая подзадача — установление факта подключения к исследуемому ресурсу извне или изнутри системы с нарушением установленных правил доступа. Для её решения анализируются журналы аутентификации, фиксирующие успешные и неуспешные попытки входа, журналы веб-серверов, содержащие записи о запросах к защищённым разделам, журналы межсетевых экранов, отражающие попытки установления соединений на порты, не предназначенные для публичного доступа. Компьютерно-сетевая экспертиза в данном случае позволяет отделить штатную активность легитимных пользователей от аномальных событий.

Вторая подзадача — идентификация источника доступа. IP-адрес, зафиксированный в журналах, сам по себе не является доказательством того, что доступ осуществлён именно с устройства, которому этот адрес был выделен, поскольку возможны использование прокси-серверов, VPN-соединений, сетей Tor и иных средств анонимизации. Однако совокупность данных — IP-адрес, временные метки, параметры соединения, корреляция с другими событиями — позволяет в ряде случаев установить цепочку посредников и с высокой степенью достоверности указать на устройство или сеть, с которых осуществлялось проникновение. Сопоставление данных из журналов различных систем (сервера, маршрутизатора, провайдера) повышает доказательственную силу выводов.

Третья подзадача — установление способа проникновения. Несанкционированный доступ может быть осуществлён путём подбора паролей, эксплуатации уязвимостей в программном обеспечении, использования похищенных учётных данных, внедрения вредоносного программного обеспечения, создания программных «закладок». Анализ сетевого трафика позволяет в ряде случаев восстановить последовательность пакетов, соответствующих атаке, и определить, какая именно уязвимость была использована. Компьютерно-сетевая экспертиза в Москве располагает инструментарием для анализа дампов трафика и выявления сигнатур известных атак, а также для исследования аномалий, не соответствующих типовым сценариям.

Четвёртая подзадача — установление последствий доступа. Несанкционированное проникновение может сопровождаться копированием данных, их модификацией, удалением или блокированием. Экспертное исследование позволяет установить, какие именно файлы или записи баз данных были затронуты, имело ли место их копирование за пределы защищённого периметра, были ли изменены учётные записи или конфигурация системы. В случаях, когда речь идёт о банковских приложениях, предметом исследования становятся транзакции, инициированные после несанкционированного доступа, и их соответствие обычному поведению клиента.

Пятая подзадача — установление времени событий. Точная хронология имеет критическое значение, поскольку позволяет соотнести действия злоумышленника с иными обстоятельствами дела и проверить версии сторон. Компьютерно-сетевая экспертиза предполагает анализ временных меток в журналах с учётом возможных расхождений часов на различных устройствах, а также восстановление последовательности событий на основе корреляции данных из нескольких источников.

Специфика исследования банковских приложений и государственных порталов

Незаконное проникновение в банковские приложения и государственные информационные системы обладает рядом особенностей, которые необходимо учитывать при производстве компьютерно-сетевой экспертизы. Эти особенности обусловлены как архитектурой самих систем, так и характером обрабатываемой в них информации.

Банковские приложения функционируют в условиях многоуровневой системы защиты, включающей шифрование каналов связи, многофакторную аутентификацию, мониторинг транзакций в режиме реального времени, антифрод-системы. Проникновение в такую систему требует либо компрометации учётных данных клиента, либо эксплуатации уязвимости в самом приложении, либо compromise инфраструктуры банка. Компьютерно-сетевая экспертиза применительно к банковским приложениям сосредоточивается на анализе журналов аутентификации (время, устройство, геолокация, IP-адрес), истории транзакций (соответствие обычному профилю клиента), параметров сессий (продолжительность, последовательность действий). Существенное значение имеет исследование устройств, с которых осуществлялся вход: возможно выявление признаков внедрения вредоносного программного обеспечения, перехватывающего данные аутентификации или инициирующего транзакции без ведома владельца.

Государственные порталы, включая портал государственных услуг, аккумулируют персональные данные значительного числа граждан и предоставляют доступ к юридически значимым действиям. Незаконное проникновение в учётную запись портала может повлечь изменение персональных данных, подачу заявлений от имени пользователя, получение сведений, составляющих охраняемую законом тайну. Компьютерно-сетевая экспертиза в таких случаях направлена на установление факта входа в учётную запись с устройства, не принадлежащего пользователю, или из местоположения, не соответствующего обычному, а также на выявление изменений, внесённых в учётные данные (привязка нового номера телефона, смена пароля, изменение адреса электронной почты). Анализ журналов портала позволяет восстановить последовательность действий, совершённых после несанкционированного доступа, и определить, какие именно операции были выполнены.

Особенность рассматриваемых объектов состоит в том, что значительная часть доказательственно значимой информации находится в распоряжении операторов соответствующих систем (банков, операторов порталов) и не может быть получена экспертом самостоятельно. Компьютерно-сетевая экспертиза в этом случае предполагает тесное взаимодействие с органами, осуществляющими предварительное расследование, которые обеспечивают выемку или представление необходимых данных. Эксперт формулирует запросы на получение конкретных журналов и сведений, а затем анализирует их с применением своих специальных познаний.

Следует подчеркнуть, что исследование банковских приложений и государственных порталов требует от эксперта не только общих познаний в области сетевых технологий, но и понимания специфики функционирования финансовых и государственных информационных систем. Союз «Федерация судебных экспертов» обеспечивает производство таких экспертиз с привлечением специалистов, обладающих соответствующим опытом. Стоимость экспертизы начинается от 20 000 рублей; при необходимости выезда на место экспертного осмотра расходы оплачиваются дополнительно.

Методические подходы к анализу сетевых следов проникновения

Методика компьютерно-сетевой экспертизы при установлении фактов незаконного проникновения опирается на несколько взаимодополняющих подходов, выбор которых определяется характером исследуемых объектов и поставленными вопросами. Компьютерно-сетевая экспертиза в Москве и других регионах производится с использованием инструментов, обеспечивающих воспроизводимость результатов и возможность их проверки.

Анализ журналов событий (лог-анализ) составляет основу большинства исследований рассматриваемого типа. Журналы веб-серверов (Apache, Nginx, IIS) фиксируют каждый запрос с указанием IP-адреса источника, времени, метода, запрошенного ресурса, кода ответа и пользовательского агента. Журналы операционных систем (Event Log в Windows, syslog в Unix-подобных системах) содержат сведения об аутентификации, изменении учётных записей, установке программного обеспечения. Журналы систем управления базами данных отражают запросы, выполненные с повышенными привилегиями. Корреляция данных из различных журналов позволяет восстановить полную картину событий и выявить аномалии, неочевидные при изолированном анализе.

Анализ сетевого трафика (PCAP-анализ) применяется в тех случаях, когда имеются записи пакетов, перехваченных в период предполагаемого проникновения. Инструменты анализа (Wireshark, tcpdump, специализированные программные комплексы) позволяют реконструировать последовательность соединений, выявить попытки сканирования портов, обнаружить сигнатуры эксплойтов, восстановить содержимое передававшихся данных. Компьютерно-сетевая экспертиза с применением PCAP-анализа особенно результативна при исследовании атак, осуществлённых через веб-интерфейсы, поскольку позволяет увидеть конкретные запросы, содержавшие эксплойт, и ответы сервера.

Форензика конечных устройств (endpoint forensics) дополняет сетевой анализ в случаях, когда требуется установить, с какого устройства осуществлялось проникновение или какие вредоносные программы были установлены на скомпрометированной системе. Исследование образа жёсткого диска позволяет восстановить удалённые файлы, обнаружить следы работы вредоносного программного обеспечения в реестре и системных каталогах, выявить артефакты, указывающие на использование инструментов анонимизации или удалённого управления.

Реконструкция механизма события представляет собой синтез результатов, полученных на предыдущих этапах. Эксперт формулирует последовательность действий, приведших к несанкционированному доступу, с указанием времени, источников и способов. Компьютерно-сетевая экспертиза на этом этапе требует не только технической квалификации, но и способности представить выводы в форме, доступной для восприятия участниками судебного процесса, не обладающими специальными познаниями. Заключение должно содержать описание методики, перечень использованных инструментов и обоснование сделанных выводов.

Кейс 1: Проникновение в базу данных коммерческого предприятия через уязвимость веб-приложения

В производстве Союза «Федерация судебных экспертов» находилось дело, связанное с несанкционированным доступом к базе данных клиентов коммерческого предприятия. Заявитель — организация, осуществляющая розничную торговлю, — обнаружил в открытых источниках фрагменты сведений, которые могли быть получены только из внутренней базы данных. Служба безопасности предприятия зафиксировала аномальную активность в ночное время, однако не располагала инструментами для установления источника и механизма доступа. По заявлению организации было возбуждено уголовное дело по признакам преступления, предусмотренного статьёй 272 УК РФ.

На исследование были представлены: сервер, на котором размещалась база данных, журналы веб-сервера за период, охватывающий предполагаемое проникновение, дамп сетевого трафика, перехваченного в соответствующий период, а также образ жёсткого диска сервера, созданный следователем с соблюдением требований статьи 164.1 УПК РФ.

Первоочередной задачей эксперта было установление факта несанкционированного доступа. Анализ журналов веб-сервера выявил серию запросов к скрипту, обеспечивающему формирование отчётов, с параметрами, содержащими символы, характерные для SQL-инъекций. Запросы поступали с IP-адреса, принадлежащего хостинг-провайдеру, предоставляющему услуги виртуальных серверов. Компьютерно-сетевая экспертиза в данном случае потребовала корреляции данных веб-сервера с журналами системы управления базами данных, которые зафиксировали выполнение несанкционированных запросов к таблицам с персональными данными клиентов.

Анализ дампа сетевого трафика подтвердил, что в указанные временные интервалы с указанного IP-адреса передавались пакеты, содержимое которых соответствовало эксплойту, эксплуатирующему уязвимость в скрипте формирования отчётов. Эксперт восстановил последовательность запросов и ответов, установив, что злоумышленник последовательно извлёк содержимое нескольких таблиц, включая таблицу с контактными данными клиентов. Объём извлечённых данных был оценён на основе размера ответов сервера.

Исследование образа жёсткого диска позволило установить, что на сервере отсутствовали средства защиты, необходимые для предотвращения подобных атак: скрипт формирования отчётов не осуществлял должной валидации входных параметров, версия программного обеспечения содержала известную уязвимость, обновления безопасности не устанавливались в течение длительного времени. Эти обстоятельства имели значение для оценки действий администратора сервера, однако эксперт ограничился констатацией технических фактов, не формулируя правовых выводов.

Заключение эксперта содержало выводы о том, что несанкционированный доступ к базе данных имел место, осуществлён путём эксплуатации уязвимости веб-приложения с использованием SQL-инъекций, источником запросов являлся IP-адрес, принадлежащий конкретному хостинг-провайдеру, в результате доступа были извлечены данные из указанных таблиц. Выводы были использованы следствием для квалификации деяния и установления круга лиц, причастных к совершению преступления. Компьютерно-сетевая экспертиза в Москве, произведённая по данному делу, подтвердила свою эффективность как инструмента установления фактических обстоятельств, недоступных для самостоятельного выяснения потерпевшей стороной.

Кейс 2: Несанкционированный доступ к учётной записи портала государственных услуг

В Союз «Федерация судебных экспертов» обратился гражданин, обнаруживший, что в его учётной записи на портале государственных услуг были изменены персональные данные, а от его имени подано заявление о регистрации транспортного средства, которое ему не принадлежало. Гражданин утверждал, что не совершал указанных действий и не передавал никому свои учётные данные. По его заявлению было возбуждено уголовное дело, в рамках которого назначена компьютерно-сетевая экспертиза.

На исследование были представлены: мобильный телефон заявителя, с которого обычно осуществлялся вход в учётную запись, компьютер, использовавшийся для работы с порталом, а также журналы портала, полученные по запросу следователя от оператора системы. Журналы содержали сведения о сессиях, IP-адресах, устройствах и действиях, совершённых в учётной записи за период, охватывающий предполагаемый несанкционированный доступ.

Анализ журналов портала показал, что за несколько дней до изменения данных имел место вход в учётную запись с устройства, идентификатор которого не совпадал с идентификаторами устройств, обычно используемых заявителем. Вход был осуществлён с IP-адреса, принадлежащего оператору мобильной связи, при этом геолокация, определённая по IP-адресу, указывала на регион, в котором заявитель не находился в указанное время. После входа были изменены пароль и привязанный номер телефона, что позволило злоумышленнику сохранить доступ к учётной записи после того, как заявитель попытался восстановить контроль.

Исследование мобильного телефона заявителя не выявило признаков внедрения вредоносного программного обеспечения, перехватывающего данные аутентификации. Компьютерно-сетевая экспертиза в данном случае позволила исключить версию о компрометации учётных данных через устройство заявителя. Анализ компьютера также не обнаружил следов вредоносной активности. Эти результаты сместили фокус расследования в сторону иных способов получения злоумышленником учётных данных, в частности, возможной утечки через третьи лица или использования данных, ставших известными в результате иных инцидентов.

Дальнейший анализ журналов портала позволил установить, что после изменения учётных данных от имени заявителя были совершены действия по подаче заявления о регистрации транспортного средства. Сессия, в рамках которой совершались эти действия, продолжалась в течение времени, превышающего обычную продолжительность сессий заявителя, и характеризовалась последовательностью обращений к разделам портала, нетипичной для заявителя.

Заключение эксперта содержало выводы о том, что доступ к учётной записи был осуществлён с устройства, не принадлежащего заявителю, с использованием IP-адреса, не соответствующего обычному местоположению заявителя, учётные данные были изменены без ведома заявителя, действия, совершённые после изменения учётных данных, не соответствуют поведению заявителя. Выводы способствовали установлению лиц, причастных к неправомерному доступу, и подтверждению позиции потерпевшего. Стоимость производства экспертизы по данному делу составила сумму, начальный порог которой определён в 20 000 рублей; выезд эксперта не потребовался.

Кейс 3: Анализ сетевого трафика при подборе паролей к серверу организации

Организация, предоставляющая услуги хостинга, зафиксировала аномально высокую нагрузку на один из своих серверов. Одновременно в журналах безопасности были отмечены многочисленные неуспешные попытки аутентификации по протоколу SSH. Служба безопасности предположила, что имеет место попытка несанкционированного доступа с целью получения контроля над сервером. По заявлению организации была назначена компьютерно-сетевая экспертиза.

Объектами исследования выступили дамп сетевого трафика, перехваченного на интерфейсе сервера в период аномальной активности, журналы аутентификации сервера, а также конфигурационные файлы сервиса SSH. Дамп трафика был получен с использованием штатных средств регистрации пакетов и передан на исследование вместе с исходным носителем.

Анализ дампа показал наличие множества TCP-соединений, инициированных с нескольких IP-адресов, принадлежащих различным провайдерам. Каждое соединение характеризовалось короткой продолжительностью и завершалось после нескольких попыток аутентификации, что соответствует поведению инструментов автоматизированного подбора паролей. Эксперт идентифицировал характерные сигнатуры в передаваемых данных, указывающие на использование программного обеспечения для перебора (в частности, паттерны, соответствующие библиотеке Paramiko, часто используемой в инструментах брутфорса).

Журналы аутентификации подтвердили, что за период, охватывающий аномальную активность, было зафиксировано значительное число неуспешных попыток входа с указанных IP-адресов. Учётные записи, к которым осуществлялся подбор, включали как стандартные (root, admin), так и имена, соответствующие сотрудникам организации, полученные, вероятно, в результате разведки. Компьютерно-сетевая экспертиза установила, что ни одна из попыток не завершилась успешной аутентификацией, что подтверждалось отсутствием записей об успешных входах с этих адресов в соответствующий период.

Исследование конфигурации SSH выявило, что сервер использовал аутентификацию по паролю, при этом отсутствовали механизмы ограничения числа попыток и блокировки после определённого количества неудач. Эти настройки способствовали успешному осуществлению атаки, хотя в данном случае она не привела к компрометации. Эксперт отметил в заключении, что конфигурация не соответствовала общепринятым практикам обеспечения безопасности.

Выводы эксперта содержали констатацию факта осуществления попытки несанкционированного доступа путём подбора паролей, указание источников атаки и использованных методов, а также оценку успешности атаки (доступ не был получен). Компьютерно-сетевая экспертиза в Москве по данному делу позволила организации обосновать необходимость усиления мер защиты и предоставила следственным органам информацию, необходимую для установления лиц, осуществлявших атаку. Стоимость экспертизы в данном случае определялась объёмом исследованного трафика и сложностью его анализа.

Кейс 4: Исследование журналов банковского приложения при оспаривании транзакции

Клиент банка обратился в Союз «Федерация судебных экспертов» в связи с тем, что с его счёта были списаны денежные средства в результате транзакций, которые он не совершал. Банк отказывал в возврате средств, ссылаясь на то, что вход в приложение был осуществлён с использованием корректных учётных данных и подтверждён кодом из SMS. Клиент утверждал, что не получал SMS с кодом подтверждения и не инициировал переводы. По иску клиента к банку была назначена компьютерно-сетевая экспертиза.

На исследование были представлены: мобильный телефон клиента, журналы банковского приложения (предоставленные банком по запросу суда), сведения о сессиях и транзакциях, данные о привязке устройства к учётной записи. Эксперт должен был установить, имели ли место признаки несанкционированного доступа к учётной записи клиента и мог ли клиент самостоятельно инициировать оспариваемые транзакции.

Анализ журналов показал, что вход в учётную запись, в рамках которого были совершены транзакции, был осуществлён с устройства, идентификатор которого совпадал с идентификатором телефона клиента. Однако временные метки сессии указывали на то, что вход был выполнен в то время, когда, согласно данным оператора связи, телефон клиента не имел активного соединения с сетью передачи данных (находился в зоне без покрытия). Компьютерно-сетевая экспертиза в данном случае потребовала сопоставления данных банка с данными оператора связи, которые были получены по запросу суда.

Дальнейший анализ выявил, что в журнале SMS-сообщений телефона клиента отсутствовали сообщения с кодами подтверждения за период, соответствующий оспариваемым транзакциям. При этом банк представил сведения о том, что коды были направлены на номер клиента. Эксперт установил, что в период, когда, по данным банка, направлялись коды, телефон клиента не был зарегистрирован в сети оператора, что делает получение SMS технически невозможным. Это указывало на то, что либо коды были перехвачены, либо банк представил недостоверные сведения, либо имела место компрометация канала доставки SMS.

Исследование телефона клиента не выявило признаков внедрения вредоносного программного обеспечения, способного перехватывать SMS или данные приложения. Однако экспертом было отмечено, что на устройстве отсутствовали обновления безопасности за длительный период, а версия операционной системы содержала уязвимости, которые могли быть использованы для удалённого доступа. Компьютерно-сетевая экспертиза в Москве в данном случае не позволила однозначно установить способ компрометации, но предоставила суду информацию, необходимая для оценки добросовестности сторон.

Заключение эксперта содержало выводы о том, что оспариваемые транзакции были инициированы в период, когда телефон клиента не имел связи с сетью, что делает получение SMS с кодами подтверждения технически невозможным при штатной работе сетей оператора, а также о наличии на устройстве клиента уязвимостей, которые могли быть использованы для несанкционированного доступа. Суд, оценив заключение в совокупности с иными доказательствами, принял решение в пользу клиента. Стоимость экспертизы по данному делу была определена с учётом необходимости анализа значительного объёма журналов и привлечения специалиста по сетям мобильной связи; выезд на место не требовался.

Кейс 5: Установление факта копирования данных из корпоративной сети

Коммерческая организация обнаружила, что конфиденциальная информация о готовящихся сделках стала известна конкуренту. Служба безопасности заподозрила, что один из сотрудников скопировал данные и передал их заинтересованному лицу. По заявлению организации была назначена компьютерно-сетевая экспертиза, производство которой поручено Союзу «Федерация судебных экспертов».

Объектами исследования выступили рабочий компьютер сотрудника, корпоративный сервер, на котором хранились конфиденциальные документы, журналы доступа к серверу, журналы межсетевого экрана и прокси-сервера, а также дампы трафика, регистрировавшиеся в корпоративной сети в период, когда, по предположению службы безопасности, могла иметь место утечка.

Анализ журналов доступа к серверу показал, что учётная запись сотрудника обращалась к каталогу с конфиденциальными документами в нерабочее время, когда сотрудник, согласно данным системы контроля доступа, не находился в офисе. Обращения происходили с рабочего компьютера сотрудника, который, однако, не был выключен. Компьютерно-сетевая экспертиза установила, что доступ осуществлялся с использованием удалённого подключения к рабочему столу, инициированного с IP-адреса, не принадлежащего корпоративной сети.

Исследование рабочего компьютера выявило наличие программного обеспечения для удалённого администрирования, установленного без санкции отдела информационных технологий. Журналы этого программного обеспечения содержали записи о подключениях с внешнего IP-адреса в моменты, соответствующие обращениям к конфиденциальным документам. Эксперт восстановил последовательность действий: подключение к компьютеру, открытие файлового менеджера, копирование файлов в сетевую папку, доступную извне, и передача данных на внешний сервер.

Дампы трафика, перехваченные межсетевым экраном, подтвердили передачу значительного объёма данных с рабочего компьютера сотрудника на внешний IP-адрес в указанные периоды. Содержимое передававшихся данных не могло быть восстановлено в полном объёме, поскольку трафик передавался по зашифрованному каналу, однако объём и временные характеристики соответствовали размеру скопированных документов.

Заключение эксперта содержало выводы о том, что с рабочего компьютера сотрудника осуществлялось удалённое подключение, в рамках которого производилось копирование конфиденциальных документов и их передача на внешний сервер, доступ к компьютеру осуществлялся с использованием программного обеспечения, установленного без санкции, время и объём передававшихся данных соответствуют периоду и содержанию документов, ставших известными конкуренту. Компьютерно-сетевая экспертиза в Москве по данному делу предоставила работодателю доказательственную базу для привлечения сотрудника к ответственности и для обращения в правоохранительные органы. Стоимость экспертизы включала анализ значительного объёма сетевого трафика и журналов; выезд на место экспертного осмотра потребовался для исследования корпоративной инфраструктуры и был оплачен дополнительно.

Кейс 6: Анализ попытки доступа к серверу через уязвимость в веб-приложении

Организация, эксплуатирующая веб-портал с личными кабинетами пользователей, зафиксировала в журналах веб-сервера серию запросов, содержащих подозрительные конструкции. Служба безопасности предположила попытку эксплуатации уязвимости, позволяющей получить доступ к данным других пользователей. По заявлению организации была назначена компьютерно-сетевая экспертиза, производство которой поручено Союзу «Федерация судебных экспертов».

На исследование были представлены журналы веб-сервера за период, охватывающий подозрительную активность, дампы трафика, перехваченные в соответствующие периоды, а также копия кода веб-приложения, предоставленная организацией для анализа. Эксперт должен был установить, имела ли место попытка эксплуатации уязвимости, и если да, то была ли она успешной.

Анализ журналов веб-сервера выявил запросы к параметризованным страницам, в которых значения параметров содержали символы, характерные для атак типа SQL-инъекция и межсайтовый скриптинг (XSS). Компьютерно-сетевая экспертиза установила, что запросы поступали с нескольких IP-адресов, при этом использовались различные пользовательские агенты, что указывало на применение инструментов автоматизированного сканирования. Частота запросов и последовательность обращения к ресурсам соответствовали поведению сканеров уязвимостей.

Анализ кода веб-приложения показал, что обработчик одного из параметров не осуществлял должной валидации входных данных, что теоретически позволяло осуществить SQL-инъекцию. Однако эксперт установил, что используемая система управления базами данных работала в режиме, ограничивающем возможности инъекции, а веб-сервер имел конфигурацию, блокирующую ряд опасных конструкций. Компьютерно-сетевая экспертиза в данном случае потребовала не только анализа трафика и журналов, но и исследования кода и конфигурации, чтобы оценить реальную возможность эксплуатации уязвимости.

Анализ дампов трафика подтвердил, что в ответ на подозрительные запросы сервер возвращал коды ошибок, а не данные, которые могли бы свидетельствовать об успешной инъекции. Эксперт восстановил последовательность запросов и ответов и установил, что ни один из запросов не привёл к извлечению данных из базы или к выполнению нежелательных операций. Попытка эксплуатации уязвимости имела место, но не была успешной.

Заключение эксперта содержало выводы о том, что в отношении веб-приложения осуществлялись попытки эксплуатации уязвимостей путём SQL-инъекций и межсайтового скриптинга, источником запросов являлись указанные IP-адреса, использовались инструменты автоматизированного сканирования, однако конфигурация приложения и системы управления базами данных предотвратила успешную эксплуатацию, данные пользователей не были скомпрометированы. Выводы позволили организации обосновать отсутствие утечки перед пользователями и регуляторами. Стоимость экспертизы определялась необходимостью анализа кода и конфигурации в дополнение к исследованию журналов и трафика.

Кейс 7: Исследование инцидента с блокированием доступа к серверу

Организация столкнулась с невозможностью доступа к собственному серверу: сервер перестал отвечать на запросы, при этом сетевое оборудование функционировало нормально. Служба безопасности предположила, что имеет место атака типа «отказ в обслуживании» (DoS) или компрометация сервера с изменением конфигурации. По заявлению организации была назначена компьютерно-сетевая экспертиза.

Объектами исследования выступили сервер, образ его жёсткого диска, журналы межсетевого экрана, дампы трафика, перехваченные на границе сети в период инцидента. Эксперт должен был установить причину недоступности сервера и определить, имели ли место признаки несанкционированного доступа.

Анализ журналов межсетевого экрана показал резкое возрастание объёма входящего трафика, направленного на порт, обслуживающий веб-приложение. Трафик поступал с множества различных IP-адресов, распределённых по различным сетям, что характерно для распределённых атак типа DDoS. Компьютерно-сетевая экспертиза установила, что количество запросов в секунду превышало пропускную способность сервера, что привело к исчерпанию ресурсов и отказу в обслуживании легитимных пользователей.

Исследование образа жёсткого диска не выявило признаков компрометации: конфигурация сервера соответствовала штатной, журналы аутентификации не содержали записей о успешных входах с необычных адресов, вредоносное программное обеспечение обнаружено не было. Это позволило исключить версию о том, что недоступность стала результатом действий злоумышленника, получившего контроль над сервером.

Анализ дампов трафика позволил идентифицировать характеристики атаки: типы запросов, их распределение по времени, перечень IP-адресов источников. Эксперт отметил, что часть адресов принадлежала сетям интернета вещей, что указывало на использование ботнета, сформированного из скомпрометированных устройств. Компьютерно-сетевая экспертиза в Москве в данном случае не могла установить конкретных лиц, организовавших атаку, но предоставила организации и правоохранительным органам информацию, необходимую для дальнейшего расследования и для принятия мер по защите.

Заключение эксперта содержало выводы о том, что недоступность сервера была вызвана распределённой атакой типа «отказ в обслуживании», признаки несанкционированного доступа к серверу отсутствуют, атака осуществлялась с использованием ботнета, включающего устройства интернета вещей. Стоимость экспертизы была определена с учётом объёма проанализированного трафика; выезд на место не потребовался, поскольку все необходимые данные были представлены в виде образов и журналов.

Кейс 8: Установление факта несанкционированного изменения конфигурации сетевого оборудования

Организация обнаружила, что маршрутизатор, обеспечивающий подключение офиса к сети интернет, перенаправляет часть трафика на неизвестный внешний адрес. Служба безопасности заподозрила несанкционированное изменение конфигурации устройства. По заявлению организации была назначена компьютерно-сетевая экспертиза, производство которой поручено Союзу «Федерация судебных экспертов».

На исследование были представлены маршрутизатор, его конфигурационные файлы, журналы системных событий, а также резервная копия конфигурации, созданная до предполагаемого инцидента. Эксперт должен был установить, имели ли место несанкционированные изменения конфигурации, и если да, то какие именно и каким образом они были внесены.

Сравнение текущей конфигурации с резервной копией выявило изменения в таблице маршрутизации: был добавлен статический маршрут, направляющий трафик к определённым подсетям через внешний шлюз, не принадлежащий организации. Кроме того, были изменены правила трансляции сетевых адресов (NAT), что приводило к перенаправлению части исходящего трафика на указанный внешний адрес. Компьютерно-сетевая экспертиза установила, что эти изменения не соответствовали штатной конфигурации и не могли быть внесены в рамках обычной эксплуатации.

Анализ журналов системных событий маршрутизатора показал, что изменения были внесены в определённое время с использованием учётной записи администратора. Вход в систему был осуществлён с IP-адреса, принадлежащего сети, не входящей в список разрешённых для администрирования. Эксперт восстановил последовательность событий: подключение к интерфейсу управления, аутентификация, внесение изменений, сохранение конфигурации, завершение сеанса. Время событий коррелировало с периодом, когда, по данным службы безопасности, наблюдались аномалии в маршрутизации.

Исследование маршрутизатора не выявило признаков внедрения вредоносного программного обеспечения, однако эксперт отметил, что прошивка устройства содержала уязвимость, позволяющую обойти аутентификацию при определённых условиях. Компьютерно-сетевая экспертиза в данном случае не позволила однозначно установить, была ли использована эта уязвимость или злоумышленник получил учётные данные администратора иным способом, но подтвердила факт несанкционированного изменения конфигурации.

Заключение эксперта содержало выводы о том, что конфигурация маршрутизатора была изменена несанкционированно, изменения включали добавление статического маршрута и модификацию правил NAT, изменения были внесены с использованием учётной записи администратора с IP-адреса, не входящего в разрешённый список, время внесения изменений соответствует периоду аномальной маршрутизации. Выводы были использованы для устранения последствий инцидента и для обращения в правоохранительные органы. Стоимость экспертизы включала анализ конфигураций и журналов; выезд на место потребовался для непосредственного исследования маршрутизатора и оплачивался дополнительно.

Кейс 9: Исследование мобильного устройства при подозрении на перехват учётных данных

Гражданин обратил внимание на то, что после установки приложения из ненадёжного источника с его банковского счёта были списаны средства. Он предположил, что приложение осуществляло перехват данных, вводимых в банковском приложении. По заявлению гражданина была назначена компьютерно-сетевая экспертиза.

На исследование был представлен мобильный телефон, с которого осуществлялся вход в банковское приложение, а также сведения о транзакциях, предоставленные банком. Эксперт должен был установить, имеются ли на устройстве признаки вредоносного программного обеспечения, способного перехватывать учётные данные или инициировать транзакции.

Исследование файловой системы телефона выявило наличие приложения, установленного из источника, не являющегося официальным магазином приложений. Компьютерно-сетевая экспертиза установила, что данное приложение запрашивало разрешения, не соответствующие его заявленной функциональности: доступ к SMS, доступ к специальным возможностям (accessibility services), разрешение на отображение поверх других приложений. Эти разрешения в совокупности создавали техническую возможность перехвата данных, вводимых в другие приложения, включая банковское.

Анализ журналов устройства показал, что после установки подозрительного приложения банковское приложение запускалось несколько раз, при этом в указанные моменты подозрительное приложение находилось в активном состоянии. Эксперт отметил, что механизм специальных возможностей, используемый приложением, позволяет считывать содержимое экрана и эмулировать действия пользователя, что теоретически даёт возможность перехвата учётных данных и инициирования транзакций.

Дальнейший анализ выявил в коде приложения строки, соответствующие сетевым адресам, не связанным с его заявленной функциональностью. Компьютерно-сетевая экспертиза в Москве не могла восстановить содержимое передававшихся данных в полном объёме, поскольку трафик передавался по зашифрованному каналу, однако совокупность признаков — разрешения, поведение, наличие сетевых адресов — указывала на то, что приложение обладает функциональностью, характерной для вредоносных программ, нацеленных на финансовые данные.

Заключение эксперта содержало выводы о том, что на устройстве установлено приложение, обладающее техническими возможностями для перехвата учётных данных и инициирования транзакций, разрешения приложения не соответствуют его заявленной функциональности, в коде присутствуют сетевые адреса, не связанные с легитимной работой, время активности приложения коррелирует с временем совершения оспариваемых транзакций. Выводы способствовали установлению механизма хищения и подтверждению позиции потерпевшего. Стоимость экспертизы определялась сложностью анализа мобильного приложения; выезд не потребовался.

Кейс 10: Комплексный анализ инцидента с проникновением в корпоративную сеть

Крупная организация обратилась в Союз «Федерация судебных экспертов» после того, как в течение нескольких месяцев фиксировала аномалии в работе корпоративной сети: периодическое замедление, необъяснимые подключения к внешним адресам, изменения в журналах, которые не соответствовали действиям администраторов. Служба безопасности предположила, что злоумышленник получил доступ к сети и осуществляет деятельность по сбору данных. По заявлению организации была назначена компьютерно-сетевая экспертиза.

Объектами исследования выступили образы жёстких дисков нескольких серверов, журналы межсетевых экранов и прокси-серверов за длительный период, дампы трафика, конфигурации сетевого оборудования, а также учётные записи пользователей и журналы аутентификации. Объём представленных данных был значительным, что потребовало применения специализированных инструментов анализа и значительных временных затрат.

Компьютерно-сетевая экспертиза в данном случае началась с корреляции данных из различных источников. Анализ журналов аутентификации выявил учётную запись, которая использовалась для входа в нерабочее время с IP-адресов, не принадлежащих корпоративной сети. Дальнейшее исследование показало, что данная учётная запись была создана без соответствующей заявки, а её владелец в штатном расписании отсутствовал. Журналы межсетевого экрана зафиксировали подключения с этой учётной записью к внутренним серверам, на которых хранились конфиденциальные данные.

Анализ дампов трафика позволил восстановить последовательность действий: подключение к сети через VPN, аутентификация с использованием созданной учётной записи, сканирование внутренней сети, обращение к файловым серверам, копирование данных на промежуточный сервер, передача данных на внешний адрес. Компьютерно-сетевая экспертиза установила, что передача осуществлялась в сжатом и зашифрованном виде, что затруднило определение точного содержания, однако объём переданных данных соответствовал размеру файлов, хранившихся на файловых серверах и содержавших информацию о клиентах и коммерческих операциях.

Исследование образов серверов выявило наличие программного обеспечения для удалённого доступа, установленного без санкции, а также следы использования инструментов для сбора учётных данных. Эксперт восстановил хронологию инцидента, установив, что проникновение произошло за несколько недель до обнаружения аномалий, а деятельность злоумышленника в сети продолжалась в течение длительного периода.

Заключение эксперта содержало выводы о том, что в корпоративной сети имело место несанкционированное присутствие, осуществлявшееся с использованием созданной учётной записи, злоумышленник получил доступ к файловым серверам и скопировал конфиденциальные данные, передача данных осуществлялась на внешний адрес, время присутствия и объём переданных данных установлены. Компьютерно-сетевая экспертиза в Москве по данному делу потребовала значительных ресурсов и времени; стоимость экспертизы была определена с учётом сложности и объёма исследования, выезд на место экспертного осмотра для изучения инфраструктуры оплачивался дополнительно. Юридическое сопровождение по данному делу осуществлялось юристами Союза, специализирующимися на делах рассматриваемой категории.

Заключение

Компьютерно-сетевая экспертиза при установлении фактов незаконного проникновения в чужие информационные ресурсы представляет собой динамично развивающуюся область экспертной деятельности, спрос на которую определяется объективными условиями цифровой трансформации. Проведённый анализ показывает, что задачи, стоящие перед экспертом в рассматриваемой сфере, не сводятся к простой констатации наличия или отсутствия вредоносного программного обеспечения. Они требуют комплексного исследования журналов, трафика, конфигураций и пользовательских данных, корреляции информации из различных источников и реконструкции механизма события с высокой степенью детализации.

Практика Союза «Федерация судебных экспертов» демонстрирует, что компьютерно-сетевая экспертиза в Москве и других регионах способна предоставить суду и следствию выводы, обладающие необходимой доказательственной силой, при условии соблюдения требований к цепочке сохранности объектов и документированию процедур исследования. Кейсы, рассмотренные в настоящей работе, иллюстрируют разнообразие ситуаций, с которыми приходится сталкиваться экспертам: от SQL-инъекций в веб-приложения до компрометации учётных записей государственных порталов, от атак типа «отказ в обслуживании» до сложных многоэтапных вторжений в корпоративные сети.

Для лиц и организаций, столкнувшихся с необходимостью установления обстоятельств незаконного проникновения в их информационные ресурсы, своевременное обращение к квалифицированным экспертам имеет критическое значение. Утрата цифровых следов вследствие продолжения работы системы, перезаписи журналов или неправильного изъятия носителей может сделать невозможным установление истины. Союз «Федерация судебных экспертов» обеспечивает производство компьютерно-сетевых экспертиз по делам рассматриваемой категории; стоимость экспертизы начинается от 20 000 рублей, выезд на место экспертного осмотра оплачивается дополнительно. В случаях, когда требуется представление интересов в суде, Союз предоставляет юридическое сопровождение силами специализированных юристов, имеющих опыт ведения дел, связанных с компьютерными преступлениями и защитой информации.