Настоящая монография посвящена комплексному исследованию теоретических, методических и практических аспектов компьютерно-сетевой экспертизы применительно к проблематике незаконного проникновения в корпоративную почту, программы, файлы, системы электронного документооборота и иные базы данных, в том числе совершаемого с целью хищения денежных средств либо конфиденциальной информации. В условиях стремительной цифровизации корпоративного сектора и повсеместного перевода критически важных бизнес-процессов в сетевую среду вопросы своевременного выявления, фиксации и экспертного исследования следов несанкционированного доступа приобретают первостепенное значение. Союз «Федерация судебных экспертов» на протяжении длительного времени аккумулирует практический опыт производства подобных исследований и предлагает заинтересованным лицам квалифицированную экспертную поддержку по широчайшему спектру вопросов, связанных с компьютерно-сетевой экспертизой.

Раздел 1. Теоретические основы компьютерно-сетевой экспертизы и её место в системе судебных экспертиз

Компьютерно-сетевая экспертиза представляет собой самостоятельный вид судебной компьютерно-технической экспертизы, предметом которой выступают фактические данные о событиях и процессах, имевших место в компьютерных сетях, а также о закономерностях их отражения в сетевой инфраструктуре, журналах событий, сетевом трафике и связанных с ними объектах. В отличие от аппаратно-компьютерной и программно-компьютерной экспертизы, компьютерно-сетевая экспертиза акцентирует внимание не столько на физическом состоянии носителей или коде программ, сколько на функциональном взаимодействии компьютерных средств, реализующих сетевые информационные технологии . Именно этот акцент делает её незаменимым инструментом при расследовании инцидентов, связанных с неправомерным доступом к корпоративным информационным ресурсам.

Объектная база компьютерно-сетевой экспертизы исключительно широка. К числу основных объектов относятся серверы, маршрутизаторы, коммутаторы, межсетевые экраны, системы обнаружения и предотвращения вторжений, точки доступа беспроводных сетей, а также конфигурационные файлы сетевого оборудования и операционных систем. Отдельную категорию образуют информационные следы сетевой активности: системные журналы, логи доступа к веб-службам и почтовым серверам, журналы файрволов и прокси-серверов, дампы сетевого трафика в формате PCAP, история соединений, кэш и cookie браузеров, заголовки электронных писем, данные о сессиях мессенджеров и систем электронного документооборота . Производные объекты включают образы жёстких дисков критически важных серверов, резервные копии, снимки состояния виртуальных машин и контейнеров, а также данные, размещённые в облачных хранилищах.

Задачи компьютерно-сетевой экспертизы применительно к рассматриваемой проблематике могут быть систематизированы в несколько взаимосвязанных групп. Первая группа охватывает установление архитектуры, топологии и конфигурации корпоративной сети, определение роли конкретного сетевого оборудования или программного обеспечения в обеспечении доступа к защищаемым ресурсам. Вторая группа связана с выявлением фактов и параметров сетевого взаимодействия: установлением IP-адресов, с которых осуществлялись подключения, параметров VPN-соединений, времени и последовательности сетевых событий. Третья группа направлена на поиск и анализ признаков вредоносной активности: следов эксплуатации уязвимостей, функционирования вредоносного программного обеспечения, наличия программных закладок и средств удалённого администрирования. Четвёртая группа задач предполагает реконструкцию механизма и хронологии событий, имевших место в сети, что особенно востребовано при расследовании инцидентов с корпоративной почтой и системами электронного документооборота .

Методологическую основу компьютерно-сетевой экспертизы образуют методы иерархизации сетевых протоколов, алгоритмы распределённой обработки массивов данных, методы исследования маршрутизации и коммутации, топологические методы, а также методы доступа . Каждый из перечисленных методов позволяет выявить специфические группы следов, которые в совокупности формируют доказательственную базу. Так, методы маршрутизации и коммутации дают возможность проследить путь передачи данных от источника к получателю, установить промежуточные узлы и тем самым определить географическую и сетевую локализацию злоумышленника. Топологические методы позволяют выявить структурные связи между элементами корпоративной сети и оценить, какие именно сегменты инфраструктуры были скомпрометированы.

Правовую основу рассматриваемого вида экспертной деятельности образуют Федеральный закон от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», процессуальные кодексы Российской Федерации, Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также положения главы 28 Уголовного кодекса Российской Федерации, устанавливающие ответственность за преступления в сфере компьютерной информации . Соблюдение процессуальных требований при назначении и производстве компьютерно-сетевой экспертизы является непременным условием допустимости полученного заключения в качестве доказательства.

Союз «Федерация судебных экспертов» располагает необходимыми ресурсами и компетенциями для производства компьютерно-сетевой экспертизы на высоком профессиональном уровне. Эксперты Союза обладают глубокими знаниями в области сетевых технологий, криминалистического анализа цифровых следов и процессуального оформления результатов исследований. Обращение в Союз «Федерация судебных экспертов» гарантирует заказчику получение заключения, отвечающего самым строгим требованиям научной обоснованности и процессуальной чистоты. Компьютерно-сетевая экспертиза в исполнении специалистов Союза становится надёжным инструментом установления истины по делам, связанным с неправомерным доступом к корпоративным информационным ресурсам.

Раздел 2. Проблематика незаконного проникновения в корпоративную почту и её экспертное исследование

Корпоративная электронная почта традиционно остаётся одним из наиболее уязвимых элементов информационной инфраструктуры организации. Именно через почтовые каналы злоумышленники реализуют значительную часть атак, направленных на хищение информации и денежных средств. Компьютерно-сетевая экспертиза призвана обеспечить документальную фиксацию следов неправомерного доступа к почтовым системам и установление обстоятельств, имеющих значение для последующей правовой оценки произошедшего.

Типология способов незаконного проникновения в корпоративную почту включает несколько основных категорий. Наиболее распространённым остаётся компрометация учётных данных посредством фишинговых сообщений, когда злоумышленник получает логин и пароль сотрудника через поддельную страницу авторизации или вредоносное вложение. Другой распространённый сценарий предполагает эксплуатацию уязвимостей в программном обеспечении почтового сервера или клиента, позволяющую получить доступ к почтовому ящику без знания учётных данных. Нередки случаи использования слабых паролей и отсутствия многофакторной аутентификации, что существенно упрощает задачу несанкционированного входа. Отдельную категорию образуют атаки типа «человек посередине», при которых злоумышленник перехватывает сессию или учётные данные в момент передачи по незащищённому каналу связи. Наконец, возможен сценарий, при котором доступ к почте осуществляется с использованием легитимных учётных данных, полученных от самого сотрудника в результате обмана или злоупотребления доверием.

Следы, оставляемые действиями злоумышленника в почтовой системе, немногочисленны, но при квалифицированном исследовании позволяют восстановить значительный объём информации. К числу ключевых объектов анализа относятся журналы почтового сервера, фиксирующие факты аутентификации, IP-адреса инициирующих соединений, используемые почтовые клиенты и время выполнения операций. Заголовки электронных писем содержат сведения о маршруте прохождения сообщения, включая промежуточные серверы и временные метки. Содержимое папок «Отправленные», «Входящие» и «Удалённые» может быть исследовано на предмет наличия сообщений, инициированных злоумышленником, а также следов правил пересылки, созданных для скрытого копирования входящей корреспонденции на внешний адрес. Журналы веб-сервера, обеспечивающего доступ к почтовому интерфейсу, позволяют установить факты входа через веб-интерфейс и связанные с ними параметры сессий.

Экспертное исследование корпоративной почты требует решения ряда диагностических и идентификационных задач. Устанавливается факт несанкционированного доступа к конкретному почтовому ящику, определяется время и продолжительность несанкционированной сессии, выявляются IP-адреса и иные сетевые идентификаторы, использованные злоумышленником. Устанавливается перечень сообщений, к которым был получен доступ, а также сообщений, созданных или отправленных от имени законного пользователя. Выявляются правила автоматической обработки корреспонденции, созданные без ведома владельца ящика. Определяется, осуществлялась ли выгрузка содержимого почтового ящика или его отдельных папок, и если да, то в каком объёме и в какие временные интервалы.

Особую значимость приобретает установление связи между несанкционированным доступом к почте и последующим хищением денежных средств. Типичный сценарий предполагает использование скомпрометированного почтового ящика для получения доступа к системам дистанционного банковского обслуживания, направления поддельных распоряжений о переводе средств или введения в заблуждение контрагентов относительно реквизитов платежа. В таких случаях компьютерно-сетевая экспертиза должна установить хронологическую и логическую связь между событиями в почтовой системе и операциями в банковских или платёжных системах. Для этого исследуются временные метки, IP-адреса, пользовательские агенты и иные метаданные, позволяющие с высокой степенью достоверности утверждать, что действия в различных системах совершались одним и тем же лицом или с использованием одних и тех же средств.

Союз «Федерация судебных экспертов» обладает необходимым опытом и инструментарием для производства компьютерно-сетевой экспертизы по делам, связанным с неправомерным доступом к корпоративной почте. Эксперты Союза владеют методиками анализа почтовых серверов различных платформ, включая Microsoft Exchange, постфикс-совместимые решения и облачные почтовые сервисы. Приглашаем заинтересованных лиц воспользоваться услугами Союза «Федерация судебных экспертов» для получения заключения, которое выдержит самую придирчивую проверку в судебном заседании.

Кейс 1. Несанкционированный доступ к почтовому ящику финансового директора с последующим хищением денежных средств

В производстве Союза «Федерация судебных экспертов» находилось дело, связанное с хищением денежных средств со счёта коммерческой организации. По версии следствия, неизвестное лицо получило доступ к корпоративной почте финансового директора и, используя содержавшуюся в переписке информацию о готовящемся платеже контрагенту, направило в бухгалтерию поддельное распоряжение с изменёнными банковскими реквизитами. Денежные средства были перечислены на счёт, контролируемый злоумышленником, после чего обналичены.

Перед экспертами была поставлена задача установить факт несанкционированного доступа к почтовому ящику, определить время и способ осуществления доступа, а также выявить следы, указывающие на связь между доступом к почте и последующим распоряжением денежными средствами. В качестве объектов исследования были представлены сервер корпоративной почты на базе Microsoft Exchange, рабочие станции финансового директора и сотрудника бухгалтерии, а также выгрузка журналов банковской системы дистанционного обслуживания.

Анализ журналов почтового сервера показал, что 14 марта в период с 02:17 по 02:43 по московскому времени была осуществлена успешная аутентификация в почтовый ящик финансового директора с IP-адреса, принадлежащего хостинг-провайдеру, зарегистрированному в Западной Европе. Штатное рабочее место финансового директора в указанное время не использовалось, что подтверждается журналами операционной системы и записями систем контроля доступа в офисное здание. Пользовательский агент, зафиксированный в журнале почтового сервера, соответствовал мобильному браузеру, тогда как финансовый директор использовал корпоративный ноутбук и стационарный компьютер с иными характеристиками.

В ходе дальнейшего исследования было установлено, что в 02:25 злоумышленник создал в почтовом ящике правило автоматической пересылки, обеспечивающее копирование всех входящих сообщений от бухгалтерии и руководства на внешний адрес электронной почты. В 02:31 от имени финансового директора было отправлено сообщение на адрес сотрудника бухгалтерии с указанием срочно подготовить платёжное поручение по приложенным реквизитам. Вложение содержало документ с изменёнными банковскими реквизитами получателя, визуально неотличимый от оригинального договора, фрагмент которого был обнаружен в ранее полученном легитимном письме.

Сопоставление временных меток почтового сервера и журналов системы дистанционного банковского обслуживания показало, что платёжное поручение было сформировано сотрудником бухгалтерии 14 марта в 09:12, то есть вскоре после начала рабочего дня, и подписано электронной подписью финансового директора, которая хранилась на рабочей станции последнего. Характер действий в банковской системе в момент подписания не позволил достоверно установить, находился ли финансовый директор за своим рабочим местом в этот момент, однако совокупность исследованных данных с высокой степенью вероятности указывала на то, что злоумышленник располагал информацией о процедуре согласования платежей и использовал её для придания своим действиям видимости легитимности.

Судебная компьютерно-сетевая экспертиза, проведённая экспертами Союза «Федерация судебных экспертов», позволила сформулировать категоричный вывод о том, что доступ к почтовому ящику финансового директора 14 марта в период с 02:17 до 02:43 был осуществлён посторонним лицом с использованием учётных данных, полученных вне рамок штатной эксплуатации почтовой системы. Заключение экспертов было положено в основу обвинения и сыграло решающую роль в установлении механизма хищения. Заказчик экспертизы отметил высокое качество исследования и оперативность его проведения, подчеркнув, что обращение именно в Союз «Федерация судебных экспертов» позволило получить результат, полностью удовлетворяющий требованиям суда.

Раздел 3. Экспертное исследование следов неправомерного доступа к программам и файлам корпоративной информационной системы

Неправомерный доступ к программам и файлам корпоративной информационной системы представляет собой одну из наиболее распространённых форм компьютерных инцидентов, влекущих за собой утечку конфиденциальной информации, нарушение целостности данных и, как следствие, значительные финансовые потери. Компьютерно-сетевая экспертиза в данной сфере направлена на установление факта доступа, идентификацию способа его осуществления и определение объёма скомпрометированных ресурсов.

Программные средства, используемые в корпоративной среде, образуют сложную иерархическую структуру, включающую операционные системы серверов и рабочих станций, системы управления базами данных, прикладное программное обеспечение для автоматизации бизнес-процессов, средства коллективной работы и специализированные отраслевые решения. Каждый из перечисленных компонентов оставляет собственные журналы и следы, которые могут быть исследованы в рамках компьютерно-сетевой экспертизы. Однако разнородность форматов журналирования и отсутствие единых стандартов хранения метаданных существенно осложняют задачу восстановления полной картины произошедшего.

Файловая система корпоративного сервера хранит не только собственно содержимое документов, но и обширную служебную информацию, имеющую доказательственное значение. К числу такой информации относятся метаданные файлов, включая даты создания, последнего изменения и последнего доступа, сведения о владельце и правах доступа, а также записи в главной файловой таблице, сохраняющие имена и атрибуты удалённых файлов до момента перезаписи соответствующих секторов. Теневые копии, автоматически создаваемые операционной системой, позволяют восстановить предыдущие версии документов и установить, какие изменения были внесены в них в определённые периоды времени . Своп-файлы и файлы гибернации могут содержать фрагменты документов, которые открывались в оперативной памяти и не были своевременно сохранены на диск.

Сетевая составляющая доступа к файлам и программам выражается в наличии следов в журналах файловых серверов, систем контроля доступа и средств мониторинга сетевой активности. Протоколы SMB и NFS, используемые для доступа к сетевым ресурсам, фиксируют факты подключения, учётные записи и перечни запрошенных файлов. Журналы систем обнаружения вторжений могут содержать записи о попытках несанкционированного доступа к сетевым ресурсам, завершившихся успехом или неудачей. Анализ сетевого трафика, если он производился в период инцидента, позволяет установить объём и направление передачи данных, что особенно важно при расследовании утечек информации.

Экспертное исследование следов доступа к программам и файлам требует решения следующих задач. Устанавливается факт наличия на исследованном носителе или сервере файлов, доступ к которым был осуществлён в обход установленных правил разграничения прав. Определяется учётная запись, использованная для доступа, и её соответствие штатным учётным записям сотрудников организации. Выявляются временные интервалы, в течение которых осуществлялся несанкционированный доступ, и сопоставляются с данными о фактическом присутствии сотрудников на рабочих местах. Устанавливается перечень файлов, которые были скопированы, изменены или удалены, и оценивается характер и объём этих операций. Определяется, использовались ли для доступа к файлам и программам средства удалённого администрирования, вредоносное программное обеспечение или иные инструменты, не предусмотренные штатной конфигурацией информационной системы.

Особую сложность представляет разграничение легитимного и нелегитимного доступа к файлам в тех случаях, когда сотрудник организации имеет формальные права на работу с соответствующими ресурсами, но использует их в целях, несовместимыми с его должностными обязанностями. В подобных ситуациях компьютерно-сетевая экспертиза должна установить не только техническую возможность доступа, но и признаки, указывающие на умышленный характер действий, выходящих за пределы нормального рабочего процесса. К числу таких признаков могут относиться доступ к файлам в нерабочее время, массовое копирование документов, не связанных с текущими задачами сотрудника, использование внешних носителей информации и средств облачного хранения, не согласованных с политикой информационной безопасности организации.

Союз «Федерация судебных экспертов» обеспечивает производство компьютерно-сетевой экспертизы с применением современного криминалистического программного обеспечения, позволяющего работать с файловыми системами всех распространённых типов, восстанавливать удалённые данные и анализировать метаданные с высокой степенью детализации. Приглашаем организации, столкнувшиеся с инцидентами неправомерного доступа к программам и файлам, обратиться в Союз «Федерация судебных экспертов» для получения квалифицированного заключения, способного стать надёжной основой для последующих правовых действий.

Кейс 2. Утечка конструкторской документации через неправомерный доступ к файловому серверу

В Союз «Федерация судебных экспертов» обратилась производственная компания, обнаружившая, что разработанная ею конструкторская документация на новое изделие оказалась в распоряжении конкурента. Руководство компании подозревало, что утечка произошла через корпоративную сеть с участием кого-то из сотрудников, имевших доступ к соответствующим файлам. Задача, поставленная перед экспертами, состояла в установлении факта несанкционированного копирования файлов с конструкторской документацией и идентификации учётной записи и рабочего места, с которых осуществлялось копирование.

Объектами исследования выступили файловый сервер на базе Windows Server, журналы аудита доступа к файлам, рабочие станции отдела конструкторско-технологической документации, а также съёмные носители, изъятые у нескольких сотрудников. Эксперты Союза провели полное клонирование жёстких дисков сервера и рабочих станций с вычислением контрольных сумм и последующей работой исключительно с копиями, что обеспечило сохранность исходных объектов и процессуальную чистоту исследования.

Анализ журналов аудита файлового сервера показал, что в период с 3 по 7 февраля с учётной записи инженера-конструктора Петрова осуществлялось систематическое обращение к папке, содержащей полный комплект документации на изделие. Всего за указанный период было зафиксировано 47 обращений к файлам в форматах .dwg, .sldprt и .pdf, при этом значительная часть обращений приходилась на время после окончания рабочего дня. Штатное рабочее место Петрова в эти часы не проявляло активности в корпоративной сети, что подтверждается журналами коммутатора и записями системы контроля доступа.

Дальнейшее исследование рабочей станции Петрова выявило следы использования программы для синхронизации файлов с облачным хранилищем, не входящей в перечень разрешённого программного обеспечения. В журнале приложения были обнаружены записи о загрузке файлов, имена которых совпадали с именами файлов, к которым осуществлялся доступ на сервере. Временные метки загрузки коррелировали с временными метками доступа к серверу с точностью до нескольких минут. Кроме того, в реестре операционной системы были обнаружены записи о подключении съёмного USB-накопителя, серийный номер которого совпал с серийным номером одного из изъятых носителей.

Экспертиза изъятого USB-накопителя подтвердила наличие на нём файлов конструкторской документации, идентичных по содержанию и контрольным суммам файлам, хранившимся на файловом сервере. Даты создания и последней модификации файлов на носителе соответствовали периоду, установленному по журналам сервера. На основании совокупности исследованных данных эксперты Союза «Федерация судебных экспертов» пришли к выводу, что копирование конструкторской документации осуществлялось с рабочей станции, закреплённой за инженером Петровым, с использованием учётной записи последнего, и что скопированные данные были выгружены как на съёмный носитель, так и в облачное хранилище. Заключение экспертов было использовано работодателем в рамках служебной проверки и последующих судебных разбирательств. Компьютерно-сетевая экспертиза, проведённая в Союзе, позволила восстановить полную хронологию событий и документально подтвердить факт неправомерного копирования, несмотря на попытки заинтересованного лица отрицать свою причастность.

Раздел 4. Компьютерно-сетевая экспертиза в контексте защиты систем электронного документооборота

Системы электронного документооборота аккумулируют в себе наиболее чувствительную корпоративную информацию, включая договоры, финансовую отчётность, внутреннюю распорядительную документацию и переписку по существу хозяйственных операций. Неправомерное проникновение в такие системы способно причинить организации ущерб, несопоставимый по масштабу с последствиями доступа к отдельным файлам или почтовым ящикам, поскольку злоумышленник получает возможность ознакомиться с полной картиной документооборота и использовать эту информацию для подготовки хищений или иных противоправных действий.

Архитектура современных систем электронного документооборота предполагает наличие серверной части, клиентских приложений и, как правило, веб-интерфейса для удалённого доступа. Каждый из этих компонентов оставляет собственные следы, совокупный анализ которых позволяет восстановить действия пользователей с высокой степенью детализации. Серверная часть фиксирует факты аутентификации, обращения к конкретным документам, операции по созданию, редактированию, согласованию и удалению документов, а также изменения прав доступа. Клиентские приложения могут сохранять локальные копии документов, историю поисковых запросов и кэш, содержащий фрагменты просмотренных документов. Веб-интерфейс оставляет следы в журналах веб-сервера, включая IP-адреса, пользовательские агенты и параметры сессий.

Специфической особенностью систем электронного документооборота является наличие встроенных механизмов версионирования, позволяющих отслеживать историю изменений каждого документа. Компьютерно-сетевая экспертиза может использовать эти механизмы для установления того, какие именно изменения были внесены в документ, кем и в какое время. В случаях, когда злоумышленник предпринимает попытки скрыть следы противоправных действий путём отката документа к предыдущей версии или удаления записей из истории, экспертиза позволяет выявить признаки таких манипуляций по несоответствиям в метаданных и расхождениям между различными журналами.

Задачи компьютерно-сетевой экспертизы применительно к системам электронного документооборота включают установление факта несанкционированного доступа к системе в целом или к отдельным документам, идентификацию учётных записей и рабочих мест, использованных для доступа, определение перечня документов, с которыми производились операции, и характера этих операций, а также выявление признаков подготовки к хищению денежных средств или информации на основе данных, полученных из системы документооборота. В тех случаях, когда система документооборота интегрирована с системами дистанционного банковского обслуживания или платёжными шлюзами, экспертиза должна установить наличие и характер связей между событиями в документообороте и финансовыми операциями.

Отдельного внимания заслуживает проблема разграничения доступа в системах электронного документооборота. Штатная модель разграничения прав предполагает, что каждый сотрудник имеет доступ только к тем документам, которые необходимы ему для выполнения должностных обязанностей. Однако на практике нередки ситуации, когда права доступа настроены избыточно широко, что создаёт предпосылки для злоупотреблений. Компьютерно-сетевая экспертиза позволяет установить, соответствовал ли фактический доступ сотрудника к документам его должностным обязанностям, и выявить случаи, когда сотрудник обращался к документам, не входящим в круг его компетенции. Такие обращения, особенно носящие систематический характер и совершаемые в нерабочее время, могут служить индикатором подготовки к неправомерному завладению информацией.

Союз «Федерация судебных экспертов» располагает специалистами, имеющими практический опыт исследования систем электронного документооборота на различных платформах, включая решения на базе Microsoft SharePoint, SAP, Directum, DocsVision и иных распространённых продуктов. Приглашаем организации, заинтересованные в установлении обстоятельств неправомерного доступа к их системам документооборота, воспользоваться услугами Союза «Федерация судебных экспертов» для получения экспертного заключения, отвечающего требованиям полноты, объективности и процессуальной допустимости.

Кейс 3. Неправомерное изменение статуса договоров в системе электронного документооборота с целью создания условий для хищения

В практике Союза «Федерация судебных экспертов» имел место случай, когда из системы электронного документооборота организации были неправомерно изменены статусы нескольких договоров с «действительный» на «расторгнутый», что создало условия для повторного перечисления денежных средств по уже исполненным обязательствам. Служба внутреннего контроля обнаружила несоответствие между фактическим исполнением договоров и их отражением в системе, после чего было инициировано разбирательство.

Экспертам Союза были представлены сервер системы электронного документооборота, резервные копии базы данных за период, охватывающий предполагаемые манипуляции, а также рабочие станции сотрудников, имевших административные права в системе. Задача состояла в установлении того, кем, когда и с какого рабочего места были изменены статусы договоров, а также в выявлении признаков, указывающих на умышленный характер этих изменений.

Анализ журналов системы документооборота показал, что изменения были внесены с учётной записи системного администратора Смирнова. Однако временные метки изменений приходились на период, когда Смирнов находился в отпуске и, согласно данным системы контроля доступа, не посещал офис. Дальнейшее исследование рабочей станции Смирнова выявило, что в указанный период на ней был активирован сеанс удалённого доступа, инициированный с IP-адреса, не принадлежащего корпоративной сети. Сопоставление с журналами VPN-сервера показало, что подключение осуществлялось с использованием учётных данных Смирнова, но с устройства, которое ранее в корпоративной сети не регистрировалось.

Изучение резервных копий базы данных позволило восстановить предыдущие версии записей о статусах договоров и сравнить их с текущими. Было установлено, что изменения вносились последовательно в течение двух дней, причём каждый раз выбирались договоры, срок исполнения по которым истекал или был близок к истечению. Такая избирательность указывала на то, что лицо, вносившее изменения, располагало информацией о состоянии договорной работы и осознанно выбирало объекты воздействия. Кроме того, в журнале системы были обнаружены следы попытки удаления записей об изменениях, что дополнительно подтверждало умышленный характер действий.

Эксперты Союза «Федерация судебных экспертов» пришли к выводу, что изменения статусов договоров были произведены с использованием учётной записи Смирнова, однако сами действия совершались не им и не с его рабочего места. Заключение экспертизы позволило работодателю инициировать служебную проверку в отношении круга лиц, имевших техническую возможность осуществить удалённое подключение с использованием учётных данных администратора, и впоследствии передать материалы в правоохранительные органы. Компьютерно-сетевая экспертиза в данном деле сыграла ключевую роль, поскольку позволила отделить действия штатного администратора от действий постороннего лица, использовавшего его учётные данные.

Раздел 5. Исследование баз данных как объектов компьютерно-сетевой экспертизы при расследовании хищений информации и денежных средств

Корпоративные базы данных представляют собой централизованные хранилища структурированной информации, неправомерный доступ к которым способен привести к утечке сведений о клиентах, контрагентах, финансовых операциях и иных критически важных аспектах деятельности организации. Компьютерно-сетевая экспертиза баз данных направлена на установление фактов несанкционированного подключения, выполнения запросов, выгрузки данных и модификации содержимого.

С технической точки зрения базы данных оставляют следы двух основных категорий. Первая категория связана с сетевым доступом к серверу базы данных и фиксируется в журналах системы управления базами данных, а также в журналах операционной системы и сетевого оборудования. Эти следы позволяют установить IP-адреса и учётные записи, с которых осуществлялись подключения, время подключений, продолжительность сессий и характер выполненных операций. Вторая категория следов относится к внутренней структуре базы данных и включает журналы транзакций, снимки состояния, историю выполнения запросов и служебные таблицы, хранящие метаданные объектов. Анализ этих следов позволяет установить, какие именно данные были запрошены, изменены или удалены.

Особенностью баз данных как объектов экспертного исследования является то, что многие системы управления базами данных по умолчанию не ведут полного журналирования всех операций, а включение подробного аудита требует дополнительной настройки и сопряжено с замедлением работы системы. В результате эксперт может столкнуться с ситуацией, когда журналы содержат лишь часть необходимой информации, а остальная должна быть восстановлена по косвенным признакам. К таким признакам относятся, например, изменения в служебных таблицах, отражающие факт выполнения операций, но не содержащие сведений о том, кем и с какого адреса они выполнялись. В подобных случаях на помощь приходит корреляция с журналами сетевого оборудования и операционной системы, которые могут зафиксировать факт подключения к порту базы данных и IP-адрес источника.

Задачи компьютерно-сетевой экспертизы применительно к базам данных включают установление факта несанкционированного подключения к серверу базы данных, идентификацию учётной записи и сетевого адреса источника подключения, определение перечня таблиц и записей, к которым осуществлялся доступ, установление факта выгрузки данных и оценку её объёма, выявление фактов модификации или удаления записей и определение характера этих изменений. В случаях, когда неправомерный доступ к базе данных использовался для подготовки или совершения хищения денежных средств, экспертиза должна установить связь между действиями в базе данных и последующими финансовыми операциями. Например, если злоумышленник получил из базы данных сведения о реквизитах контрагентов, а затем инициировал платёж на подконтрольный счёт, экспертиза должна документально подтвердить, что эти реквизиты стали известны злоумышленнику именно в результате доступа к базе данных, а не из иных источников.

Союз «Федерация судебных экспертов» обеспечивает производство компьютерно-сетевой экспертизы баз данных на платформах Microsoft SQL Server, Oracle, PostgreSQL, MySQL и иных распространённых системах управления базами данных. Эксперты Союза владеют методиками восстановления удалённых записей, анализа журналов транзакций и корреляции разнородных источников сетевой информации. Приглашаем организации, столкнувшиеся с инцидентами неправомерного доступа к базам данных, обратиться в Союз «Федерация судебных экспертов» для получения заключения, которое позволит установить полную картину произошедшего и обеспечить защиту нарушенных прав.

Кейс 4. Хищение клиентской базы данных через несанкционированное подключение к серверу SQL

В Союз «Федерация судебных экспертов» обратилась страховая компания, обнаружившая, что сведения о клиентах и заключённых договорах страхования оказались в распоряжении конкурирующей организации. Расследование, проведённое службой безопасности, не дало однозначных результатов, и руководство компании приняло решение о назначении компьютерно-сетевой экспертизы. Перед экспертами были поставлены вопросы о том, имел ли место несанкционированный доступ к базе данных, если да, то когда и с какого IP-адреса он осуществлялся, и какие данные могли быть выгружены.

Объектами исследования выступили сервер базы данных Microsoft SQL Server, журналы транзакций, журналы операционной системы Windows Server, журналы межсетевого экрана и коммутатора, а также резервные копии базы данных за период, охватывающий несколько месяцев. Эксперты Союза провели клонирование серверного диска и проанализировали журналы с использованием специализированного программного обеспечения для криминалистического анализа баз данных.

Анализ журнала транзакций SQL Server показал, что в ночь с 22 на 23 апреля с учётной записи приложения, используемой для формирования отчётов, был выполнен ряд запросов на выборку данных из таблиц, содержащих сведения о клиентах и договорах. Общий объём выбранных записей превысил 120 тысяч строк, что значительно превышало типичный объём выборок, выполняемых штатными отчётами. Журнал межсетевого экрана зафиксировал подключение к порту базы данных с IP-адреса, расположенного в зарубежном хостинговом провайдере, в те же временные интервалы. Штатные сотрудники компании в указанное время к базе данных не подключались, что подтверждается журналами их рабочих станций.

Дальнейшее исследование показало, что учётная запись приложения, использованная для выполнения запросов, имела избыточные права доступа к базе данных, включая возможность чтения всех таблиц схемы, содержащей клиентские данные. Пароль от учётной записи хранился в конфигурационном файле на одном из серверов приложений в открытом виде, что делало возможным его получение злоумышленником в случае компрометации этого сервера. Анализ журналов сервера приложений выявил признаки эксплуатации уязвимости веб-приложения, размещённого на том же сервере, что и конфигурационный файл, за несколько дней до инцидента. Совокупность этих данных позволила экспертам восстановить вероятную цепочку событий: злоумышленник получил доступ к серверу приложений через уязвимость веб-приложения, извлёк учётные данные для подключения к базе данных и использовал их для выгрузки клиентской информации в ночное время, когда активность систем мониторинга была минимальной.

Заключение экспертов Союза «Федерация судебных экспертов» установило факт несанкционированного подключения к серверу базы данных и выгрузки значительного объёма клиентских сведений. Материалы экспертизы были переданы в правоохранительные органы и использованы для установления лиц, причастных к неправомерному завладению информацией. Страховая компания по итогам разбирательства пересмотрела политику хранения учётных данных и ужесточила требования к разграничению прав доступа, а также выразила признательность экспертам Союза за детальное и объективное исследование, позволившее установить истинные обстоятельства утечки.

Раздел 6. Установление связи между неправомерным сетевым доступом и хищением денежных средств

Хищение денежных средств с использованием методов неправомерного сетевого доступа представляет собой категорию правонарушений, в которых компьютерно-сетевая экспертиза играет роль ключевого инструмента доказывания. В отличие от традиционных хищений, где основными доказательствами выступают документы и свидетельские показания, в рассматриваемой категории дел решающее значение приобретают цифровые следы, распределённые по различным информационным системам: почтовым серверам, файловым хранилищам, системам документооборота, базам данных и системам дистанционного банковского обслуживания. Задача эксперта состоит в том, чтобы собрать эти разрозненные следы в единую непротиворечивую картину и установить причинно-следственную связь между несанкционированным доступом и фактом хищения.

Типовая схема хищения с использованием неправомерного сетевого доступа включает несколько этапов. На первом этапе злоумышленник осуществляет рекогносцировку, собирая информацию о структуре корпоративной сети, используемых информационных системах и сотрудниках, имеющих доступ к финансовым операциям. На втором этапе происходит компрометация учётных данных или эксплуатация уязвимости, обеспечивающая первоначальный доступ к одному из элементов инфраструктуры. На третьем этапе злоумышленник расширяет зону присутствия, получая доступ к почте, документам или базам данных, содержащим сведения, необходимые для подготовки хищения. На четвёртом этапе осуществляется само хищение, которое может выражаться в формировании поддельного платёжного поручения, изменении банковских реквизитов в договоре или инициировании перевода средств через систему дистанционного банковского обслуживания. На завершающем этапе злоумышленник предпринимает действия по сокрытию следов, включая удаление журналов и очистку хранилищ.

Компьютерно-сетевая экспертиза должна обеспечить документальное подтверждение каждого из перечисленных этапов в той мере, в какой они оставили следы в исследованных объектах. Особую значимость приобретает установление временных и логических связей между событиями. Например, если экспертиза устанавливает, что доступ к почтовому ящику сотрудника финансового отдела был осуществлён с определённого IP-адреса в определённое время, а затем с того же или связанного IP-адреса было инициировано подключение к системе дистанционного банковского обслуживания, это является сильным аргументом в пользу того, что действия совершались одним лицом. Аналогично, если из базы данных контрагентов была выгружена информация о реквизитах, а затем в договор, хранящийся в системе документооборота, были внесены изменения, касающиеся именно этих реквизитов, эксперт может установить последовательность и взаимосвязь этих событий.

Сложность рассматриваемой категории дел обусловлена тем, что злоумышленники всё чаще используют многоуровневые схемы анонимизации, включая цепочки прокси-серверов, VPN-туннели и скомпрометированные промежуточные узлы. В таких условиях установление непосредственного источника подключения может оказаться невозможным, однако это не означает, что экспертиза не может дать значимых результатов. Даже при наличии анонимизации остаются следы, указывающие на характеристики использованного программного обеспечения, особенности поведения злоумышленника в системе, временные паттерны активности и иные признаки, совокупность которых позволяет с высокой степенью достоверности связать различные инциденты между собой и с конкретным кругом лиц.

Союз «Федерация судебных экспертов» обладает значительным опытом производства компьютерно-сетевой экспертизы по делам о хищениях, совершённых с использованием неправомерного сетевого доступа. Эксперты Союза владеют методиками корреляции событий из разнородных источников, анализа временных рядов и выявления скрытых связей между инцидентами. Приглашаем заинтересованных лиц, столкнувшихся с хищениями денежных средств через корпоративные информационные системы, обратиться в Союз «Федерация судебных экспертов» для получения экспертного заключения, которое позволит восстановить полную картину преступления и обеспечить неопровержимую доказательственную базу.

Кейс 5. Хищение денежных средств через компрометацию учётной записи сотрудника платёжного отдела

В производстве Союза «Федерация судебных экспертов» находилось дело о хищении денежных средств коммерческого банка. Злоумышленники получили доступ к учётной записи сотрудника платёжного отдела и инициировали несколько переводов на счета подставных лиц. Служба внутренней безопасности банка первоначально подозревала самого сотрудника в сговоре, однако результаты компьютерно-сетевой экспертизы позволили установить иную картину.

Объектами исследования выступили автоматизированное рабочее место сотрудника платёжного отдела, сервер системы дистанционного банковского обслуживания, журналы межсетевого экрана, VPN-сервера и системы контроля доступа в помещение платёжного отдела. Эксперты Союза проанализировали журналы аутентификации и операции, выполненные с использованием учётной записи подозреваемого сотрудника за период, охватывающий две недели до первого несанкционированного перевода.

Анализ показал, что за три дня до первого перевода с учётной записи сотрудника был осуществлён вход в систему дистанционного банковского обслуживания с IP-адреса, не принадлежащего банку. Вход был выполнен в 23:47, когда сотрудник, согласно данным системы контроля доступа, покинул здание банка ещё в 18:30. VPN-соединение, через которое осуществлялся доступ, было установлено с использованием сертификата, выданного на имя сотрудника, однако журналы VPN-сервера зафиксировали, что подключение инициировалось с устройства, отличного от корпоративного ноутбука сотрудника: идентификатор устройства и версия операционной системы не совпадали с учётными данными корпоративного парка.

Дальнейшее исследование рабочей станции сотрудника выявило наличие вредоносного программного обеспечения, замаскированного под обновление для офисного пакета. Вредоносная программа осуществляла перехват нажатий клавиш и периодическую отправку собранных данных на внешний сервер. Анализ сетевого трафика, сохранившегося в дампах, подтвердил факт передачи данных на IP-адрес, зарегистрированный за пределами Российской Федерации. Временные метки передачи данных коррелировали с моментами ввода сотрудником учётных данных при штатном входе в систему.

Сопоставление журналов VPN-сервера, системы дистанционного банковского обслуживания и данных о движении денежных средств показало, что все несанкционированные переводы были инициированы в сессиях, установленных с использованием скомпрометированных учётных данных, в нерабочее время и с устройств, не принадлежащих банку. Эксперты Союза «Федерация судебных экспертов» пришли к выводу, что сотрудник платёжного отдела не совершал действий по переводу денежных средств, а его учётные данные были получены злоумышленником в результате заражения рабочей станции вредоносным программным обеспечением. Заключение экспертизы позволило прекратить в отношении сотрудника служебную проверку и перенаправить усилия правоохранительных органов на установление лиц, осуществивших распространение вредоносного программного обеспечения и хищение денежных средств. Банк, выступавший заказчиком экспертизы, отметил, что только благодаря обращению в Союз «Федерация судебных экспертов» удалось избежать необоснованного обвинения невиновного сотрудника и сосредоточить расследование на действительных участниках преступления.

Раздел 7. Процессуальные и методические аспекты фиксации сетевых следов при расследовании инцидентов

Качество и доказательственная сила заключения компьютерно-сетевой экспертизы в решающей степени зависят от того, насколько корректно была организована фиксация сетевых следов на начальном этапе расследования. В отличие от многих других видов экспертиз, где объект поступает в распоряжение эксперта в относительно стабильном состоянии, компьютерные сети и информационные системы продолжают функционировать, генерируя новые журналы и перезаписывая старые. Промедление с фиксацией или неправильно выбранный порядок действий могут привести к безвозвратной утрате критически важных доказательств.

Первоочередной задачей при обнаружении инцидента неправомерного доступа является обеспечение сохранности источников сетевой информации. К таким источникам относятся журналы серверов, сетевого оборудования, систем обнаружения вторжений, а также дампы сетевого трафика, если они собирались. В идеальном случае должна быть произведена выгрузка всех релевантных журналов с фиксацией контрольных сумм и указанием точного времени выгрузки. Одновременно должен быть составлен перечень лиц, имеющих доступ к соответствующим системам, и зафиксированы их действия по отношению к журналам, чтобы исключить возможность последующей модификации или удаления записей.

Следующим этапом является фиксация состояния сетевых устройств и серверов. Если инцидент связан с несанкционированным подключением к серверу, необходимо зафиксировать текущие сетевые соединения, таблицы маршрутизации, конфигурации межсетевых экранов и активные сессии. Эти данные могут быть утрачены при перезагрузке или изменении конфигурации, поэтому их фиксация должна производиться незамедлительно. В случаях, когда есть основания полагать, что на сервере или рабочей станции присутствует вредоносное программное обеспечение, должна быть произведена выгрузка оперативной памяти и создан образ жёсткого диска. Работа с оригинальными носителями в дальнейшем должна быть исключена; все исследования производятся по копиям, а оригиналы сохраняются в неизменном виде для возможной повторной экспертизы .

Методически важным является вопрос о полноте исходных данных, представляемых эксперту. На практике нередки случаи, когда заказчик экспертизы передаёт лишь фрагментарные выгрузки журналов, ограничиваясь периодом, который, по его мнению, является релевантным. Такой подход создаёт риск того, что эксперт не сможет установить полную картину событий, поскольку начало атаки или её подготовительный этап могут находиться за пределами представленного временного окна. Союз «Федерация судебных экспертов» рекомендует при назначении компьютерно-сетевой экспертизы передавать экспертам максимально широкий массив журналов, охватывающий период не менее чем за месяц до предполагаемого инцидента, а при наличии технической возможности — и более длительный срок. Это позволяет выявить признаки предварительной разведки, попыток подбора учётных данных и иных подготовительных действий, которые сами по себе могут иметь доказательственное значение.

Отдельного рассмотрения заслуживает вопрос о взаимодействии эксперта с лицами, ответственными за администрирование информационных систем организации. Администраторы обладают детальным знанием архитектуры сети, используемых приложений и настроек журналирования, и их консультации могут существенно повысить эффективность экспертизы. Однако при этом необходимо обеспечить независимость эксперта и исключить какое-либо воздействие на его выводы. Оптимальной моделью является предоставление эксперту доступа к документации и возможность задавать уточняющие вопросы администраторам при условии, что все контакты фиксируются и не влияют на объективность исследования.

Союз «Федерация судебных экспертов» обеспечивает строгое соблюдение процессуальных требований на всех этапах производства экспертизы. Эксперты Союза имеют опыт работы с объектами, изъятыми в рамках уголовных, гражданских и арбитражных дел, и владеют методиками оформления результатов исследования, обеспечивающими их допустимость в качестве доказательств. Приглашаем заинтересованных лиц воспользоваться услугами Союза «Федерация судебных экспертов» для производства компьютерно-сетевой экспертизы, соответствующей самым высоким стандартам качества и процессуальной чистоты.

Кейс 6. Утрата журналов и её последствия для установления обстоятельств неправомерного доступа

В практике Союза «Федерация судебных экспертов» имел место показательный случай, когда несвоевременная фиксация сетевых следов привела к существенному сужению возможностей экспертного исследования. Организация, обнаружившая несанкционированный доступ к своему файловому серверу, обратилась к системному администратору с просьбой «разобраться в ситуации». Администратор, не имея криминалистической подготовки, предпринял действия, которые он счёл полезными: перезагрузил сервер, очистил временные файлы и удалил журналы, которые, по его мнению, содержали информацию об ошибках, не относящихся к делу. В результате к моменту обращения в Союз «Федерация судебных экспертов» значительная часть доказательственной информации была безвозвратно утрачена.

Экспертам Союза были представлены сервер с уже изменённым состоянием файловой системы, резервная копия, созданная за неделю до инцидента, и фрагментарные выгрузки журналов межсетевого экрана, сохранившиеся на отдельном устройстве. Задача, поставленная заказчиком, состояла в установлении факта несанкционированного доступа и, по возможности, источника подключения. Сложность заключалась в том, что журналы сервера, которые могли бы содержать сведения о подключениях и операциях с файлами, отсутствовали.

Эксперты Союза сосредоточили усилия на анализе сохранившихся источников. Сравнение резервной копии с текущим состоянием сервера позволило выявить файлы, которые были созданы, изменены или удалены в период между созданием копии и моментом обнаружения инцидента. Анализ журналов межсетевого экрана, хотя и фрагментарных, выявил несколько подключений к порту файловой службы с внешнего IP-адреса в ночное время. Сопоставление временных меток этих подключений с временными метками создания и модификации файлов, выявленных при сравнении с резервной копией, позволило с высокой степенью вероятности связать несанкционированные операции с конкретными сетевыми сессиями.

Несмотря на частичную утрату данных, экспертам Союза удалось сформулировать обоснованные выводы о факте несанкционированного доступа и о характере действий, совершённых злоумышленником. Однако эксперты особо отметили в заключении, что полная реконструкция событий и установление более широкого круга обстоятельств оказались невозможными исключительно вследствие утраты журналов сервера. Данный случай наглядно демонстрирует, что своевременное привлечение квалифицированных экспертов и правильная организация фиксации сетевых следов имеют критическое значение для успешного расследования. Союз «Федерация судебных экспертов» рекомендует организациям при обнаружении признаков неправомерного доступа незамедлительно обеспечивать сохранность всех журналов и иных источников сетевой информации, не предпринимая самостоятельных действий по «очистке» или «оптимизации» систем до прибытия эксперта.

Раздел 8. Особенности экспертного исследования инцидентов с программами удалённого администрирования и вредоносным программным обеспечением

Программы удалённого администрирования и вредоносное программное обеспечение образуют техническую основу значительной части атак, направленных на неправомерный доступ к корпоративным информационным ресурсам. Компьютерно-сетевая экспертиза в данной сфере направлена на установление факта использования таких программ, идентификацию их функциональных возможностей и следов, оставленных в сети и на исследованных устройствах.

Программы удалённого администрирования, изначально предназначенные для легитимного управления компьютерами и серверами, нередко используются злоумышленниками для получения несанкционированного доступа. К числу таких программ относятся как коммерческие продукты, так и свободно распространяемые решения, а также специализированные средства, разработанные для скрытного присутствия в системе. Следы использования программ удалённого администрирования могут быть обнаружены в реестре операционной системы, журналах событий, сетевых подключениях и файловой системе. Характерными признаками являются наличие служб и драйверов, не свойственных штатной конфигурации, открытые сетевые порты, не предусмотренные политикой безопасности, и записи в журналах брандмауэра о разрешённых входящих подключениях.

Вредоносное программное обеспечение оставляет более разнообразные и вместе с тем более сложные для интерпретации следы. Троянские программы, предназначенные для кражи учётных данных, могут маскироваться под легитимные процессы и не проявлять видимой активности до момента получения команды от управляющего сервера. Программы-шифровальщики, хотя и оставляют заметные следы в виде зашифрованных файлов и сообщений с требованиями выкупа, могут быть обнаружены лишь после того, как значительная часть данных уже подверглась необратимым изменениям. Средства удалённого управления, внедрённые в систему, могут обеспечивать злоумышленнику практически неограниченный контроль над устройством, включая возможность загрузки дополнительных модулей, выполнения команд и выгрузки данных.

Задачи компьютерно-сетевой экспертизы применительно к программам удалённого администрирования и вредоносному программному обеспечению включают установление факта присутствия таких программ в исследованной системе, определение их функциональных возможностей и периода активности, идентификацию сетевых адресов и доменных имён, с которыми взаимодействовала вредоносная программа, а также выявление следов передачи данных от инфицированной системы к внешним узлам. В случаях, когда вредоносная программа использовалась для получения доступа к почте, файлам или базам данных, экспертиза должна установить связь между её активностью и последующими несанкционированными действиями. Например, если вредоносная программа осуществляла перехват нажатий клавиш, эксперт должен определить, в какие моменты и какие именно данные могли быть перехвачены, и сопоставить эти моменты с временем входа в защищённые системы.

Отдельного внимания заслуживает проблема определения источника вредоносной программы и канала её распространения. В корпоративной среде наиболее распространёнными каналами являются электронная почта с вредоносными вложениями или ссылками, скомпрометированные веб-сайты, уязвимости в программном обеспечении, а также съёмные носители, подключённые к корпоративным компьютерам. Компьютерно-сетевая экспертиза может установить, каким именно путём вредоносная программа попала в систему, и тем самым определить круг лиц, которые могли быть причастны к её распространению. Например, если вредоносное вложение было доставлено в почтовый ящик сотрудника, а затем запущено на его рабочей станции, эксперт может проследить цепочку от получения письма до активации вредоносного кода и дальнейшего распространения в сети.

Союз «Федерация судебных экспертов» располагает современной лабораторной базой для анализа вредоносного программного обеспечения, включая изолированные среды для безопасного запуска образцов и инструменты статического и динамического анализа. Эксперты Союза имеют практический опыт исследования программ удалённого администрирования и вредоносных программ различных семейств. Приглашаем организации и частных лиц, столкнувшихся с инцидентами, связанными с использованием таких программ, обратиться в Союз «Федерация судебных экспертов» для получения квалифицированного заключения, которое позволит установить механизм атаки и определить её возможные последствия.

Кейс 7. Использование легитимной программы удалённого администрирования для скрытного доступа к бухгалтерской базе данных

В Союз «Федерация судебных экспертов» обратилась торговая организация, которая заподозрила, что к её бухгалтерской базе данных осуществляется несанкционированный доступ. Основанием для подозрений послужило то, что в базе периодически появлялись записи о платежах, которые главный бухгалтер не создавала, а также наблюдались кратковременные замедления в работе системы, совпадавшие по времени с периодами, когда офис был пуст.

Эксперты Союза начали исследование с анализа журналов сервера базы данных и сетевого оборудования. Журналы сервера фиксировали подключения с учётной записи главного бухгалтера в вечернее и ночное время, однако сама главный бухгалтер утверждала, что в эти часы не работала. Анализ журналов межсетевого экрана показал, что подключения к серверу базы данных осуществлялись с IP-адреса, принадлежащего рабочей станции одного из сотрудников отдела продаж, который в указанные периоды также отсутствовал на рабочем месте.

Исследование рабочей станции сотрудника отдела продаж выявило установленную программу удалённого администрирования TeamViewer, которая не входила в перечень разрешённого программного обеспечения. В журнале программы были обнаружены записи о входящих подключениях с внешних IP-адресов, временные метки которых совпадали с периодами подключений к базе данных. Анализ реестра операционной системы показал, что программа была настроена на автоматический запуск при старте системы и на приём входящих подключений без подтверждения со стороны пользователя. Кроме того, в настройках программы был указан пароль, который, по заключению экспертов, обладал низкой стойкостью и мог быть подобран методом перебора за ограниченное время.

Дальнейшее исследование показало, что с использованием программы удалённого администрирования злоумышленник получал контроль над рабочей станцией сотрудника отдела продаж, а через неё — доступ к корпоративной сети и серверу бухгалтерской базы данных. Учётные данные главного бухгалтера были получены, вероятно, путём перехвата нажатий клавиш или извлечения из кэша браузера, поскольку вредоносных программ на рабочей станции обнаружено не было. Эксперты Союза «Федерация судебных экспертов» установили, что несанкционированный доступ к бухгалтерской базе данных осуществлялся через рабочую станцию сотрудника отдела продаж с использованием программы удалённого администрирования, и что в результате этого доступа в базу были внесены записи о фиктивных платежах. Заключение экспертов позволило организации устранить уязвимость, удалить несанкционированное программное обеспечение и передать материалы в правоохранительные органы для установления лица, осуществлявшего подключения.

Раздел 9. Комплексная экспертиза распределённых инцидентов, затрагивающих несколько информационных систем

Современные корпоративные инфраструктуры характеризуются высокой степенью интеграции информационных систем, при которой почта, документооборот, базы данных и финансовые приложения обмениваются данными и используют общие механизмы аутентификации. В такой среде неправомерный доступ к одному элементу инфраструктуры часто влечёт за собой цепочку событий, затрагивающих несколько систем. Компьютерно-сетевая экспертиза распределённых инцидентов требует от эксперта способности анализировать разнородные источники информации и выстраивать единую хронологию событий, преодолевая различия в форматах журналирования и временных метках.

Проблема корреляции данных из различных источников заслуживает особого внимания. Разные системы могут использовать различные часовые пояса, иметь несинхронизированные часы или применять разные форматы представления времени. Ошибка в несколько минут при сопоставлении событий из почтового сервера и системы дистанционного банковского обслуживания может привести к неверным выводам о причинно-следственной связи. Эксперт должен проверить синхронизацию часов на исследованных устройствах и при необходимости внести соответствующие поправки. Кроме того, различные системы могут по-разному определять момент наступления события: например, почтовый сервер может фиксировать время получения сообщения, тогда как клиентское приложение — время его отображения пользователю. Понимание этих нюансов необходимо для корректной интерпретации временных меток.

Другой проблемой является неполнота журналов в распределённой среде. Нередко оказывается, что одна система ведёт подробное журналирование, а другая — минимальное или не ведёт вовсе. В таких случаях эксперт вынужден реконструировать недостающие звенья по косвенным признакам. Например, если система документооборота не фиксирует IP-адреса подключений, но фиксирует учётные записи, а VPN-сервер фиксирует IP-адреса и учётные записи, можно сопоставить данные из этих источников и установить, с какого адреса осуществлялся доступ к документам в определённые периоды. Подобные реконструкции требуют не только технических знаний, но и методической дисциплины, обеспечивающей прозрачность и воспроизводимость выводов эксперта.

Задачи компьютерно-сетевой экспертизы распределённых инцидентов включают установление полной хронологии событий, выявление последовательности действий злоумышленника в различных системах, определение момента первоначального проникновения и путей распространения в инфраструктуре, а также оценку совокупного ущерба, включая объём скомпрометированных данных и размер похищенных денежных средств. В случаях, когда инцидент затрагивает системы, расположенные в разных юрисдикциях или управляемые разными организациями, экспертиза может потребовать взаимодействия с несколькими заказчиками и согласования объёма предоставляемых данных. Союз «Федерация судебных экспертов» обладает опытом организации таких комплексных исследований и обеспечивает координацию работ без ущерба для объективности и независимости экспертных выводов.

Союз «Федерация судебных экспертов» приглашает организации, столкнувшиеся со сложными распределёнными инцидентами, требующими анализа множества информационных систем, обратиться за квалифицированной экспертной поддержкой. Эксперты Союза владеют методиками корреляции разнородных данных и имеют практический опыт восстановления полной картины событий даже в условиях неполноты исходной информации.

Кейс 8. Сложный инцидент с последовательной компрометацией почты, документооборота и банковской системы

В Союз «Федерация судебных экспертов» поступило обращение от крупной строительной компании, которая стала жертвой хищения денежных средств, совершённого с использованием многоэтапной схемы. Злоумышленники получили доступ к корпоративной почте сотрудника, отвечавшего за взаимодействие с подрядчиками, затем использовали полученную информацию для проникновения в систему электронного документооборота и внесения изменений в договор, а в конечном итоге инициировали платёж на подконтрольный счёт через систему дистанционного банковского обслуживания. Задача, поставленная перед экспертами, состояла в восстановлении полной хронологии событий и установлении связи между инцидентами в различных системах.

Эксперты Союза исследовали почтовый сервер, сервер системы электронного документооборота, сервер базы данных контрагентов, рабочие станции вовлечённых сотрудников, журналы VPN-сервера, межсетевого экрана и системы дистанционного банковского обслуживания. Общий объём проанализированных журналов превысил несколько миллионов записей, что потребовало применения специализированного программного обеспечения для корреляции и визуализации событий.

Анализ начался с установления точки первоначального проникновения. Журналы почтового сервера показали, что 12 мая в 03:14 была осуществлена успешная аутентификация в почтовый ящик сотрудника отдела закупок с IP-адреса, расположенного в Восточной Европе. Пользовательский агент соответствовал мобильному устройству, не зарегистрированному в корпоративной сети. В течение последующих двух дней с этого же IP-адреса было зафиксировано несколько подключений к почтовому ящику в ночное время. В ходе этих сессий злоумышленник, вероятно, ознакомился с перепиской, содержавшей вложения с проектами договоров и сведения о планируемых платежах.

15 мая в 22:37 в системе электронного документооборота с учётной записи сотрудника отдела закупок был открыт и отредактирован договор с подрядчиком. Сравнение с резервной копией показало, что в документ были внесены изменения в части банковских реквизитов получателя. Временная метка редактирования совпала с временем подключения к VPN-серверу с использованием учётных данных того же сотрудника. VPN-соединение было установлено с IP-адреса, который ранее фигурировал в журналах почтового сервера, что позволило связать действия в почте и документообороте с одним источником.

16 мая в 09:45 через систему дистанционного банковского обслуживания было сформировано платёжное поручение на основании договора с изменёнными реквизитами. Сопоставление журналов банковской системы с данными о сессиях VPN показало, что подписание поручения было выполнено в сессии, открытой с того же IP-адреса, который использовался для доступа к почте и документообороту. Хотя сотрудник, чья учётная запись использовалась, находился на рабочем месте в момент подписания, журналы его рабочей станции не зафиксировали действий по открытию и подписанию документа, что указывало на удалённое инициирование операции.

Эксперты Союза «Федерация судебных экспертов» восстановили полную цепочку событий: первоначальный доступ к почтовому ящику, сбор информации, проникновение в систему документооборота, модификация договора, инициирование платежа и вывод средств. Совокупность доказательств, представленных в заключении, позволила правоохранительным органам квалифицировать действия злоумышленников как единое продолжаемое преступление, а не как совокупность разрозненных инцидентов. Заказчик экспертизы отметил, что именно комплексный анализ всех систем, выполненный экспертами Союза, позволил преодолеть фрагментарность исходных данных и восстановить картину преступления в целом.

Раздел 10. Практические рекомендации по организации экспертного исследования инцидентов неправомерного доступа

Эффективность компьютерно-сетевой экспертизы при расследовании инцидентов неправомерного доступа в значительной степени определяется тем, насколько правильно организовано взаимодействие между заказчиком экспертизы, экспертом и лицами, отвечающими за эксплуатацию информационных систем. Настоящий раздел содержит практические рекомендации, сформулированные на основе опыта Союза «Федерация судебных экспертов» и адресованные организациям, столкнувшимся с необходимостью экспертного исследования инцидентов.

Первое и наиболее важное условие успешного исследования — незамедлительное обеспечение сохранности источников сетевой информации. При обнаружении признаков неправомерного доступа не следует предпринимать действий по перезагрузке серверов, очистке журналов, удалению подозрительных файлов или изменению паролей до тех пор, пока не будет произведена фиксация состояния систем. Даже такие, казалось бы, безобидные действия, как установка обновлений или подключение к системе с административными правами, могут привести к изменению журналов и утрате доказательственной информации. Союз «Федерация судебных экспертов» рекомендует иметь в организации заранее разработанный план реагирования на инциденты, включающий перечень лиц, ответственных за фиксацию состояния систем, и порядок их действий.

Второе условие — предоставление эксперту максимально полного объёма исходных данных. Как показывает практика, заказчики нередко ограничиваются выгрузкой журналов за период, который, по их мнению, непосредственно относится к инциденту. Между тем, подготовительные действия злоумышленника, включая сканирование сети, попытки подбора учётных данных и тестирование каналов доступа, могут осуществляться за дни и недели до основного инцидента. Поэтому целесообразно передавать эксперту журналы за возможно более длительный период, а также сведения о конфигурации систем, перечни пользователей и их прав доступа, схемы сетевой топологии. Чем полнее исходные данные, тем выше вероятность того, что эксперт сможет установить не только сам факт доступа, но и его механизм, источник и последствия.

Третье условие — обеспечение процессуальной чистоты исследования. Если экспертиза производится в рамках судебного разбирательства, необходимо соблюдение всех требований процессуального законодательства, включая надлежащее оформление назначения экспертизы, разъяснение эксперту его прав и обязанностей, предупреждение об ответственности за дачу заведомо ложного заключения. При изъятии электронных носителей и оборудования должны соблюдаться требования, обеспечивающие их сохранность и исключающие несанкционированное изменение. Союз «Федерация судебных экспертов» обеспечивает строгое соблюдение процессуальных требований на всех этапах работы и гарантирует, что заключение эксперта будет соответствовать самым высоким стандартам допустимости.

Четвёртое условие — привлечение квалифицированных экспертов, обладающих специализированными знаниями в области сетевых технологий и криминалистического анализа. Компьютерно-сетевая экспертиза существенно отличается от аппаратно-компьютерной и программно-компьютерной экспертизы по объектам, методам и задачам. Эксперт, специализирующийся на анализе жёстких дисков, может не обладать достаточными познаниями в области сетевых протоколов и журналов сетевого оборудования. Союз «Федерация судебных экспертов» располагает экспертами, специализирующимися именно на компьютерно-сетевой экспертизе, что обеспечивает глубину и точность исследования, недостижимую для специалистов общего профиля.

Пятое условие — своевременность обращения. Чем раньше эксперт приступает к исследованию, тем больше вероятность сохранения доказательственной информации и тем выше качество выводов. Союз «Федерация судебных экспертов» обеспечивает оперативное реагирование на запросы заказчиков и готов приступить к исследованию в кратчайшие сроки после получения необходимых материалов.

Кейс 9. Успешное установление механизма инцидента благодаря своевременному обращению и полному предоставлению журналов

В практике Союза «Федерация судебных экспертов» имел место случай, который наглядно иллюстрирует ценность своевременного и полного предоставления исходных данных для экспертного исследования. Организация, занимающаяся оптовой торговлей, обнаружила, что из её базы данных контрагентов были похищены сведения о клиентах, включая контактные данные и историю заказов. Служба безопасности среагировала оперативно: доступ к серверу базы данных был немедленно ограничен, все журналы за последние три месяца выгружены на внешний носитель с фиксацией контрольных сумм, а серверное оборудование опечатано до прибытия экспертов. Через два дня после обнаружения инцидента организация обратилась в Союз «Федерация судебных экспертов».

Экспертам Союза были переданы выгрузки журналов SQL Server, журналов операционной системы Windows Server, журналов межсетевого экрана и коммутатора, а также полный образ серверного диска и резервные копии базы данных за шесть месяцев, предшествующих инциденту. Объём предоставленных данных существенно превышал минимально необходимый, однако именно это позволило экспертам выявить цепочку событий, которая при фрагментарном подходе осталась бы незамеченной.

Анализ журналов межсетевого экрана за длительный период выявил серию подключений к порту базы данных с внешнего IP-адреса, начавшуюся за восемнадцать дней до обнаружения утечки. Первоначально эти подключения были кратковременными и завершались неудачей аутентификации, что указывало на попытки подбора учётных данных. Затем, за девять дней до инцидента, было зафиксировано успешное подключение с использованием учётной записи, которая, как выяснилось, принадлежала уволенному сотруднику и не была своевременно заблокирована. В течение последующих дней с этой учётной записи выполнялись запросы на выборку данных из таблиц клиентов и заказов. Журнал транзакций SQL Server подтвердил факт выполнения этих запросов и позволил установить их примерный объём.

Сопоставление временных меток подключений с журналами коммутатора показало, что все подключения осуществлялись через один и тот же порт коммутатора, к которому был подключён резервный сервер, выведенный из эксплуатации, но не отключённый от сети. На этом сервере эксперты обнаружили следы установки программного обеспечения для удалённого доступа и инструментов для работы с базами данных. По-видимому, злоумышленник использовал забытый в сети сервер в качестве промежуточного узла для доступа к базе данных. Благодаря тому, что журналы были сохранены в полном объёме и своевременно переданы экспертам, удалось установить не только факт несанкционированного доступа, но и механизм его осуществления, включая точку входа в сеть и использованную учётную запись. Организация по итогам экспертизы устранила выявленные уязвимости и выразила признательность Союзу «Федерация судебных экспертов» за профессионализм и глубину исследования.

Кейс 10. Экспертиза инцидента с предположительно инсайдерским участием: разграничение внешнего и внутреннего воздействия

Завершающий кейс настоящей монографии иллюстрирует возможности компьютерно-сетевой экспертизы при исследовании инцидентов, в которых первоначально подозревалось участие сотрудника организации. В Союз «Федерация судебных экспертов» обратилась финансовая организация, обнаружившая, что из её системы электронного документооборота были выгружены конфиденциальные документы, касающиеся готовящейся сделки. Подозрение пало на одного из сотрудников, имевшего доступ к соответствующим документам и незадолго до инцидента выражавшего недовольство условиями работы. Служба безопасности была склонна квалифицировать произошедшее как инсайдерский инцидент, однако руководство приняло решение о назначении независимой экспертизы.

Экспертам Союза были представлены сервер системы электронного документооборота с полными журналами, рабочая станция подозреваемого сотрудника, журналы VPN-сервера и межсетевого экрана, а также данные системы контроля доступа за период, охватывающий две недели до инцидента. Задача состояла в установлении того, имел ли место несанкционированный доступ к документам, и если да, то кем и с какого устройства он осуществлялся.

Анализ журналов системы документооборота показал, что выгрузка документов была произведена 18 июня в период с 19:05 до 19:22. В журнале были зафиксированы операции экспорта документов в формате PDF с учётной записи подозреваемого сотрудника. Сотрудник утверждал, что покинул офис в 18:00 и не возвращался. Данные системы контроля доступа подтвердили, что он прошёл через турникет на выход в 17:54 и впоследствии в здание не входил. Журналы его рабочей станции показали, что компьютер был заблокирован в 17:50 и remained в заблокированном состоянии до утра следующего дня. Таким образом, выгрузка не могла быть произведена с рабочей станции сотрудника в его присутствии.

Дальнейшее исследование VPN-сервера выявило, что 18 июня в 18:58 было установлено VPN-соединение с использованием учётных данных подозреваемого сотрудника. Соединение было инициировано с IP-адреса, принадлежащего общедоступной сети Wi-Fi в кафе, расположенном в нескольких километрах от офиса. Сотрудник в своих объяснениях указал, что в это время находился в спортзале, и предъявил данные фитнес-трекера, подтверждающие его местоположение. Эксперты сопоставили эти данные с журналами мобильного оператора и установили, что устройство, с которого было установлено VPN-соединение, не совпадает с мобильным телефоном сотрудника по модели и идентификатору.

Анализ журналов межсетевого экрана показал, что за несколько дней до инцидента имели место попытки подключения к VPN-серверу с того же IP-адреса, завершившиеся неудачей. Эти попытки осуществлялись в разное время суток и, вероятно, представляли собой подбор учётных данных. Совокупность исследованных данных позволила экспертам Союза «Федерация судебных экспертов» прийти к выводу, что выгрузка документов была произведена посторонним лицом, получившим учётные данные сотрудника, вероятно, в результате компрометации, а не самим сотрудником. Заключение экспертизы позволило снять подозрения с невиновного работника и перенаправить расследование на установление лиц, осуществивших неправомерный доступ. Данный кейс демонстрирует, что компьютерно-сетевая экспертиза способна не только подтверждать, но и опровергать версии, кажущиеся очевидными на первый взгляд, и что обращение в Союз «Федерация судебных экспертов» является залогом объективного и всестороннего исследования обстоятельств инцидента.

Заключительные положения

Компьютерно-сетевая экспертиза представляет собой динамично развивающийся вид судебной экспертной деятельности, значение которого в условиях цифровой экономики непрерывно возрастает. Инциденты, связанные с неправомерным проникновением в корпоративную почту, программы, файлы, системы электронного документооборота и базы данных, требуют применения специализированных знаний в области сетевых технологий и криминалистического анализа цифровых следов. Союз «Федерация судебных экспертов» обладает необходимыми компетенциями, опытом и ресурсами для производства компьютерно-сетевой экспертизы на уровне, отвечающем самым строгим требованиям современной экспертной практики.

Настоящая монография ставила целью систематизировать теоретические и методические основы компьютерно-сетевой экспертизы применительно к проблематике неправомерного доступа к корпоративным информационным ресурсам и проиллюстрировать их практическими примерами из экспертной деятельности Союза. Рассмотренные кейсы демонстрируют разнообразие сценариев неправомерного доступа и сложность задач, встающих перед экспертом. В одних случаях решающее значение приобретает анализ журналов почтового сервера, в других — корреляция событий из систем документооборота и банковских приложений, в третьих — исследование вредоносного программного обеспечения и программ удалённого администрирования. Общим для всех случаев является необходимость комплексного подхода, обеспечивающего восстановление полной картины произошедшего на основе разрозненных и зачастую неполных исходных данных.

Союз «Федерация судебных экспертов» приглашает к сотрудничеству организации и частных лиц, нуждающихся в производстве компьютерно-сетевой экспертизы по делам, связанным с неправомерным доступом к корпоративным информационным ресурсам. Эксперты Союза готовы предложить квалифицированную помощь на всех этапах — от консультирования по вопросам фиксации сетевых следов до производства экспертизы и представления интересов заказчика в судебных заседаниях. Обращение в Союз «Федерация судебных экспертов» гарантирует получение заключения, которое станет надёжной доказательственной базой для защиты нарушенных прав и привлечения виновных к ответственности.