Что такое компьютерно-сетевая экспертиза
Компьютерно-сетевая экспертиза — подвид судебной компьютерно-технической экспертизы (СКТЭ), предметом которого являются компьютерные сети, сетевое оборудование и следы сетевого взаимодействия. В отличие от исследования программного обеспечения (объект — код) и аудита информационной безопасности (объект — организация защиты), сетевая экспертиза отвечает на вопрос «что и как происходило в сети»: кто получал доступ к ресурсу, каким способом, откуда исходила атака, какие данные передавались.
Правовая основа. Деяния, которые становятся поводом для сетевой экспертизы, квалифицируются по главе 28 УК РФ: ст. 272 (неправомерный доступ к компьютерной информации), ст. 273 (вредоносное ПО), ст. 274 (нарушение правил эксплуатации), ст. 274.1 (воздействие на критическую информационную инфраструктуру). Эксперт устанавливает технические факты (был ли доступ, каким способом, с какого адреса), а правовую квалификацию даёт суд. Судебный эксперт предупреждается по ст. 307 УК РФ. Заключение не имеет заранее установленной силы и оценивается наравне с другими доказательствами (ч. 5 ст. 71 АПК РФ).
Когда назначают сетевую экспертизу
Взлом и неправомерный доступ
Зафиксирован вход в корпоративную систему, почту, CRM или личный кабинет с чужого устройства — нужно установить факт, время и способ доступа.
Сетевые атаки, включая DDoS
Сайт или сервис выведен из строя; требуется определить характер атаки, её интенсивность, задействованные адреса и последствия.
Утечка данных через сеть
Информация покинула периметр организации — нужно установить канал (протокол, направление, объём) и восстановить последовательность передачи.
Компрометация сетевого оборудования
Изменены конфигурации маршрутизатора, коммутатора или межсетевого экрана, появились несанкционированные правила проброса портов или VPN-туннели.
Внутренний инцидент, трудовой спор
Подозрение, что сотрудник копировал или пересылал данные по сети; оспаривается факт удалённого подключения через прокси/VPN.
Опишите ситуацию — бесплатно оценим, какие материалы понадобятся, и назовём стоимость.
Что исследует эксперт
- сетевой трафик — дампы пакетов (PCAP), потоковые данные NetFlow: направления, протоколы, объёмы, аномалии
- журналы и логи — серверов, веб-серверов (access/error), аутентификации, СЗИ, IDS/IPS, прокси, VPN, DHCP, DNS
- сетевое оборудование — маршрутизаторы, коммутаторы, firewall: память, таблицы соединений, история команд
- конфигурации — правила firewall, NAT, проброс портов, ACL, настройки VPN, сегментация
- артефакты соединений — VPN/прокси-туннели, средства сокрытия активности, следы удалённого доступа (RDP, SSH)
- хронология инцидента — сопоставление событий из разных источников в единую временную шкалу
Вопросы, которые ставят перед экспертом
- Имеются ли признаки неправомерного (несанкционированного) доступа? Когда и каким способом он осуществлён?
- С каких IP-адресов осуществлялись соединения с ресурсом в указанный период?
- Имеются ли признаки атаки, в т.ч. распределённой типа «отказ в обслуживании» (DDoS)? Каковы её характер и интенсивность?
- Использовались ли средства сокрытия активности (VPN, прокси, анонимайзеры)? Возможно ли установить исходный источник?
- Имеются ли признаки передачи данных за пределы сети? Какие данные, по какому протоколу, в каком объёме?
- Каковы конфигурация и настройки сетевого оборудования? Вносились ли изменения и когда?
- Имеются ли правила, обеспечивающие несанкционированный удалённый доступ (проброс портов, туннели, скрытые учётные записи)?
- Возможно ли восстановить хронологию событий сетевого инцидента?
- Имеются ли признаки изменения, удаления или очистки журналов с целью сокрытия активности?
- Какие технические следы указывают на устройство, с которого осуществлялось соединение?
Что нужно предоставить для исследования
- носители исследуемых серверов и рабочих станций либо их криминалистические образы
- файлы сетевого трафика (PCAP), данные NetFlow
- журналы: системные, веб-серверов, аутентификации, СЗИ, IDS/IPS, VPN, прокси, DNS, DHCP
- сетевое оборудование либо выгрузку его конфигураций
- схему сети, адресацию, сведения о синхронизации времени (NTP)
- определение суда или договор и ТЗ; описание инцидента
Методы и инструменты исследования
- Анализ сетевого трафика — разбор дампов, выделение соединений, реконструкция сессий.
- Корреляция журналов — сопоставление событий по единой временной шкале.
- Исследование конфигураций — анализ правил firewall, NAT, ACL, VPN на несанкционированные изменения.
- Эксперимент в модельной среде — воспроизведение взаимодействия на изолированной модели сети для проверки версий.
- Криминалистическое копирование носителей с хэш-контролем целостности.
Стоимость и сроки
Стоимость компьютерно-сетевой экспертизы — от 50 000 ₽. Цена зависит от объёма данных (носители, размер трафика, число журналов), количества вопросов и срочности. Точную стоимость и срок называем после предварительной оценки — бесплатно.
Поможем определить перечень вопросов эксперту и подготовить исследование для суда.
Краснодар, ул. Петра Метальникова, 42. Работаем и с заказчиками из других регионов по переданным носителям.
Частые вопросы
Чем сетевая экспертиза отличается от экспертизы ПО?
Экспертиза ПО исследует программный код, логику и работоспособность приложения. Сетевая исследует, что происходило в сети: соединения, трафик, доступ, работу оборудования. Это разные объекты и вопросы.
Чем она отличается от аудита информационной безопасности?
Аудит ИБ оценивает, насколько правильно выстроена защита («как должно быть»). Сетевая экспертиза — установление технических фактов по конкретному инциденту для суда («что произошло»).
Можно ли по логам установить, кто именно совершил доступ?
Эксперт устанавливает технические следы: с какого адреса и устройства, каким способом, когда. Вывод о конкретном виновном лице делает суд или следствие по совокупности доказательств.
Что делать, если атака прошла, а сервер продолжает работать?
Желательно как можно раньше зафиксировать состояние систем и сохранить журналы, не затирая их эксплуатацией. Даже если часть данных перезаписана, эксперт работает с доступным и указывает пределы исследования.
Примут ли ваше заключение в суде?
Заключение оформляется по требованиям процессуального законодательства, эксперт предупреждается по ст. 307 УК РФ. При этом оно не имеет заранее установленной силы и оценивается наравне с другими доказательствами (ч. 5 ст. 71 АПК РФ).