Компьютерная экспертиза при взломе систем и почты

Несанкционированное проникновение в программное обеспечение, серверы, электронную почту и иные информационные системы может затронуть как частных лиц, так и организации. В таких ситуациях важно не только прекратить доступ посторонних лиц, но и сохранить цифровые следы, которые позволяют восстановить ход событий.

Что изучает компьютерная экспертиза

Компьютерная экспертиза представляет собой исследование цифровой информации, устройств и программных систем для установления обстоятельств, имеющих значение для дела. Специалист анализирует данные на компьютерах, серверах, мобильных устройствах, сетевом оборудовании и электронных носителях.

Исследование может проводиться по материалам уголовного, гражданского или административного производства, а также до обращения в суд для предварительной оценки цифровых данных. При этом эксперт отвечает на специальные технические вопросы и не подменяет суд или орган расследования в оценке правовой квалификации событий.

Какие обстоятельства можно установить

В зависимости от ситуации исследование помогает выяснить:

• имел ли место доступ к информационной системе без разрешения владельца;
• каким способом осуществлялось подключение к устройству или учетной записи;
• какие файлы, сообщения и другие сведения просматривались, копировались, удалялись или изменялись;
• когда происходили значимые действия в системе;
• какие учетные записи, IP-адреса, устройства или сетевые соединения могли быть связаны с инцидентом;
• можно ли восстановить удаленную или поврежденную информацию;
• имеются ли признаки использования вредоносных программ, уязвимостей или обхода средств защиты.

Сам по себе IP-адрес не всегда позволяет достоверно установить конкретного человека. Он может относиться к общедоступной сети, прокси-серверу, корпоративной инфраструктуре или скомпрометированному устройству. Поэтому выводы обычно формируются на основе совокупности данных.

Какие цифровые следы исследуются

При анализе инцидента специалист может изучать журналы событий, системные записи, историю входов, метаданные файлов, почтовые заголовки, сведения о подключениях, резервные копии и данные средств информационной безопасности.

Важное значение имеет сохранность исходных носителей. Если файлы неоднократно открывать, перемещать или пытаться самостоятельно восстановить, часть технической информации может измениться или исчезнуть. Поэтому до начала исследования желательно ограничить использование устройства и зафиксировать обстоятельства его обнаружения.

Основные этапы исследования

1. Определение вопросов. Формулируются обстоятельства, которые необходимо установить, и перечень предоставляемых объектов.
2. Получение и фиксация данных. Создаются копии носителей и журналов, фиксируются их свойства и порядок получения.
3. Технический анализ. Исследуются файлы, журналы событий, программное обеспечение, сетевые соединения и иные цифровые следы.
4. Проверка версий событий. Сопоставляются временные отметки, действия пользователей, данные серверов и сведения от других источников.
5. Подготовка заключения. В документе описываются примененные методы, исследованные объекты, выявленные факты и ответы на поставленные вопросы.

Для обеспечения достоверности результатов применяются процедуры, позволяющие подтвердить неизменность исследуемых данных. В экспертной практике это может включать расчет контрольных значений, описание оборудования и программных инструментов, а также фиксацию всех операций с цифровыми объектами.

Экспертиза в правовой системе

В Республике Казахстан порядок назначения и проведения экспертиз регулируется Законом Республики Казахстан «О судебно-экспертной деятельности». Процессуальные вопросы назначения исследования и использования его результатов определяются соответствующим видом производства.

В уголовном процессе применяются положения Уголовно-процессуального кодекса Республики Казахстан. Заключение эксперта является одним из источников доказательственной информации и подлежит оценке вместе с другими материалами дела. Оно не имеет заранее установленной силы и не освобождает орган расследования или суд от обязанности исследовать все обстоятельства.

Правовая оценка неправомерного доступа и иных действий с информацией может осуществляться с учетом положений Уголовного кодекса Республики Казахстан. В зависимости от фактических обстоятельств значение могут иметь нормы о неправомерном доступе к информации, ее уничтожении, изменении, блокировании или незаконном завладении ею.

Если инцидент связан с обработкой сведений о физических лицах, дополнительно учитываются требования Закона Республики Казахстан «О персональных данных и их защите». Для организаций также важны правила обеспечения информационной безопасности и защиты объектов информатизации, закрепленные в законодательстве об информатизации.

Как правильно подготовить материалы

До передачи техники или цифровых данных на исследование рекомендуется:

• сохранить уведомления о подозрительных входах, письма, сообщения и скриншоты;
• зафиксировать дату и время обнаружения инцидента;
• не удалять журналы событий и подозрительные файлы;
• не переустанавливать операционную систему без необходимости;
• сохранить сведения о подключенных устройствах и изменении паролей;
• описать, кто имел доступ к компьютеру, серверу или учетной записи;
• отдельно сохранить резервные копии и исходные файлы.

При исследовании электронной почты важно по возможности передать не только изображения переписки, но и исходные сообщения с техническими заголовками. Они могут содержать сведения о маршруте доставки, времени отправки, почтовых серверах и используемых протоколах.

Что должно содержаться в заключении

Полноценное заключение обычно включает сведения об эксперте, основаниях проведения исследования, поставленных вопросах, переданных объектах, примененных методах и полученных результатах. Отдельно описываются ограничения, которые могли повлиять на полноту выводов.

Формулировки выводов должны быть понятными и проверяемыми. Например, эксперт может указать, что на носителе обнаружены признаки запуска определенного файла в конкретный период или что учетная запись использовалась с определенного устройства. Вывод о виновности лица относится к компетенции суда и не может подменяться техническим заключением.

Почему важна оперативность

Цифровая информация может автоматически перезаписываться, удаляться в рамках настроек хранения или изменяться при обычной работе системы. Чем раньше будут зафиксированы исходные данные, тем выше вероятность сохранить сведения о действиях пользователя, сетевых соединениях и последовательности событий.

Компьютерная экспертиза позволяет перевести технические данные в понятную доказательственную форму. Ее результативность зависит от корректной постановки вопросов, сохранности исходных объектов и соблюдения порядка получения информации.