Экспертиза инцидентов кибербезопасности

В условиях широкого использования цифровых технологий риски кибератак, утечек данных и иных инцидентов информационной безопасности приобретают всё большее значение для организаций, государственных структур и частных лиц. Экспертиза инцидентов кибербезопасности (Digital Forensics and Incident Response — DFIR) представляет собой комплексное исследование, направленное на выявление, анализ и документирование обстоятельств, связанных с киберинцидентами, несанкционированным доступом к информационным системам, вредоносным воздействием на цифровую инфраструктуру, утечками данных и иными событиями, затрагивающими информационную безопасность.

«Национальный научно-исследовательский институт» проводит DFIR-экспертизу с целью установления факта инцидента, определения его причин, механизма реализации, возможных последствий, а также выявления цифровых следов, имеющих значение для расследования и правовой оценки произошедшего. Такое исследование позволяет установить последовательность событий, оценить характер ущерба, определить уязвимые элементы инфраструктуры и подготовить обоснованные выводы по вопросам, требующим специальных знаний.

Экспертиза инцидентов кибербезопасности имеет практическое значение как при внутреннем расследовании и реагировании на инцидент, так и в рамках судебных, корпоративных, страховых и иных разбирательств, связанных с нарушением информационной безопасности.

В условиях роста количества и сложности киберугроз экспертное исследование становится важным инструментом для установления обстоятельств инцидента, оценки его последствий и подготовки доказательственной базы. Эксперты «Национального научно-исследовательского института» проводят исследования в ситуациях, когда требуется объективный анализ цифровых следов и профессиональная оценка технических обстоятельств произошедшего.

Для проведения комплексной и объективной экспертизы инцидентов кибербезопасности требуется сбор и анализ различных цифровых объектов и материалов, связанных с исследуемым событием. Объектами исследования могут выступать как сами носители цифровой информации, так и данные о сетевой активности, системных событиях и действиях пользователей. Полнота и своевременность предоставленных материалов напрямую влияют на глубину исследования, точность выводов и обоснованность экспертного заключения.

Для проведения полного и объективного исследования, как правило, необходимо предоставить следующие материалы:

• посекторные копии (образы) цифровых носителей, предположительно затронутых инцидентом, включая жёсткие диски, SSD-накопители и USB-носители. При наличии возможности такие данные следует сохранить в неизменном виде;
• дампы оперативной памяти затронутых систем, если они были получены после обнаружения инцидента;
• файлы журналов событий с серверов, рабочих станций, сетевого оборудования, прокси-серверов и средств защиты информации, включая антивирусные системы, WAF, SIEM, EDR и иные используемые решения;
• копии виртуальных машин и их снимков состояния (снапшотов), если они имеют отношение к исследуемому инциденту;
• перечень IP-адресов, доменных имён, сетевых диапазонов и иных идентификаторов, связанных с исследуемыми событиями;
• конфигурационные файлы операционных систем, прикладного программного обеспечения и сетевого оборудования;
• копии электронных писем, архивов переписки, сообщений мессенджеров и иных материалов цифровой коммуникации, имеющих отношение к инциденту;
• файлы перехвата сетевого трафика (например, PCAP-файлы) за период, связанный с инцидентом;
• сведения о пользователях, их правах доступа и данные из систем управления учётными записями и идентификацией;
• временные метки и хронология событий, подготовленные внутренними специалистами организации либо лицами, обнаружившими инцидент;
• постановление следователя или определение суда, если экспертиза проводится в процессуальном порядке;
• техническое задание, описание инцидента, перечень вопросов к эксперту и иные материалы, содержащие сведения о предполагаемых обстоятельствах произошедшего, если проводится внесудебное исследование;
• сведения о мерах, которые были предприняты для локализации, устранения последствий инцидента и сохранения цифровых данных до передачи материалов на исследование.

Корректно сформулированные вопросы имеют принципиальное значение для проведения экспертизы инцидентов кибербезопасности. Именно они определяют предмет и пределы исследования, позволяют сосредоточить внимание на юридически и технически значимых обстоятельствах, а также обеспечивают практическую значимость экспертного заключения. При подготовке материалов для экспертизы вопросы должны быть сформулированы ясно, конкретно и в пределах специальных знаний эксперта.

«Национальный научно-исследовательский институт» рекомендует ставить перед экспертом вопросы, направленные на установление обстоятельств инцидента, механизма его развития, характера причинённого ущерба и иных фактов, имеющих значение для разрешения спора или расследования.

Выбор экспертной организации — это ответственное решение, от которого могут зависеть исход дела и эффективность расследования. «Национальный научно-исследовательский институт» предлагает профессиональный подход к проведению экспертизы инцидентов кибербезопасности, основанный на специальных знаниях, объективности и тщательном анализе представленных материалов.

Проведение экспертизы инцидентов кибербезопасности представляет собой последовательный и регламентированный процесс, требующий специальных знаний, соблюдения методик цифровой криминалистики и надлежащего документирования всех действий. «Национальный научно-исследовательский институт» придерживается структурированного порядка проведения таких исследований, что позволяет обеспечить полноту анализа, обоснованность выводов и практическую значимость экспертного заключения.

Согласно Постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», экспертиза по уголовному делу может проводиться как государственным судебно-экспертным учреждением, так и некоммерческой организацией, созданной в соответствии с Гражданским кодексом Российской Федерации и Федеральным законом «О некоммерческих организациях», если судебно-экспертная деятельность предусмотрена её уставом.

Коммерческие организации, лаборатории, индивидуальные предприниматели, образовательные учреждения, а также некоммерческие организации, для которых экспертная деятельность не является уставной, не вправе проводить судебные экспертизы по уголовным делам. Заключение, подготовленное такими субъектами в рамках уголовного процесса, может быть признано недопустимым доказательством, то есть доказательством, полученным с нарушением требований процессуального закона.

Недопустимые доказательства не могут использоваться в процессе доказывания, в том числе исследоваться или оглашаться в судебном заседании, и подлежат исключению из материалов уголовного дела.

Поскольку «Национальный научно-исследовательский институт» является автономной некоммерческой организацией, а проведение судебных экспертиз относится к его основной уставной деятельности, институт вправе проводить экспертизы, в том числе по уголовным делам.