Экспертиза серверов и серверного оборудования

В современных условиях серверы и серверное оборудование являются критически важной основой информационной инфраструктуры организаций различного масштаба — от небольших компаний до крупных корпораций и государственных учреждений. От их стабильной и защищённой работы зависят непрерывность бизнес-процессов, сохранность данных и конфиденциальность информации. Экспертиза серверов и серверного оборудования представляет собой комплексное исследование аппаратной и программной составляющих указанных систем, направленное на установление их технического состояния, анализ содержащейся информации, а также выявление причин сбоев, несанкционированного доступа и иных инцидентов.

Основная цель данной экспертизы заключается в объективном установлении фактических обстоятельств, связанных с функционированием серверов и произошедшими инцидентами. Такое исследование необходимо для формирования доказательственной базы в судебных и досудебных спорах, расследования киберпреступлений, оценки ущерба, причинённого сбоями или атаками, а также для принятия обоснованных управленческих решений. Квалифицированно проведённая экспертиза позволяет разрешать конфликтные ситуации, защищать права и законные интересы сторон, а также восстанавливать фактическую картину произошедшего, предоставляя суду и иным заинтересованным лицам научно обоснованные и юридически значимые выводы.

Серверы и серверное оборудование представляют собой сложные технические системы, подверженные широкому спектру рисков — от аппаратных и программных сбоев до целенаправленных кибератак. В подобных ситуациях нередко требуется профессиональное экспертное исследование для установления причин и последствий инцидентов, а также для защиты прав и законных интересов заинтересованных лиц. Ниже приведены наиболее распространённые случаи, при которых обращение в «Национальный научно-исследовательский институт» является обоснованным:

• расследование кибератак, включая несанкционированный доступ к серверам, DDoS-атаки, внедрение вредоносного программного обеспечения, направленного на нарушение функционирования систем или хищение данных;
• утрата или повреждение критически важных данных вследствие сбоев жёстких дисков, ошибок операционных систем, случайного либо преднамеренного удаления информации, когда требуется установить причины произошедшего и возможность восстановления данных;
• наличие оснований полагать, что имели место неправомерный доступ к серверным ресурсам либо их использование посторонними лицами или недобросовестными сотрудниками;
• споры между заказчиком и исполнителем, связанные с некачественной поставкой, настройкой или техническим обслуживанием серверного оборудования и программного обеспечения;
• расследование утечек конфиденциальной информации, коммерческой тайны или персональных данных в целях установления источника утечки и объёма скомпрометированной информации;
• установление авторства либо времени создания или изменения файлов и документов, размещённых на сервере, если это имеет значение для дел о мошенничестве, присвоении результатов интеллектуальной деятельности или иных правонарушениях;
• определение фактической производительности серверов, а также причин регулярных сбоев в случаях, когда заявленные характеристики или качество работы не соответствуют фактическим показателям;
• установление соблюдения лицензионных условий использования программного обеспечения, установленного на серверном оборудовании;
• выявление признаков промышленного шпионажа либо внутренних противоправных действий, осуществлённых с использованием серверной инфраструктуры;
• анализ лог-файлов и системных журналов в целях реконструкции последовательности событий, а также действий пользователей, администраторов или иных лиц;
• комплексная оценка состояния кибербезопасности серверной инфраструктуры после инцидента либо в рамках внутреннего или внешнего аудита.

Для проведения полноценной и объективной экспертизы серверов и серверного оборудования специалистам «Национального научно-исследовательского института» необходим доступ к определённым объектам исследования и соответствующим материалам. Качество и полнота представленной информации напрямую влияют на точность, обоснованность и доказательственную значимость экспертных выводов.

физические серверы

— аппаратные компоненты серверов (процессоры, оперативная память, жёсткие диски, сетевые карты и иные устройства), а также их конфигурацию;

виртуальные серверы и элементы виртуальной инфраструктуры

— образы виртуальных машин, файлы конфигурации гипервизоров, виртуальные диски и параметры сетевого взаимодействия;

облачные сервисы и облачную инфраструктуру

— сведения об учётных записях у облачных провайдеров, журналы активности, конфигурации облачных ресурсов при соблюдении установленных правовых процедур;

системы хранения данных (СХД)

— NAS, SAN, контроллеры, дисковые массивы и настройки доступа к ним;

сетевое оборудование

— маршрутизаторы, коммутаторы, межсетевые экраны, VPN-шлюзы, контроллеры домена, а также их конфигурации и журналы событий;

операционные системы

— системные файлы, журналы событий, реестр и иные компоненты, имеющие значение для исследования;

прикладное программное обеспечение

— базы данных, веб-серверы, почтовые серверы, CRM-, ERP- и файловые системы, а также содержащиеся в них данные;

средства резервного копирования

— устройства, носители и программное обеспечение, используемые для создания и хранения резервных копий.

исследуемые серверы и (или) носители информации

— жёсткие диски, SSD и иные носители в оригинальном виде либо их криминалистические образы. До начала исследования не рекомендуется включать, отключать или иным образом изменять состояние оборудования;

образы виртуальных машин или их компонентов

— при исследовании виртуальной инфраструктуры;

доступ к облачным ресурсам

— учётные данные и разрешения, необходимые для получения журналов событий и иных значимых данных, при наличии законных оснований;

документация на серверное оборудование

— технические паспорта, гарантийные документы, акты приёма-передачи, сведения о составе и комплектации;

лицензионные соглашения

— документы, подтверждающие правомерность использования операционных систем и прикладного программного обеспечения, установленного на сервере;

сетевая карта и схема топологии сети

— при наличии связи инцидента с сетевыми взаимодействиями;

учётные записи и права доступа

— административные учётные записи и пароли, если их предоставление допустимо, согласовано и необходимо для проведения исследования;

журналы событий (логи)

— журналы операционных систем, приложений, систем защиты информации, антивирусных средств и иных систем за интересующий период;

договоры

— документы на приобретение, установку и обслуживание серверного оборудования, а также на разработку или поставку программного обеспечения;

акты о сбоях и инцидентах

— внутренняя документация организации, относящаяся к исследуемому событию;

постановление следователя или определение суда

— если экспертиза проводится в рамках судебного или досудебного производства;

перечень вопросов, поставленных перед экспертом

— чётко сформулированные вопросы, на которые требуется дать мотивированные ответы.

Корректная и чёткая формулировка вопросов, поставленных перед экспертом, имеет принципиальное значение для получения достоверных и юридически значимых результатов экспертизы серверов и серверного оборудования. Лица, инициирующие проведение экспертизы, должны определить круг обстоятельств, подлежащих установлению, чтобы обеспечить возможность подготовки обоснованных экспертных выводов. Ниже приведён перечень типовых вопросов, которые могут быть поставлены перед специалистами «Национального научно-исследовательского института»:

1. Является ли представленный сервер работоспособным и соответствуют ли его технические характеристики заявленным производителем или поставщиком?
2. Какие операционные системы установлены на сервере, каковы их версии и даты установки?
3. Каково техническое состояние накопителей (жёстких дисков, SSD), имеются ли признаки физических повреждений, логических ошибок или иных дефектов?
4. Какие учётные записи пользователей и системных служб присутствуют на сервере, каковы их права доступа и активность за определённый период?
5. Производились ли несанкционированные изменения конфигурации сервера или его операционной системы? Если да, то когда и при участии каких учётных записей?
6. Имеются ли признаки воздействия вредоносного программного обеспечения (вирусов, троянских программ, программ-вымогателей и иных типов)? Если да, то каковы их характеристики и функциональные возможности?
7. Имели ли место факты несанкционированного доступа, компрометации данных или утечки конфиденциальной информации? Если да, то когда, каким способом и какие данные были затронуты?
8. Каковы характеристики сетевых соединений сервера (входящих и исходящих) за интересующий период времени?
9. Содержатся ли в журналах событий сведения, позволяющие установить действия конкретных пользователей либо иных лиц?
10. Какова последовательность событий, приведших к сбою в работе сервера или утрате данных?
11. Возможно ли восстановление удалённой информации? Если да, то в каком объёме и какого характера данные могут быть восстановлены?
12. Когда и каким образом были созданы, изменены или удалены определённые файлы или каталоги?
13. Соответствует ли используемое программное обеспечение условиям лицензионных соглашений?
14. Имеются ли признаки нарушения целостности данных, хранящихся на сервере? Если да, то когда и каким образом это произошло?
15. Каковы показатели загрузки процессора, оперативной памяти и дисковой подсистемы сервера в заданные периоды времени?
16. Имеются ли на сервере средства скрытого или несанкционированного удалённого доступа (в том числе так называемые «бэкдоры»)?
17. Использовалось ли серверное оборудование для размещения противоправного контента (например, фишинговых ресурсов или вредоносного программного обеспечения)?
18. Каково содержание и конфигурация программных компонентов, таких как веб-серверы (например, Apache, Nginx) или системы управления базами данных (например, MySQL, PostgreSQL)?
19. Осуществлялось ли резервное копирование данных? Если да, то с какой периодичностью и на какие носители?
20. Какова функциональная роль данного сервера (например, контроллер домена, веб-сервер, файловый сервер) в информационной инфраструктуре организации?

При проведении экспертизы в такой сложной и критически значимой области, как серверы и серверное оборудование, выбор экспертной организации имеет принципиальное значение. «Национальный научно-исследовательский институт» осуществляет экспертную деятельность на основе профессионального подхода, объективности и соблюдения требований законодательства. Это позволяет обеспечивать высокий уровень качества исследований и надлежащую доказательственную значимость экспертных заключений.

Проведение экспертизы серверов и серверного оборудования представляет собой многоэтапный процесс, требующий последовательного выполнения установленных процедур, соблюдения методических требований и обеспечения сохранности цифровых доказательств. В «Национальном научно-исследовательском институте» данный процесс организован с учётом требований законодательства и практики судебно-экспертной деятельности.

Согласно Постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», экспертиза по уголовному делу может проводиться как государственным судебно-экспертным учреждением, так и некоммерческой организацией, созданной в соответствии с Гражданским кодексом Российской Федерации и Федеральным законом «О некоммерческих организациях», если судебно-экспертная деятельность предусмотрена её уставом.

Коммерческие организации, лаборатории, индивидуальные предприниматели и образовательные учреждения не вправе проводить экспертизу по уголовному делу. Это ограничение также распространяется на некоммерческие организации, для которых судебно-экспертная деятельность не является уставной. Заключение, подготовленное такими организациями в рамках уголовного судопроизводства, может быть признано недопустимым доказательством, то есть доказательством, полученным с нарушением требований процессуального закона.

Недопустимые доказательства не могут использоваться в процессе доказывания, в том числе исследоваться или оглашаться в судебном заседании, и подлежат исключению из материалов уголовного дела.

Поскольку «Национальный научно-исследовательский институт» является некоммерческой организацией, а проведение судебных экспертиз отнесено к числу его основных уставных видов деятельности, институт вправе осуществлять судебно-экспертную деятельность, в том числе по уголовным делам.