Экспертиза использования сетевых технологий

Экспертиза использования сетевых технологий — исследование того, как в конкретной ситуации работала компьютерная сеть и что через нее происходило: кто и когда подключался к системам, какие данные передавались, был ли удаленный доступ, соответствовала ли сеть договору и проекту, по какой причине она отказала или оказалась уязвимой.

Сеть не хранит события так же надежно, как жесткий диск хранит файлы. Журналы подключений живут неделями, записи о соединениях у провайдера доступны только по запросу суда, динамический сетевой адрес сегодня принадлежит одному абоненту, а завтра другому. Поэтому в спорах, где все держится на сетевых следах, результат зависит от того, насколько быстро сторона позаботилась об их сохранении и насколько точно поставлены вопросы эксперту.

АНО «СЗЭПЦ» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям на территории Российской Федерации. АНО «СЗЭПЦ» — некоммерческое судебное экспертное учреждение, зарегистрировано Министерством юстиции Российской Федерации под учетным номером 7814053482. Заключения АНО принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах. Ниже описано, что устанавливает экспертиза компьютерной сети, какие следы оставляет сетевая активность, как исследуются удаленный доступ, инциденты и утечки, как проверяется монтаж локальной сети и качество услуг связи, какие вопросы ставить суду и что сохранить до экспертизы.

Что такое экспертиза компьютерной сети

Экспертиза компьютерной сети относится к компьютерно-техническим экспертизам и по классификации соответствует компьютерно-сетевому виду. Ее объект — сетевая инфраструктура и следы ее работы: маршрутизаторы, коммутаторы, точки беспроводного доступа, межсетевые экраны, серверы, кабельные системы, а также журналы, конфигурации и сведения о соединениях.

Предмет исследования составляют фактические данные о сетевых событиях и о состоянии сети. Эксперт отвечает на вопросы о том, что технически происходило: было ли соединение, между какими узлами, в какое время, какой объем данных передан, какие учетные записи использовались, какие настройки действовали. Правовую оценку этих фактов дает суд.

Формулировки в определениях судов различаются: экспертиза сетей, компьютерно-сетевая экспертиза, экспертиза использования сетевых технологий, исследование сетевой активности. На допустимость заключения это не влияет, если понятен предмет и вопросы относятся к специальным знаниям. Общий обзор рода экспертизы приведен на странице о компьютерно-технической экспертизе, а исследование сетевого оборудования как устройств — на странице аппаратно-компьютерной экспертизы.

Что устанавливает экспертиза сетей

Круг задач определяется спором. Чаще всего экспертиза сетей устанавливает:

факт и время соединения между устройствами, включая удаленный доступ к рабочим станциям и серверам;

принадлежность сетевого адреса определенному узлу или абоненту в конкретный момент по сведениям, представленным в материалы дела;

какие учетные записи использовались при подключении и с каких устройств;

объем и характер переданных данных, если это фиксировалось системами;

наличие признаков несанкционированного доступа, внедрения постороннего кода, использования средств обхода защиты;

соответствие фактически смонтированной и настроенной сети проекту, техническому заданию и договору;

причины отказов, потерь связи, снижения скорости и недоступности сервисов;

выполнение обязательств подрядчика по обслуживанию сети и оператора связи по договору;

использование сетевых ресурсов работниками: подключения к внешним сервисам, передача файлов, обход корпоративных ограничений.

Эксперт не устанавливает личность человека за клавиатурой и не делает выводов о виновности. Он устанавливает устройство, учетную запись и время, а связь с конкретным лицом суд определяет по совокупности доказательств.

Какие следы оставляет сетевая активность

Сетевое событие оставляет следы одновременно в нескольких местах, и ценность заключения зависит от того, сколько источников удалось сопоставить.

Журналы сетевого оборудования

Маршрутизаторы, коммутаторы и межсетевые экраны записывают подключения, блокировки, изменения конфигурации, ошибки. Объем журналов ограничен памятью устройства: на небольшом маршрутизаторе записи живут часы, на корпоративном межсетевом экране с выделенным хранилищем — месяцы. Первое, что нужно сделать после инцидента, — выгрузить журналы, а не перезагружать оборудование.

Журналы серверов и систем

Контроллер домена фиксирует вход пользователей и выдачу прав, почтовый сервер — сеансы подключения к ящикам, файловый сервер — обращения к папкам, система удаленного доступа — сеансы с указанием адресов и длительности. Эти записи полезнее оборудования, потому что связывают сетевое событие с учетной записью.

Следы на рабочих станциях

На компьютере остаются сведения о подключенных сетях, о сеансах удаленного управления, о сохраненных учетных данных, о смонтированных сетевых дисках, о запущенных программах удаленного доступа. Эксперт извлекает их при исследовании копии носителя.

Сведения оператора связи и владельцев сервисов

Часть сведений существует только у третьих лиц: какие адреса выдавались абоненту, какие соединения проходили через оператора, с каких адресов выполнялся вход в учетную запись сервиса. Эти сведения истребует суд, и запрашивать их нужно как можно раньше: сроки хранения ограничены, а по истечении срока данные удаляются.

Системы мониторинга и учета

В организациях нередко работают системы мониторинга доступности, учета трафика, контроля действий пользователей. Их отчеты и базы данных — самостоятельный источник, который позволяет проверить утверждения сторон о том, работала ли сеть и с какой скоростью.

Сетевые адреса: что они доказывают

Сетевой адрес указывает на точку подключения, а не на человека. При трансляции адресов один внешний адрес используют десятки абонентов, при динамической выдаче адрес меняется. Поэтому заключение всегда содержит оговорку о том, какие сведения нужны для сопоставления адреса с абонентом: точное время события с часовым поясом, сведения оператора о выдаче адреса на этот момент, данные о трансляции портов. Без них вывод о принадлежности адреса будет вероятным.

Удаленный доступ

Удаленное подключение к рабочей станции или серверу — предмет большинства корпоративных споров. Бывший сотрудник подключился к системе после увольнения, подрядчик по обслуживанию вошел на сервер без согласования, конкурент получил доступ к базе через учетную запись сотрудника.

Экспертиза компьютерной сети устанавливает, когда выполнялись сеансы удаленного доступа, с какого адреса и устройства, под какой учетной записью, какой длительности, какие действия зафиксированы в системах. Источники: журналы службы удаленных рабочих столов, журналы программ удаленного управления, записи межсетевого экрана и шлюза защищенного соединения, история сеансов на самой рабочей станции.

Отдельно проверяется законность подключения с технической стороны: действовала ли учетная запись, когда она была заблокирована при увольнении, менялись ли пароли, существовали ли неучтенные учетные записи и правила доступа, созданные подрядчиком. Именно несвоевременная блокировка доступа уволенному работнику чаще всего становится причиной последующих споров.

Инциденты: несанкционированный доступ и вредоносный код

Сеть взломана, данные зашифрованы, сайт недоступен, с корпоративной почты рассылаются письма. Владелец несет убытки и предъявляет требования подрядчику по обслуживанию или по защите информации, а иногда и оператору связи.

Экспертиза сетей в таком деле восстанавливает хронологию: когда и через какой узел получен доступ, какие учетные данные использовались, какие устройства затронуты, какие данные изменены, удалены или переданы вовне, как долго продолжалась активность. Источники — журналы оборудования и серверов, образы носителей, сведения систем мониторинга, резервные копии.

Вторая задача — распределение ответственности. Договор обслуживания обычно содержит обязанности: обновлять программное обеспечение, настраивать межсетевой экран, вести резервное копирование, контролировать учетные записи. Эксперт проверяет, выполнялись ли эти обязанности фактически: установлены ли обновления, когда менялись правила доступа, существовали ли резервные копии на дату инцидента и были ли они пригодны для восстановления.

Третья задача — последствия. Эксперт устанавливает, какие системы были недоступны и как долго, какие данные утрачены безвозвратно, какой объем восстановлен. Денежную оценку убытков дает эксперт-экономист на основе этих выводов.

В гражданском и арбитражном споре о возмещении убытков и о надлежащем исполнении договора экспертиза проводится в обычном порядке.

Утечка данных по сетевым каналам

Утечка отличается от взлома тем, что данные уходят через легальный доступ. Сотрудник отправляет файлы на личную почту, выгружает базу в облачное хранилище, пересылает документы в мессенджере, подключает телефон и синхронизирует папки.

Экспертиза компьютерной сети устанавливает факт передачи: какие соединения с внешними сервисами выполнялись с рабочей станции, какой объем данных передан, какие файлы открывались и копировались перед передачей. Полнота выводов зависит от того, какие системы работали в организации: при наличии средств контроля передачи данных картина будет детальной, без них — фрагментарной, по косвенным признакам.

Выводы используются в трудовых спорах и в делах о защите коммерческой тайны. Для последних важно, чтобы в организации был введен режим коммерческой тайны по Федеральному закону от 29 июля 2004 года № 98-ФЗ: перечень сведений, порядок обращения, ознакомление работников. Эксперт устанавливает техническую сторону, а соблюдение режима оценивает суд.

Монтаж и настройка локальной сети

Споры с подрядчиком по монтажу сети похожи на строительные: есть проект, есть смета, есть акты, и есть результат, который заказчик не принимает. Экспертиза сетей проверяет соответствие выполненных работ проекту и договору.

Исследуются кабельная система и активное оборудование. Для структурированных кабельных систем действуют ГОСТ Р 53246-2008 о проектировании основных узлов и ГОСТ Р 53245-2008 о монтаже и методах испытаний. Эксперт проверяет трассы и длины линий, качество монтажа разъемов и кроссового оборудования, маркировку, а также результаты испытаний линий: затухание, перекрестные наводки, соответствие заявленной категории. Если испытания подрядчиком не проводились или протоколы отсутствуют, это самостоятельный вывод.

Для активного оборудования проверяются модели и количество по спецификации, схема подключения, настройки: разделение на сегменты, правила доступа, беспроводные сети и их защита, резервирование. Отдельно исследуется покрытие беспроводной сети, если оно было предметом договора: измеряется уровень сигнала в точках, указанных в задании.

Причины неработоспособности разграничиваются так же, как в других подрядных спорах: ошибка монтажа, ошибка настройки, неисправность оборудования, действия заказчика после сдачи, изменение внешних условий. История изменений конфигурации, если она сохранялась, показывает, кто и когда вносил правки.

Качество услуг связи и доступность сервисов

Договор с оператором связи или хостинг-провайдером обычно содержит показатели: скорость доступа, допустимое время недоступности, время реакции на обращение. Когда бизнес теряет деньги из-за простоя, возникает спор о том, были ли показатели нарушены.

Отношения с оператором регулирует Федеральный закон от 7 июля 2003 года № 126-ФЗ «О связи» и правила оказания услуг связи, утверждаемые Правительством Российской Федерации. Договор конкретизирует показатели качества. Экспертиза сетей устанавливает фактические значения: периоды недоступности по данным систем мониторинга и журналам, фактическую скорость по протоколам измерений, соответствие измеренных значений договорным.

Методическая сложность в том, что измерения нужно проводить корректно. Скорость зависит от участка сети, времени суток, оборудования абонента, загрузки канала другими устройствами. Поэтому эксперт описывает условия измерения: точку подключения, оборудование, время, число повторов, методику. Одно измерение с рабочего компьютера в час пик выводом не является, и рецензент это укажет. Корректная схема измерений включает подключение эталонного оборудования непосредственно к линии оператора, серию замеров в разное время суток, контроль отсутствия посторонней нагрузки и фиксацию результатов в протоколе с указанием даты, времени и параметров каждого замера.

Причина недоступности разграничивается между оператором, подрядчиком по обслуживанию внутренней сети и самим абонентом. Неисправность на стороне оператора, ошибка настройки внутреннего оборудования, отказ электропитания в помещении абонента, авария у вышестоящего провайдера — у каждой причины свои следы в журналах и в переписке с поддержкой.

Размещение в дата-центре и облачные сервисы

Организации размещают серверы в дата-центрах и арендуют облачные мощности. В споре о простое или утрате данных объекты находятся у третьего лица, и без судебного запроса эксперт получает только то, что сохранилось у клиента.

Экспертиза компьютерной сети в таких делах устанавливает, какие услуги фактически оказывались, были ли периоды недоступности и какой длительности, выполнялось ли резервное копирование, предусмотренное договором, кто имел доступ к виртуальной инфраструктуре и какие действия выполнял. Сведения провайдера — журналы панели управления, записи о подключениях, тикеты поддержки — истребует суд.

Отдельно проверяется разграничение зон ответственности, которое обычно описано в договоре: провайдер отвечает за инфраструктуру и сеть, клиент — за операционные системы и приложения. Эксперт устанавливает, на чьем уровне находилась причина отказа.

Контроль работников и внутренние расследования

Организации применяют системы контроля: учет трафика, запись действий на рабочих станциях, фильтрацию доступа к сайтам. Материалы таких систем становятся доказательствами в трудовых спорах о дисциплинарных взысканиях и увольнениях.

Экспертиза сетей проверяет достоверность этих материалов: действительно ли отчет системы соответствует ее базе данных, не редактировался ли он, корректно ли сопоставлены учетная запись и рабочее место, учитывались ли периоды, когда за компьютером работал другой сотрудник. Часто выясняется, что отчет выгружен в табличный файл и отредактирован, а исходная база не сохранена, и тогда доказательственное значение отчета резко падает.

Правомерность самого контроля — вопрос права: работника должны были уведомить о применении таких систем, а обработка персональных данных вестись по Федеральному закону от 27 июля 2006 года № 152-ФЗ. Эксперт устанавливает, какие технические средства применялись и что они фиксировали, а суд решает, допустимо ли использовать их материалы.

Дистанционное банковское обслуживание и споры о списаниях

Клиент банка обнаруживает списание, которого не совершал, и требует возврата средств. Банк ссылается на корректную аутентификацию и на нарушение клиентом правил безопасности. В таких делах сетевые сведения становятся главным доказательством.

Экспертиза компьютерной сети устанавливает, с какого адреса и устройства выполнен вход в систему дистанционного обслуживания, совпадают ли они с обычными для клиента, какие способы подтверждения применялись, когда менялись реквизиты доступа и с какого адреса. Параллельно исследуется компьютер или телефон клиента: есть ли следы программ удаленного доступа, посторонних расширений браузера, вредоносного кода, подмены реквизитов при подписании платежа.

Разграничение ответственности строится на этих фактах. Если вход выполнен с устройства клиента, зараженного программой удаленного управления, картина одна. Если операция прошла с постороннего адреса без подтверждения на устройстве клиента, картина другая. Правовые последствия определяет суд с учетом договора и правил платежной системы.

Сегментация сети и доступ подрядчиков

Современная корпоративная сеть разделена на сегменты: рабочие станции, серверы, производственное оборудование, гостевая сеть. Подрядчики получают доступ к отдельным сегментам, и договор описывает границы этого доступа.

После инцидента выясняется, что подрядчик имел доступ шире, чем предусматривал договор, или что сегментация существовала только на бумаге. Экспертиза сетей восстанавливает фактическую схему: какие правила доступа действовали, какие сегменты были связаны, какие учетные записи подрядчика существовали и когда создавались, какие из них остались активными после завершения работ.

Этот же вопрос возникает в спорах о причинах распространения вредоносного кода: если из гостевой сети был доступ к серверам, отвечать будет тот, кто проектировал и настраивал сеть, а не только тот, кто принес зараженный носитель.

Системы видеонаблюдения и сетевые хранилища

Сетевые камеры и хранилища записей часто оказываются в споре как источник доказательств и как предмет претензий к подрядчику. Экспертиза устанавливает, какие камеры и регистраторы были подключены, какая глубина архива фактически обеспечивалась, были ли периоды, когда запись не велась, и по какой причине: отсутствие места, отключение питания, потеря связи с камерой, неверные настройки.

Отдельный вопрос — доступ к архиву. Эксперт проверяет, кто и когда подключался к регистратору или хранилищу, выгружались ли или удалялись записи, менялись ли настройки хранения. В спорах, где одна сторона утверждает, что записи «не сохранились», эти сведения показывают, что произошло на самом деле.

Обмен данными между организациями

Организации связывают свои системы: заказы, остатки, платежи, статусы доставки передаются автоматически. Когда данные расходятся, каждая сторона считает виноватой другую.

Экспертиза сетей устанавливает, какие обмены выполнялись, в какое время, какой объем данных передан, были ли ошибки передачи и как система на них реагировала. Источники — журналы обмена с обеих сторон, записи промежуточных сервисов, журналы сетевого оборудования. Сопоставление журналов двух организаций обычно сразу показывает, на чьей стороне данные были изменены или потеряны.

Для договоров, где обмен предусмотрен как обязанность, эксперт проверяет и соблюдение согласованного формата и порядка: передавались ли данные в оговоренном виде, в установленные сроки, подтверждались ли квитанциями.

Как подготовиться к возможному спору заранее

Большинство проигранных сетевых дел проигрывается не в суде, а до него, когда следов уже нет. Несколько мер снимают эту проблему и стоят недорого.

Настроить централизованный сбор журналов с оборудования и серверов на отдельное хранилище с достаточным сроком хранения. Синхронизировать время на всех устройствах и зафиксировать часовой пояс. Включить журналирование действий в системах, где хранятся значимые данные. Хранить конфигурации оборудования с историей изменений. Вести перечень учетных записей с правами и порядок их блокировки при увольнении. Сохранять протоколы испытаний и исполнительную документацию при приемке сети. Фиксировать обращения к подрядчикам и операторам письменно.

Эти меры одновременно снижают риск инцидента и дают доказательства, если он произойдет. Для организаций, где сеть критична для работы, их стоит прописать в договоре обслуживания как обязанность подрядчика.

Когда экспертиза сетей не нужна

Если факт и время события не оспариваются, а спор касается только правовой оценки, экспертиза не требуется: достаточно журналов и переписки. Если недоступность сервиса подтверждена самим провайдером в переписке, отдельное исследование может быть излишним. Если сеть нужно просто привести в порядок, это задача подрядчика, а не эксперта.

Предварительный анализ отвечает на вопрос, что именно даст экспертиза в конкретном деле и какие сведения нужно запросить у третьих лиц раньше, чем ее назначать. Иногда честный ответ — экспертиза не нужна, достаточно правильно сформулированного запроса суда.

Как эксперт строит хронологию событий

Хронология — главный результат сетевого исследования, и строится она по повторяемой процедуре.

Сначала определяется опорное время. Эксперт фиксирует показания часов каждого устройства на момент выгрузки, сравнивает их с точным временем и вычисляет поправку. Без этого события из разных журналов не сойдутся: расхождение в несколько минут превращает последовательность в путаницу.

Затем события приводятся к единой шкале и одному часовому поясу. Записи оператора связи обычно ведутся по московскому времени, журналы оборудования — по времени, заданному при настройке, сведения зарубежных сервисов — по всемирному координированному времени.

Дальше события группируются по узлам и учетным записям, и для каждого звена эксперт ищет подтверждение во втором независимом источнике. Подключение, видимое только в журнале межсетевого экрана, остается версией. То же подключение, подтвержденное записью сервера и следом на рабочей станции, становится установленным фактом.

Последний шаг — описание пробелов. Эксперт прямо указывает периоды, по которым сведений нет, и объясняет причину: журнал не велся, запись вытеснена, сведения третьего лица не представлены. Заключение, в котором пробелы не обозначены, уязвимо: оппонент найдет их сам и представит как умолчание.

Сеть в государственных и муниципальных контрактах

Контракты на создание и обслуживание сетевой инфраструктуры исполняются по Федеральному закону от 5 апреля 2013 года № 44-ФЗ. Статья 94 обязывает заказчика провести экспертизу результатов исполнения контракта своими силами или с привлечением экспертной организации, и по ее итогам принять работы либо направить мотивированный отказ.

Для сетевых работ приемочная экспертиза включает проверку состава и моделей оборудования по документации о закупке, наличия исполнительной документации и протоколов испытаний линий, работоспособности сегментов и настроек. Судебная экспертиза назначается позже, если подрядчик оспаривает отказ или заказчик взыскивает убытки, и проверяет в том числе обоснованность приемочной: те ли параметры проверялись и корректно ли они сопоставлены с требованиями закупки.

Частый предмет спора — эквивалентность оборудования. Документация допускает поставку эквивалента, подрядчик привозит другие модели, заказчик считает их несоответствующими. Эксперт сопоставляет характеристики по каждому параметру, указанному в закупке, и устанавливает, где требования выполнены, а где нет.

Разграничение со смежными экспертизами

Компьютерно-сетевая экспертиза в узком смысле исследует сетевое оборудование и его настройки как объекты. Экспертиза использования сетевых технологий сосредоточена на событиях: кто, когда и как пользовался сетью. На практике это две стороны одной задачи, и в одном заключении обычно присутствуют обе.

Информационно-компьютерная экспертиза исследует содержание данных: переписку, документы, записи систем. Если нужно установить и факт передачи файла по сети, и его содержание, вопросы ставятся по сетевой и по информационной части одновременно.

Аппаратно-компьютерная экспертиза исследует устройства: неисправность маршрутизатора, повреждение кабеля, отказ сервера. Если сеть не работает из-за вышедшего из строя оборудования, к сетевым вопросам добавляются аппаратные.

Программно-компьютерная экспертиза исследует программы, в том числе сетевые сервисы и их код, если спор касается их функциональности.

Экспертиза сайта отвечает на вопросы о содержании интернет-ресурса, его владельце и истории изменений. Сетевая часть здесь дополняет: откуда велись подключения к административной панели, какие адреса фигурируют в журналах сервера.

Аудит информационной безопасности оценивает защищенность системы на будущее и дает рекомендации. Экспертиза отвечает на вопросы о конкретном событии в прошлом.

Где применяется заключение АНО «СЗЭПЦ»

АНО «СЗЭПЦ» проводит экспертизу использования сетевых технологий в гражданском, арбитражном и административном судопроизводстве, по делам об административных правонарушениях и во внесудебном порядке: для досудебного урегулирования, обоснования претензии, внутренней проверки и подготовки к процессу.

Исследование ведется на журналах, конфигурациях и копиях узлов, переданных владельцем сети или истребованных судом, а сведения операторов связи и сервисов поступают по запросу суда. Заключение описывает сетевые события, учетные записи и устройства, а связь с конкретным лицом и правовые выводы делает суд.

Нормативная база

Процессуальная основа: Федеральный закон от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», требования которого по статье 41 распространяются на негосударственных экспертов; статьи 79–87 Гражданского процессуального кодекса Российской Федерации; статьи 82–87 Арбитражного процессуального кодекса Российской Федерации; статья 26.4 Кодекса Российской Федерации об административных правонарушениях. Практику назначения экспертизы в арбитражном процессе разъясняет постановление Пленума Высшего Арбитражного Суда Российской Федерации от 4 апреля 2014 года № 23.

Информация и связь: Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федеральный закон от 7 июля 2003 года № 126-ФЗ «О связи», в том числе обязанности операторов по хранению сведений о соединениях; Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных»; Федеральный закон от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне»; Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» — в части разграничения компетенции.

Договорные отношения: статьи 702, 721 и 723 Гражданского кодекса Российской Федерации о качестве работ для договоров монтажа и настройки сети; глава 39 об оказании услуг для договоров обслуживания и связи; статьи 15 и 393 о возмещении убытков.

Стандарты: ГОСТ Р 53246-2008 о проектировании структурированных кабельных систем и ГОСТ Р 53245-2008 об их монтаже и испытаниях; ГОСТ Р ИСО/МЭК 27033-1-2011 о безопасности сетей; ГОСТ Р ИСО/МЭК 27037-2014 об обращении с цифровыми свидетельствами; ГОСТ Р 34.11-2012 о функции хэширования для подтверждения неизменности копий журналов и образов.

Назначение экспертизы в суде

Экспертизу назначает суд по ходатайству стороны. К ходатайству прилагается информационное письмо экспертной организации о готовности, сроке, стоимости и кандидатурах экспертов.

Для сетевых дел в ходатайстве важны три вещи.

Первое — сохранность следов. Сторона просит суд обязать оппонента или третьих лиц сохранить журналы оборудования и серверов за спорный период и не вносить изменения в конфигурацию до окончания экспертизы. Журналы удаляются по сроку хранения автоматически, и промедление здесь стоит дела.

Второе — истребование сведений у третьих лиц. Оператор связи, хостинг-провайдер, владелец сервиса, дата-центр хранят сведения, которых нет ни у одной из сторон. Запрос суда формулируется конкретно: какие сведения, за какой период, по какому адресу или учетной записи, с указанием часового пояса.

Третье — доступ. В определении указывается, кто и в какой срок предоставляет эксперту доступ к оборудованию, серверам и системам мониторинга, и в каком режиме: с правом чтения конфигураций и выгрузки журналов.

Если сторона уклоняется от предоставления объектов и доступа, суд вправе признать факт, для установления которого назначалась экспертиза, установленным или опровергнутым по части 3 статьи 79 Гражданского процессуального кодекса, а в арбитражном процессе учитывает уклонение при оценке доказательств.

Вопросы эксперту

Формулировки ниже требуют привязки к конкретным адресам, учетным записям, устройствам и периодам с указанием часового пояса.

Вопросы о соединениях и доступе

Имели ли место подключения к серверу или рабочей станции в указанный период? Если да, в какое время, с каких сетевых адресов и под какими учетными записями?

Выполнялся ли удаленный доступ к системе указанного пользователя? Какими средствами, какой длительности, какие действия зафиксированы?

Кому принадлежал указанный сетевой адрес в указанный момент по сведениям, представленным в материалы дела?

Использовались ли средства сокрытия адреса или обхода ограничений доступа?

Вопросы об инцидентах и утечках

Имеются ли признаки несанкционированного доступа к сети или к отдельным узлам? Когда и через какой узел он был получен?

Какие данные были изменены, удалены или переданы за пределы сети в указанный период? Каков их объем?

Выполнялись ли подрядчиком обязанности по обновлению программного обеспечения, настройке средств защиты и резервному копированию, предусмотренные договором?

Возможно ли было восстановление данных из резервных копий, существовавших на дату инцидента?

Вопросы о монтаже и настройке сети

Соответствует ли смонтированная кабельная система проекту, договору и требованиям стандартов? Проводились ли испытания линий и каковы их результаты?

Соответствует ли состав и модели установленного оборудования спецификации договора?

Какие недостатки имеются в настройке сети, препятствуют ли они ее использованию по назначению и каковы их причины?

Вносились ли изменения в конфигурацию оборудования после сдачи работ? Кем и когда?

Вопросы о качестве услуг

Имелись ли периоды недоступности сервисов в указанный период? Какова их продолжительность?

Соответствуют ли фактические показатели скорости и доступности значениям, установленным договором?

На чьей стороне находилась причина недоступности: оператора связи, подрядчика по обслуживанию внутренней сети или абонента?

Правовые вопросы о вине, нарушении договора и размере убытков эксперту не ставятся.

Порядок проведения исследования

Сеть отличается от диска тем, что она живет: пока идет спор, оборудование работает, журналы пополняются и вытесняют старые записи. Поэтому исследование начинается с фиксации.

Фиксация состояния

Эксперт выгружает журналы оборудования и серверов за спорный период штатными средствами, сохраняет конфигурации устройств, снимает копии систем мониторинга, фиксирует схему подключения и перечень узлов. Для каждого файла вычисляется контрольное значение, а процесс выгрузки при необходимости записывается на видео в присутствии представителей сторон.

Работа с узлами

Если в деле участвуют рабочие станции и серверы, с их носителей снимаются копии, и дальнейшее исследование ведется на копиях. На них эксперт извлекает следы сетевой активности: сведения о подключениях, сохраненные учетные данные, историю сеансов удаленного доступа, журналы приложений.

Сопоставление источников

Главная работа — свести события из разных источников в одну хронологию с учетом часовых поясов и расхождения часов устройств. Расхождение времени между оборудованием и сервером в несколько минут — обычное дело, и эксперт устанавливает его величину, прежде чем строить выводы. Совпадение события в двух независимых источниках делает вывод устойчивым к возражениям.

Измерения и испытания

Для дел о качестве связи и о монтаже сети проводятся измерения: скорость на разных участках, потери пакетов, задержки, параметры кабельных линий, уровень сигнала беспроводной сети. Методика, точки измерения, оборудование и число повторов описываются в заключении, а средства измерений сопровождаются сведениями о поверке.

Оформление

Заключение содержит описание объектов, источников сведений и их происхождения, примененных средств, хронологию событий и выводы по вопросам. Приложения: таблицы событий, выгрузки журналов, схемы сети, протоколы измерений. Объемные приложения передаются в электронном виде.

Что передать для экспертизы

Для предварительного анализа достаточно описания ситуации, договора и схемы сети. Для экспертизы понадобятся:

журналы сетевого оборудования, серверов, средств защиты и систем мониторинга за спорный период, выгруженные штатными средствами;

конфигурации устройств и перечень учетных записей с правами доступа;

доступ к оборудованию и серверам либо их копии, если требуется исследование на месте;

рабочие станции или копии их носителей, если спор касается действий конкретных пользователей;

договор, техническое задание, проект сети, исполнительная документация, акты, протоколы испытаний линий, спецификация оборудования;

для дел о качестве связи — договор с оператором, обращения в поддержку, отчеты систем мониторинга;

сведения, истребованные судом у оператора связи, хостинг-провайдера или владельца сервиса;

сведения о часовых поясах и настройках синхронизации времени на устройствах.

Чего делать нельзя до экспертизы: перезагружать и перенастраивать оборудование, очищать журналы, переустанавливать системы, менять учетные записи и пароли без фиксации, восстанавливать инфраструктуру из резервной копии, не сохранив поврежденное состояние.

Структура заключения и его проверка

Заключение оформляется по статье 25 закона № 73-ФЗ и статье 86 процессуальных кодексов. Для сетевых исследований критичны три раздела: происхождение сведений (откуда взят каждый журнал, кем и когда выгружен, каково его контрольное значение), учет времени (расхождение часов устройств и часовые пояса), ограничения выводов (какие источники отсутствовали и что из-за этого установить нельзя).

Проверяя чужое заключение, сторона смотрит: указано ли происхождение журналов; учтено ли расхождение времени; сопоставлены ли независимые источники или вывод построен на одном; сделана ли оговорка о трансляции и динамической выдаче адресов при выводе о принадлежности адреса; описаны ли условия измерений; нет ли вывода о личности пользователя и правовой оценки. Отрицательный ответ по двум и более пунктам — основание для рецензии.

Категории дел

Экспертиза использования сетевых технологий назначается в спорах разных категорий.

Корпоративные конфликты: доступ бывших участников и руководителей к системам, выгрузка данных, блокировка доступа оставшимся сотрудникам.

Трудовые споры: дисциплинарные взыскания за нарушение правил работы с сетью, увольнения за разглашение сведений, споры о фактически отработанном времени по журналам входа.

Подрядные споры: монтаж и настройка локальной сети, обслуживание инфраструктуры, внедрение средств защиты.

Споры с операторами связи и хостинг-провайдерами о качестве услуг и простоях.

Возмещение убытков после инцидентов: шифрование данных, уничтожение информации, атаки на доступность сервисов.

Защита коммерческой тайны и конкурентные споры, где нужно установить канал утечки.

Дела о защите репутации и авторства, где сетевые сведения дополняют исследование сайта или переписки.

Споры о расчетах в системах дистанционного банковского обслуживания и личных кабинетах, где важно, с какого устройства и адреса выполнен вход.

Сроки хранения следов: почему медлить нельзя

У каждого источника свой срок жизни, и после его истечения сведения исчезают безвозвратно.

Журналы бытовых и небольших офисных маршрутизаторов хранятся в оперативной памяти и обнуляются при перезагрузке. Журналы корпоративного оборудования и серверов хранятся от нескольких дней до нескольких месяцев в зависимости от настроек и объема. Системы мониторинга хранят историю по своим правилам, часто с прореживанием старых данных. Облачные панели управления сохраняют записи о действиях за ограниченный период. Операторы связи хранят сведения о соединениях в сроки, установленные законом о связи, а их предоставление возможно только по запросу суда.

Отсюда практический вывод: фиксировать нужно сразу. Если инцидент произошел сегодня, журналы выгружаются сегодня, а не после выбора юриста и подачи иска через три месяца. Выгрузка штатными средствами с сохранением файлов и вычислением контрольных значений занимает часы и не требует остановки работы.

Запрос сведений у оператора и провайдера

Сведения третьих лиц часто решают дело, но получить их можно только правильным запросом. Формулировка вроде «предоставить сведения об использовании сети абонентом» приводит к отказу или к бесполезному ответу.

Запрос должен содержать: точный период с указанием часового пояса; конкретный сетевой адрес, номер абонента или идентификатор учетной записи; перечень запрашиваемых сведений — время выдачи адреса, сведения о соединениях, сведения о входах в учетную запись, сведения о трансляции портов; указание на то, кому адресован запрос и по какому делу.

Эксперт помогает сформулировать такой запрос до заседания. Это часть подготовки: сторона приходит в суд с проектом запроса, а не просит суд придумать формулировку самостоятельно.

Беспроводные сети и покрытие

Беспроводная сеть — частый предмет споров при сдаче объектов: гостиниц, торговых центров, складов, офисов. Заказчик утверждает, что связь пропадает, подрядчик ссылается на выполненный проект.

Эксперт проводит измерения уровня сигнала и качества связи в точках, предусмотренных заданием, фиксирует расположение точек доступа, каналы и мощность, выявляет источники помех и перекрытия каналов. Результат сопоставляется с требованиями договора: если в задании указаны зоны покрытия и минимальный уровень сигнала, вывод будет категоричным. Если требований нет, эксперт описывает фактическое состояние и указывает, какие параметры не позволяют использовать сеть по назначению.

Отдельная задача — безопасность беспроводной сети: используемые методы защиты, наличие открытых сетей, гостевых сегментов, возможность доступа из внешних помещений. В спорах об утечках это иногда оказывается тем каналом, который стороны не учли.

Почтовые сервисы и вход в учетные записи

Спор о том, кто отправил письмо или вошел в учетную запись, решается сведениями сервиса о сеансах: время входа, сетевой адрес, устройство, способ аутентификации. Эти сведения хранятся у владельца сервиса и истребуются судом либо выгружаются самим владельцем учетной записи через раздел безопасности.

Эксперт сопоставляет их с данными рабочих станций и журналами организации. Типовой результат: вход выполнен в нерабочее время с адреса, который не принадлежит организации, при этом с рабочей станции сотрудника в это время активности не было. Такой вывод не называет человека, но существенно меняет картину для суда.

При наличии двухфакторной защиты дополнительно исследуются сведения о подтверждении входа: на какой номер или устройство приходил код, менялись ли способы подтверждения и когда.

Атаки на доступность и убытки

Отдельная категория дел — атаки, направленные на перегрузку сервиса. Интернет-магазин или сервис недоступен несколько часов или дней, владелец теряет выручку и предъявляет требования хостинг-провайдеру, подрядчику по защите или контрагенту, если есть основания связать атаку с ним.

Экспертиза сетей устанавливает, действительно ли недоступность вызвана внешним воздействием, а не отказом оборудования или ошибкой настройки, каковы период и характер воздействия, какие меры защиты были предусмотрены договором и применялись ли они. Источники — журналы и статистика провайдера, записи средств защиты, данные систем мониторинга доступности.

Установление организатора атаки в гражданском процессе почти всегда невозможно: адреса источников подставные, а сведения находятся за пределами доступных источников. Заключение честно указывает этот предел. Практическая польза экспертизы здесь в другом: она подтверждает факт и длительность простоя и показывает, выполнял ли подрядчик обязанности по защите, а это и есть предмет спора о возмещении. Для расчета убытков важна и детализация: какие именно сервисы были недоступны, полностью или частично, в какие часы суток. Интернет-магазин, недоступный ночью, и он же, недоступный в день распродажи, дают разный размер потерь, и эксперт фиксирует эти интервалы по данным мониторинга, чтобы экономист мог опереться на них при расчете.

Досудебное исследование

До суда сторона заказывает внесудебное исследование по договору, и его результат оформляется заключением специалиста. Для сетевых дел это часто единственный способ сохранить следы: специалист выгружает журналы, фиксирует конфигурации и вычисляет контрольные значения в день обращения, пока записи не вытеснены.

Заключение специалиста суд оценивает как письменное доказательство. Если оппонент его оспаривает, оно обосновывает ходатайство о судебной экспертизе и дает материал для вопросов. Специалиста можно вызвать в заседание для консультации по статье 188 Гражданского процессуального кодекса или статье 55.1 Арбитражного процессуального кодекса.

Внесудебное исследование полезно и вне спора: после инцидента оно показывает, что произошло и какие меры нужны, а при приемке сети — соответствует ли результат договору до подписания акта.

Сроки

Срок зависит от числа узлов, объема журналов, необходимости выезда и измерений, а также от того, как быстро поступают сведения от третьих лиц. Измерение качества связи и доступности сервисов занимает 4–8 дней, исследование удаленного доступа, инцидента и рецензия на чужое заключение 5–10 дней, исследование журналов сетевого оборудования и серверов 5–12 дней. Исследование утечки данных по сетевым каналам и экспертиза монтажа и настройки локальной сети требуют 6–15 дней, поскольку включают исследование рабочих станций или выезд с измерениями. Если эксперт ждет ответ оператора связи или доступ к оборудованию, срок продлевается на время ожидания. Обследование беспроводной сети и зон покрытия оценивается отдельно после предварительного анализа: объем измерений зависит от площади объекта и числа точек, указанных в задании.

Повторная экспертиза и рецензия

Неполное заключение восполняется дополнительной экспертизой, необоснованное — повторной по статье 87 процессуальных кодексов. Типичные дефекты сетевых заключений: не указано происхождение журналов и кто их выгружал; не учтено расхождение часов устройств; вывод о принадлежности сетевого адреса сделан без оговорки о трансляции и динамической выдаче; измерения скорости выполнены однократно и без описания условий; эксперт назвал конкретное лицо, работавшее за компьютером; заключение содержит правовую оценку. Эти дефекты показывает рецензия. Судебная коллегия по экономическим спорам Верховного Суда Российской Федерации в определении от 25 января 2018 года по делу № 305-ЭС17-11486 подтвердила, что рецензия образует мотивированные возражения стороны.

Возражения оппонента

«Журналы можно отредактировать». Поэтому эксперт фиксирует их контрольные значения при выгрузке и сопоставляет с независимыми источниками: записями оператора, данными систем мониторинга, следами на рабочих станциях.

«Адрес принадлежит не нам». Эксперт указывает, какие сведения нужны для сопоставления адреса с абонентом, и не делает категорических выводов без сведений оператора.

«Скорость измерена неправильно». Ответ дает описание методики: точка подключения, оборудование, время, число повторов, исключение посторонней нагрузки.

«Сеть перенастраивал заказчик после сдачи». Проверяется по истории изменений конфигурации и журналам доступа к оборудованию.

Стоимость и сроки

Цена зависит от числа узлов и источников, необходимости выезда и измерений, объема журналов и количества вопросов. Сумма и срок называются после бесплатного предварительного анализа и указываются в информационном письме для суда.

Типичные ошибки сторон

После инцидента оборудование перезагружают и перенастраивают, и журналы исчезают.

Инфраструктуру восстанавливают из резервной копии, не сохранив поврежденное состояние.

Сведения у оператора связи запрашивают через полгода, когда срок хранения истек.

В запросе суда не указан часовой пояс, и ответ оператора невозможно сопоставить с журналами организации.

Доказательством считают один снимок экрана с результатом измерения скорости.

Вывод о виновном лице делают из принадлежности сетевого адреса, не учитывая общий доступ и трансляцию адресов.

Приемку сети подписывают без протоколов испытаний кабельных линий.

Доступ уволенным работникам не блокируют, а потом спорят о том, кто и что сделал в системе.

Распространенные заблуждения

Заблуждение первое: сетевой адрес указывает на человека. Он указывает на точку подключения в конкретный момент. При трансляции адресов за одним внешним адресом работают десятки абонентов, а динамический адрес меняется. Вывод о лице делает суд по совокупности доказательств.

Заблуждение второе: если журналы не велись, доказать ничего нельзя. Остаются следы на рабочих станциях, сведения сервисов и операторов, данные систем мониторинга, резервные копии конфигураций.

Заблуждение третье: провайдер выдаст сведения по заявлению клиента. Сведения о соединениях предоставляются по запросу суда. Клиент может получить только данные о собственной услуге и своей учетной записи.

Заблуждение четвертое: скорость легко измерить самому. Результат зависит от участка сети, времени, оборудования и загрузки канала. Для суда нужна воспроизводимая методика и серия измерений.

Заблуждение пятое: раз сеть работает, монтаж выполнен качественно. Сеть может работать с ошибками, которые проявятся при нагрузке: несоответствие категории линий, нарушение длин, ошибки заделки, перекрытие каналов беспроводной сети.

Заблуждение шестое: эксперт найдет организатора атаки. В гражданском процессе это почти всегда невозможно, и заключение прямо указывает этот предел. Предметом спора обычно является не личность нарушителя, а исполнение договора и размер убытков.

Что делать после сетевого инцидента

Шаг первый. Не перезагружайте и не перенастраивайте оборудование. Зафиксируйте текущее состояние: сделайте снимки экрана панелей управления, запишите, что именно наблюдается.

Шаг второй. В тот же день выгрузите журналы оборудования, серверов, средств защиты и систем мониторинга за период до инцидента и после. Сохраните файлы на отдельный носитель и не редактируйте их.

Шаг третий. Если инфраструктуру нужно восстанавливать, сначала снимите копии поврежденных систем, а затем восстанавливайте из резервной копии.

Шаг четвертый. Получите предварительный анализ специалиста: какие следы сохранились, что можно установить, какие сведения нужно запросить у третьих лиц.

Шаг пятый. Подготовьте проект запроса суда к оператору связи, провайдеру или владельцу сервиса с точным периодом, адресами и часовым поясом, и заявите ходатайство об истребовании.

Шаг шестой. Заявите ходатайство о назначении экспертизы с вопросами о фактах, приложите информационное письмо экспертной организации и просите обязать сторону сохранить журналы и конфигурации.

Частые вопросы

Что устанавливает экспертиза компьютерной сети?

Факты и время соединений и удаленного доступа, используемые учетные записи и устройства, признаки несанкционированного доступа и передачи данных, соответствие смонтированной сети проекту и договору, причины отказов и недоступности сервисов.

Можно ли установить, кто именно подключался к системе?

Эксперт устанавливает учетную запись, устройство и сетевой адрес. Связь с конкретным человеком суд определяет по совокупности доказательств, включая сведения о доступе к устройству.

Что делать, если журналы уже перезаписаны?

Эксперт использует другие источники: следы на рабочих станциях, сведения сервисов и оператора связи, данные систем мониторинга, резервные копии. Объем выводов будет меньше, поэтому фиксировать журналы нужно сразу.

Можно ли получить сведения у оператора связи?

Только по запросу суда. Поэтому ходатайство об истребовании подается заранее, до назначения экспертизы, с точным указанием периода, адресов и часового пояса.

Как доказать нарушение договора об уровне доступности сервиса?

Данными систем мониторинга, журналами, обращениями в поддержку и измерениями по воспроизводимой методике. Эксперт сопоставляет фактические показатели с договорными и определяет, на чьей стороне находилась причина.

Что проверяется при споре о монтаже локальной сети?

Соответствие кабельной системы проекту и стандартам, результаты испытаний линий, модели и количество оборудования по спецификации, настройки, а также причины выявленных недостатков.

Кто отвечает за инцидент: подрядчик или сама организация?

Эксперт устанавливает, какие обязанности по договору выполнялись фактически: обновления, настройка защиты, резервное копирование, контроль учетных записей. Вывод об ответственности делает суд.

Сколько стоит экспертиза компьютерной сети?

Исследование удаленного доступа, инцидента и измерение качества связи стоят от 50 000 ₽, исследование журналов сетевого оборудования и серверов от 55 000 ₽, экспертиза монтажа и настройки сети от 60 000 ₽, исследование утечки данных от 70 000 ₽. Точная сумма фиксируется в договоре после бесплатного предварительного анализа.

Сколько стоит исследование удаленного доступа к серверу или компьютеру?

От 50 000 ₽, срок 5–10 дней. Цена зависит от числа исследуемых узлов и учетных записей, объема журналов и необходимости исследовать рабочие станции.

Сколько стоит исследование утечки данных по сетевым каналам?

От 70 000 ₽, срок 6–15 дней. Это самая трудоемкая позиция: помимо журналов сети исследуются рабочие станции, подключения к внешним сервисам и переданные файлы.

Сколько стоит экспертиза монтажа и настройки локальной сети?

От 60 000 ₽, срок 6–15 дней. В работу входят выезд на объект, проверка кабельной системы и оборудования, испытания линий и сопоставление результата с проектом и договором.

Сколько стоит измерение качества связи и доступности сервисов?

От 50 000 ₽, срок 4–8 дней. Измерения проводятся сериями по воспроизводимой методике с фиксацией условий, поэтому разовый замер в стоимость не входит.

Сколько стоит рецензия на заключение экспертизы компьютерной сети?

От 50 000 ₽, срок 5–10 дней. Цена зависит от объема заключения и приложений и от того, нужно ли проверять выгрузки журналов, на которых работал эксперт.

Основные термины

Локальная вычислительная сеть: сеть, объединяющая устройства в пределах здания или группы зданий.

Сетевой адрес: числовой идентификатор узла в сети, по которому направляются данные.

Трансляция адресов: механизм, при котором несколько узлов внутренней сети работают под одним внешним адресом.

Динамическая выдача адресов: автоматическое присвоение адресов устройствам на время сеанса.

Межсетевой экран: устройство или программа, разграничивающие доступ между сегментами сети по правилам.

Журнал событий: запись действий и событий устройства или системы с указанием времени.

Удаленный доступ: подключение к устройству или сети через внешние каналы связи.

Защищенное соединение: канал, в котором данные передаются в зашифрованном виде между узлами.

Структурированная кабельная система: организованная по стандартам кабельная инфраструктура здания с подсистемами и маркировкой.

Точка доступа: устройство, обеспечивающее подключение к беспроводной сети.

Система мониторинга: программный комплекс, отслеживающий доступность и параметры работы узлов и сервисов.

Контрольное значение: результат хэш-функции файла журнала или образа, подтверждающий его неизменность.

Коротко о главном

Экспертиза использования сетевых технологий устанавливает, что происходило в сети: соединения и удаленный доступ, признаки несанкционированного доступа и передачи данных, соответствие смонтированной сети договору, причины отказов и недоступности сервисов.

Сетевые следы живут недолго. Журналы вытесняются, сведения оператора хранятся ограниченный срок, конфигурации меняются при восстановлении. Первое действие после инцидента — выгрузить журналы и зафиксировать состояние, а не перезагружать оборудование.

Сетевой адрес указывает на точку подключения, а не на человека. Для сопоставления адреса с абонентом нужны сведения оператора за точное время с указанием часового пояса, и их истребует суд.

Вопросы эксперту ставятся о фактах: соединения, учетные записи, устройства, объем переданных данных, соответствие работ проекту. Правовые выводы и оценку убытков делают суд и эксперт-экономист.

Об АНО «СЗЭПЦ»

АНО «Северо-Западный экспертно-правовой центр» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям России. Головной офис расположен в Санкт-Петербурге, представительства работают в Москве, Екатеринбурге, Новосибирске, Казани, Краснодаре, Нижнем Новгороде и Ростове-на-Дону. Заключения АНО «СЗЭПЦ» принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах.

По экспертизе использования сетевых технологий АНО «СЗЭПЦ» проводит судебные экспертизы по определениям судов, в том числе комплексные с аппаратно-компьютерной, информационно-компьютерной и экономической экспертизой, готовит заключения специалиста до суда, рецензии на чужие заключения и информационные письма для суда. Эксперты выезжают на осмотр и измерения. Штатный юридический отдел помогает сформулировать вопросы, подготовить ходатайство и проект запроса сведений у операторов связи. Предварительный анализ материалов бесплатный.

Направьте описание задачи на info@szexp.ru или позвоните: +7 (812) 982-86-69 (Санкт-Петербург и Москва), +7 (905) 222-86-69 (регионы Российской Федерации) — АНО «СЗЭПЦ» проведет предварительный анализ и подготовит информационное письмо для суда.

Узнать стоимость экспертизы