Компьютерно-сетевая экспертиза

Независимая компьютерно-сетевая экспертиза представляет собой один из видов компьютерно-технических исследований. Данный вид анализа во многом схож с программно-компьютерной экспертизой, однако фокус экспертного внимания смещен на исследование сетевой работы пользователя. То есть анализируется, в первую очередь, действия человека, произведенные посредством компьютерных сетей. Для проведения компьютерно-сетевой экспертизы эксперт должен обладать специальными познаниями в области сетевых технологий, чтобы эффективно отслеживать движение информационных пакетов посредством изучения информационного следа. Знание принципов работы сетей позволяет соединить в общую доказательную базу все разрозненные объекты, полученные в ходе расследования, а также сведения о них. Вследствие чего наиболее эффективно решаются поставленные экспертные задачи.

Компьютерно-сетевая экспертиза в первую очередь рассматривает функциональную принадлежность компьютерных систем, реализующих сетевые технологии. Чаще всего с помощью данного исследования получаются доказательства по делам, связанным с интернет-технологиями. Предметом исследования являются информационно-компьютерные сети и обнаруживаемые следы сетевой активности пользователя. В ходе расследования преступлений, совершенных с использованием сети интернет, при отсутствии возможности получить доступ к компьютеру правонарушителя, получить доказательства можно с помощью исследования информационных следов в сети. В таких случаях используется компьютерно-сетевая экспертиза.

Круг задач, решаемых компьютерно-сетевой экспертизой, заключается в исследовании программных сетевых средств, персональных компьютеров, имеющих выход во всемирную сеть интернет, больших компьютерных систем, организованных сетевым образом с доступом в интернет. Перечень задач в каждом конкретном случае проведения исследования зависит от набора представленных для анализа объектов и целей, преследуемых инициаторами экспертизы. В общем случае эксперт по проведению компьютерно-сетевой экспертизы в процессе своей деятельности решает следующие задачи:

• Выявление связей между применением конкретных сетевых объектов и результатами их работы.
• Исследование событий, имевших место в сети – установление его обстоятельств и механизма действия, исходя из полученных результатов. Например, исследуются пути распыления по сети вредоносных программ, сценарии нерегламентированного доступа к данным и системам и так далее.
• Исследование отображений сети в информационных блоках накопителей данных с целью выявления свойств и состояния исследуемой сети. Анализируются жесткие диски, компакт-диски, внешние накопители данных (флэшки, внешние диски и пр.), дискеты, RAID-массивы и так далее.
• Выявление механизма изменения свойств исследуемой сети, а также причин данного изменения.
• Установление фактов несоблюдения предписанного режима использования сети, выявление использования недопустимого или запрещенного программного обеспечения.
• Определение исходного состояния все исследуемой сети, а также каждого ее компонента по отдельности. Выявление изменений, внесенных в начальное состояние компьютерной сетевой системы – были ли добавлены дополнительные сетевые устройства, изменена ли конфигурация сервера или рабочих мест и так далее.
• Установление текущего состояния сетевой системы или сетевого программного или аппаратного средства. Выявление физических дефектов аппаратных средств; определение компонент доступа в сеть и состояния журнала системных событий.
• Определение специфических характеристик сетевой системы, определение ее конфигурации, типа устройства архитектуры. Установление механизма организации доступа к массивам данных, а также установленных сетевых программно-аппаратных средств.
• Установление факта соответствия обнаруженных характеристик и характеристик, являющихся типовыми для подобных сетевых систем.
• Определение принадлежности исследуемого объекта к клиентской или серверной части сетевой системы.
• Определение специфических характеристик отдельных компонент сетевой системы – программных объектов и аппаратных средств. Определение функционального предназначения, роли и места анализируемого объекта в сетевой системе.

Наши заключения отвечают требованиям объективности, всесторонности и полноты исследований, все экспертизы выполняются с использованием современных достижений науки и техники.

Если вы не уверены в правильности выводов заключения сторонней организации, наши эксперты помогут найти ошибки процессуального или методического характера, и дать соответствующее заключение (рецензию).

Вопросы эксперту

• Каковы свойства исследуемой компьютерной сети?
• Каковы причины изменения свойств исследуемой компьютерной сети?
• Имеются ли на компьютере, представленном на экспертизу, аппаратные и/или программные средства, предназначенные для работы данного компьютера в какой-либо компьютерной сети?
• Имеется ли причинная связь между использованием исследуемых программно-аппаратных средств компьютерной сети и результатами их работы? Если имеется, то каков ее характер?
• Обнаружены ли признаки работы данного персонального компьютера во всемирной сети интернет?
• Каким образом настроена программа удаленного доступа в сеть? Каковы ее специфические особенности?
• Каким образом настроены протоколы соединений?
• Имеются ли в исследуемом компьютере какие-либо сведения, подтверждающие использование кредитных карт для оплаты или проведение иных электронных платежей?
• Имеются ли в исследуемом компьютере какие-либо сообщения, отправленные или полученные посредством использования электронной почты?
• Какие коммутаторы (маршрутизаторы) проходят пакеты данных, полученные на исследуемом компьютере?
• Каковы особенности доступа пользователей данного компьютера к удаленным ресурсам на других компьютерах или серверах?
• Имеются ли в исследуемом компьютере настроенные и постоянно используемые соединения со всемирной сетью интернет?
• Каковы их параметры и атрибуты (логины и пароли пользователя, данные о провайдере, дата и время создания соединений и так далее)?