Список из 16 программ бакалавриата и специалитета в Москве (вариантов, с учетом формы обучения в вузах), после окончания которых можно получить профессию “Киберследователь”
Получить высшее образование и профессию “Киберследователь” в Москве
Выберите свою из предложенных программ обучения в Москве. Эти программы являются базой для получения профессии “Киберследователь”, связанной с юриспруденцией и правом
Список вузов, в которых можно получить профессию Киберследователя
Настроить по вузу
Профессия Киберследователь: список вузов где учиться
Выберите свой вуз, в котором вы получите высшее образование и приобретете профессию “Киберследователь”. Для этого используйте фильтры, сортировки для сравнения баллов ЕГЭ, конкурса, стоимости обучения. Перейдите на страницу вуза и узнайте детали получения профессии Киберследователя.
Профессии киберследователя учат многие лидирующие ВУЗЫ: в “Вышке” есть бакалаврская и магистерские программы “Информационная безопасность” и “Компьютерные системы и сети”. Кстати, часть курсов этих программ проходят на английском языке. Поэтому есть шанс отправиться на заграничные стажировки.
В “Плехановке” есть направление “Информационная безопасность”, но бюджетных мест всего 20, а проходной балл 254. Выживают сильнейшие. Слишком высокие требования? В МИФИ средний балл 272. Так что надо готовиться. Специалисты, работающие в сфере кибербезопасности, говорят о том, что ВУЗы не способны дать все знания, в них закладывается база, но до настоящего киберследователя еще далеко. Каждые полгода в мире возникает кибератака, не имеющая аналогов ранее. Поэтому в этой сфере нужные знания продолжают поступать в процессе реальной работы.
Тем, кто хочет идти в кибербезопасность, стоит задуматься о дополнительном обучении. Первый путь – учиться на пентестера. Пентест – это тестирование на проникновение, когда имитируется реальная атака для проверки существующей защиты. Для обучения подойдут книги, блоги, тренинги и даже участие в соревнованиях по предотвращению хакерских атак. Второй путь связан с развитием навыков обратной разработки. При этом изучают уже готовые программы, чтобы понимать принципы их работы, а на основе этих знаний выявлять вредоносное ПО.
Киберследователь должен не только знать систему безопасности, но и уметь изменять и улучшать ее – на всех уровнях, от системного администратора до владельца компании. Технологии развиваются стремительно, поэтому очень важно следить за инновациями. Блокчейн, роботизация – это все реальности кибербезопасности уже сейчас. И работа с новыми течениями в IT стала неотъемлемой частью задач киберследователя.
Что такое киберразведка? Интервью с Махаевым Дмитрием из «Ростелеком-Солар»
Время на прочтение
Продолжаю рассказывать об интересных людях, чьи доклады я не смог послушать на PHD. Ещё одна новая область, новый термин — киберразведка. Когда я увидел тему доклада, я посчитал, что опять не во всей области ИБ разбираюсь. Например, что такое OSINT, я узнал только в прошлом году, а разведка по открытым источникам существует уже давно. И как раз это был второй доклад, куда я не смог прорваться из‑за забитой битком аудитории. Поэтому решил поймать докладчика Махаева Дмитрия из «Ростелеком‑Солар» и задать вопросы по его выступлению. Оказалось, и термин новый, и тема интересная.
Выстпуление Дмитрия Махаева на PHD 12
Вы занимаетесь киберразведкой?
Да, одно из направлений.
Расскажите, пожалуйста, подробнее, что такое киберразведка, чем это отличается от OSINT, HUMINT и «пробива»?
В первую очередь киберразведка отличается от OSINT, HUMINT и прочих связанных с ними тем, что OSINT — разведка, собирающая данные в открытых источниках, но данные преимущественно не технические (сведения о людях, местах, событиях и т. п.), позволяющие выявить индикаторы кибератаки. Например, индикаторы компрометации (IOC), данные об уязвимости и используемых эксплойтах, конкретные способы атаки (техники, тактики, процедуры атакующих).
Есть другой стык — это Threat Intelligence (TI). Здесь уже речь о сборе технических данных, в том числе индикаторов компрометации (IOC), способов атак, используемых эксплойтов и уязвимостей. Эти данные предоставляются в виде фида конечному потребителю. Однако Threat Iintelligence не занимается тем, чем занимается OSINT.
К примеру, возьмём шифрование жёсткого диска группой злоумышленников. Эта группа скинула жертвам в качестве средства взаимодействия аккаунт в каком‑то мессенджере и, возможно, Bitcoin‑кошелёк. Threat Intelligence не сможет рассказать только на основе аккаунта в мессенджере и, возможно, «чистого» (т. е. такого, которым ни разу не пользовались при вредоносных активностях) Bitcoin‑кошелька, кто стоит за атакой, каковы конечные цели атакующего (политические или банально заработать денег) и как снизить риски атак этой группой на другую компанию.
Как раз на границе Threat Iintelligence и OSINT рождается киберразведка. Она берёт немного из OSINT и по максимуму из Threat Iintelligence. Почему из Threat Iintelligence берётся больше, чем из OSINT? Потому что в последнем есть очень много направлений. O SINT включает и научно‑техническую разведку, и разведку, связанную с визуальными образами, и многое другое. Киберразведке интересно только несколько областей из большого количества направлений разведки по открытым источникам — в первую очередь, всё связанное со взаимодействием с людьми.
Первое — это HUMINT. Например, идёт общение, я могу задать какие‑то наводящие вопросы, получу на них ответы, и у меня появится некое представление о той предметной области, в которой общаемся — это будет HUMINT.
Далее, SOCINT — это разведка по соцсетям, когда мы пытаемся получить информацию на основе анализа профилей.
И ещё FININT — финансовая разведка. Тут в конкретном случае киберразведка ограничивается областью криптовалют, поскольку конечная цель — с помощью специализированных методов получить на основе данных Bitcoin-кошелька электронный почтовый адрес, который с ними ассоциирован (может быть, не конкретно к этому криптокошельку, а тому, который использовался при выводе фиатных денежных средств), либо другие данные, которые помогут установить профиль пользователя в соцсетях, в мессенджерах или ещё где-то, а также провести атрибуцию с известными киберпреступными группировками. На основе атрибуции можно вывести техники и тактики атакующих, понять, где (и какие) нужно искать признаки компрометации, используемые инструменты и иные значимые для реагирования и расследования данные, а также для предотвращения (снижения рисков) возможных атак.
Получается такое разделение:
— часть людей работает в сфере OSINT, они могут чуть глубже решать задачи;
— часть людей работает в сфере Threat Iintelligence (TI), они выявляют уязвимости, описывают их, собирают индикаторы компрометации, ищут эксплойты, формируют технические фиды;
— часть людей занимается аналитикой, они объединяют полученные данные двух предыдущих подразделений, составляют алгоритмы автоматизации рутинных задач.
— и есть отдельная часть людей, занимающихся разработкой. Они автоматизируют и предоставляют в удобочитаемом виде объединённые аналитиками данные, а также делают много другой важной работы по автоматизации обработки и упрощению работы аналитиков. На выходе получается удобный, красивый, понятный отчёт для конкретного получателя.
Сколько вы занимаетесь киберразведкой?
Именно киберразведкой около года, это относительно новое направление, я им начал заниматься, когда пришёл в «Ростелеком‑Солар».
До этого я занимался около семи лет чисто техническим отражением атак в различных организациях. O SINT был для меня как хобби — что‑то найти, что‑то посмотреть. Идея и запрос соединить техническую часть и разведку по открытым источникам возникли уже в нынешней компании.
То есть в целом эта область новая?
В целом да, эта область новая не только для «Ростелеком‑Солар», но и вообще по стране.
Опишите примерно стандартный кейс в киберразведке.
Здесь можно и на несколько фаз разделить. Первая — это рутина, когда начинается исследование всех доступных нам источников на предмет наличия в них любых утечек данных. Вторая — отдельный автоматизированный процесс. Он собирает всевозможные данные о любых уязвимостях, эксплойтах к ним и способах их эксплуатации. И третья фаза — тоже автоматизированный процесс. Он собирает данные от вендоров — различные отчёты — и находит в них индикаторы компрометации.
Это просто фоновые задачи.
Далее уровнем выше — типичный кейс. Заказчик говорит — есть подозрение, что его взломали, надо посмотреть, есть ли где‑то намёк на слив данных. И тут вступает киберразведка и начинается поиск, исходя из существующей базы данных. Либо начинается поиск руками по доступным ресурсам, попутно, возможно, открывая какие‑то новые, и накладывается на знания о периметре заказчика. Например, идёт аудит серверов, смотрящих вовне, какие на них есть потенциальные уязвимости и в какой области они применяются. Возьмём абстрактно — телеком. Прикидываем, кто им может интересоваться, и, исходя из этих знаний, появляется понимание, где его данные могут всплыть и кто заинтересован. Затем соединяем полученные данные и либо подтверждаем факт возможного взлома, либо находим доказательства (слитые базы данных, предложения о продаже и так далее), после чего уже начинают работать другие ИБ‑специалисты, либо не подтверждаем, после чего заказчик может успокоиться (хотя не всегда). Но работа не заканчивается, идёт фаза наблюдения, поскольку такие заявления на пустом месте не возникают.
Второй типовой кейс. В процессе ежедневного мониторинга выясняется, что произошла утечка данных заказчиков (не предположение, а именно свершившийся факт). Тут уже начинает работать традиционное оповещение (в том числе связанных организаций, если присутствуют какие‑то критичные данные), начинается проработка предположений, как заказчиков могли взломать.
И третий типовой кейс. Выявляется намерение атаковать кого‑то, пусть будет какая‑то абстрактная организация интересующей сферы. Чаще всего это не выходит за рамки простого обсуждения в чате какого‑то мессенджера или форума и выглядит так: «давайте мы просто атакуем и посмотрим», за которым ничего, кроме пустого разговора, нет. Однако может начать собираться конкретная команда с целью взлома конкретной организации.
Ну и четвёртый кейс, совсем специфический, необязательный: иногда надо провести какие‑то мероприятия, направленные на установку возможных продавцов этих данных, здесь уже специализированный отчёт идёт.
То есть получается, по большому счёту, это даже не киберразведка, а киберконтрразведка?
Можно сказать, что киберконтрразведка. Но если группировка ведёт работу над организацией в определённой сфере, скорее всего, соседняя организация с похожей конфигурацией тоже в зоне риска, и её можно предупредить о возможной атаке.
Расскажите о самом нестандартном для вас кейсе, пока вы занимались киберразведкой.
В начале они все были нестандартные. По прошествии года стали плюс‑минус стандартными.
Чаще всего появляются сообщения о взломе, которые надо в первую очередь проверить. Вокруг начинается паника: «большая важная организация России взломана», «мы все умрём». А наше расследование показывает: не взломали, а пощупали, и не сейчас, а 2 года назад, и скриншоты не настоящие, а нарисованные.
На такие кейсы уже вырабатывается привычка — так ярко выраженные нестандартные кейсы превращаются в стандартные.
Взломы бывают не только технические, но и с помощью методов социальной инженерии. Вы как‑то прорабатываете их, предвосхищаете?
Да, прорабатываем, у нас есть ряд проектов, в отношении которых злоумышленники могут создавать фишинговые ресурсы или фишинговые рассылки. Если такой ресурс находится, мы его стараемся разделегировать. Есть и отдельный сервис (Solar AURA), который в том числе обеспечивает полный цикл противодействия фишингу.
У вас есть такая услуга, как киберучение для компании, то есть когда к вам приходит компания: давайте вы нам покажете через социальную инженерию и через взлом по вашим кейсам, какие есть проблемы»?
Киберучения есть, их выполняет «Национальный киберполигон». Мы можем предложить сценарий, а коллеги его, в свою очередь, реализуют.
А внутри компании у вас бывают учения?
Разумеется. Детали говорить не буду, но если мы заказчику что‑то предлагаем, то сначала это у себя обкатываем.
Могли бы вы именно с вашей точки зрения дать краткое определение киберразведки?
С моей точки зрения, это скорее некий сплав между техническими признаками атаки и её проявлением в социальных сферах.
Будет интересно посмотреть через несколько лет, как разовьётся это направление. Как стык нескольких сфер наберёт теоретическую и практическую базу, станет отдельной мини‑отраслью.
Веста Матвеева — эксперт в области информационной безопасности компании Group-IB, признанной изданием Business Insider UK одной из 7 самых влиятельных мировых организаций в индустрии кибербезопасности. За 6 лет она провела десятки экспертиз — технических разборов инцидентов в роли криминалиста, после чего перешла в отдел расследования и раскрыла несколько дел.
Веста приехала в Университет Иннополис по приглашению преподавателей и студентов программы магистратуры Разработка безопасных систем и сетей в рамках курса CyberCrime and Forensics. Гостья прочла лекцию о том, как глобализируется киберпреступность, какие тактики и инструменты используются для атак на финансовые и промышленные организации и какими методами пользуются киберкриминалисты для борьбы с хакерами.
Работа
В Group-IB нельзя просто работать с 10 до 19. Перед нами стоит глобальная цель — борьба с преступностью. Мы помогаем бизнесу, государству и другим жертвам кибератак найти тех, кто стоит за преступлением, и довести злоумышленников до скамьи подсудимых. Работая с такими инцидентами каждый день, мы научились понимать, как думают злоумышленники, какие используют методы, тактику и инструменты для взлома. Этот опыт вкупе со знаниями определяет качество реагирования на инциденты информационной безопасности и масштаб последствий атаки. Поэтому я и мои коллеги проводим много времени на работе: обучаемся, читаем, изучаем, исследуем.
Если сравнить лабораторию компьютерной криминалистики, где я работала раньше, и отдел расследований, куда я перешла, то в криминалистике рабочий день менее нормирован. Специалисты там работают с инцидентами, происходящими в реальном времени: оперативно выезжают на место преступления, восстанавливают хронологию атаки, ищут скомпрометированные данные. Нельзя всё бросить и уйти домой, потому что рабочее время закончилось. Аналогичная схема работает во время проведения следственных мероприятий, когда мы, например, участвуем в обыске, исследуя информацию накопителей, образов, серверов с технической точки зрения. Тут всё доводится до конца: если нужно работать сутки — работаем сутки, если несколько дней — значит, несколько дней. Но в остальное время, когда не нужно спасать условный банк, мы работаем в обычном режиме, как все люди.
Проработав в криминалистике 6 лет, мне захотелось попробовать себя в сфере расследований. Здесь другая специфика работы — компьютерные преступления расследуются не быстро. Но и тут, конечно, мы задерживаемся, когда нужно оперативно помочь пострадавшей стороне. Например, к нам обращаются родители или правоохранительные органы, если ребёнок ушел из дома, для анализа его активности в социальных сетях и форумах, чтобы понять, с кем он общался, кто может знать о побеге и его предполагаемом месте нахождения. Другой пример — мощные DDoS-атаки на ресурсы электронной коммерции. Час простоя такого сайта может стоить компании сотни тысяч или миллионы рублей. Поэтому нам нужно оперативно установить источники атаки и блокировать её.
Однако, базовые подходы в нашей работе не меняются, но изменяются инструменты и то, что мы исследуем. Даже данные в операционных системах от версии к версии меняются: структура, формат, подходы. Если раньше все использовали ICQ, переписка в которой хранилась в открытом виде и при проведении экспертизы диска к ней можно было получить доступ, то сейчас многие мессенджеры используют шифрование. Это значительно усложняет получение так называемых цифровых доказательств.
Преступления
Хакер – собирательный образ. Говоря о преступлениях, этот термин используется для простоты лексики, но на самом деле так называют всех специалистов, которые знают, как обходить системы компьютерной безопасности. Самые серьезные преступники в этой сфере делятся на несколько категорий:
В 2010 году Equation Group заразила компьютеры в Иране, чтобы помешать производству ядерного оружия. Это был первый известный случай промышленной атаки, когда злоумышленники получили доступ к оборудованию Siemens, влияя на технологический процесс. Energetic Bear и Black Energy — две другие группы, работающие в области атак на промышленные объекты. Последняя создала инструмент Industroyer, позволяющий контролировать протоколы, по которым общается оборудование, и отправлять им команды. Их достижение — блэкаут на Украине, когда в некоторых регионах страны, отключилось электричества на 75 минут.
Самая крупная сумма хищения, в расследовании которого я участвовала как технический специалист — 700 млн рублей. Сначала деньги идут на оплату всех звеньев преступной группы, обеспечение, поддержку сервисов и инфраструктуры. Оставшуюся часть ключевые участники группы тратят на организацию своей безопасности и предметы роскоши – машины, яхты, квартиры. Лидер группы всегда осознает риски того, чем он занимается, знает, что к нему могут прийти с обыском в любую минуту, поэтому, я думаю, у него никогда не бывает ощущения полной безопасности.
В обысках и при задержании подозреваемого важна внезапность. Хакеры хорошо подкованы технически, и, если не застать их врасплох, они успевают активировать защиту данных на устройствах (например, шифрование), которую сложно обойти, или вовсе уничтожить данные.
Обычно задержание происходит рано, пока человек ещё не успел уйти из дома: в 6—7 утра, или, когда мы уверены, что он точно проснулся и включил компьютер, что зависит от специфики его работы. Если обыск происходит в компании, то оперативная группа приходит к открытию офиса. Методы задержания зависят от фантазии правоохранительных органов: в бизнес-центрах работать легко — достаточно показать, что вы с полицией и вам нужно в определённую компанию. Задержание физического лица — более сложная процедура, потому что подозреваемого нужно побудить открыть дверь, например, представиться курьером. Один раз на моей практике правоохранительные органы проникали в квартиру злоумышленника с крыши на тросах, ломая окна.
Расследования
Существуют злоумышленники, тщательно прорабатывающие техническую реализацию краж. Учитывают, как их будут искать, как работает механизм атаки, меняя способы проникновения. Такие сложные дела очень интересны нам — специалистам, и в моей практике выделяются два таких случая.
Первый случай произошёл в банке, из которого украли деньги. На первый взгляд — обычное дело: получение доступа к автоматизированному рабочему месту клиента Банка России. Такая схема использовалась несколькими группами, начиная с 2013 г. Но, несмотря на понимание всей схемы преступления, в ней было одно отличие. На одном из компьютеров сети хакеры запустили программу-червя, которая работала исключительно в оперативной памяти — сейчас это модно называть fileless (бестелесная программа). Таким образом, злоумышленники получили доступ к каждому компьютеру во всех филиалах организации. Другими словами, они устроили контролируемую бот-сеть внутри банка. Поэтому пока хотя бы один зараженный компьютер будет включён, он снова и снова будет заражать машины компании.
Фрагмент червя, передающегося в момент заражения в сетевом трафике
Встал логичный вопрос: как же почистить сеть? Испробовав технические способы, мы поняли, что лучшее решение в этой ситуации — единовременно выключить все компьютеры во всех филиалах банка, на что банк и согласился. Таким образом, мы добились очистки оперативной памяти, в автозагрузке червя не было. Это было уникальное мероприятие по масштабам. В обычной ситуации мы бы никогда не смогли сразу отключить работоспособность всех серверов компании.
Второй пример, который я считаю одним из интереснейших за время моей работы, — дело группы Cobalt — самой агрессивной и успешной хакерской группы последних лет. Она начала работать в России в 2016 году, атакуя банки и финансовые организации по всему миру. По данным Европола, за все время её работы ей удалось вывести со счетов жертв 1 млрд евро. В работе они использовали вполне легальный инструмент для тестов на проникновение Cobalt Strike. Получая доступ к компьютерам, они могли управлять даже теми машинами, которые не подключены к интернету. Это было не похоже на действия других преступных групп, с которыми мы сталкивались. Члены группы Cobalt постоянно изменяли локации атак, тестировали новые инструменты и почти 2 года оставались неуловимы для киберкриминалистов и правоохранительных органов. Лидера группы арестовали только этой весной в испанском Аликанте. Сейчас он ждет суда.
Инжектированный код полезной нагрузки, предоставляющий доступ по VNC
Расследование — длительный процесс. Самые долгие дела обычно связаны с крупными преступными группами, которые занимаются целевыми атаками, кражами денег через интернет-банк или мобильные приложения финансовых организаций. Они уделяют большое внимание тому, как скрыть свою личность — используют несколько цепочек серверов для доступа к ресурсам, применяют шифрование, постоянно переписывают программы для атак, чтобы обойти антивирусы и системы защиты периметра. Таких людей не найти по одному инциденту. Только по нескольким делам набирается материал, с которым можно работать, но даже тогда процесс поиска длится долго. Чтобы понять, кто стоит за преступлением, нужно полгода (а иногда и больше), ещё обычно более года необходимо для того, чтобы собрать доказательную базу для задержания и обыска.
Но бывает и наоборот. Самое быстрое расследование длилось всего один день. Нам сообщили, что злоумышленники получили доступ к серверам банка. Мы приехали на место и разбирались несколько часов до тех пор, пока не поняли, что один из отделов заказал тест на проникновение, о котором не знали другие. Такие тесты делаются, чтобы оценить защиту инфраструктуры компании. Знает о них обычно руководство, проверяя, как команда отработает ситуацию.
Иногда в работе мы утыкаемся в стену, но, по моему опыту, в ней есть дверь. Именно такие случаи не отпускают: приходишь домой и в своё свободное время ищешь выход из ситуации, думаешь, как распутать дело.
На моем опыте была экспертиза, в которой нужно было доказать, что злоумышленник действительно причастен к инциденту, потому что одно только наличие вредоносной программы на компьютере недостаточно для возбуждения уголовного дела. Этим пользуется защита подозреваемых, выстраивая позицию по принципу: программа не работала на компьютере или подозреваемый не подключался к ней во время инцидента. В этом деле журналы работы программы, предоставляющей удаленный доступ, в зашифрованном виде хранились какое-то время на компьютере жертвы, а потом отправлялись на сервер злоумышленника и удалялись.
Мне потребовалось несколько дней, чтобы понять, как решить задачу: восстановить из свободной области файловой системы журналы работы программы до зашифрования (фрагменты оперативной памяти). Повезло, что не перезаписался и момент инцидента. Это позволило мне доказать, что во время хищения денежных средств злоумышленник подключался к компьютеру параллельно с жертвой.
Наказание
В хакерских группах роли чётко распределены и дробятся, поэтому киберпреступление от начала до конца проводит не один человек. Только лидер группы знает всю схему преступления. Он нанимает помощников под определённые задачи: настроить сервер, написать и распространить программу, обеспечить защиту вредоносного софта от антивирусов. Такими людьми могут оказаться и обыкновенные мальчишки, интересующиеся информационными технологиями, иногда даже не подозревающие, что участвуют в преступной группе.
Как правило, с человеком связывается аноним и предлагает деньги за определённую работу по принципу: «Можешь настроить сервер? — Могу». Скорее всего, организатор и не скажет исполнителю, для чего нужен этот сервер.
Другое дело, когда человек разрабатывает программу, перехватывающую данные. Он знает, что её можно использовать в мошеннических целях. Иногда такие программы покупают у третьего лица и автор не информирован о том, как мошенники её используют: для перехвата пароля к аккаунту Вконтакте или данных банковской карты. Такая же история с человеком, который «криптует» программу от антивирусов — он должен осознавать, что для легальных целей такие программы не создаются. Человека, распространяющего программу, уже можно привлечь по 273 статье УК РФ.
Российское законодательство по уголовному преследованию людей, совершивших киберпреступление, требует доработки. Раньше за такие правонарушения чаще всего давали условные сроки, даже если хакеры похищали значительные суммы денег. Это не пугало и не мотивировало людей отказаться от того, чем они занимаются. С 2014 года положение дел стало лучше, после того как осудили Carberp на реальные большие сроки.
Карьера
Чтобы получить работу в компьютерной криминалистике, у человека должен быть технический бэкграунд. Я закончила МИФИ, факультет «Информационная безопасность», когда в России ещё не обучали криминалистике. Нам преподавали языки программирования, основы системного администрирования и защиты периметра. Мы изучали, как работают вредоносные программы и как преодолевать защитные механизмы операционных систем.
Человеку с техническим опытом, понимающему, как работают операционные системы, как построена сеть, как передаются, крадутся и защищаются данные, хватит знаний, чтобы устроиться на работу в сфере компьютерной криминалистики. При условии, что он углубится в специфику области. В нашей компании есть примеры, когда приходили люди и без технического образования — им было сложнее, потому что сперва пришлось освоить базовые знания.
Тем, кто интересуется криминалистикой, я советую к прочтению File System Forensic Analysis (Brian Carrier) — базовую книгу по работе файловых систем, что важно для области. Network Forensics (Sherri Davidoff) и The Art of Memory Forensics (Michael Hale Ligh) — еще две книги, которые должен изучить каждый уважающий себя криминалист. Для исследования мобильных устройств советую Practical Mobile Forensics (Oleg Skulkin).
Чтобы понимать, что происходит в криминалистике, необходимо читать статьи и блоги об успешных кейсах и личном опыте. Но не нужно ждать, что в интернете будут делиться секретами поимки хакеров — в рамках уголовных дел информация не распространяется. А о том, как люди анализируют данные, можно прочитать на международных и российских ресурсах: блог SANS Institute (также есть курс по криминалистике, выпускают книги и пишут статьи), ForensicFocus и Хабр.
Но самое интересное в моей работе — это решать «загадку»: придумывать нестандартные способы и мыслить нешаблонно, чтобы найти брешь в уловках злоумышленников.
Несколько слов об отраслевой специфике
Киберпреступность — это следствие всеобъемлющей цифровизации современного общества, требующее принятия адекватного противодействия со стороны государства. Она посягает на совершенно разные сферы жизни и общества — имущественные права граждан, объекты критической инфраструктуры, права личности, причиняют ущерб коммерческим организациям и государству в целом. При этом действия киберпреступников становятся все более агрессивными, они принимают меры к тщательному сокрытию следов, сохранению анонимности, продумывают свое поведение так, чтобы максимально осложнить сбор доказательств и избежать ответственности. Эти обстоятельства предопределяют правовую и фактическую сложность доказывания по таким делам.
«Традиционные подходы к расследованию преступлений не позволяют в полной мере противостоять этому качественно новому виду угроз. Необходимым условием успешной работы в этом направлении является понимание сотрудниками правоохранительных органов специфики функционирования киберсферы, ее трансграничного характера, умение работать в информационной среде, коммуницировать с представителями IT-компаний и другими специалистами, знать, как и где искать доказательства, как их фиксировать. И в конце концов грамотно построить диалог с участниками уголовного процесса, допросить свидетелей, подозреваемых и обвиняемых в совершении таких преступлений», — говорит Константин Комарда, руководитель отдела Следственного комитета Российской Федерации по расследованию киберпреступлений и преступлений в сфере высоких технологий.
Многочисленные учреждения, организации, коммерческие предприятия и частные лица внутри страны (и даже за ее пределами), включая органы уголовного правосудия и национальной безопасности, международные организации, частный сектор и организации гражданского общества, могут тем или иным образом участвовать в проведении расследований киберпреступлений.
На сегодняшний день преступления в сфере компьютерной информации являются одним из самых латентных видов преступлений. Процент выявления данного вида преступлений невелик, в том числе по причине того, что зачастую потерпевшим об их совершении ничего не известно либо становится известно лишь со временем. Так, к примеру незаконное копирование информации очень часто остается незамеченным, а введение в компьютер вируса обычно объясняется непреднамеренной ошибкой пользователя. Высокая степень латентности киберпреступлений связана также с тем, что сами пострадавшие (особенно если потерпевшими являются крупные коммерческие организации, банки) не спешат сообщать правоохранительным органам о факте совершения преступления, опасаясь подрыва деловой репутации.
Нежелание сообщать о преступлениях можно объяснить теорией ожидаемой полезности, выдвинутой экономистом Гэри Беккером (1968), которая гласит, что люди участвуют в каких-либо действиях, когда ожидаемая полезность (т.е. выгода) от этих действий превосходит ожидаемую полезность участия в других действиях (Maras, 2016). В контексте киберпреступности, жертвы киберпреступлений не сообщают о киберпреступлении, если ожидаемая полезность такого сообщения является низкой (Maras, 2016).
Проводимые в настоящее время исследования определяют для этого несколько причин, включая чувство стыда и смущения, испытываемые жертвами определенных видов киберпреступлений (например, романтической аферы); репутационные риски, связанные с преданием гласности факта совершения киберпреступления (например, если жертвой киберпреступления является коммерческое предприятие, или если есть угроза утраты доверия со стороны потребителей); отсутствие осознания того, лицо стало жертвой преступления; низкую степень уверенности или ожиданий в отношении способности правоохранительных органов оказать помощь; необходимость расходования слишком большого количества времени и усилий для сообщения о киберпреступлении; и отсутствие осведомленности о том, кому следует сообщать о киберпреступлениях (Wall, 2007; McGuire and Dowling, 2013; Tcherni et al., 2016; Maras, 2016).
Еще одной особенностью киберпреступлений является их трансграничность (иными словами, преступления в киберпространстве чаще всего не ограничены территорией одного государства). Ситуация, когда субъект преступления и потерпевший находятся в разных странах, требует международного сотрудничества. Некоторым препятствием к успешному взаимодействию правоохранительных органов будут особенности в системе внутреннего права разных государств, различная степень разработанности вопроса о киберпреступлениях на законодательном уровне. В настоящее время рядом государств уже были предприняты успешные попытки заключения международных соглашений о сотрудничестве при предупреждении и расследовании преступлений в киберпространстве. Но на сегодняшний момент отсутствует единый (хотя бы для большей части государств) глобальный нормативно-правовой акт, регламентирующий порядок борьбы с киберпреступностью.
Киберпреступность отличается также высокой степенью анонимности преступника. Существующие на сегодняшний день VPN/VPS-сервисы для анонимизации трафика, виртуальные номера мобильных телефонов, криптовалютные кошельки (создание которых не требует внесения паспортных данных) обеспечивают лицу возможность практически полностью скрыть свою личность. Даже если следствию удается идентифицировать то или иное электронное устройство в качестве орудия совершения преступления, установить причастность конкретного лица к совершению (посредством данного устройства) преступления часто становится затруднительно.
Одна из главных проблем расследования киберпреступлений связана с невозможностью точного применения к ним стандартного алгоритма расследования: следственные действия, закрепленные в уголовно-процессуальном законодательстве, при расследовании данного типа преступлений не будут обладать большой эффективностью. Например, осмотр места происшествия, которому обычно придается центральное значение, при расследовании преступлений в киберпространстве будет иметь ряд особенностей. Во-первых, возникает вопрос, что именно будет считаться местом преступления с процессуальной точки зрения (например, в случаях, когда преступником была совершена хакерская атака): место нахождения хакера во время атаки, место написания им вредоносной программы, адрес потерпевшего, место обналичивания денег (при совершении атак на финансовые организации), или какое-либо иное место?
Учитывая, что киберпреступления совершаются в так называемом «виртуальном пространстве», некоторые исследователи предлагают считать местом происшествия определенный диапазон виртуального (информационного) пространства. Даже если принять их точку зрения, то следствие сталкивается со следующей проблемой: как вообще возможно проведение осмотра места происшествия, если на киберпространство не распространяются географические (а, следовательно, и юридические) законы? Сама процедура осмотра места происшествия также сопряжена с рядом особенностей: традиционные методики криминалистической техники здесь безрезультативны, поскольку работа идет не с привычными следами, а электронными (их также называют «цифровыми следами» и выделяют две их разновидности: активные и пассивные следы. К первой категории относится информация, которую пользователь вводит самостоятельно: к примеру, ФИО, дата рождения в социальных сетях, личных кабинетах иных сайтов. А к группе пассивных следов относят следы, оставленные лицом ненамеренно, вследствие работы программного обеспечения).
Примерно также дела обстоят и со следственным экспериментом (с целью выяснения обстановки совершения преступления). При расследовании киберпреступлений данное следственное действие само по себе практически теряет свой смысл, поскольку изменения во внешней обстановке никак не влияют на изменения в кибернетическом пространстве (что и составляет суть киберпреступлений).
Даже такое следственное действие как допрос подозреваемого или обвиняемого в совершении киберпреступления сопряжено с рядом трудностей. Главная проблема здесь заключается в том, что подозреваемый/обвиняемый в процессе допроса практически всегда изъясняется специфическими терминами, трудно воспринимаемыми для человека без соответствующего образования и знаний в сфере компьютерных технологий. Следователю необходимо (с помощью привлечения соответствующего специалиста) перевести данные термины и выражения на юридический язык, при этом сделав их понятными для участников судопроизводства.
Присутствие специалиста во время допроса подозреваемого/обвиняемого может отрицательно сказаться на результатах допроса по ряду причин: во-первых, присутствие специалиста (как и присутствие любого третьего лица) осложняет налаживание психологического контакта между следователем и допрашиваемым лицом, а во-вторых, у подозреваемого/обвиняемого возникает понимание того, что следователь (ведущий производство по его делу) не понимает суть совершенного противоправного деяния и механизм его совершения (вследствие чего у лица возникает мысль о потенциальной возможности ввести следствие в заблуждение). Определенные трудности связаны и с допросом свидетелей. Это обусловлено тем, что основная масса свидетелей не имеет четкого понимания произошедшего вследствие отсутствия специальных знаний.
Практически всегда в рамках расследования дела о киберпреступлениях производится выемка техники (компьютера и периферийного оборудования, иных носителей электронной информации) с целью назначения экспертизы по данным объектам. Следователю на данном этапе приходится прибегать к помощи специалиста, поскольку изъятие и транспортировка данных объектов имеет ряд особенностей. При производстве выемки обязательно присутствие понятых, но они имеют представление лишь об изъятии носителя информации, а не о наличии той или иной криминалистически значимой информации на данном носителе. Также следует отметить, что процесс изъятия осложняется постоянным риском потери информации. Кроме того, процедура выемки осложняется тем, что следователю совместно со специалистом приходится решать вопрос об изъятии каждого конкретного предмета, исходя из необходимости полного и всестороннего исследования с одной стороны, и руководствуясь принципом обоснованной необходимости изъятия с другой стороны (так как компьютеры, мобильные телефоны, являются важными рабочими инструментами представителей многих профессий, и их изъятие на длительный срок может нанести существенный вред интересам лица).
Важным этапом расследования уголовных дел о киберпреступлениях будет назначение компьютерно-технической экспертизы. Вследствие того, что данный вид преступлений появился относительно недавно, количество экспертных учреждений, в которых имеются специалисты данной отрасли, невелико. Из-за этого возникает проблема высокой загруженности данных экспертных учреждений, что влечет за собой увеличение времени выполнения экспертиз. Также немаловажным аспектом назначения компьютерно-технической экспертизы будет постановка следователем грамотных вопросов эксперту, с чем возникают определенные трудности вследствие отсутствия у следователей специальных знаний в области компьютерной техники и информационных технологий.
Публикация подготовлена при поддержке юристов DRC.