Экспертный взгляд на цифровое правосудие

Введение: почему ваши глаза не видят лжи в SAP

Вы верите распечаткам из SAP? Напрасно. Скриншот из транзакции SE16 можно изменить за пять минут в любом графическом редакторе. Выгрузку в Excel — сформировать вручную. Акт сверки, «подписанный» электронной подписью, — скопировать из старого документа. Когда стороны приносят в суд противоречащие друг другу «доказательства» из одной и той же системы, судья оказывается в тупике. Кто врёт? Кто говорит правду? 🤔

Ответ есть. Он лежит не в интерфейсе SAP и не в красивых отчётах. Он лежит в redo-логах сервера баз данных, в транспортных запросах разработчика, в системных журналах SM21 и в каждом байте кода ABAP. Это область компьютерно-техническая экспертиза SAP для обращения с иском в суд — единственного инструмента, способного отделить цифровую истину от искусной лжи. Союз «Федерация судебных экспертов» представляет экспертный разбор этой сложнейшей области. Мы покажем три реальных кейса, где, казалось бы, безнадёжные иски превращались в уверенные победы, а фальсификаторы получали по заслугам. 🛡️

Глава 1. Компьютерно-техническая экспертиза SAP: что это такое с экспертной точки зрения

В судебной экспертизе существует множество родов и видов. Компьютерно-техническая экспертиза (КТЭ) SAP относится к роду «Компьютерно-техническая экспертиза», виду «Исследование программного обеспечения и данных». Это не «аудит информационной безопасности» и не «консалтинг по внедрению». Это процессуальное действие, имеющее чёткую правовую природу. 📜

Объекты КТЭ SAP:

Аппаратное обеспечение серверов (диски, RAID-массивы).

Системное программное обеспечение (ОС, драйверы).

Программное обеспечение СУБД (Oracle, MS SQL, HANA).

Программное обеспечение SAP (код ABAP, настройки, данные).

Журналы событий (SM21, системные журналы ОС, сетевые логи).

Задачи КТЭ SAP (с точки зрения истца):

Установить факт создания, изменения или удаления записей в базах данных SAP.

Восстановить удалённые или изменённые записи.

Установить личность пользователя, совершившего действия (по техническим следам).

Определить временную последовательность событий (timeline).

Выявить изменения в коде ABAP или настройках (SPRO).

Чего КТЭ SAP НЕ делает:

Не даёт правовой оценки действиям («виновен», «не виновен»).

Не оценивает экономическую целесообразность сделок.

Эксперт, проводящий компьютерно-техническая экспертиза SAP для обращения с иском в суд, должен обладать уникальным сочетанием знаний: SAP-специалиста, эксперта-криминалиста, администратора БД и знатока процессуального права. Таких специалистов — единицы. Союз «Федерация судебных экспертов» собрал их под своим крылом. 🧠

Глава 2. Экспертная оценка доказательств из SAP: почему стандартные выгрузки не имеют силы

Будучи экспертом, я настоятельно рекомендую истцам и их адвокатам НЕ полагаться на распечатки и скриншоты из SAP как на самостоятельные доказательства. Почему? Потому что они обладают нулевой доказательственной силой в случае, если ответчик заявляет об их фальсификации. 🚫

Слабые места «бумажных» доказательств из SAP (экспертная оценка):

Отсутствие метаданных. Распечатка не содержит информации о том, когда она была создана, кем и из какой именно системы (продуктивная, тестовая или «левая» копия).

Лёгкость фальсификации. Скриншот редактируется в Adobe Photoshop за 10 минут. Даже следы редактирования (EXIF) можно удалить.

Нет связи с журналами. Распечатка не привязана к LSN-номерам (для SQL Server) или SCN (для Oracle), поэтому нельзя проверить, существовала ли запись на момент X.

Нет доказательства неизменности. Никто не может гарантировать, что после создания распечатки данные в SAP не были изменены.

Что делать вместо этого? Ходатайствовать о назначении компьютерно-техническая экспертиза SAP для обращения с иском в суд, которая будет работать не с распечатками, а с образами дисков и низкоуровневыми журналами. Только так можно получить доказательства, которые невозможно опровергнуть. 💥

Глава 3. Кейс №1: «Исчезнувшие счета-фактуры» — как мы восстановили 230 млн рублей для истца

Фабула дела: ООО «Северный Альянс» (Истец) поставило в адрес АО «Южный Терминал» (Ответчик) крупную партию дизельного топлива. Ответчик оплату не произвёл, заявив, что счета-фактуры в его SAP (модуль SD) на этот объём не приходили, а представленные Истцом бумажные документы — подделка. Суд назначил компьютерно-техническая экспертиза SAP для обращения с иском в суд. ⚖️

Экспертное исследование (пошагово):

Получение образа сервера. Эксперты Союза выехали на территорию Ответчика, создали побитовый образ диска сервера SAP (СУБД Oracle) с использованием аппаратного write-blocker. Хеш-суммы зафиксированы.

Анализ redo logs Oracle. Были проанализированы все доступные redo log файлы за спорный период. Обнаружены тысячи записей INSERT в таблицу VBRK (шапки счетов-фактур). Данные в этих записях полностью совпадали с датами, суммами и контрагентами из документов Истца. 🧾

Обнаружение удаления. Через 5 дней после INSERT в тех же redo logs нашлись записи DELETE, удалявшие эти же строки. Пользователь, выполнивший DELETE, был зафиксирован в redo log как SAP_SD_ADMIN.

Восстановление удалённых записей (карвинг). Из before images (старых версий строк) эксперты полностью восстановили все удалённые счета-фактуры: номера, даты, суммы, контрагентов.

Анализ SM21. Системный журнал зафиксировал вход пользователя SAP_SD_ADMIN в ночное время в дни удаления. IP-адрес входа совпал с рабочей станцией менеджера по сбыту Ответчика.

Результат: Суд удовлетворил иск. Ответчик пытался заявить о «техническом сбое», но эксперты доказали, что сбой не может удалять данные выборочно и в интересах Ответчика. 230 млн рублей взысканы. Компьютерно-техническая экспертиза SAP для обращения с иском в суд сработала как детектор лжи. 🕵️

Глава 4. Экспертный анализ журналов транзакций СУБД: redo logs, LDF и WAL

Как эксперт, я утверждаю: самый ценный источник доказательств в SAP — это не прикладные журналы (SM21, CDHDR), а журналы транзакций на уровне СУБД. Почему? Потому что их сложнее подделать, и они фиксируют каждое изменение, даже сделанное в обход SAP. 🔐

4.1. Oracle redo logs

Что это: Файлы, в которые Oracle записывает каждое изменение данных перед тем, как оно будет применено.

Что фиксируют: LSN (Log Sequence Number), SCN (System Change Number), время, имя пользователя, SQL-запрос, старое и новое значение строки.

Как использовать для иска: Поиск INSERT/UPDATE/DELETE по целевым таблицам (BSEG, MSEG, VBRK, EKKO). Восстановление из before images.

4.2. MS SQL Server LDF-файлы

Аналог redo logs. Анализ через fn_dblog или ApexSQL Log.

Особенность: Может быть обрезан при настройке Simple Recovery. Истец должен требовать Full Recovery.

4.3. SAP HANA redo logs

Закрытый формат. Требует reverse engineering. Эксперты Союза разработали собственные скрипты на Python для анализа HANA redo logs.

Особенность: In-memory архитектура, но critical operations всегда пишутся в redo log.

Экспертное правило: Никогда не ограничивайтесь анализом прикладного уровня. Всегда требуйте доступа к redo logs/LDF/WAL. Это золотое правило компьютерно-техническая экспертиза SAP для обращения с иском в суд. 🥇

Глава 5. Кейс №2: «Секретная формула себестоимости» — как мы нашли закладку в коде ABAP

Ситуация: Миноритарный акционер ООО «ТехноПром» (Истец) обратился в суд с иском к генеральному и финансовому директорам (Ответчики) о взыскании убытков в размере 180 млн рублей. Истец утверждал, что ответчики через манипуляции в SAP CO (Controlling) искусственно завышали себестоимость продукции, выводя разницу. Внутренний аудит ничего не нашёл. Суд назначил компьютерно-техническая экспертиза SAP для обращения с иском в суд. 📈

Экспертное расследование:

Анализ транспортных запросов (таблицы E070/E071). Эксперты выгрузили историю транспортных запросов за последние 2 года. Обнаружили запрос Z_CO_CALC_MANIP, созданный за месяц до начала роста себестоимости. Владелец запроса — DEV_PETROV (подчинённый финансового директора).

Извлечение и анализ кода ABAP. Из объекта ZCO_CALC (программа расчёта себестоимости) был извлечён исходный код. Сравнение с эталонной версией (из системы разработки) показало добавление кода:

abap

IF material-group = ‘Z_HIDE’.

cost = cost * ‘1.35’.

ENDIF.

Это прямое доказательство намеренного завышения себестоимости на 35% для скрытой группы материалов. 🦠

Анализ данных в таблицах CO (COEP, COSS). Эксперты выявили, что для производственных заказов с материалами из группы Z_HIDE в поле WRTTP появились записи с нестандартным типом Z1, а суммы точно соответствовали 35% надбавке.

Анализ журналов SM21. Журнал зафиксировал выполнение транспортного запроса Z_CO_CALC_MANIP в продуктивной системе пользователем SAP_ADMIN (системный администратор), хотя владельцем был DEV_PETROV. Это указывает на сговор.

Результат: Суд удовлетворил иск, взыскал убытки с директоров солидарно. Экспертиза показала, что изменения в коде были внесены намеренно. Компьютерно-техническая экспертиза SAP для обращения с иском в суд вскрыла схему, спрятанную в дебрях ABAP. 🏭

Глава 6. Экспертный анализ транспортных запросов SAP: как прочитать историю изменений

Транспортные запросы в SAP — это не просто средство доставки изменений. Для эксперта это «чёрный ящик», в котором записана вся история разработки и настройки системы. 📦

Что такое транспортный запрос? Это набор инструкций, который перемещает объекты (программы, таблицы, представления, настройки) из одной системы (DEV → QAS → PROD). Каждый запрос имеет уникальный номер, автора, дату и время создания.

Таблицы, которые анализирует эксперт:

E070: Заголовки запросов. Поля: TRKORR (номер запроса), AS4USER (автор), AS4DATE (дата), AS4TIME (время), STRKORR (краткое описание).

E071: Объекты запроса. Поля: OBJECT (тип объекта, например, PROG — программа), OBJ_NAME (имя объекта).

Как использовать для иска:

Доказать, что вредоносный код был создан намеренно. Если описание запроса «Исправление ошибки», а изменяет код расчёта себестоимости — это улика.

Установить личность разработчика. Поле AS4USER — это реальный пользователь SAP.

Восстановить хронологию. По дате создания запроса и дате его переноса в PROD можно понять, когда начались манипуляции.

Ограничение: Записи из E070/E071 можно удалить. Но сам факт удаления (операции DELETE) останется в redo logs СУБД. «Заметание следов» — это тоже доказательство.

Глава 7. Кейс №3: «Машина времени в SAP» — экспертиза изменения дат в модуле MM

Обстоятельства: Арендодатель (Истец) расторг договор аренды с ритейлером (Ответчик) из-за долгов. Ответчик предъявил встречный иск о взыскании переплаты, предоставив выгрузку из SAP (модуль MM), где даты приходных накладных были изменены на более ранний период, создавая видимость переплаты. Истец заявил о фальсификации и ходатайствовал о назначении компьютерно-техническая экспертиза SAP для обращения с иском в суд. 🏢

Экспертное исследование (СУБД MS SQL Server):

Анализ LDF-файлов. Эксперты проанализировали LDF-файл базы данных SAP ответчика. Были обнаружены тысячи операций UPDATE для таблицы MSEG (проводка движения материалов). Старое значение поля BUDAT (дата документа) соответствовало реальным датам поступления товара (период, когда долг уже был), новое значение — более ранним датам. ⏰

Анализ имени приложения и пользователя. В LDF-файле в поле ClientApplicationName значилось «Microsoft SQL Server Management Studio» — прямое вмешательство в обход SAP. Пользователь — sa (администратор SQL).

Анализ журнала регистрации SAP (CDHDR/CDPOS). Для таблицы MSEG механизм отслеживания изменений был отключён. Это грубая аномалия, указывающая на подготовку к манипуляциям.

Анализ системных журналов Windows Security. В Event Logs обнаружены события входа 4624 для учётной записи sa с IP-адреса, принадлежащего рабочей станции главного бухгалтера Ответчика.

Результат: Суд отказал в удовлетворении встречного иска и взыскал с Ответчика задолженность по аренде. Компьютерно-техническая экспертиза SAP для обращения с иском в суд доказала, что «технический сбой» не может избирательно изменять даты в пользу Ответчика. ⚖️

Глава 8. Экспертная оценка системного журнала SM21: что можно и что нельзя доказать

Системный журнал SM21 — важный, но не единственный источник. Эксперт должен знать его сильные и слабые стороны. 📟

Что SM21 даёт эксперту:

Входы пользователей. Показывает, кто, когда и с какого терминала (IP-адреса) заходил в систему.

Выполнение транзакций. Фиксирует, какие транзакции (например, SE16, SE38) запускал пользователь.

Системные ошибки. Может указать на сбои, связанные с доступом к данным.

Попытки несанкционированного доступа. Неудачные входы, ошибки авторизации.

Чего SM21 НЕ даёт:

Изменения через прямой SQL. Если ответчик изменяет данные через SQL Management Studio или HDBSQL, SM21 об этом молчит.

Детали изменённых данных. SM21 покажет, что пользователь открыл транзакцию SE16, но не покажет, какие именно строки и в каких таблицах он изменил.

Гарантию неизменности. SM21 можно очистить или архивировать.

Экспертное правило: Используйте SM21 для построения временной линии (кто и когда заходил) и для выявления аномалий (входы в нерабочее время). Но для доказательства фальсификации данных всегда дополняйте SM21 анализом redo logs. Это правило компьютерно-техническая экспертиза SAP для обращения с иском в суд работает безотказно. 🧩

Глава 9. Экспертное сравнение SAP на HANA, Oracle и MS SQL Server для целей иска

В зависимости от того, на какой СУБД работает SAP вашего оппонента, меняются возможности и сложность экспертизы. Эксперты Союза владеют всеми тремя. 🔄

Экспертный совет истцу: Не позволяйте аргументу «у нас HANA, там ничего не найти» ввести вас в заблуждение. Следы есть везде. Но для HANA выбирайте экспертов, которые уже имеют опыт работы с этой СУБД. Компьютерно-техническая экспертиза SAP для обращения с иском в суд на HANA — наша специализация.

Глава 10. Экспертный анализ кода ABAP: как отличить ошибку от закладки

В спорах о манипуляциях с бизнес-логикой (себестоимость, ценообразование, скидки) ключевым доказательством становится код ABAP. Эксперт должен не просто «посмотреть код», а провести его сравнительный анализ. 💻

Методика экспертного анализа ABAP:

Извлечение кода из продуктивной системы (через транзакцию SE38 или SE80). Сохранение в текстовый файл.

Поиск эталонной версии. Если используется хранилище конфигурации — извлекаем версию за период до предполагаемых манипуляций. Если нет — сравниваем с типовой поставкой SAP (notes.sap.com) или с системой разработки.

Сравнение кода (diff). Используем утилиты diff (Linux) или встроенный компаратор SAP. Ищем блоки кода, которых не было в эталоне.

Анализ семантики. Эксперт, владеющий ABAP, определяет, что делает добавленный код. Если это условие IF user = ‘HACKER’ или умножение себестоимости на коэффициент — это «закладка».

Поиск обфускации (запутывания). Некоторые злоумышленники пытаются скрыть вредоносный код через вызовы динамических программ или длинные цепочки. Эксперты Союза обучены распознавать такие техники.

Пример вредоносного кода (выявлен в одном из наших кейсов):

abap

DATA: lv_coeff TYPE p DECIMALS 2.

SELECT SINGLE low FROM zco_params INTO lv_coeff WHERE name = ‘COEFF’.

IF sy-subrc = 0.

cost = cost * lv_coeff.

ENDIF.

Параметр COEFF хранился в отдельной таблице ZCO_PARAMS и был установлен в 1.35. Никаких бизнес-обоснований для этого не было.

Глава 11. Экспертная оценка действий ответчика по уничтожению следов: это тоже доказательство

Ответчик, уничтожая следы, часто оставляет новые, ещё более явные улики. Эксперт должен уметь их находить. 🚮

Что считается «заметанием следов» (с экспертной точки зрения):

Очистка журнала регистрации SAP (таблицы CDHDR/CDPOS).

Очистка системного журнала SM21 (или его архивация за спорный период).

Отключение аудита на уровне СУБД (например, переключение базы в режим NOARCHIVELOG для Oracle).

Удаление транспортных запросов из E070/E071.

Перезапись redo logs (циклическое использование) сразу после подозрительных операций.

Как эксперты фиксируют «заметание следов»:

Сравнивают даты последней очистки с датами спорных событий.

Анализируют, какие именно журналы очищены, а какие нет. Если очищен только журнал изменений для таблиц BSEG, а для других — нет, это явное указание на целенаправленное действие.

Изучают системные журналы ОС (Windows Event Logs, syslog), которые часто забывают очистить.

Экспертное правило: В компьютерно-техническая экспертиза SAP для обращения с иском в суд сам факт уничтожения следов является самостоятельным доказательством недобросовестности ответчика. Суды учитывают это при распределении бремени доказывания (ст. 10 ГК РФ — злоупотребление правом). ⚖️

Глава 12. Экспертная тактика: как сформулировать вопросы для КТЭ SAP, чтобы получить нужные ответы

Юристы часто формулируют вопросы так, что эксперт не может на них ответить, а суд — принять. Исправьте эти ошибки. 📝

Плохой вопрос (оценочный, правовой):
«Были ли манипуляции с данными в SAP со стороны ответчика?»

Почему плохо: Эксперт не отвечает на вопрос «были ли манипуляции» (оценочное понятие) и не может указать на «сторону ответчика» (правовая квалификация).

Хороший вопрос (фактический, технический):
«Имеются ли в системе SAP ERP ООО «Ромашка» (на базе СУБД SAP HANA) за период с 01.01.2024 по 31.03.2024 технические признаки (в журналах повтора HANA, системном журнале SM21, таблицах изменений CDHDR/CDPOS или транспортных запросах) модификации или удаления записей о поступлении товара по документам прихода №№ 450000001-450000100 (таблица MSEG), и если да, то восстановить эти записи с указанием даты, контрагента, номенклатуры и количества, а также установить учётную запись, с которой были выполнены операции модификации/удаления?»

Почему хорошо: Конкретно, измеримо, воспроизводимо. Эксперт знает, что искать. Суд может проверить.

Экспертный совет: прежде чем подавать ходатайство, проконсультируйтесь с экспертом. Мы поможем сформулировать вопросы так, чтобы они были и технически корректны, и процессуально значимы. Компьютерно-техническая экспертиза SAP для обращения с иском в суд начинается с правильных вопросов. 🎯

Глава 13. Экспертное заключение как доказательство: требования к содержанию

Чтобы заключение эксперта было принято судом, оно должно соответствовать определённым требованиям (ст. 86 ГПК, ст. 86 АПК). Как эксперт, я перечислю ключевые элементы, на которые судья обращает внимание. 📄

Структура экспертного заключения (обязательные разделы):

Вводная часть: номер дела, дата, место, основание для проведения экспертизы (определение суда), предупреждение об ответственности по ст. 307 УК РФ, данные об эксперте, перечень вопросов.

Исследовательская часть:

Подробное описание объектов экспертизы (серверы, образы дисков, файлы).

Описание методов (как создавался образ, какие хеш-суммы, какие утилиты использовались).

Пошаговое изложение анализа (как искали, что нашли, как восстановили).

Ссылки на научно-методическую литературу (публикации, ГОСТы).

Выводы: Чёткие, однозначные ответы на каждый поставленный вопрос. Без «возможно», «вероятно», «скорее всего». Если что-то не удалось установить — так и пишут.

Приложения: Копия определения суда, CD/DVD с образами и логами, иллюстративные материалы.

Экспертное правило: Заключение должно быть написано понятным для суда языком, но с сохранением научной точности. Судья — не программист, но он должен увидеть логику эксперта. Компьютерно-техническая экспертиза SAP для обращения с иском в суд от Союза «Федерация судебных экспертов» всегда соответствует этим стандартам. 🏆

Глава 14. Экспертная оценка рисков: когда экспертиза SAP может не помочь

Честно скажем: есть случаи, когда даже самая качественная экспертиза бессильна. Знайте о них, чтобы не тратить деньги. ⚠️

Ситуации, когда КТЭ SAP невозможна или бесполезна:

Уничтожение сервера. Если ответчик физически уничтожил сервер SAP и все резервные копии, следов нет. (Но это преступление само по себе).

Длительное время. Если прошло более 6-12 месяцев, а redo logs не сохранялись (циклическая перезапись), восстановить историю может быть невозможно.

Система в облаке без доступа. Если SAP находится в облачном провайдере, который отказывается предоставить доступ к redo logs, а суд не может его обязать (проблемы юрисдикции), экспертиза ограничится только прикладными журналами.

Отсутствие компетентного эксперта. Если вы обратитесь к «специалисту», который не знает разницы между BSEG и BKPF, он не найдёт следы даже там, где они есть.

Что делать в этих случаях: Обращаться к нам как можно раньше. Чем раньше мы начнём, тем выше шансы сохранить следы. Компьютерно-техническая экспертиза SAP для обращения с иском в суд максимально эффективна, когда проводится в кратчайшие сроки после инцидента. ⏱️

Глава 15. Заключение эксперта: компьютерно-техническая экспертиза SAP — ваш ключ к справедливости

Подводя итог этому экспертному разбору, я, как представитель Союза «Федерация судебных экспертов», хочу подчеркнуть главное: в эпоху цифровой экономики судебные споры выигрываются не красноречием адвокатов, а железобетонными доказательствами, извлечёнными из недр корпоративных систем. Компьютерно-техническая экспертиза SAP для обращения с иском в суд — это не просто техническая услуга. Это стратегический актив, который может стоить миллиардов. 💰

Мы показали три реальных кейса, где истцы, вооружённые нашей экспертизой, разгромили позиции ответчиков. Мы разобрали методы: анализ redo logs, карвинг, транспортные запросы, код ABAP, системные журналы. Мы честно указали на риски и ограничения.

Если вы истец, готовящий иск к контрагенту, использующему SAP, не надейтесь на удачу. Не верьте распечаткам. Требуйте судебную экспертизу. Требуйте глубокого low-level анализа. Требуйте профессионалов.

Союз «Федерация судебных экспертов» — это команда, которая говорит на языке SAP. Мы не боимся HANA, ABAP, Oracle или MS SQL. Мы находим следы там, где другие видят пустоту. Мы превращаем цифровой хаос в стройную картину преступления.

Доверьтесь нам. Начните с ходатайства. Выиграйте дело.

📌 Наш сайт: https://kompexp.ru/

Статья подготовлена экспертами Союза «Федерация судебных экспертов» на основе реальных экспертиз, проведённых по определениям арбитражных судов, судов общей юрисдикции и постановлениям следователей. Все технические методы соответствуют действующим рекомендациям и рецензируемым научным работам. Кейсы приведены с сохранением конфиденциальности.