♦️ Экспертиза обстоятельств использования компьютера: полный перечень цифровых доказательств

📌 Введение: от полноты исходных материалов зависит успех экспертизы

Экспертиза обстоятельств использования компьютерных средств — это сложное, многоаспектное исследование, направленное на установление фактов, связанных с действиями пользователя (или нескольких пользователей) за компьютером, ноутбуком, сервером, мобильным устройством или в облачной среде. От того, насколько полно и корректно будут собраны и переданы эксперту цифровые доказательства и носители информации, напрямую зависят полнота, достоверность и доказательственная сила заключения.
Любое упущение — отсутствие жесткого диска, непредоставление логов, использование копий вместо оригиналов — может привести к тому, что экспертиза не сможет ответить на поставленные вопросы, либо ее выводы будут оспорены в суде как неполные или необоснованные.
Настоящая консультация подготовлена в научно-юридическом стиле и содержит исчерпывающий перечень цифровых доказательств и носителей информации, необходимых для успешной экспертизы обстоятельств использования компьютера и фиксации всех действий пользователя. Также даны практические рекомендации по их сбору, упаковке и передаче эксперту.

Глава 1. Физические носители информации: «тело» доказательства 💾

Наиболее очевидная, но далеко не единственная категория — это физические устройства, на которых хранится или хранилась информация.

1.1. Стационарные и мобильные компьютеры 💻

Носитель	Что дает эксперту	Особенности изъятия
Системный блок (ПК)	Полная информация о работе пользователя: операционная система, установленные программы, файлы, логи, история браузера, временные файлы, артефакты удаленной деятельности	Не рекомендуется извлекать жесткий диск самостоятельно без участия эксперта. Лучше передавать весь блок в сборе
Ноутбук	Те же данные, что и у ПК, плюс информация о работе от батареи, автономности, подключении к док-станциям	Упаковать в антистатический пакет; жесткий диск часто неотделим от корпуса (передавать целиком)
Нетбук, моноблок	Аналогично	Аналогично

1.2. Серверы и сетевое оборудование 🖥️

Если инцидент связан с работой корпоративной сети или серверов, предметом экспертизы могут стать:

Носитель	Что дает эксперту
Сервер (файловый, почтовый, веб-сервер, терминальный сервер)	Логи подключений пользователей, записи о доступе к файлам, почтовые базы, журналы веб-сервера, данные об использовании корпоративных приложений (1С, SAP, CRM)
Сервер баз данных (MS SQL, PostgreSQL, Oracle)	Журналы транзакций, записи об изменениях данных (кто, когда, что изменил), SQL-запросы
Сетевое оборудование (маршрутизатор, коммутатор, межсетевой экран)	Логи сетевых подключений, IP-адреса, порты, время соединений, данные о NAT (трансляции сетевых адресов)

1.3. Внешние накопители и периферия 💿

Носитель	Что дает эксперту
Внешний жесткий диск (USB-HDD, USB-SSD)	Данные, скопированные с компьютера или на компьютер; возможность анализа файловой системы на предмет следов подключения к конкретному ПК
Флеш-накопитель (USB-flash)	Те же, что у внешнего HDD, плюс малый объем помогает восстанавливать удаленные данные быстрее
Карта памяти (SD, microSD)	Данные с мобильных устройств, фотоаппаратов, планшетов
Оптические диски (CD, DVD, Blu-ray)	Записанные файлы, метаданные записи (программа, время)
Принтер, МФУ (с жестким диском)	Журнал печати, кэш распечатанных документов, сведения о пользователях, отправивших файлы на печать

1.4. Мобильные устройства 📱

Смартфоны и планшеты — самостоятельные источники цифровых доказательств:

Носитель	Что дает эксперту
Смартфон (iOS, Android)	История звонков, SMS/MMS, переписка в мессенджерах, геолокация, история браузера, фотографии, видео (включая удаленные), данные об установленных приложениях
Планшет	Аналогично смартфону

Глава 2. Цифровые данные, извлеченные из носителей (образы, дампы) 📀

Физический носитель — это «черный ящик». Эксперт работает не с ним напрямую, а с его криминалистической копией (образом, дампом). Создание образа — обязательный этап, обеспечивающий неизменность оригинала.

2.1. Образ жесткого диска (full disk image) 🖨️

Что это: побитовая (сектор-в-сектор) копия всего жесткого диска, включая служебные области, удаленные файлы, нераспределенное пространство.
Зачем нужен: Именно из образа эксперт восстанавливает удаленные данные, анализирует незашифрованные области, ищет скрытые контейнеры.
Формат: Обычно в формате E01 (EnCase), DD (raw), AFF, или VHD/VMDK (для виртуальных машин).

2.2. Образ оперативной памяти (RAM dump) 🧠

Что это: Дамп содержимого оперативной памяти (ОЗУ), снятый в момент работы компьютера.
Зачем нужен: Содержит ключи шифрования, запущенные процессы, несохраненные данные, сетевые соединения, пароли. Критически важен при расследовании атак программ-вымогателей, шифровальщиков.
Условие: Должен сниматься с включенного компьютера. После выключения данные теряются.

2.3. Образы виртуальных машин 💻

Что это: Файлы виртуальных машин (VMDK для VMware, VHD/VHDX для Hyper-V).
Зачем нужен: Многие корпоративные серверы работают на виртуализации. Эксперт анализирует образ виртуального диска, извлекая те же данные, что и с физического.

Глава 3. Системные и прикладные журналы (логи) 📜

Логи — это хронология событий, происходивших на компьютере. Они являются основой для восстановления последовательности действий пользователя.

3.1. Журналы операционной системы (Windows Event Logs) 🪟

Журнал	Идентификатор события	Что фиксирует
Security Log	4624, 4625, 4648, 4634	Успешные и неудачные входы в систему, смена паролей, изменения прав
System Log		События драйверов, загрузка системы, ошибки дисков
Application Log		Сбои приложений, ошибки, предупреждения
Setup Log		Установка и удаление программ, обновления
PowerShell Log		Запуск скриптов PowerShell (часто используется злоумышленниками)

3.2. Журналы приложений 📋

Источник	Что фиксирует
Браузеры (Chrome, Firefox, Edge)	История посещений, загрузки, куки, кэш, сохраненные пароли
Мессенджеры	Время отправки сообщений, участники, переданные файлы
Офисные пакеты (MS Office)	Открытие, редактирование, последнее сохранение файлов
Почтовые клиенты (Outlook, Thunderbird)	Время отправки/получения писем, вложения
Прокси-сервер, межсетевой экран	Все исходящие и входящие сетевые соединения с указанием IP и портов

3.3. Журналы СУБД (баз данных) 🗄️

Журнал транзакций (Transaction Log): Каждое изменение данных (INSERT, UPDATE, DELETE).
Журнал ошибок (Error Log): Сбои, предупреждения.
Журнал медленных запросов (Slow Query Log): Для выявления аномалий.

Глава 4. Метаданные файлов и временные метки (MAC-время) ⏰

Файловые системы (NTFS, FAT, APFS) хранят для каждого файла три временных метки:

Аббревиатура	Расшифровка	Значение для эксперта
M (Modified)	Время последнего изменения содержимого файла	Когда файл был отредактирован
A (Accessed)	Время последнего доступа (чтения или выполнения)	Когда файл был открыт (для чтения или запуска)
C (Created / Changed)	Время создания файла (или изменения метаданных)	Исходное время появления файла на диске

Анализ MAC-времени позволяет восстановить хронологию работы с документами: когда файл был создан, когда его открыли, когда сохранили изменения. Это критично для установления факта редактирования документа в определенный период.

Глава 5. Резервные копии (бэкапы) и облачные хранилища ☁️

Даже если данные удалены с основного компьютера, они могут сохраниться в резервных копиях или облаке.

5.1. Резервные копии (бэкапы)

Тип бэкапа	Источник
Системные (Windows Backup)	Встроенные средства Windows
Бэкапы стороннего ПО (Acronis, Veeam, Backup Exec)	Корпоративные системы резервного копирования
Теневые копии (Shadow Copies)	Встроенный механизм Windows; позволяет восстановить предыдущие версии файлов без полноценного бэкапа

5.2. Облачные хранилища и аккаунты 🌐

Сервис	Данные
Google Drive, Google Диск	Файлы, история версий, логи доступа
Microsoft OneDrive	Файлы, история версий, логи
Dropbox	Файлы, журнал активности
iCloud	Фото, видео, заметки, резервные копии iPhone
Яндекс.Диск, Облако Mail.ru	Аналогично

Предоставить доступ к облачным аккаунтам (логин, пароль) можно только при наличии судебного решения или добровольного согласия владельца. Эксперт работает с выгрузкой данных, полученной законным путем.

Глава 6. Данные сетевого трафика (PCAP-файлы) 🌐

При расследовании инцидентов, связанных с передачей данных по сети (утечки, атаки, несанкционированный доступ), необходимы:

Данные	Описание
Записи сетевого трафика (PCAP, PCAPNG)	Файлы, записанные с помощью сниффера (tcpdump, Wireshark, TShark)
Логи маршрутизатора / межсетевого экрана	IP-адреса, порты, время подключений
Логи прокси-сервера	URL-запросы пользователей
Логи DHCP-сервера	Выдача IP-адресов устройствам

Глава 7. Данные с мобильных устройств (для комплексной экспертизы) 📱

Если действия пользователя могли осуществляться также с мобильного телефона или планшета, следует предоставить:

Данные	Метод извлечения
Полный дамп памяти телефона (через ПО Cellebrite, Oxygen, UFED)	Физическое извлечение (требует разблокировки устройства или эксплойта)
Резервная копия iOS (iTunes, iCloud)	Если пароль резервной копии известен
Логи приложений мессенджеров (Telegram, WhatsApp, Viber, Signal)	Из файловой системы (после джейлбрейка или эксплойта)

Глава 8. Описание контекста инцидента и вопросы эксперту ❓

Без понимания контекста даже самый качественный анализ может быть направлен в неверное русло.

8.1. Что нужно предоставить эксперту в письменной форме 📄

Дату и время инцидента (или предполагаемый период).
Описание обстоятельств: что произошло, какие файлы исчезли/появились, кто имел доступ.
Список подозреваемых лиц (логины, имена компьютеров, IP-адреса).
Внутренние регламенты (например, Политика использования компьютерных средств, положения о коммерческой тайне, парольные политики).
Любые другие документы, которые могут содержать техническую информацию (акты, докладные, заявления).

8.2. Четко сформулированные вопросы для эксперта ❓

Плохая формулировка	Хорошая формулировка
«Кто удалил файлы?»	«Были ли удалены файлы X, Y, Z (перечень) с компьютера сотрудника A? Если да, то в какое время и из какой учетной записи?»
«Что делал пользователь?»	«Какие программы были запущены на компьютере сотрудника A в период с 10:00 до 12:00 15.03.2025? Какие веб-сайты посещались?»
«Была ли утечка?»	«Имеются ли следы копирования файлов (перечень) на внешние USB-накопители в период с 01.03.2025 по 15.03.2025? Если да, на какие носители?»

Глава 9. Как правильно изъять и упаковать носители (чтобы не испортить доказательства) 📦

Большинство ошибок происходит на этапе изъятия. Вот основные правила.

9.1. Общие правила 🛡️

Не включайте выключенный компьютер. Если компьютер включен — не выключайте его (особенно если на нем запущен процесс шифрования или важные программы). Лучше дождаться эксперта.
Не пытайтесь самостоятельно скопировать файлы или заглянуть в них. Каждое такое действие меняет временные метки и может уничтожить удаленные данные.
Не подключайте флешки, внешние диски и другие накопители к компьютеру-носителю доказательств.
Не запускайте антивирусную проверку или сканирование — это активные действия, которые могут изменить состояние системы.

9.2. Упаковка 📦

Жесткий диск (или системный блок) упаковывается в антистатический пакет (чтобы не повредить компоненты статическим электричеством).
Он помещается в картонную коробку с амортизатором (пузырчатой пленкой).
Коробка опечатывается бумажной лентой с подписями понятых (если изъятие происходит в рамках следственных действий).
На коробку наклеивается бирка: «Носитель информации по делу № X. Опечатано. ФИО, дата».

9.3. Документирование 📋

Составляется протокол изъятия (или акт приема-передачи), в котором фиксируется:

Что именно изъято (производитель, модель, серийный номер, объем).
В каком состоянии (включен/выключен, есть ли пароль).
Кто изымал, в чьем присутствии, кому передано.

Глава 10. Типичные ошибки при сборе доказательств и как их избежать ❌

Не предоставление логов и бэкапов, которые были в распоряжении. Сторона иногда «забывает» о существовании логов, которые могут быть невыгодны. Это грубое нарушение принципа полноты.
Передача копий низкого качества (пережатых скриншотов) вместо образов. Эксперт не может работать с картинкой, ему нужен оригинал файла.
Непредоставление паролей и ключей шифрования. Если компьютер зашифрован (BitLocker), предоставьте пароль (если он известен законным путем), иначе экспертиза остановится.
Самостоятельное включение выключенного компьютера «для проверки». Это может перезаписать следы в оперативной памяти и изменить временные метки.
Отсутствие документального подтверждения цепочки хранения (chain of custody). Если нет протокола изъятия, опечатывания, суд может исключить доказательства.

Заключение: подготовка к экспертизе — залог успеха 🎯

Полнота и корректность предоставленных цифровых доказательств и носителей информации напрямую определяют, сможет ли эксперт ответить на поставленные вопросы и насколько убедительным будет его заключение в суде. Перечень необходимых материалов широк: от физических устройств (компьютеры, серверы, флешки) до данных (образы дисков, дампы RAM, логи ОС и приложений, метаданные файлов, записи сетевого трафика, резервные копии и данные из облачных хранилищ).

Ключевой принцип — неизменность оригинала. Любое действие с носителем должно минимизироваться. Если у вас нет опыта в изъятии цифровых доказательств, лучше воздержаться и пригласить эксперта на место.

Для получения индивидуальной консультации по вашему конкретному случаю, определения точного перечня необходимых материалов и заказа экспертизы обращайтесь на наш сайт: https://fedexpertiza.ru/