Компьютерно-техническая экспертиза представляет собой самостоятельный род судебной инженерно-технической экспертизы, предметом которой выступают фактические данные, формируемые в процессе создания, обработки, хранения, передачи и уничтожения информации в компьютерных системах и на электронных носителях. Данная монография посвящена комплексному исследованию теоретических оснований, методологического аппарата, организационно-правовых и прикладных вопросов производства компьютерно-технической экспертизы. Работа адресована экспертам, специалистам в области судебной инженерии, а также лицам, назначающим экспертизы в рамках уголовного, гражданского, арбитражного и административного судопроизводства.
Раздел 1. Теоретические основы компьютерно-технической экспертизы
Компьютерно-техническая экспертиза занимает особое положение в системе судебных экспертиз, поскольку её объект — компьютерная информация — обладает свойством нематериальности при одновременной жёсткой привязке к материальному носителю. Это фундаментальное противоречие определяет всю теоретическую конструкцию рассматриваемого рода экспертизы и требует специального понятийного аппарата, отличающегося от аппарата классических инженерно-технических исследований.
Понятие и сущность компьютерно-технической экспертизы
Под компьютерно-технической экспертизой следует понимать производимое на основании постановления или определения уполномоченного субъекта процессуальное действие, состоящее в исследовании компьютерных средств, информационных систем и электронных носителей с целью установления обстоятельств, имеющих доказательственное значение. Сущность данной экспертизы раскрывается через единство трёх компонентов: технического (исследование аппаратного обеспечения), информационного (исследование данных) и программного (исследование алгоритмов и кода).
Компьютерно-техническая экспертиза не сводится к механическому осмотру техники. Её отличает процессуальная форма, специальный субъект — эксперт, обладающий специализированными познаниями, и особый метод — экспертный анализ, основанный на воспроизводимых и верифицируемых процедурах. Именно воспроизводимость результата является главным критерием доброкачественности экспертного заключения по компьютерно-технической экспертизе.
Предмет, объект и задачи экспертного исследования
Предмет компьютерно-технической экспертизы образуют фактические данные, устанавливаемые на основе закономерностей функционирования компьютерной техники, программного обеспечения и информационных процессов. Объекты исследования подразделяются на материальные (системные блоки, накопители, периферийные устройства, носители информации) и идеальные (информация, содержащаяся на носителях, следы её изменения).
Задачи компьютерно-технической экспертизы группируются следующим образом:
• определение технических характеристик и свойств компьютерных средств;
• установление фактов и обстоятельств работы устройств в определённый временной интервал;
• выявление следов применения программного обеспечения, в том числе в целях обхода средств защиты авторских прав;
• установление признаков использования техники для совершения операций, связанных с правонарушением;
• исследование данных на электронных носителях и восстановление удалённой информации;
• установление фактов сетевого взаимодействия и работы с удалёнными ресурсами.
Каждая из перечисленных задач требует собственного методического обеспечения и не может решаться универсальным инструментом. В этом заключается принципиальное отличие компьютерно-технической экспертизы от многих традиционных родов экспертиз, где типовые методики охватывают широкий класс объектов.
Место компьютерно-технической экспертизы в системе судебных экспертиз
Вопрос о месте рассматриваемого рода экспертизы в классификации судебных экспертиз остаётся дискуссионным. Компьютерно-техническая экспертиза тяготеет одновременно к инженерно-техническому классу, поскольку её объектами выступают технические устройства, и к классу экспертиз информации, поскольку конечным предметом познания являются данные. Наиболее обоснованной представляется позиция, согласно которой компьютерно-техническая экспертиза образует самостоятельный род в классе инженерно-технических экспертиз с выраженной информационной спецификой.
Такое понимание позволяет выстроить внутреннюю структуру рода через виды: аппаратная, программная, информационная и сетевая экспертизы. Указанное деление не является жёстким, поскольку реальные исследования, как правило, носят комплексный характер. Тем не менее оно задаёт ориентиры для разработки частных методик и подготовки экспертов соответствующего профиля.
Раздел 2. Методологические основания экспертного исследования
Компьютерно-техническая экспертиза опирается на развитую методологию, объединяющую общенаучные методы с частными техническими приёмами. Методология данного рода экспертизы должна обеспечивать полноту исследования, неизменность исходных данных и проверяемость полученных выводов. Нарушение любого из этих требований ставит под сомнение доказательственное значение заключения.
Общенаучные и частные методы
К общенаучным методам, применяемым в компьютерно-технической экспертизе, относятся наблюдение, измерение, описание, сравнение, эксперимент, моделирование и логический анализ. Специфика их применения состоит в том, что большинство измерений производится в цифровой среде, а эксперимент нередко осуществляется на виртуальных копиях, а не на оригиналах. Такой подход диктуется требованием сохранности объекта.
Частные методы образуют ядро экспертной технологии:
• метод побитового копирования носителей и создания образов;
• метод контрольных сумм для подтверждения неизменности образа;
• метод сигнатурного поиска для обнаружения следов удалённых файлов;
• метод хронологического анализа меток времени;
• метод корреляционного сопоставления журналов событий;
• метод статического и динамического анализа программного кода;
• метод восстановления данных на основе анализа файловой системы.
Сочетание перечисленных методов позволяет проследить жизненный цикл информации — от создания до удаления — и зафиксировать этот цикл в материалах экспертизы.
Порядок производства исследования
Порядок производства компьютерно-технической экспертизы включает несколько последовательных этапов. Первый этап — подготовительный: изучение постановления, уяснение вопросов, проверка пригодности объектов, определение необходимых средств. Второй этап — аналитический: создание образов носителей, фиксация контрольных сумм, поиск и извлечение значимой информации. Третий этап — синтезирующий: сопоставление полученных данных, формулирование промежуточных выводов. Четвёртый этап — заключительный: оформление заключения и приложений.
Особое значение имеет фиксация хода исследования. В компьютерно-технической экспертизе протоколирование должно быть настолько подробным, чтобы другой эксперт мог воспроизвести процедуру и получить идентичный результат. Это требование вытекает из принципа проверяемости экспертного знания и служит дополнительной гарантией достоверности выводов.
Обеспечение сохранности объектов и достоверности результатов
Сохранность объектов — краеугольный принцип компьютерно-технической экспертизы. Любое действие с оригиналом носителя способно изменить его состояние и обесценить доказательство. Поэтому генеральное правило состоит в том, что все исследования производятся на копиях, а оригинал остаётся неизменным. При невозможности копирования отдельных устройств эксперт обязан зафиксировать исходное состояние и обосновать необходимость непосредственного воздействия.
Достоверность результатов обеспечивается триангуляцией — перекрёстной проверкой выводов несколькими независимыми методами. Если, например, факт удаления файла подтверждается и записью в журнале файловой системы, и остаточными данными в неразмеченной области, вывод приобретает высокую степень надёжности. Напротив, вывод, основанный на единственном источнике, должен формулироваться с оговоркой о вероятностном характере.
Раздел 3. Объекты и вопросы компьютерно-технической экспертизы
Компьютерно-техническая экспертиза отличается исключительным разнообразием объектов, что предъявляет повышенные требования к компетентности эксперта и выбору средств исследования. В данном разделе систематизируются объекты и формулируются типовые вопросы, разрешаемые в рамках рассматриваемого рода экспертизы.
Технические средства как объекты исследования
К техническим средствам, исследуемым в рамках компьютерно-технической экспертизы, относятся:
• системные блоки персональных компьютеров и их комплектующие;
• мобильная компьютерная техника — ноутбуки, планшеты, смартфоны;
• серверное оборудование и системы хранения данных;
• периферийные устройства — принтеры, сканеры, многофункциональные устройства;
• внешние носители информации различных типов;
• кабели, адаптеры, коммутационное оборудование.
Исследование технических средств направлено на установление их идентификационных характеристик, работоспособности, конфигурации и следов эксплуатации. Отдельного внимания требует вопрос о совместимости устройств и о возможности выполнения тех или иных операций на конкретной конфигурации оборудования.
Программное обеспечение как объект исследования
Программное обеспечение в компьютерно-технической экспертизе исследуется в нескольких аспектах: как средство совершения действий, как охраняемый результат интеллектуальной деятельности и как носитель информации о событиях. Эксперт устанавливает наличие конкретных программ, дату их установки, версию, работоспособность и факты модификации.
Особую группу составляют исходные коды программ. Их анализ позволяет выявить заимствования, установить признаки обхода технических средств защиты и определить соответствие программы техническому заданию. При исследовании кода эксперт применяет методы статического анализа, а при необходимости — и контролируемого динамического запуска в изолированной среде.
Информационные данные и носители
Информационные объекты компьютерно-технической экспертизы включают документы, созданные средствами компьютерной техники, базы данных, мультимедийные файлы, журналы событий и служебные записи. Их исследование позволяет ответить на вопросы о времени создания, авторстве, способе изготовления и последующего изменения.
Носители информации выступают связующим звеном между материальным и идеальным. Эксперт обязан установить тип носителя, его ёмкость, файловую систему и состояние разметки. Сведения о файловой системе нередко имеют самостоятельное доказательственное значение, поскольку позволяют судить о характере действий пользователя.
Типовые вопросы к эксперту
Формулировка вопросов определяет границы исследования. В компьютерно-технической экспертизе типовые вопросы группируются по объектам.
По техническим средствам:
• подключались ли к устройству внешние носители и совершались ли с них операции копирования или удаления;
• подтверждается ли использование устройства в указанный период и какие процессы при этом выполнялись;
• изменялось ли системное время в интересующий интервал.
По программному обеспечению:
• имеется ли на устройстве указанное программное обеспечение и когда оно установлено;
• какая версия программы использована и находится ли она в работоспособном состоянии;
• защищены ли права автора программы и какими средствами;
• имели ли место операции, нейтрализующие защиту авторства;
• соответствует ли программа требованиям технического задания.
По файлам и базам данных:
• создан ли документ посредством компьютерной техники;
• имеются ли следы создания документа в памяти устройства;
• какова дата создания и внесения изменений, отправлялся ли документ на печать;
• возможна ли реставрация удалённых данных;
• с какой учётной записи создавался или удалялся документ.
По сетевым технологиям:
• использовалось ли устройство для выхода в сеть и посредством каких учётных данных;
• в какой интервал времени осуществлялась сессия;
• использовалось ли устройство для доступа к почтовому серверу и какая переписка велась;
• имеются ли сведения о доступе к системам дистанционного банковского обслуживания и о формировании платёжных документов.
Пределы компетенции эксперта
Компьютерно-техническая экспертиза имеет строгие пределы компетенции. Эксперт не вправе разрешать правовые вопросы, устанавливать виновность лиц и давать оценку доказательствам. Его задача — установить фактические обстоятельства, относящиеся к функционированию компьютерной техники и информационным процессам.
Выход за пределы компетенции делает заключение уязвимым для критики. Поэтому при постановке вопросов, требующих познаний из смежных областей, назначается комплексная экспертиза с привлечением специалистов соответствующего профиля. Разграничение компетенции — условие доброкачественности экспертного заключения.
Раздел 4. Аппаратная экспертиза компьютерных средств
Компьютерно-техническая экспертиза в части аппаратного исследования направлена на изучение материальной составляющей компьютерных средств. Аппаратная экспертиза позволяет установить конфигурацию устройства, его работоспособность, следы вскрытия и замены компонентов, а также соответствие заявленным характеристикам.
Исследование конфигурации и идентификационных признаков
Исследование конфигурации начинается с фиксации внешнего состояния устройства и его идентификаторов. К идентификационным признакам относятся серийные номера, маркировки производителя, уникальные идентификаторы компонентов. Их сопоставление позволяет установить факты замены узлов и подмены оборудования.
В рамках компьютерно-технической экспертизы применяется метод сопоставления сведений, хранящихся в энергонезависимой памяти, со сведениями, нанесёнными на корпус. Расхождение этих данных служит признаком вмешательства. Эксперт обязан отразить выявленные расхождения в заключении и указать возможные причины.
Диагностика работоспособности и следов эксплуатации
Диагностика компьютерно-технической экспертизы включает проверку запуска устройства, тестирование накопителей, оценку состояния системы охлаждения и блока питания. Следы эксплуатации фиксируются по состоянию разъёмов, наличию пыли, износу механических частей и по данным журналов самотестирования.
Отдельно исследуются следы вскрытия корпуса: нарушение пломб, повреждение крепёжных элементов, нештатные подключения. Такие следы могут свидетельствовать о попытках изъятия накопителя или установки устройств съёма информации. Фиксация этих обстоятельств имеет значение для оценки достоверности данных, обнаруженных на носителе.
Исследование мобильных устройств
Мобильные устройства занимают особое место в компьютерно-технической экспертизе в силу их конструктивных особенностей. Защита от несанкционированного доступа, шифрование хранилища и агрессивная политика обновления создают существенные трудности для извлечения данных. Эксперт должен выбрать корректный уровень извлечения: логический, файловый или физический.
При исследовании мобильных устройств критически важно исключить самопроизвольное изменение данных. Для этого применяются изолирующие контейнеры и режимы, блокирующие сетевые интерфейсы. Нарушение этого требования приводит к утрате доказательственной информации и делает выводы недостоверными.
Раздел 5. Программная экспертиза и исследование кода
Компьютерно-техническая экспертиза программного обеспечения направлена на установление свойств программ, фактов их установки и использования, а также на выявление признаков нарушения прав на результаты интеллектуальной деятельности. Данное направление требует от эксперта познаний в программировании, теории алгоритмов и защите информации.
Установление фактов инсталляции и использования
Установление фактов инсталляции опирается на анализ журналов установки, реестра, списков автозагрузки и файловых артефактов. В компьютерно-технической экспертизе применяется сопоставление нескольких независимых источников: записи установщика, даты создания каталогов, ссылки в системных журналах.
Дата установки не всегда совпадает с датой первого запуска. Эксперт обязан разграничивать эти события и указывать, на каких данных основан каждый вывод. При отсутствии прямых свидетельств допускается формулирование вывода в вероятностной форме с указанием условий, при которых он был бы достоверным.
Анализ исходного кода и выявление заимствований
Анализ кода в рамках компьютерно-технической экспертизы включает изучение структуры программы, алгоритмов, идентификаторов и комментариев. Выявление заимствований производится путём сопоставления фрагментов кода, анализа последовательности операций и оценки стилистических особенностей.
Эксперт должен учитывать, что совпадение отдельных конструкций не свидетельствует о копировании, поскольку стандартные приёмы программирования повторяются в независимо созданных программах. Достоверный вывод о заимствовании требует установления совпадения существенных, нетривиальных элементов, совокупность которых исключает случайное совпадение.
Исследование средств обхода защиты
Отдельную задачу образует исследование программ, предназначенных для нейтрализации технических средств защиты. В компьютерно-технической экспертизе такие программы исследуются на предмет наличия функций обхода, модификации защищённых файлов и эмуляции лицензионных механизмов.
Эксперт устанавливает, какие именно механизмы защиты затрагиваются, каким способом осуществляется воздействие и какие следы это оставляет в системе. Полученные данные позволяют судить о характере действий пользователя и о последствиях применения подобных средств.
Раздел 6. Информационная экспертиза данных и носителей
Компьютерно-техническая экспертиза данных направлена на извлечение, интерпретацию и оценку информации, содержащейся на носителях. Данное направление наиболее востребовано практикой, поскольку именно информационные следы чаще всего имеют доказательственное значение.
Создание образов и работа с копиями
Создание образа носителя — базовая процедура компьютерно-технической экспертизы. Образ представляет собой побитовую копию, включающую как размеченную, так и неразмеченную области. Целостность образа подтверждается контрольной суммой, вычисленной до и после копирования.
Работа с образом позволяет применять многократные проходы поиска без риска изменения оригинала. Эксперт фиксирует все действия с образом в рабочем журнале. При обнаружении значимых объектов производится их извлечение с указанием адресов размещения, что обеспечивает возможность последующей проверки.
Восстановление удалённых данных
Восстановление удалённых данных в компьютерно-технической экспертизе основывается на анализе файловой системы и остаточных записей. Удаление файла, как правило, не уничтожает его содержимое немедленно: освобождённые блоки сохраняют данные до момента перезаписи. Это создаёт возможность реставрации.
Эффективность восстановления зависит от ряда факторов: типа файловой системы, интенсивности последующей работы устройства, применения средств безопасного удаления. Эксперт обязан оценить эти факторы и указать, в какой степени результат восстановления отражает исходное состояние данных.
Анализ метаданных и временных характеристик
Метаданные — мощный источник сведений в компьютерно-технической экспертизе. К ним относятся метки времени создания, изменения и доступа, сведения об авторе документа, параметры печати и данные о приложении, которым документ создан. Анализ метаданных позволяет восстановить хронологию событий.
Вместе с тем метки времени подвержены искажению: они зависят от системных настроек, могут изменяться при копировании и редактировании. Эксперт обязан учитывать эти обстоятельства и не строить выводы на единственной метке. Достоверная хронология формируется путём сопоставления множества временных маркеров из различных источников.
Исследование баз данных и мультимедийных файлов
Базы данных в компьютерно-технической экспертизе исследуются на предмет содержания записей, структуры таблиц и следов редактирования. Извлечение данных производится средствами системы управления базами данных либо специализированными инструментами восстановления.
Мультимедийные файлы исследуются с точки зрения их происхождения и возможной модификации. Эксперт устанавливает параметры записи, признаки монтажа и соответствие заявленным характеристикам. При необходимости назначается комплексное исследование с привлечением специалистов в области фототехнической или видеотехнической экспертизы.
Раздел 7. Сетевая экспертиза и исследование сетевого взаимодействия
Компьютерно-техническая экспертиза сетевого взаимодействия направлена на установление фактов подключения устройств к сетям, характера сетевой активности и следов взаимодействия с удалёнными ресурсами. Данное направление приобретает особую значимость в условиях повсеместного распространения распределённых информационных систем.
Установление фактов подключения к сети
Факты подключения к сети устанавливаются по журналам операционной системы, записям сетевых служб, конфигурационным файлам и кэшу сетевых приложений. В компьютерно-технической экспертизе применяется сопоставление этих источников для формирования достоверной картины.
Эксперт устанавливает, использовалось ли устройство для выхода в сеть, в какой период и посредством каких учётных данных. Существенно разграничивать факт подключения устройства и факт действий конкретного пользователя: первый устанавливается техническими средствами, второй требует дополнительных данных.
Исследование почтовых и мессенджер-приложений
Почтовые приложения и мессенджеры оставляют обширные следы в компьютерно-технической экспертизе: локальные архивы переписки, кэш вложений, журналы синхронизации. Их анализ позволяет установить содержание сообщений, адреса корреспондентов и время обмена.
Эксперт обязан учитывать, что часть переписки может храниться исключительно на удалённом сервере и не иметь локальных следов. В таких случаях вывод ограничивается установлением факта использования приложения и параметров учётной записи. Расширение выводов за пределы доступных данных недопустимо.
Анализ следов дистанционного банковского обслуживания
Исследование следов дистанционного банковского обслуживания в компьютерно-технической экспертизе включает анализ клиентских приложений, браузерных артефактов и журналов безопасности. Эксперт устанавливает факты входа в систему, время сессий и признаки формирования платёжных документов.
Следует подчеркнуть, что эксперт не оценивает правомерность операций и не устанавливает волю клиента банка. Его выводы касаются технической стороны: какие действия выполнялись на устройстве, в какое время и с использованием каких средств доступа. Правовая оценка этих фактов относится к компетенции следствия и суда.
Раздел 8. Организационно-правовые основы назначения и производства экспертизы
Компьютерно-техническая экспертиза производится в строгой процессуальной форме, нарушение которой влечёт утрату доказательственного значения. Организационные вопросы назначения и производства экспертизы требуют не меньшего внимания, чем методические, поскольку именно на этом этапе закладываются условия достоверности будущих выводов.
Основания назначения и подготовка материалов
Основанием назначения компьютерно-технической экспертизы служит постановление органа предварительного расследования или определение суда. В постановлении формулируются вопросы, перечисляются объекты и указываются материалы, предоставляемые в распоряжение эксперта.
Подготовка материалов включает изъятие объектов, их упаковку и обеспечение сохранности. При изъятии компьютерной техники необходимо соблюдать правила, исключающие изменение информации: отключение питания, изоляция от сетей, маркировка. Ошибки на этом этапе нередко становятся причиной невозможности проведения полноценного исследования.
Права и обязанности эксперта
Эксперт в рамках компьютерно-технической экспертизы обязан провести исследование объективно и полно, дать обоснованное заключение по поставленным вопросам и не разглашать сведения, ставшие ему известными. Он вправе знакомиться с материалами, относящимися к предмету экспертизы, заявлять ходатайства и отказаться от дачи заключения при недостаточности данных.
Самостоятельность эксперта — гарантия достоверности выводов. Давление на эксперта недопустимо. Если поставленные вопросы выходят за пределы его компетенции или предоставленные объекты непригодны для исследования, эксперт обязан мотивированно сообщить о невозможности дачи заключения.
Структура и содержание заключения
Заключение компьютерно-технической экспертизы включает вводную, исследовательскую и заключительную части. Во вводной части указываются сведения об эксперте, основания производства, перечень объектов и вопросы. В исследовательской части описывается ход и методы исследования, фиксируются выявленные признаки. В заключительной части формулируются выводы.
Выводы должны быть однозначными по форме и содержанию. Недопустимы формулировки, допускающие множественное толкование. Если вывод носит вероятностный характер, это должно быть прямо указано с объяснением причин вероятности и условий, при которых вывод приобрёл бы достоверный характер.
Раздел 9. Практические кейсы производства компьютерно-технической экспертизы
Компьютерно-техническая экспертиза наиболее убедительно раскрывается через практику. Ниже приведены десять кейсов, иллюстрирующих типичные ситуации и подходы к их разрешению. Все обстоятельства изменены, имена и наименования заменены. Лица, заинтересованные в производстве экспертизы, могут обратиться в офис в центре Москвы у метро Павелецкая для обсуждения условий исследования.
Кейс 1. Установление факта копирования данных на внешний носитель
Обстоятельства. В ходе расследования спора о разглашении коммерческой тайны изъят системный блок сотрудника, уволившегося из организации. Следствие полагало, что в последний рабочий день сотрудник скопировал клиентскую базу на личный внешний накопитель.
Исследование. В рамках компьютерно-технической экспертизы создан образ накопителя, зафиксированы контрольные суммы. Изучены журналы операционной системы, записи службы, отвечающей за подключение устройств, и артефакты файлового менеджера. Установлено, что в указанный день к системе подключалось устройство с идентификатором, не встречавшимся ранее. В журнале присутствуют записи о монтировании тома и о завершении сеанса работы с ним через сорок минут.
Дополнительно изучены неразмеченные области: обнаружены фрагменты файлов, структурно соответствующие таблицам базы данных. Сопоставление имён и размеров позволило установить, что скопированный массив совпадает по структуре с клиентской базой организации.
Вывод. Факт подключения внешнего носителя и копирования на него данных подтверждается совокупностью независимых признаков. Установить, кем именно инициировано копирование, только по техническим данным невозможно, поскольку сеанс проходил под учётной записью, доступной нескольким лицам.
Значение. Кейс демонстрирует необходимость комплексного анализа: журналы устройств, артефакты приложений и остаточные данные неразмеченной области в совокупности дают достоверный вывод, тогда как каждый источник по отдельности недостаточен.
Кейс 2. Восстановление удалённой переписки при споре о поставке
Обстоятельства. Сторона гражданского спора утверждала, что согласовала изменения условий поставки по электронной почте, однако письма были удалены. Представлен ноутбук, использовавшийся для переписки.
Исследование. В рамках компьютерно-технической экспертизы снят образ накопителя, проведён поиск по сигнатурам почтовых архивов и кэша почтового клиента. Обнаружены удалённые файлы архива, часть которых не была перезаписана. Восстановление выполнено с указанием адресов размещения.
В восстановленных сообщениях установлены адреса корреспондентов, даты отправки и содержание вложений. Метаданные вложений сопоставлены с журналами почтового клиента: время формирования вложений предшествует времени отправки, что согласуется с описанием событий, приведённым стороной спора.
Вывод. Удалённые сообщения восстановлены, их содержание доступно для исследования. Целостность восстановленных данных подтверждается совпадением сведений из нескольких источников. Установлено, что переписка велась с адреса, указанного стороной спора.
Значение. Кейс показывает, что удаление не равнозначно уничтожению и что грамотно проведённая реставрация способна восстановить доказательственно значимую информацию.
Кейс 3. Проверка признаков модификации видеозаписи
Обстоятельства. В споре о качестве выполненных работ представлен видеоролик, фиксирующий приёмку объекта. Противоположная сторона заявила о монтаже и изменении даты съёмки.
Исследование. В рамках компьютерно-технической экспертизы исследованы метаданные контейнера, структура кадров, параметры кодирования и признаки повторного сохранения. Установлено несоответствие между заявленной датой съёмки и метками, сохранившимися в служебных блоках файла.
Обнаружены признаки склейки: резкие изменения параметров сжатия на границах фрагментов и несовпадение последовательности опорных кадров. Проведено сопоставление с резервными копиями, изъятыми у второй стороны: в них присутствует фрагмент, отсутствующий в представленном ролике.
Вывод. Представленный файл подвергался редактированию; исходная запись изменена. Установить полное содержание исходной записи по имеющимся материалам невозможно, однако факт изъятия фрагмента подтверждается.
Значение. Кейс иллюстрирует роль метаданных и структурного анализа в выявлении следов редактирования мультимедийных объектов.
Кейс 4. Установление факта запуска программы обхода защиты
Обстоятельства. Правообладатель обратился с заявлением о неправомерном использовании программного обеспечения. Изъят компьютер, на котором, по утверждению заявителя, применялась программа обхода лицензионной защиты.
Исследование. В рамках компьютерно-технической экспертизы изучены журналы установки, списки автозагрузки, кэш запуска приложений и артефакты, связанные с работой защищённой программы. Обнаружены записи о запуске вспомогательной утилиты непосредственно перед первым запуском защищённой программы.
Проведён статический анализ утилиты: установлено наличие функций, воздействующих на файлы лицензирования. Динамический запуск в изолированной среде подтвердил, что утилита модифицирует проверяемые файлы. Сопоставление времени запуска утилиты и первого успешного запуска защищённой программы показало их тесную хронологическую связь.
Вывод. На исследуемом устройстве применялась программа, предназначенная для нейтрализации средств защиты. Факт запуска подтверждается журналами и результатами эксперимента.
Значение. Кейс демонстрирует сочетание статического и динамического анализа как условие достоверного вывода о назначении программы.
Кейс 5. Анализ следов доступа к системе дистанционного банковского обслуживания
Обстоятельства. Расследовались обстоятельства хищения денежных средств со счёта организации. Изъят компьютер бухгалтера, с которого, предположительно, формировались платёжные документы.
Исследование. В рамках компьютерно-технической экспертизы изучены артефакты браузера, кэш клиентского приложения, журналы безопасности и системные журналы. Установлено время входа в систему и период активности сессии.
Обнаружены следы формирования платёжных документов: временные файлы, записи в кэше, фрагменты экспортированных выписок. Сопоставление времени этих событий с журналами сервера показало совпадение. Отдельно проверено системное время: искажений не выявлено, часы синхронизировались с сетевым источником.
Вывод. С исследуемого устройства выполнялся вход в систему дистанционного банковского обслуживания и формировались платёжные документы в установленный период. Установить, действовал ли пользователь добровольно, по техническим данным невозможно.
Значение. Кейс подчёркивает разграничение технических фактов и правовых выводов: эксперт устанавливает действия на устройстве, но не даёт оценки волеизъявлению лица.
Кейс 6. Исследование мобильного устройства при споре о переписке
Обстоятельства. В семейном споре требовалось установить содержание сообщений, которыми обменивались стороны. Представлен смартфон, защищённый кодом доступа.
Исследование. В рамках компьютерно-технической экспертизы устройство помещено в изолирующий контейнер, сетевые интерфейсы заблокированы. После получения кода доступа выполнено логическое извлечение данных. Получены резервная копия приложения обмена сообщениями и база данных мессенджера.
Установлены идентификаторы собеседников, время отправки и содержание сообщений. Проверено соответствие записей в базе данных приложения и в системном хранилище. Расхождений не выявлено. Отмечено, что часть сообщений могла быть удалена, поскольку в базе обнаружены пропуски в нумерации.
Вывод. Содержание сохранившихся сообщений установлено. Факт удаления части переписки подтверждается структурой базы, однако восстановить удалённое содержимое не представилось возможным.
Значение. Кейс демонстрирует особенности работы с мобильными устройствами: изоляция от сети и логическое извлечение позволяют сохранить достоверность данных, но не гарантируют полноты восстановления.
Кейс 7. Установление давности создания документа
Обстоятельства. В арбитражном споре возник вопрос о том, был ли договор изготовлен до определённой даты или позднее, после возникновения разногласий.
Исследование. В рамках компьютерно-технической экспертизы исследован файл договора и его возможные копии, обнаруженные на сервере организации. Изучены метаданные: дата создания, дата изменения, сведения о приложении и об авторе.
Обнаружено, что метаданные содержат признаки несоответствия: дата создания предшествует дате установки приложения, которым документ был создан. Изучены теневые копии системы: в них присутствует более ранняя редакция файла с иным содержанием. Сопоставление редакций позволило восстановить последовательность изменений.
Вывод. Исследуемая редакция договора создана позднее заявленной даты. Установить точную дату создания первоначальной редакции невозможно, но последовательность редактирования восстановлена.
Значение. Кейс показывает, как анализ метаданных и теневых копий позволяет выявить несоответствия в хронологии документов.
Кейс 8. Исследование серверного журнала при утечке данных
Обстоятельства. Организация заявила об утечке сведений, хранившихся на сервере. Требовалось установить, имел ли место несанкционированный доступ.
Исследование. В рамках компьютерно-технической экспертизы проанализированы журналы веб-сервера, системы управления базами данных и операционной системы. Установлены аномальные последовательности запросов, отличающиеся от типового профиля нагрузки.
Сопоставление журналов различных уровней показало, что запросы исходили с внешнего адреса и сопровождались извлечением значительного объёма записей. Проверены следы изменения журналов: признаки очистки не обнаружены. Временные метки согласованы между источниками.
Вывод. Зафиксирован факт внешнего доступа к базе данных с извлечением значительного объёма сведений. Установить лицо, осуществлявшее доступ, по имеющимся данным невозможно.
Значение. Кейс иллюстрирует методику сопоставления журналов различных уровней и оценки их целостности.
Кейс 9. Определение авторства программного кода
Обстоятельства. Спор между разработчиками о принадлежности исходного кода программы. Каждая сторона представила свою версию репозитория.
Исследование. В рамках компьютерно-технической экспертизы проведено сопоставление репозиториев: истории изменений, авторства коммитов, последовательности правок. Изучены стилистические особенности кода: именование, структурирование, характер комментариев.
Установлено, что значительная часть кода совпадает с точностью до несущественных правок. История изменений одного репозитория содержит коммиты, отсутствующие в другом, причём их содержание логически встроено в общую структуру. Это свидетельствует о том, что один репозиторий является производным от другого.
Вывод. Установлена производность одного репозитория от другого. Определить, кем именно создан первоначальный код, по техническим данным невозможно без дополнительных сведений об учётных записях.
Значение. Кейс демонстрирует, что анализ истории репозитория даёт более надёжные результаты, чем простое сопоставление текста кода.
Кейс 10. Исследование следов печати документа
Обстоятельства. Требовалось установить, распечатывался ли определённый документ на конкретном принтере и когда это произошло.
Исследование. В рамках компьютерно-технической экспертизы изучены журналы печати операционной системы, кэш драйвера принтера и энергонезависимая память устройства. Обнаружены записи о задании печати с указанием времени и имени файла.
Проверено соответствие имени файла и содержания: в кэше драйвера сохранился фрагмент документа, совпадающий с исследуемым. Сопоставление времени задания с журналами устройства показало согласованность. Установлено также, что документ печатался дважды с интервалом в несколько дней.
Вывод. Документ распечатывался на исследуемом принтере; установлены даты и количество экземпляров.
Значение. Кейс показывает ценность журналов печати и кэша драйверов как источников сведений о действиях пользователя.
Раздел 10. Актуальные проблемы и перспективные направления развития компьютерно-технической экспертизы
Компьютерно-техническая экспертиза развивается под воздействием технологических изменений, которые ставят перед экспертным сообществом новые задачи. Настоящий раздел посвящён проблемам, не связанным с вопросами совершенствования законодательства или организационных структур, а касающимся самого предмета и метода экспертного исследования.
Проблема роста объёмов данных
Объёмы информации, подлежащей исследованию, возрастают экспоненциально. В компьютерно-технической экспертизе это проявляется в необходимости обрабатывать накопители ёмкостью в несколько терабайт, что делает сплошной ручной анализ невозможным. Возникает задача построения выборок и определения критериев значимости.
Решение видится в применении методов интеллектуального поиска и кластеризации, однако их применение требует осторожности: автоматизированный отбор может привести к утрате значимых объектов. Эксперт обязан документировать критерии отбора и обосновывать их применимость к конкретному исследованию.
Проблема шифрования и защиты данных
Шифрование хранилищ и приложений становится стандартом. В компьютерно-технической экспертизе это ограничивает возможности извлечения данных и требует применения специальных подходов: анализа незашифрованных областей, исследования ключей, сохранённых в системе, изучения резервных копий.
Эксперт должен точно определить, какие данные доступны, а какие защищены, и отразить это в заключении. Выводы, основанные на частичном доступе, не могут распространяться на всю систему. Чёткое разграничение доступного и недоступного — условие корректности экспертизы.
Проблема облачных и распределённых систем
Хранение данных в распределённых системах размывает традиционное понятие носителя. В компьютерно-технической экспертизе это ставит вопрос о том, какие объекты доступны эксперту и в каком объёме. Локальные следы работы с облачными сервисами дают лишь фрагментарную картину.
Эксперт вынужден ограничиваться исследованием локальных артефактов: кэша, журналов синхронизации, временных файлов. Выводы при этом должны содержать оговорку о неполноте данных, поскольку полная информация находится вне досягаемости экспертного исследования. Такая честность в формулировках повышает доверие к заключению.
Проблема оценки достоверности автоматизированных инструментов
Инструменты, применяемые в компьютерно-технической экспертизе, сами являются программными продуктами, корректность которых не всегда очевидна. Ошибка инструмента способна привести к ложному выводу. Возникает задача валидации: эксперт должен располагать сведениями о надёжности применяемого средства.
Практика показывает, что ключевые выводы целесообразно подтверждать несколькими инструментами либо ручной проверкой. В заключении следует указывать, какими средствами получен результат и какие меры приняты для исключения инструментальной ошибки.
Раздел 11. Взаимодействие эксперта с участниками судопроизводства
Компьютерно-техническая экспертиза не существует изолированно: её результаты встраиваются в процесс доказывания и должны быть понятны лицам, не обладающим специальными познаниями. Это предъявляет особые требования к языку заключения и к форме взаимодействия эксперта с участниками процесса.
Язык и стиль экспертного заключения
Заключение компьютерно-технической экспертизы должно быть написано так, чтобы его содержание было доступно суду и сторонам. Недопустимо злоупотребление узкоспециальной терминологией без пояснений. Каждый технический термин, значимый для вывода, должен быть разъяснён.
Вместе с тем упрощение не должно приводить к искажению смысла. Задача эксперта — найти баланс между точностью и доступностью. Описание исследования строится последовательно: от постановки задачи к применяемым методам, затем к полученным результатам и, наконец, к выводам.
Ответы на вопросы участников процесса
Участники процесса вправе задавать эксперту вопросы, касающиеся проведённого исследования. В компьютерно-технической экспертизе такие вопросы нередко касаются методики, применённых средств и границ достоверности выводов. Эксперт обязан отвечать точно и не выходить за пределы своей компетенции.
Если вопрос требует проведения дополнительного исследования, эксперт сообщает об этом. Если вопрос касается правовой оценки, эксперт указывает, что разрешение таких вопросов относится к компетенции суда. Такая позиция укрепляет доверие к эксперту и обеспечивает процессуальную чистоту его участия.
Разъяснение выводов, содержащих специальные термины
Выводы компьютерно-технической экспертизы нередко содержат термины, требующие пояснения: образ носителя, контрольная сумма, метка времени, файловая система. Эксперт должен быть готов разъяснить значение каждого термина и его роль в формировании вывода.
Особого внимания требуют выводы вероятностного характера. Эксперт обязан объяснить, почему вывод не является категорическим, какие данные отсутствуют и каким образом их получение могло бы изменить результат. Прозрачность в этом вопросе служит интересам истины и повышает доказательственную ценность заключения.
Раздел 12. Качество экспертного исследования и внутренний контроль
Компьютерно-техническая экспертиза относится к числу исследований, где ошибка может быть неочевидной. Внутренний контроль качества приобретает поэтому первостепенное значение и должен охватывать все этапы — от приёма материалов до оформления заключения.
Критерии качества экспертного заключения
Качество заключения компьютерно-технической экспертизы оценивается по нескольким критериям: полнота исследования, обоснованность выводов, воспроизводимость процедур, ясность изложения. Полнота означает, что исследованы все объекты и разрешены все поставленные вопросы. Обоснованность предполагает логическую связь выводов с результатами исследования.
Воспроизводимость достигается подробным протоколированием. Ясность изложения обеспечивается продуманной структурой и доступным языком. Нарушение любого из критериев снижает доказательственное значение заключения, даже если технически исследование выполнено корректно.
Типичные ошибки и способы их предотвращения
В компьютерно-технической экспертизе встречаются характерные ошибки:
• исследование оригинала без создания копии, приводящее к изменению объекта;
• отсутствие фиксации контрольных сумм, делающее невозможной проверку целостности;
• вывод о действиях пользователя на основании только технических данных;
• расширение выводов за пределы исследованных данных;
• использование непроверенных инструментов без перекрёстного подтверждения.
Предотвращение ошибок обеспечивается соблюдением методической дисциплины и внутренним рецензированием. Каждое заключение целесообразно подвергать проверке вторым специалистом, не участвовавшим в исследовании. Такой контроль выявляет слабые места до передачи заключения заказчику.
Роль перекрёстной проверки результатов
Перекрёстная проверка — надёжный способ повышения достоверности выводов. В компьютерно-технической экспертизе она реализуется через сопоставление данных из независимых источников: журналов, файловых артефактов, остаточных данных. Совпадение результатов укрепляет вывод, расхождение требует объяснения.
Эксперт обязан отразить в заключении как совпадающие, так и противоречащие данные. Умолчание о противоречиях недопустимо. Если расхождение не удаётся объяснить, вывод формулируется с оговоркой, а в исследовательской части указываются возможные причины расхождения.
Раздел 13. Подготовка экспертных кадров и передача экспертного знания
Компьютерно-техническая экспертиза предъявляет к эксперту требования, выходящие за рамки одной специальности. Эксперт должен сочетать познания в информационных технологиях, криминалистике и процессуальном праве. Формирование таких специалистов — длительный процесс, требующий продуманной системы подготовки.
Требования к компетенции эксперта
Компетенция эксперта в области компьютерно-технической экспертизы включает знание аппаратного обеспечения, операционных систем, файловых систем, сетевых технологий и методов защиты информации. Не менее важны навыки работы с экспертными инструментами и понимание их ограничений.
Помимо технических знаний эксперт должен владеть процессуальными нормами: знать права и обязанности, порядок оформления заключения, правила обращения с объектами. Отсутствие процессуальной подготовки сводит на нет техническую квалификацию, поскольку заключение, оформленное с нарушениями, утрачивает доказательственное значение.
Формы передачи практического опыта
Передача опыта в компьютерно-технической экспертизе осуществляется через наставничество, разбор завершённых исследований и участие в проверках заключений. Наставничество позволяет начинающему эксперту освоить не только инструменты, но и методическую дисциплину, которая не фиксируется в инструкциях.
Разбор завершённых исследований особенно ценен: он показывает, как применялись методы в конкретных условиях, какие трудности возникли и как они были преодолены. Такой разбор формирует практическое мышление, необходимое для самостоятельной работы.
Самообразование и отслеживание технологических изменений
Технологии изменяются быстрее, чем обновляются методики. Эксперт в области компьютерно-технической экспертизы обязан постоянно отслеживать изменения: новые версии операционных систем, форматы хранения, средства защиты. Без этого его познания быстро устаревают.
Самообразование должно быть систематическим и документируемым. Изучение новых технологий целесообразно сопровождать практическими экспериментами в изолированной среде. Такой подход позволяет эксперту осваивать новые объекты до того, как они встретятся в реальной практике.
Раздел 14. Прикладные аспекты взаимодействия с заказчиком экспертного исследования
Компьютерно-техническая экспертиза начинается задолго до исследования: с обращения заказчика, нуждающегося в профессиональной оценке технической ситуации. Правильная организация этого этапа во многом определяет успех последующей работы.
Первичная консультация и постановка задачи
На первичной консультации заказчик излагает обстоятельства и формулирует вопросы. Специалист в области компьютерно-технической экспертизы помогает уточнить формулировки так, чтобы вопросы были разрешимы техническими средствами и не выходили за пределы компетенции эксперта.
Нередко первоначальные вопросы требуют переформулировки: заказчик может спрашивать о виновности лица, тогда как технически устанавливается лишь факт действий на устройстве. Корректная постановка задачи избавляет от недоразумений и повышает ценность будущего заключения.
Оценка пригодности объектов и определение сроков
До начала исследования необходимо оценить пригодность объектов. В компьютерно-технической экспертизе пригодность определяется состоянием носителя, наличием доступа к данным и возможностью создания образа. Если носитель повреждён, требуется предварительная оценка перспектив восстановления.
Сроки исследования зависят от объёма данных и сложности задач. Заказчику следует разъяснить, что сроки определяются не только трудоёмкостью, но и необходимостью многократных проверок. Реалистичное планирование предотвращает конфликты и способствует качественному результату.
Разъяснение возможностей и ограничений исследования
Заказчик вправе знать, какие результаты могут быть получены. Специалист по компьютерно-технической экспертизе обязан разъяснить ограничения: невозможность восстановления перезаписанных данных, пределы исследования зашифрованных областей, зависимость выводов от полноты предоставленных материалов.
Честное разъяснение ограничений укрепляет доверие и предотвращает необоснованные ожидания. Заказчик, понимающий границы возможного, способен правильно оценить результат и использовать его в дальнейшем процессе. Лица, желающие обсудить детали, могут посетить офис в центре Москвы у метро Павелецкая.
Раздел 15. Заключительные положения о сущности и значении компьютерно-технической экспертизы
Компьютерно-техническая экспертиза прошла путь от вспомогательного исследования, обслуживающего отдельные эпизоды, до самостоятельного рода судебной экспертизы с развитой теорией и практикой. Её значение определяется тем, что современная жизнь оставляет всё больше следов в цифровой среде, и эти следы требуют профессиональной интерпретации.
Сущность компьютерно-технической экспертизы состоит в переводе технических данных на язык фактов, значимых для судопроизводства. Эксперт выступает посредником между цифровой средой и правовой оценкой. От его точности и добросовестности зависит, будет ли информация правильно понята и использована.
Развитие рода экспертизы связано с преодолением технологических вызовов: роста объёмов данных, распространения шифрования, распределённого хранения. Ответом на эти вызовы служит совершенствование методологии, повышение требований к компетенции эксперта и укрепление внутреннего контроля качества.
Завершая монографию, следует подчеркнуть, что компьютерно-техническая экспертиза остаётся областью, где техническая точность неотделима от процессуальной корректности. Только единство этих начал обеспечивает заключению силу доказательства и доверие участников судопроизводства.
Лица, заинтересованные в производстве компьютерно-технической экспертизы, могут обратиться в офис в центре Москвы у метро Павелецкая. Контактные данные для связи: телефон 8(495) 666-5-666, 8-(800) 555-04-53, электронная почта info@fse.ms. Исследования проводит Союз «Федерация судебных экспертов».
Задавайте любые вопросы
[dwqa-submit-question-form]