🟩 Компьютерно-техническая экспертиза — поиск информации по ключевым словам

Раздел 1. Теоретические основы компьютерно-технической экспертизы и место поиска информации по ключевым словам

Подраздел 1.1. Понятие компьютерно-технической экспертизы

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебных экспертиз, предметом которого являются фактические данные, закономерности создания, функционирования, использования и исследования компьютерных средств и систем, а также информации, циркулирующей в них. В современных условиях цифровизации всех сфер деятельности значение такой экспертизы возрастает многократно. Она позволяет устанавливать обстоятельства, имеющие доказательственное значение, на основе анализа электронных носителей, вычислительных устройств, программных продуктов и информационных массивов.

В структуре компьютерно-технической экспертизы выделяются различные виды исследований: аппаратное, программное, информационное, сетевое, а также комплексные направления, связанные с анализом данных. Одним из наиболее востребованных и одновременно технически сложных видов является поиск информации по ключевым словам. Именно этот вид исследования позволяет целенаправленно выявлять в больших объёмах разнородной информации те фрагменты, которые имеют отношение к расследуемому событию или проверяемому факту. Поиск информации по ключевым словам выступает связующим звеном между техническим анализом носителя и содержательной интерпретацией полученных данных.

Следует подчеркнуть, что компьютерно-техническая экспертиза не сводится к простому копированию файлов или просмотру содержимого папок. Она предполагает строгую процедурную дисциплину, использование проверенных криминалистических средств, обеспечение неизменности исходной информации и документирование всех действий эксперта. В этом контексте поиск информации по ключевым словам становится не просто технической операцией, а полноценным экспертным исследованием, результаты которого могут быть положены в основу процессуальных решений.

Подраздел 1.2. Задачи и объекты исследования

Задачами компьютерно-технической экспертизы в целом являются: установление наличия или отсутствия информации на носителе; определение её свойств, характеристик и метаданных; выявление следов работы с информацией; установление авторства или источника происхождения; реконструкция событий, связанных с созданием, изменением, копированием, удалением или передачей данных. В рамках поиска информации по ключевым словам эти задачи конкретизируются и приобретают выраженный поисковый характер.

Объектами исследования могут выступать:
• физические накопители на магнитных и твердотельных носителях;
• логические разделы и файловые системы;
• побитовые копии и образы носителей;
• отдельные файлы и группы файлов;
• текстовые документы, электронные таблицы, презентации;
• графические и аудиовизуальные файлы;
• базы данных и их фрагменты;
• почтовые архивы и хранилища сообщений;
• журналы событий и системные журналы;
• метаданные файлов и служебные структуры файловых систем;
• облачные хранилища, доступные через локальные синхронизированные каталоги;
• виртуальные машины и их образы;
• контейнеры и архивы;
• оперативная память, если имеется возможность её сохранения;
• сетевые пакеты и журналы сетевого взаимодействия;
• исходный код программ для электронных вычислительных машин;
• конфигурационные файлы и сценарии;
• резервные копии и теневые копии;
• удалённые файлы, сохранившиеся в нераспределённом пространстве;
• фрагменты файлов в служебных областях;
• журналы приложений;
• кэш браузеров и иных программ;
• списки недавно открывавшихся документов;
• базы данных учётных записей и профилей;
• специализированные хранилища криминалистических образов.

Каждый из перечисленных объектов требует особого подхода. Однако во всех случаях поиск информации по ключевым словам остаётся универсальным инструментом, позволяющим сократить пространство поиска и сосредоточиться на значимых фрагментах.

Подраздел 1.3. Ключевые критерии как основа поиска

Ключевые критерии — это совокупность признаков, по которым осуществляется отбор информации. К ним относятся:
• отдельные слова;
• словосочетания;
• слова с учётом склонений и падежных окончаний;
• морфологические варианты;
• типы файлов;
• расширения файлов;
• метаданные;
• даты создания, изменения, последнего доступа;
• размеры файлов;
• имена авторов и владельцев;
• наименования организаций и подразделений;
• идентификаторы устройств и пользователей;
• строковые последовательности в исходном коде;
• параметры и функции программ;
• фрагменты путей к файлам;
• названия томов и разделов;
• записи журналов;
• числовые идентификаторы;
• хеш-суммы;
• сигнатуры файлов;
• характерные заголовки и окончания;
• служебные метки;
• комментарии и примечания;
• поля документов;
• скрытые и системные атрибуты.

Ключевые критерии могут быть простыми и сложными. Простые критерии — это отдельные слова или типы файлов. Сложные критерии включают логические условия, маски, подстановки, диапазоны дат, комбинации признаков. Именно сложные критерии позволяют наиболее точно настроить поиск информации по ключевым словам и избежать как пропусков значимых данных, так и включения в результат заведомо избыточных материалов.

Подраздел 1.4. Принципы обеспечения достоверности

Достоверность результатов компьютерно-технической экспертизы обеспечивается соблюдением ряда принципов:
• неизменность исходного объекта;
• работа только с побитовой копией или образом;
• документирование всех действий;
• применение проверенных криминалистических средств;
• контроль целостности посредством хеш-сумм;
• воспроизводимость результатов;
• раздельное хранение исходных и рабочих копий;
• ведение журнала операций;
• фиксация версий программного обеспечения;
• сохранение промежуточных результатов;
• обоснование выбранных ключевых критериев;
• оценка полноты и точности поиска;
• проверка на ложные срабатывания;
• анализ контекста обнаруженных фрагментов;
• сопоставление с другими доказательствами.

Соблюдение этих принципов особенно важно при поиске информации по ключевым словам, поскольку именно этот вид исследования часто становится первичным фильтром, определяющим дальнейшее направление экспертизы.

Раздел 2. Организация и методика поиска информации по ключевым словам

Подраздел 2.1. Подготовительный этап

Подготовительный этап начинается с изучения постановления или определения о назначении экспертизы. Эксперт уясняет поставленные вопросы, определяет, какие ключевые критерии следует использовать, и оценивает достаточность представленных материалов. На этом этапе формируется предварительный план исследования, включающий последовательность действий, перечень применяемых средств и предполагаемые формы фиксации результатов.

Важным элементом подготовительного этапа является идентификация объекта исследования. Она включает описание физического накопителя или иного носителя информации. В описании указываются:
• тип устройства;
• модель;
• серийный номер;
• интерфейс подключения;
• объём;
• состояние;
• признаки внешних повреждений;
• комплектность;
• наличие переходников и адаптеров;
• сведения о владельце или пользователе, если они представлены;
• особенности упаковки и маркировки;
• данные о предыдущих операциях, если они отражены в материалах.

Если объектом является образ, файл или облачное хранилище, описываются:
• формат образа;
• способ получения;
• контрольная сумма;
• дата и время создания;
• размер;
• структура;
• доступные метаданные;
• ограничения доступа;
• условия хранения.

На подготовительном этапе также решается вопрос о необходимости создания полной побитовой копии или образа носителя информации. Работа с оригиналом недопустима, если существует риск его изменения. Поэтому создаётся копия, которая в дальнейшем используется для всех операций, включая поиск информации по ключевым словам.

Подраздел 2.2. Создание побитовой копии и образа

Создание полной побитовой копии или образа носителя информации является ключевым этапом, обеспечивающим сохранность исходных данных. Процедура включает:
• подключение носителя через специализированный адаптер или переходник;
• блокировку записи, если это технически возможно;
• выбор программного средства для снятия образа;
• указание источника и приёмника;
• выбор формата образа;
• установку параметров сжатия и сегментации;
• расчёт контрольных сумм;
• проверку совпадения контрольных сумм;
• документирование всех параметров;
• сохранение журнала операции;
• маркировку носителя с копией;
• обеспечение условий хранения.

Побитовая копия позволяет сохранить не только логическую структуру файлов, но и нераспределённое пространство, служебные области, удалённые фрагменты и иные следы, которые могут иметь значение. Именно поэтому поиск информации по ключевым словам следует проводить по копии, а не по оригиналу.

Подраздел 2.3. Сканирование образа специализированным программным обеспечением

После создания образа выполняется его сканирование. Сканирование может быть предварительным и основным. Предварительное сканирование позволяет оценить структуру образа, определить файловые системы, выявить разделы, обнаружить признаки шифрования или сжатия. Основное сканирование направлено на построение индекса и подготовку данных к поиску.

В ходе сканирования решаются следующие задачи:
• определение типов файловых систем;
• восстановление структуры каталогов;
• выявление удалённых файлов;
• анализ служебных записей;
• построение перечня файлов;
• извлечение метаданных;
• классификация файлов по типам;
• выявление аномалий;
• формирование рабочих наборов;
• подготовка индексов для поиска.

Сканирование не должно изменять содержимое образа. Все операции выполняются в рабочей копии или в специально созданном проекте. Результаты сканирования фиксируются в протоколе, где указываются версии программ, параметры, время начала и окончания, а также перечень обнаруженных артефактов.

Подраздел 2.4. Создание поискового запроса

Создание запроса на поиск информации с использованием ключевых критериев является центральным элементом рассматриваемого вида исследования. Запрос может включать:
• отдельные слова;
• словосочетания;
• маски;
• подстановки;
• регулярные выражения;
• логические операторы;
• диапазоны дат;
• ограничения по типам файлов;
• ограничения по размерам;
• ограничения по путям;
• исключения;
• группы условий;
• приоритеты;
• контекстные ограничения.

Применение синтаксиса масок и подстановок позволяет учитывать различные варианты написания, опечатки, сокращения, транслитерацию, изменение регистра и иные особенности. Это особенно важно, когда ключевые критерии заданы в виде слов, которые могут встречаться в разных формах. Поиск информации по ключевым словам с использованием масок и подстановок даёт возможность охватить более широкий круг потенциально значимых фрагментов, не увеличивая чрезмерно объём результатов.

Подраздел 2.5. Обнаружение искомой информации

Обнаружение искомой информации происходит путём сопоставления содержимого образа с заданными критериями. Результаты могут быть представлены в виде:
• перечня файлов;
• перечня фрагментов;
• контекстных выдержек;
• ссылок на позиции в образе;
• временных меток;
• сведений о путях;
• данных о размерах;
• информации о владельцах;
• сведений о кодировках;
• отметок о степени совпадения.

Эксперт должен оценить каждый результат на предмет относимости. Ложные срабатывания возможны, например, при совпадении слова с частью другого слова, при использовании омонимов, при наличии служебных строк, при совпадении в системных файлах. Поэтому обнаруженные фрагменты анализируются в контексте. Только после этого принимается решение о включении их в заключение.

Подраздел 2.6. Выгрузка информации на отдельные носители

Выгрузка информации на отдельные носители завершает поисковый этап. Она включает:
• отбор значимых фрагментов;
• формирование каталогов выгрузки;
• сохранение исходных имён и путей;
• сохранение метаданных;
• расчёт контрольных сумм;
• создание описей;
• маркировку носителей;
• документирование процедуры;
• обеспечение защиты от изменения;
• передачу материалов в установленном порядке.

Выгруженные материалы должны быть организованы так, чтобы их можно было легко сопоставить с результатами поиска информации по ключевым словам. Для этого целесообразно использовать единую систему именования, журналы и таблицы соответствия.

Раздел 3. Технические средства и инструменты поиска

Подраздел 3.1. Криминалистические средства поиска информации

Для поиска информации применяются специализированные криминалистические средства. К ним относятся программы, предназначенные для работы с образами, анализа файловых систем, восстановления удалённых данных, построения индексов и выполнения поисковых запросов. В их числе:
• средства для снятия побитовых копий;
• средства для монтирования образов;
• средства для анализа файловых систем;
• средства для восстановления файлов;
• средства для анализа метаданных;
• средства для поиска по сигнатурам;
• средства для поиска по регулярным выражениям;
• средства для анализа журналов;
• средства для анализа почтовых архивов;
• средства для анализа баз данных;
• средства для анализа исходного кода;
• средства для визуализации временных шкал;
• средства для формирования отчётов;
• средства для контроля целостности;
• средства для ведения журналов операций.

Выбор конкретного средства определяется задачами, типом носителя, особенностями файловых систем и требованиями к документированию. При этом поиск информации по ключевым словам должен выполняться так, чтобы результаты были воспроизводимы и проверяемы.

Подраздел 3.2. Требования к программным средствам

Программные средства, используемые для поиска, должны удовлетворять следующим требованиям:
• обеспечивать работу только для чтения;
• поддерживать побитовые образы;
• сохранять целостность исходных данных;
• поддерживать различные файловые системы;
• позволять задавать сложные поисковые запросы;
• обеспечивать индексацию;
• поддерживать регулярные выражения;
• сохранять журналы операций;
• формировать отчёты;
• допускать экспорт результатов;
• обеспечивать защиту от случайных изменений;
• иметь документированные версии;
• позволять проверять контрольные суммы;
• поддерживать разделение проектов;
• обеспечивать разграничение доступа.

Соблюдение этих требований снижает риск ошибок и повышает доверие к результатам. Поиск информации по ключевым словам, выполненный с нарушением требований, может привести к утрате доказательственного значения полученных данных.

Подраздел 3.3. Настройка поисковых запросов

Настройка поисковых запросов включает:
• выбор языка поиска;
• учёт кодировок;
• учёт регистра;
• учёт морфологии;
• настройку масок;
• настройку подстановок;
• настройку регулярных выражений;
• определение области поиска;
• определение типов файлов;
• определение диапазонов дат;
• определение исключений;
• определение приоритетов;
• сохранение шаблонов;
• проверку запроса на тестовом наборе;
• документирование параметров.

Чем точнее настроен запрос, тем выше вероятность обнаружения значимой информации и ниже объём избыточных результатов. Вместе с тем чрезмерное сужение критериев может привести к пропуску важных фрагментов. Поэтому рекомендуется применять поэтапное уточнение: от широкого поиска к узкому.

Раздел 4. Алгоритм действий эксперта

Подраздел 4.1. Общая последовательность

Алгоритм действий эксперта при поиске информации включает следующие этапы:
• идентификация объекта исследования;
• описание физического накопителя или иного носителя информации;
• создание полной побитовой копии или образа носителя информации;
• сканирование образа специализированным программным обеспечением;
• создание запроса на поиск информации с использованием ключевых критериев;
• применение синтаксиса масок и подстановок;
• обнаружение искомой информации;
• оценка контекста;
• выгрузка информации на отдельные носители;
• оформление результатов;
• подготовка иллюстраций и приложений;
• формулирование выводов.

Каждый этап должен быть документирован. Это позволяет впоследствии проверить ход исследования и убедиться в обоснованности выводов. Поиск информации по ключевым словам в этой последовательности занимает центральное место, поскольку именно он определяет, какие данные будут подвергнуты дальнейшему анализу.

Подраздел 4.2. Идентификация объекта исследования

Идентификация объекта исследования включает:
• осмотр упаковки;
• проверку маркировки;
• описание внешнего вида;
• определение типа устройства;
• определение модели;
• определение серийного номера;
• определение интерфейса;
• определение объёма;
• проверку работоспособности;
• фотографирование;
• составление схемы подключения;
• указание условий проведения осмотра;
• фиксацию времени и места;
• указание участвующих лиц;
• отражение замечаний.

Если объект представлен в виде образа, описываются его свойства и условия получения. Если объект представлен в виде облачного хранилища, описываются доступные локальные каталоги, параметры синхронизации и ограничения.

Подраздел 4.3. Создание копии и образа

Создание копии и образа выполняется с соблюдением следующих условий:
• использование исправного оборудования;
• использование проверенных адаптеров;
• блокировка записи;
• выбор надёжного программного средства;
• контроль температуры и питания;
• недопущение механических воздействий;
• расчёт контрольных сумм до и после;
• сравнение контрольных сумм;
• сохранение журнала;
• маркировка копии;
• обеспечение раздельного хранения;
• ограничение доступа;
• фиксация всех отклонений;
• повторное снятие образа при необходимости;
• проверка читаемости образа.

Только после успешного создания копии можно приступать к сканированию и поиску. Поиск информации по ключевым словам по оригиналу допускается лишь в исключительных случаях, когда создание копии невозможно, и с обязательным документированием причин.

Подраздел 4.4. Сканирование и индексация

Сканирование и индексация включают:
• выбор проекта;
• указание источника;
• выбор файловых систем;
• выбор типов файлов;
• выбор методов анализа;
• настройку глубины поиска;
• настройку восстановления удалённых данных;
• настройку извлечения метаданных;
• настройку построения индекса;
• запуск сканирования;
• контроль хода процесса;
• фиксацию ошибок;
• сохранение отчёта;
• проверку полноты индекса;
• подготовку к поисковому запросу.

Индексация ускоряет последующий поиск и позволяет работать с большими объёмами данных. Однако она не отменяет необходимости выборочной проверки и анализа контекста.

Подраздел 4.5. Формирование поискового запроса

Формирование поискового запроса включает:
• определение перечня ключевых критериев;
• определение вариантов написания;
• определение морфологических форм;
• определение типов файлов;
• определение диапазонов дат;
• определение исключений;
• определение приоритетов;
• составление масок;
• составление подстановок;
• составление регулярных выражений;
• проверку запроса;
• сохранение запроса;
• документирование запроса;
• согласование при необходимости;
• повторное уточнение.

Запрос должен быть сформулирован так, чтобы его можно было воспроизвести. Это означает, что в заключении или приложении должны быть указаны параметры поиска, версия программного обеспечения и условия выполнения.

Подраздел 4.6. Обнаружение и оценка информации

Обнаружение и оценка информации включают:
• запуск поиска;
• получение первичных результатов;
• сортировку результатов;
• фильтрацию;
• просмотр контекста;
• исключение ложных срабатываний;
• выделение значимых фрагментов;
• сопоставление с другими данными;
• определение относимости;
• определение допустимости;
• определение достоверности;
• подготовку описаний;
• подготовку иллюстраций;
• сохранение результатов;
• формирование вывода.

Оценка информации — это не только техническая, но и логическая операция. Эксперт должен объяснить, почему обнаруженный фрагмент считается относящимся к поставленному вопросу, и какие признаки указывают на его связь с обстоятельствами дела.

Подраздел 4.7. Выгрузка и оформление результатов

Выгрузка и оформление результатов включают:
• создание каталогов выгрузки;
• копирование значимых файлов;
• сохранение путей;
• сохранение метаданных;
• расчёт контрольных сумм;
• составление описи;
• маркировку носителей;
• подготовку приложений;
• подготовку таблиц;
• подготовку схем;
• подготовку снимков экрана;
• подготовку пояснений;
• проверку читаемости;
• проверку полноты;
• передачу результатов.

Оформление должно быть таким, чтобы результаты поиска информации по ключевым словам были понятны не только специалисту, но и иным участникам процесса.

Раздел 5. Особенности поиска в различных типах данных

Подраздел 5.1. Поиск в текстовых файлах и электронных документах

Текстовые файлы и электронные документы являются наиболее частыми объектами поиска. Особенности включают:
• различные кодировки;
• различные форматы;
• наличие стилей и разметки;
• наличие скрытого текста;
• наличие комментариев;
• наличие примечаний;
• наличие встроенных объектов;
• наличие истории изменений;
• наличие метаданных;
• наличие паролей;
• наличие сжатия;
• наличие контейнеров;
• наличие временных файлов;
• наличие резервных копий;
• наличие фрагментов в нераспределённом пространстве.

При поиске в таких файлах важно учитывать, что искомое слово может быть разбито на части, закодировано, заменено синонимом или скрыто в служебных полях. Поэтому поиск информации по ключевым словам должен сочетаться с анализом структуры документа.

Подраздел 5.2. Поиск в графических и аудиовизуальных файлах

Графические и аудиовизуальные файлы могут содержать:
• метаданные;
• географические координаты;
• сведения об устройстве;
• сведения о программном обеспечении;
• даты и время;
• комментарии;
• теги;
• встроенные текстовые слои;
• субтитры;
• звуковые дорожки;
• кадры с текстом;
• миниатюры;
• историю редактирования;
• ссылки на источники;
• идентификаторы.

Поиск по ключевым словам в таких файлах может осуществляться по метаданным, именам, тегам, субтитрам и распознанному тексту. Если применяются средства распознавания, необходимо документировать их параметры и оценивать возможные ошибки.

Подраздел 5.3. Поиск в базах данных и почтовых архивах

Базы данных и почтовые архивы представляют собой сложные объекты. Поиск в них включает:
• анализ схемы;
• анализ таблиц;
• анализ полей;
• анализ индексов;
• анализ журналов;
• анализ вложений;
• анализ заголовков;
• анализ служебных записей;
• анализ удалённых записей;
• анализ фрагментов;
• анализ кодировок;
• анализ сжатия;
• анализ шифрования;
• анализ прав доступа;
• анализ истории изменений.

В почтовых архивах ключевые слова могут встречаться в адресах, темах, текстах, вложениях, подписях и служебных заголовках. Поэтому поиск информации по ключевым словам должен охватывать все доступные поля.

Подраздел 5.4. Поиск в исходном коде программ

Исходный код программ для электронных вычислительных машин требует особого подхода. Поиск может быть направлен на:
• имена переменных;
• имена функций;
• имена классов;
• комментарии;
• строковые константы;
• параметры;
• настройки;
• адреса;
• идентификаторы;
• лицензионные тексты;
• метаданные авторства;
• следы использования;
• следы вызова;
• следы сборки;
• следы отладки.

Такой поиск часто сопровождает иные виды исследований. Он позволяет обнаружить метаданные авторства или место использования и вызова определённого параметра или функции. Поиск информации по ключевым словам в исходном коде требует учёта синтаксиса языка, но при этом не должен подменяться анализом содержания программы.

Раздел 6. Кейсы

Кейс 1. Поиск информации по ключевым словам на накопителе, изъятом при проверке финансовой деятельности

В офис на метро Павелецкая обратился представитель организации, которому требовалось провести исследование накопителя, изъятого в рамках проверки. Исходные данные включали внешний твердотельный накопитель объёмом два терабайта, а также его побитовую копию, созданную ранее. Задача состояла в обнаружении файлов, содержащих ключевые слова, связанные с наименованиями контрагентов и названиями проектов. Эксперт начал с идентификации объекта: описал модель, серийный номер, интерфейс, состояние разъёмов, отсутствие внешних повреждений. Затем была проверена целостность имеющейся копии путём сопоставления контрольных сумм. После этого выполнено сканирование образа, в ходе которого восстановлена структура каталогов, выявлены удалённые файлы и сформирован индекс. На следующем этапе создан поисковый запрос, включавший несколько групп слов, масок и подстановок, а также ограничения по типам файлов и диапазонам дат. Поиск информации по ключевым словам дал более двух тысяч первичных совпадений. Эксперт провёл фильтрацию, исключил системные файлы, служебные строки, кэш и фрагменты, не относящиеся к делу. В результате были отобраны электронные таблицы, текстовые документы и сообщения, содержащие значимые сведения. Каждый файл выгружен на отдельный носитель с сохранением пути и метаданных. В выводах указано, какие ключевые слова обнаружены, в каких файлах, в каком контексте и какие временные метки им соответствуют. Особое внимание уделено тому, что поиск информации по ключевым словам проводился только по копии, а оригинал не изменялся. Представителю разъяснено, что для повторной проверки можно обратиться в офис в центре Москвы на метро Павелецкая.

Кейс 2. Поиск информации по ключевым словам в почтовом архиве

В работе поступил запрос на исследование почтового архива, представленного в виде набора файлов и базы данных. Требовалось установить, имеются ли сообщения, содержащие определённые слова и словосочетания. Эксперт описал объект, зафиксировал перечень файлов, их размеры и контрольные суммы. Затем создал рабочую копию, чтобы исключить изменение исходных материалов. Сканирование позволило выявить структуру архива, список папок, вложений и служебных записей. Поисковый запрос включал слова с учётом склонений и падежных окончаний, а также маски для учёта возможных опечаток. Поиск информации по ключевым словам выполнялся по всем доступным полям: отправитель, получатель, тема, текст, вложения, служебные заголовки. Первичный результат содержал множество совпадений в цитатах и подписях. После контекстного анализа эксперт выделил сообщения, непосредственно относящиеся к поставленному вопросу. Вложения были проверены отдельно, поскольку в них также могли содержаться искомые слова. Результаты выгружены с сохранением структуры папок и метаданных. В заключении отражено, какие сообщения обнаружены, каковы их временные метки, какие вложения к ним приложены. Отдельно указано, что поиск информации по ключевым словам проводился в несколько этапов с уточнением запроса. Заинтересованным лицам предложено посетить офис на метро Павелецкая для обсуждения дополнительных вопросов.

Кейс 3. Поиск информации по ключевым словам в графических файлах и метаданных

Объектом исследования стал набор графических файлов, представленных на носителе. Требовалось обнаружить файлы, связанные с определёнными событиями и местами. Эксперт начал с идентификации носителя, описания его состояния и создания образа. Сканирование выявило не только сами изображения, но и метаданные, включая сведения об устройстве, дате и времени съёмки, а также координаты. Поисковый запрос включал ключевые слова, которые могли встречаться в именах файлов, подписях, тегах и служебных полях. Поиск информации по ключевым словам позволил обнаружить несколько групп файлов, объединённых по датам и местам. Часть совпадений оказалась ложной, поскольку слова встречались в названиях системных каталогов. После фильтрации эксперт отобрал значимые изображения и сопроводил их описанием. Для каждого файла указаны контрольная сумма, путь, размер, дата создания, дата изменения, сведения об устройстве. Выгрузка выполнена на отдельный носитель с сохранением метаданных. В выводах отмечено, что поиск информации по ключевым словам сочетался с анализом метаданных и визуальным просмотром. Представитель приглашён в офис в центре Москвы на метро Павелецкая для получения дополнительных пояснений.

Кейс 4. Поиск информации по ключевым словам в базе данных

В офисе на метро Павелецкая принят запрос на исследование базы данных, содержащей сведения о хозяйственных операциях. Требовалось обнаружить записи, содержащие определённые наименования. Эксперт описал объект, зафиксировал параметры базы, её размер, структуру и контрольные суммы. Работа выполнялась с копией. Сканирование позволило выявить таблицы, поля, индексы и журналы. Поисковый запрос включал слова, числовые идентификаторы и диапазоны дат. Поиск информации по ключевым словам выполнялся как по основным таблицам, так и по служебным и архивным. Были обнаружены записи, содержащие искомые наименования в разных формах. Часть записей относилась к справочникам и не имела отношения к делу. Эксперт провёл сопоставление с другими таблицами и восстановил связи. Результаты выгружены в виде таблиц и сопроводительных описаний. В заключении указано, какие записи обнаружены, в каких таблицах и полях, какие связи установлены. Отдельно отмечено, что поиск информации по ключевым словам проводился с учётом особенностей хранения данных. Для уточнения деталей предложено обратиться в офис на метро Павелецкая.

Кейс 5. Поиск информации по ключевым словам в исходном коде программы

Объектом исследования стал исходный код программы для электронной вычислительной машины. Задача состояла в обнаружении метаданных авторства и следов использования определённого параметра. Эксперт описал объект, зафиксировал перечень файлов, их размеры и контрольные суммы. Работа выполнялась с копией. Сканирование позволило построить индекс и выявить структуру проекта. Поисковый запрос включал имена переменных, функций, классов, комментарии, строковые константы и служебные метки. Поиск информации по ключевым словам дал несколько совпадений в комментариях и строковых константах. Эксперт проанализировал контекст и установил, где именно используется параметр и как он вызывается. Дополнительно проверены метаданные авторства, включая поля, содержащие сведения о создателе. Результаты выгружены с сохранением структуры каталогов и сопроводительных описаний. В выводах отражено, какие фрагменты обнаружены, в каких файлах и в каком контексте. Отмечено, что поиск информации по ключевым словам применялся для анализа исходного кода и позволил обнаружить значимые сведения. Представителю разъяснено, что дополнительные вопросы можно обсудить в офисе в центре Москвы на метро Павелецкая.

Кейс 6. Поиск информации по ключевым словам в удалённых файлах

В работе исследовался носитель, на котором часть файлов была удалена. Требовалось установить, имеются ли среди удалённых данных файлы, содержащие определённые слова. Эксперт описал объект, создал побитовую копию и выполнил сканирование с настройкой восстановления удалённых данных. Поисковый запрос включал слова, маски и ограничения по типам файлов. Поиск информации по ключевым словам позволил обнаружить фрагменты удалённых документов, сохранившиеся в нераспределённом пространстве. Часть фрагментов была неполной, что потребовало дополнительного анализа. Эксперт сопоставил обнаруженные фрагменты с журналами и метаданными. В результате удалось восстановить несколько значимых документов и установить их временные метки. Результаты выгружены на отдельный носитель с описанием степени сохранности. В заключении указано, какие файлы обнаружены, в каком состоянии и какие ключевые слова в них содержатся. Отмечено, что поиск информации по ключевым словам проводился по копии с соблюдением мер по сохранению целостности. Для консультации предложено посетить офис на метро Павелецкая.

Кейс 7. Поиск информации по ключевым словам в облачном хранилище

Объектом исследования стало облачное хранилище, доступное через локальный синхронизированный каталог. Требовалось обнаружить файлы, содержащие определённые ключевые слова. Эксперт описал объект, зафиксировал параметры синхронизации, перечень локальных каталогов и доступные метаданные. Работа выполнялась с копией локального каталога. Сканирование позволило выявить структуру папок, список файлов и служебные данные. Поисковый запрос включал слова, словосочетания и типы файлов. Поиск информации по ключевым словам дал совпадения в документах, таблицах и сообщениях. Часть файлов оказалась дубликатами, что потребовало их сопоставления. Эксперт выделил уникальные материалы и установил их временные метки. Результаты выгружены с сохранением путей и метаданных. В выводах отражено, какие файлы обнаружены, какие ключевые слова в них встречаются и какие ограничения связаны с локальной копией облачного хранилища. Представителю предложено обратиться в офис в центре Москвы на метро Павелецкая для уточнения деталей.

Кейс 8. Поиск информации по ключевым словам в журналах событий

В работе исследовались журналы событий операционной системы. Требовалось установить, имеются ли записи, связанные с определёнными действиями пользователя. Эксперт описал объект, создал копию и выполнил сканирование. Поисковый запрос включал слова, идентификаторы, диапазоны дат и типы записей. Поиск информации по ключевым словам позволил обнаружить записи о входе в систему, запуске программ, подключении устройств и обращении к файлам. Часть записей была повреждена или перезаписана, что потребовало осторожной интерпретации. Эксперт сопоставил журналы с другими данными и восстановил последовательность событий. Результаты выгружены в виде таблиц с указанием времени, источника, идентификатора события и описания. В заключении отмечено, какие события обнаружены и как они связаны с поставленным вопросом. Отдельно указано, что поиск информации по ключевым словам проводился с учётом особенностей формата журналов. Для дополнительных пояснений предложено посетить офис на метро Павелецкая.

Кейс 9. Поиск информации по ключевым словам в архивах и контейнерах

Объектом исследования стал набор архивов и контейнеров, содержащих разнородные файлы. Требовалось обнаружить документы, содержащие определённые слова. Эксперт описал объект, зафиксировал перечень архивов, их размеры и контрольные суммы. Работа выполнялась с копией. Сканирование позволило выявить структуру архивов и содержащиеся в них файлы. Поисковый запрос включал слова, маски и типы файлов. Поиск информации по ключевым словам выполнялся как по именам файлов, так и по их содержимому после извлечения. Часть архивов была защищена паролем, что потребовало отдельного описания ограничений. Эксперт извлёк доступные файлы, проверил их и отобрал значимые. Результаты выгружены с сохранением структуры и описанием ограничений. В выводах указано, какие файлы обнаружены, какие ключевые слова в них содержатся и какие архивы остались недоступными. Представителю разъяснено, что обсудить результаты можно в офисе в центре Москвы на метро Павелецкая.

Кейс 10. Поиск информации по ключевым словам в комплексном исследовании

В офисе на метро Павелецкая принят запрос на комплексное исследование, включавшее несколько носителей и различных типов данных. Требовалось обнаружить информацию, содержащую заданные ключевые слова, и установить взаимосвязи между файлами. Эксперт описал все объекты, создал копии, выполнил сканирование и построил единый индекс. Поисковый запрос включал слова, словосочетания, маски, подстановки, диапазоны дат и типы файлов. Поиск информации по ключевым словам проводился по всем носителям с едиными критериями. Полученные результаты были сопоставлены между собой, что позволило выявить дубликаты, версии документов и последовательность их изменения. Эксперт проанализировал контекст, исключил ложные срабатывания и отобрал значимые материалы. Результаты выгружены на отдельные носители с сохранением путей, метаданных и контрольных сумм. В заключении отражено, какие файлы обнаружены, на каких носителях, какие ключевые слова в них встречаются и какие связи установлены. Отмечено, что поиск информации по ключевым словам применялся на всех этапах и обеспечил целостность исследования. Для уточнения деталей предложено обратиться в офис в центре Москвы на метро Павелецкая.

Раздел 7. Оформление результатов и формулирование выводов

Подраздел 7.1. Структура заключения

Заключение по результатам поиска информации должно включать:
• вводную часть;
• сведения об объектах;
• сведения о методах;
• сведения о программных средствах;
• описание процедуры;
• описание поисковых запросов;
• описание результатов;
• оценку полноты;
• оценку точности;
• иллюстрации;
• приложения;
• выводы;
• подпись;
• дату;
• отметки об ознакомлении.

В вводной части указываются основания проведения исследования, сведения об эксперте и поставленные вопросы. В основной части последовательно описываются все этапы. В выводах формулируются ответы на поставленные вопросы. Поиск информации по ключевым словам должен быть отражён так, чтобы была ясна его роль в получении доказательственной информации.

Подраздел 7.2. Требования к выводам

Выводы должны быть:
• краткими;
• определёнными;
• обоснованными;
• проверяемыми;
• непротиворечивыми;
• связанными с поставленными вопросами;
• основанными на результатах исследования;
• подкреплёнными приложениями;
• изложенными ясно;
• не допускающими расширительного толкования.

Если поиск информации по ключевым словам не дал результатов, это также отражается в выводах с указанием параметров поиска и возможных ограничений. Если результаты получены, указывается, какие файлы и фрагменты обнаружены и в каком контексте.

Подраздел 7.3. Приложения и иллюстрации

Приложения могут включать:
• таблицы совпадений;
• перечни файлов;
• описания метаданных;
• снимки экрана;
• схемы;
• фрагменты документов;
• контрольные суммы;
• журналы операций;
• параметры поисковых запросов;
• описи носителей;
• пояснения к выгрузке.

Иллюстрации должны быть читаемыми и однозначно связанными с текстом. Приложения не должны содержать избыточных сведений, не относящихся к делу. Поиск информации по ключевым словам в приложениях отражается через перечни запросов и результатов.

Раздел 8. Ограничения и типичные ошибки

Подраздел 8.1. Ограничения метода

Метод поиска по ключевым словам имеет ограничения:
• зависимость от полноты критериев;
• возможность пропуска при неверных критериях;
• возможность ложных срабатываний;
• зависимость от кодировок;
• зависимость от форматов;
• зависимость от состояния носителя;
• зависимость от шифрования;
• зависимость от повреждений;
• зависимость от версии программ;
• зависимость от настроек индексации;
• ограничения по объёму;
• ограничения по времени;
• ограничения по вычислительным ресурсам;
• ограничения по доступности облачных данных;
• ограничения по паролям.

Эти ограничения должны осознаваться экспертом и отражаться в заключении. Поиск информации по ключевым словам не является универсальным средством, а представляет собой инструмент, эффективность которого зависит от качества подготовки и корректности применения.

Подраздел 8.2. Типичные ошибки

К типичным ошибкам относятся:
• работа с оригиналом вместо копии;
• отсутствие контрольных сумм;
• неверная идентификация объекта;
• неполное сканирование;
• неверная настройка кодировок;
• игнорирование морфологии;
• избыточно широкий запрос;
• избыточно узкий запрос;
• отсутствие проверки на ложные срабатывания;
• отсутствие контекстного анализа;
• неполная выгрузка;
• утрата метаданных;
• нарушение структуры каталогов;
• отсутствие журнала операций;
• неясное оформление выводов.

Предотвращение этих ошибок требует дисциплины, внимания и соблюдения методики. Поиск информации по ключевым словам должен выполняться последовательно и документированно.

Раздел 9. Практические рекомендации

Подраздел 9.1. Рекомендации по подготовке

Рекомендуется:
• уточнять поставленные вопросы;
• согласовывать перечень ключевых критериев;
• фиксировать все исходные данные;
• проверять оборудование;
• использовать проверенные средства;
• создавать копии;
• рассчитывать контрольные суммы;
• вести журнал;
• сохранять промежуточные результаты;
• проверять читаемость;
• обеспечивать раздельное хранение;
• ограничивать доступ;
• документировать отклонения;
• согласовывать спорные моменты;
• приглашать заинтересованных лиц в офис в центре Москвы на метро Павелецкая.

Подраздел 9.2. Рекомендации по проведению поиска

Рекомендуется:
• начинать с широкого поиска;
• постепенно уточнять запрос;
• применять маски и подстановки;
• учитывать морфологию;
• проверять разные кодировки;
• анализировать контекст;
• исключать ложные срабатывания;
• сохранять параметры запросов;
• проверять полноту;
• сопоставлять с другими данными;
• выгружать значимые материалы;
• сохранять метаданные;
• оформлять приложения;
• формулировать выводы;
• разъяснять возможность обращения в офис на метро Павелецкая.

Подраздел 9.3. Рекомендации по оформлению

Рекомендуется:
• использовать ясные формулировки;
• избегать двусмысленности;
• указывать версии программ;
• указывать параметры поиска;
• приводить контрольные суммы;
• приводить перечни файлов;
• приводить описания контекста;
• приводить иллюстрации;
• проверять соответствие выводов вопросам;
• проверять целостность приложений;
• обеспечивать читаемость;
• обеспечивать однозначность;
• обеспечивать проверяемость;
• обеспечивать полноту;
• приглашать для консультации в офис в центре Москвы на метро Павелецкая.

Раздел 10. Итоговые положения

Компьютерно-техническая экспертиза в части поиска информации по ключевым словам представляет собой востребованное, технически насыщенное и методически сложное направление. Его значение определяется тем, что оно позволяет целенаправленно выявлять значимые данные в больших массивах информации, обеспечивая при этом сохранность исходных объектов и проверяемость результатов. Поиск информации по ключевым словам требует строгой последовательности действий, применения проверенных криминалистических средств, документирования всех операций и анализа контекста.

В монографии рассмотрены теоретические основы, задачи и объекты, ключевые критерии, принципы достоверности, организация и методика, технические средства, алгоритм действий эксперта, особенности поиска в различных типах данных, кейсы, оформление результатов, ограничения, типичные ошибки и практические рекомендации. Каждый раздел показывает, что поиск информации по ключевым словам является не вспомогательной операцией, а полноценным экспертным исследованием, результаты которого могут иметь доказательственное значение.

Для получения консультации, обсуждения вопросов проведения исследования или уточнения деталей можно обратиться в офис в центре Москвы на метро Павелецкая. Контактные данные: Союз «Федерация судебных экспертов», телефоны 8(495) 666-5-666, 8-(800) 555-04-53, электронная почта info@fse.ms.