🟩 Компьютерно-техническая экспертиза

Раздел 1. Концептуальные основы компьютерно-технической экспертизы как вида судебной экспертизы

1.1. Понятие и сущность компьютерно-технической экспертизы

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебной экспертизы, предметом которой выступают фактические данные, устанавливаемые на основе специальных знаний в области информационных технологий, компьютерной техники, программного обеспечения и электронных носителей информации. Сущность данного вида экспертной деятельности заключается в исследовании закономерностей формирования, обработки, хранения и передачи компьютерной информации, а также в установлении фактов и обстоятельств, имеющих доказательственное значение для разрешения правовых споров.

Компьютерно-техническая экспертиза занимает особое место в системе судебных экспертиз, поскольку её объекты представляют собой сложные технические системы, функционирование которых опосредовано множеством взаимосвязанных программных и аппаратных компонентов. Специфика рассматриваемого вида экспертизы определяется тем, что исследованию подвергается не только материальная составляющая компьютерных средств, но и идеальная — информация, циркулирующая в вычислительных системах и на носителях данных. Именно это обстоятельство позволяет говорить о компьютерно-технической экспертизе как о виде экспертной деятельности, находящемся на стыке технических и информационных наук.

Правовой основой производства компьютерно-технической экспертизы выступают нормы процессуального законодательства, регламентирующие порядок назначения и производства судебных экспертиз, а также права и обязанности эксперта. Вместе с тем содержательная сторона экспертного исследования определяется не процессуальными нормами, а специальными познаниями эксперта в области информационных технологий. Компьютерно-техническая экспертиза требует от эксперта глубокого понимания архитектуры вычислительных систем, принципов работы операционных систем, особенностей файловых систем, протоколов передачи данных и методов программирования.

Ключевой особенностью компьютерно-технической экспертизы является необходимость обеспечения неизменности исследуемых объектов. Любое некорректное воздействие на носитель информации или вычислительную систему может привести к утрате доказательственной информации, что делает недопустимым поверхностный подход к производству экспертизы. Эксперт обязан применять методы, гарантирующие сохранность исходного состояния объектов, в частности, работать с образами носителей, использовать средства хеширования для контроля целостности данных, документировать все выполняемые операции.

В рамках настоящего раздела целесообразно подчеркнуть, что компьютерно-техническая экспертиза не сводится к простому копированию файлов или просмотру содержимого жёсткого диска. Речь идёт о комплексном исследовании, включающем анализ журналов событий, восстановление удалённых данных, установление временных характеристик создания и модификации файлов, идентификацию устройств, подключавшихся к системе, и решение множества иных задач, требующих специализированных познаний.

1.2. Задачи, решаемые компьютерно-технической экспертизой

Задачи компьютерно-технической экспертизы отличаются значительным разнообразием и определяются характером исследуемых объектов, а также вопросами, поставленными перед экспертом. В обобщённом виде задачи рассматриваемого вида экспертизы могут быть систематизированы следующим образом:

• установление особенностей функционирования компьютерных средств, реализующих сетевую информационную технологию;

• установление фактов использования конкретного оборудования при создании документов или совершении иных действий;

• получение доступа к информации, содержащейся на носителях, и её исследование;

• исследование информации, созданной пользователем или программой для реализации информационных процессов;

• выявление свойств, качеств, статуса и особенностей использования технических компьютерных систем;

• установление особенностей разработки и использования программных продуктов, в том числе при установлении фактов использования программного обеспечения с нарушением авторских прав его разработчика;

• установление времени создания, изменения или удаления файлов и иных объектов файловой системы;

• идентификация устройств, подключавшихся к исследуемой системе;

• установление фактов копирования, передачи или уничтожения информации;

• определение конфигурации вычислительной системы и её компонентов.

Перечисленные задачи не являются исчерпывающими, поскольку стремительное развитие информационных технологий постоянно порождает новые вопросы, требующие экспертного разрешения. Вместе с тем приведённая система демонстрирует многогранность компьютерно-технической экспертизы и необходимость комплексного подхода к её производству.

Следует отметить, что задачи компьютерно-технической экспертизы тесно связаны с задачами иных родов судебных экспертиз. Так, при расследовании преступлений в сфере компьютерной информации компьютерно-техническая экспертиза может сочетаться с программно-технической, информационно-компьютерной и иными экспертизами. Однако в каждом случае эксперт обязан чётко определить круг вопросов, относящихся к его компетенции, и не выходить за пределы специальных познаний.

1.3. Объекты компьютерно-технической экспертизы

Объекты компьютерно-технической экспертизы представляют собой материальные носители информации и технические средства, исследование которых позволяет установить обстоятельства, имеющие значение для дела. К числу типичных объектов рассматриваемого вида экспертизы относятся:

• системные блоки персональных компьютеров и переносные устройства — ноутбуки, нетбуки, планшетные устройства;

• периферийные устройства — модемы, принтеры, сканеры, дисплеи, дисководы;

• компьютерные комплектующие — процессоры, модули памяти, жёсткие диски, твердотельные накопители, материнские платы;

• сетевые аппаратные средства — сетевые кабели, рабочие станции, серверы, коммутаторы, маршрутизаторы;

• системное и прикладное программное обеспечение;

• информация с компьютерных баз данных;

• классификаторы и иные структурированные наборы данных.

Особую группу объектов составляют электронные носители информации, к которым относятся жёсткие диски, оптические диски, флеш-накопители, карты памяти и иные устройства хранения данных. Именно на таких носителях сосредоточен основной объём доказательственной информации, исследуемой в рамках компьютерно-технической экспертизы.

При проведении компьютерно-технического исследования эксперт изучает и анализирует техническую документацию, информацию, находящуюся в базе данных и других имеющихся приложениях, а также данные в мультимедийном формате. Такой комплексный подход позволяет получить полное представление об исследуемом объекте и сделать обоснованные выводы.

Важно подчеркнуть, что объекты компьютерно-технической экспертизы могут быть как представлены эксперту в натуре, так и исследоваться в виде образов, созданных с соблюдением требований целостности. Во втором случае эксперт обязан убедиться в том, что представленный образ соответствует оригиналу, что подтверждается совпадением контрольных сумм.

1.4. Методологические основы экспертного исследования

Методология компьютерно-технической экспертизы базируется на общенаучных методах познания, а также на специальных методах, разработанных в области информационных технологий. К общенаучным методам относятся наблюдение, описание, сравнение, измерение, эксперимент, моделирование, анализ и синтез. Специальные методы включают в себя методы работы с файловыми системами, методы восстановления удалённых данных, методы анализа журналов событий, методы исследования сетевого трафика и многие другие.

Производство компьютерно-технической экспертизы осуществляется в несколько этапов. На подготовительном этапе эксперт изучает постановление о назначении экспертизы, уясняет поставленные вопросы, проверяет достаточность представленных материалов и определяет необходимые методы исследования. На аналитическом этапе производится непосредственное исследование объектов, фиксация их состояния, создание образов носителей информации и анализ содержащихся на них данных. На заключительном этапе эксперт формулирует выводы и оформляет заключение.

Особое значение в компьютерно-технической экспертизе имеет документирование всех выполняемых действий. Эксперт обязан фиксировать последовательность своих операций, применяемые инструменты и программное обеспечение, а также полученные результаты. Такая документация обеспечивает проверяемость выводов эксперта и позволяет при необходимости воспроизвести ход исследования.

Компьютерно-техническая экспертиза требует применения аттестованных методик, обеспечивающих достоверность и обоснованность получаемых результатов. При этом эксперт не ограничен в выборе методов исследования, однако обязан обосновать их применимость в конкретном случае и обеспечить сохранность исследуемых объектов.

1.5. Место компьютерно-технической экспертизы в системе экспертного обеспечения

Компьютерно-техническая экспертиза является востребованным видом экспертной деятельности, поскольку информационные технологии проникают во все сферы общественной жизни. Потребность в производстве рассматриваемого вида экспертизы возникает при расследовании уголовных дел, разрешении гражданских споров, рассмотрении дел об административных правонарушениях, а также при разрешении конфликтных ситуаций в предпринимательской деятельности.

В системе экспертного обеспечения компьютерно-техническая экспертиза занимает позицию, определяемую её межотраслевым характером. С одной стороны, она относится к классу технических экспертиз, поскольку её объекты имеют техническую природу. С другой стороны, предмет исследования — информация — придаёт ей черты, сближающие её с экспертизами, ориентированными на исследование идеальных объектов.

Производство компьютерно-технической экспертизы требует наличия у эксперта базового высшего образования, глубоких познаний в области автоматизации, информационных систем и процессов, программирования, электротехники, компьютерной техники. Многолетний опыт экспертной работы, приобретённый в экспертно-криминалистических учреждениях, позволяет экспертам проводить всесторонние качественные исследования объектов и делать обоснованные выводы в заключениях.

Компьютерно-техническая экспертиза требует большой ответственности и обеспечивает решение широкого круга экспертных задач. Именно поэтому к производству данного вида экспертизы предъявляются повышенные требования как в части квалификации эксперта, так и в части организации экспертного процесса.

1.6. Процессуальные аспекты назначения и производства

Назначение компьютерно-технической экспертизы осуществляется в порядке, установленном процессуальным законодательством. В постановлении о назначении экспертизы указываются основания её производства, вопросы, поставленные перед экспертом, и материалы, представленные в распоряжение эксперта. Эксперт вправе ходатайствовать о предоставлении дополнительных материалов, необходимых для дачи заключения.

При производстве компьютерно-технической экспертизы эксперт обязан соблюдать требования независимости и объективности, не допускать воздействия на результаты исследования заинтересованных лиц. Заключение эксперта должно быть основано на результатах проведённого исследования и содержать ответы на поставленные вопросы в пределах компетенции эксперта.

Компьютерно-техническая экспертиза может производиться как в экспертном учреждении, так и вне его, если это необходимо для обеспечения сохранности объектов или обусловлено иными обстоятельствами. В любом случае эксперт обязан обеспечить надлежащие условия исследования и сохранность представленных материалов.

Раздел 2. Технические средства и программное обеспечение как объекты экспертного исследования

2.1. Аппаратная составляющая вычислительных систем

Аппаратная составляющая вычислительных систем представляет собой совокупность технических средств, обеспечивающих функционирование компьютерной техники. К основным компонентам аппаратного обеспечения относятся процессор, оперативная память, материнская плата, жёсткий диск или твердотельный накопитель, блок питания, а также периферийные устройства. Каждый из перечисленных компонентов может выступать объектом компьютерно-технической экспертизы, поскольку содержит информацию, значимую для установления обстоятельств дела.

Процессор является центральным элементом вычислительной системы, однако его исследование в рамках компьютерно-технической экспертизы, как правило, ограничивается установлением модели, тактовой частоты и иных технических характеристик. Оперативная память может содержать данные, не сохранённые на постоянных носителях, что делает её исследование особенно ценным в случаях, когда требуется установить содержание информации, обрабатывавшейся в момент прерывания работы системы.

Материнская плата содержит микросхемы постоянной памяти, в которых хранятся настройки базовой системы ввода-вывода. Исследование этих настроек позволяет установить конфигурацию системы, порядок загрузки, параметры безопасности и иные сведения, имеющие значение для дела. Жёсткие диски и твердотельные накопители выступают основными носителями долговременной информации и подвергаются наиболее тщательному исследованию в рамках компьютерно-технической экспертизы.

Периферийные устройства, такие как принтеры и сканеры, могут содержать в своей памяти сведения о выполненных операциях, что позволяет установить факты печати или сканирования конкретных документов. Модемы и сетевые адаптеры хранят информацию о сетевых подключениях, которая может быть использована для установления фактов передачи данных.

2.2. Носители информации и особенности работы с ними

Электронные носители информации являются ключевыми объектами компьютерно-технической экспертизы. К ним относятся жёсткие диски, оптические диски, флеш-накопители, карты памяти, а также внешние накопители, подключаемые через интерфейсы. Особенностью работы с носителями информации является необходимость обеспечения их неизменности, поскольку любое изменение содержимого носителя может привести к утрате доказательственной информации.

При производстве экспертизы эксперт, как правило, создаёт образ носителя — точную копию его содержимого, включая нераспределённые области. Работа с образом позволяет проводить исследование без риска повреждения оригинала. Для контроля целостности образа применяются криптографические хеш-функции, позволяющие убедиться в том, что образ соответствует оригиналу.

Исследование носителей информации включает в себя анализ файловой системы, изучение таблиц размещения файлов, анализ журналов событий, восстановление удалённых данных. Восстановление удалённых данных является одной из наиболее сложных задач компьютерно-технической экспертизы, поскольку требует глубокого понимания принципов работы файловых систем и методов распределения дискового пространства.

2.3. Файловые системы и их исследование

Файловая система представляет собой совокупность правил и структур, обеспечивающих организацию хранения информации на носителе. К наиболее распространённым файловым системам относятся файловые системы семейства, применяемые в операционных системах различных типов. Исследование файловой системы позволяет установить структуру каталогов, имена и размеры файлов, атрибуты доступа, временные метки создания, изменения и последнего доступа к файлам.

Временные метки файлов имеют особое значение для компьютерно-технической экспертизы, поскольку позволяют установить хронологию событий. Однако эксперт обязан учитывать, что временные метки могут быть изменены как программными средствами, так и в результате изменения системного времени. Поэтому выводы, основанные исключительно на временных метках, должны делаться с осторожностью и подкрепляться иными данными.

Анализ файловой системы включает в себя также исследование нераспределённых областей носителя, в которых могут сохраняться фрагменты удалённых файлов. Изучение этих областей позволяет восстановить информацию, которая, на первый взгляд, была уничтожена. Компьютерно-техническая экспертиза в таких случаях требует применения специализированного программного обеспечения и глубоких познаний в области организации хранения данных.

2.4. Программное обеспечение как объект исследования

Программное обеспечение является одним из наиболее сложных объектов компьютерно-технической экспертизы, поскольку его исследование требует познаний в области программирования, алгоритмов и структур данных. К объектам исследования относятся системное программное обеспечение, включающее операционные системы и драйверы, а также прикладное программное обеспечение, предназначенное для решения конкретных задач пользователя.

При исследовании программного обеспечения эксперт может устанавливать его состав, версии, даты установки, факты использования, а также особенности функционирования. В случаях, когда требуется установить факты использования программного обеспечения с нарушением авторских прав, эксперт исследует экземпляры программ, их лицензионные соглашения и следы использования.

Исследование программного обеспечения включает в себя анализ исполняемых файлов, библиотек, конфигурационных файлов и журналов. Эксперт может применять методы статического и динамического анализа, позволяющие установить особенности функционирования программы без её запуска или в процессе выполнения в контролируемой среде.

2.5. Информационные процессы и их экспертный анализ

Информационные процессы представляют собой совокупность действий, связанных с созданием, обработкой, хранением и передачей информации. Компьютерно-техническая экспертиза исследует информационные процессы с целью установления фактов, имеющих доказательственное значение. К числу таких фактов относятся факты создания документа, его копирования, передачи по сети, уничтожения.

Анализ информационных процессов требует от эксперта понимания принципов работы прикладных программ, операционных систем и сетевых протоколов. Эксперт исследует журналы событий, кэш-файлы, временные файлы, а также иные следы, остающиеся в результате деятельности пользователя. Совокупность таких следов позволяет восстановить картину событий и сделать обоснованные выводы.

Компьютерно-техническая экспертиза в части анализа информационных процессов тесно смыкается с исследованием компьютерных средств, реализующих сетевую информационную технологию. Установление особенностей функционирования таких средств позволяет выявить факты сетевого взаимодействия, определить участников информационного обмена и установить содержание переданных данных.

2.6. Инструментальные средства эксперта

Инструментальные средства, применяемые в компьютерно-технической экспертизе, подразделяются на аппаратные и программные. К аппаратным средствам относятся устройства блокировки записи, позволяющие предотвратить изменение содержимого носителя, устройства копирования данных, а также средства контроля целостности. К программным средствам относятся программы создания образов носителей, программы анализа файловых систем, программы восстановления данных, программы анализа сетевого трафика.

Выбор инструментальных средств определяется характером решаемых задач и особенностями исследуемых объектов. Эксперт обязан применять средства, обеспечивающие достоверность результатов и сохранность объектов. При этом применение того или иного средства должно быть обосновано и задокументировано.

Компьютерно-техническая экспертиза предполагает использование аттестованных методик и проверенных инструментов. Это не исключает применения авторских методик, однако в таком случае эксперт обязан обосновать их применимость и обеспечить проверяемость полученных результатов.

Раздел 3. Организация производства компьютерно-технической экспертизы

3.1. Порядок приёма и регистрации материалов

Производство компьютерно-технической экспертизы начинается с приёма и регистрации материалов, поступивших от органа или лица, назначившего экспертизу. На этом этапе эксперт проверяет наличие постановления о назначении экспертизы, соответствие поставленных вопросов его компетенции, а также достаточность представленных объектов и материалов.

При приёме объектов эксперт осматривает их, фиксирует внешнее состояние, проверяет комплектность и отсутствие повреждений. Все выявленные особенности отражаются в документации. В случае выявления обстоятельств, препятствующих производству экспертизы, эксперт ходатайствует об их устранении либо мотивированно сообщает о невозможности дачи заключения.

Регистрация материалов включает в себя присвоение экспертизе уникального номера, внесение сведений о поступивших объектах в журнал учёта, а также определение сроков производства. Компьютерно-техническая экспертиза требует тщательного учёта всех поступивших объектов, поскольку их утрата или повреждение недопустимы.

3.2. Планирование экспертного исследования

Планирование экспертного исследования является важным этапом, определяющим эффективность и качество производства экспертизы. На этом этапе эксперт определяет последовательность действий, необходимые методы и инструментальные средства, а также распределяет время на выполнение отдельных операций.

План экспертного исследования составляется с учётом характера поставленных вопросов и особенностей исследуемых объектов. Если вопросы требуют применения различных методов, план предусматривает их рациональное сочетание. При необходимости эксперт может корректировать план в ходе исследования, отражая изменения в документации.

Компьютерно-техническая экспертиза предполагает планирование работ по созданию образов носителей, их исследованию, анализу полученных данных и формулированию выводов. Каждый этап должен быть обеспечен необходимыми ресурсами и инструментами.

3.3. Создание образов носителей информации

Создание образов носителей информации является одной из ключевых операций компьютерно-технической экспертизы. Образ представляет собой точную копию содержимого носителя, включая служебные области и нераспределённое пространство. Создание образа позволяет проводить исследование без риска изменения оригинала.

Процесс создания образа включает в себя подключение носителя через устройство блокировки записи, запуск программы создания образа, выбор режима копирования и контроль целостности. По завершении копирования вычисляются контрольные суммы оригинала и образа, которые должны совпадать. Результаты фиксируются в протоколе.

Компьютерно-техническая экспертиза требует, чтобы создание образов осуществлялось с соблюдением мер, исключающих изменение содержимого оригинала. В частности, недопустимо подключение носителя к системе, которая может автоматически записать на него данные. Для предотвращения таких ситуаций применяются устройства блокировки записи.

3.4. Исследование образа и фиксация результатов

Исследование образа носителя информации включает в себя анализ файловой системы, изучение журналов событий, восстановление удалённых данных и иные операции. Результаты исследования фиксируются в рабочей документации эксперта, которая впоследствии используется при составлении заключения.

Фиксация результатов должна быть полной и точной, позволяющей воспроизвести ход исследования. Эксперт отражает примененные методы, использованные инструменты, полученные данные и сделанные наблюдения. Особое внимание уделяется фиксации данных, которые могут быть использованы в качестве доказательств.

Компьютерно-техническая экспертиза предполагает, что результаты исследования образа должны быть проверяемыми. Для этого эксперт сохраняет копии исследованных файлов, скриншоты, журналы работы программ и иные материалы, подтверждающие выводы.

3.5. Оформление заключения эксперта

Заключение эксперта является итоговым документом, отражающим результаты проведённого исследования. Оно должно содержать вводную, исследовательскую и заключительную части. Во вводной части указываются сведения об эксперте, основания производства экспертизы, поставленные вопросы и представленные материалы. В исследовательской части описывается ход исследования, примененные методы и полученные результаты. В заключительной части формулируются выводы.

Компьютерно-техническая экспертиза требует, чтобы заключение было составлено ясно, логично и обоснованно. Выводы должны быть сформулированы в соответствии с поставленными вопросами и подкреплены результатами исследования. Недопустимо включение в заключение выводов, выходящих за пределы компетенции эксперта.

Оформление заключения завершает производство экспертизы. Вместе с заключением заказчику возвращаются представленные объекты и материалы. Копия заключения остаётся в архиве экспертного учреждения.

3.6. Сроки и стоимость производства экспертизы

Сроки производства компьютерно-технической экспертизы определяются сложностью поставленных вопросов, количеством объектов и объёмом исследуемой информации. Стоимость компьютерно-технических экспертиз зависит от количества объектов, сложности вопросов, применения аттестованных методик. К каждому отдельному случаю применяется индивидуальный подход, гарантирующий высокое качество выполняемых работ при минимальном сроке исполнения.

Стоимость экспертиз и исследований составляет от двадцати тысяч рублей, в зависимости от конкретной ситуации. В каждом отдельном случае присутствует индивидуальный подход, приемлемые цены, бесплатная консультация специалистов. Компьютерно-техническая экспертиза требует значительных ресурсов, однако рациональная организация работ позволяет оптимизировать затраты.

Раздел 4. Кейсы из практики производства компьютерно-технической экспертизы

Кейс 1. Установление факта создания документа на конкретном компьютере

В практике производства компьютерно-технической экспертизы нередко возникает необходимость установления факта создания конкретного документа на определённом компьютере. Подобная задача была поставлена перед экспертами в рамках спора между коммерческими организациями, предметом которого являлось авторство технической документации.

Заказчик представил на исследование системный блок персонального компьютера и электронную копию документа, авторство которого оспаривалось. Перед экспертом были поставлены вопросы о том, создавался ли данный документ на представленном компьютере, в какое время он создавался и изменялся, а также применялись ли при его создании конкретные программные средства.

На подготовительном этапе эксперт осмотрел системный блок, зафиксировал его внешнее состояние и заводские идентификаторы. Затем был создан образ жёсткого диска с применением устройства блокировки записи. Контрольные суммы оригинала и образа совпали, что подтвердило корректность копирования.

Исследование образа началось с анализа файловой системы. Эксперт установил перечень файлов, имеющих отношение к спорному документу, и изучил их временные метки. Было выявлено, что файл с именем, соответствующим спорному документу, создавался и неоднократно изменялся в период, предшествующий дате заключения договора.

Далее эксперт исследовал журналы событий операционной системы, а также кэш-файлы прикладных программ. Анализ показал, что документ открывался и редактировался с использованием конкретного текстового редактора, установленного на исследуемом компьютере. Временные метки журналов согласовывались с временными метками файла.

Дополнительно эксперт исследовал нераспределённые области носителя и восстановил несколько промежуточных версий документа. Сравнение восстановленных версий с представленной копией показало их содержательное сходство, что подтвердило факт создания документа на исследуемом компьютере.

По результатам исследования эксперт сформулировал выводы о том, что спорный документ создавался на представленном компьютере, время его создания и изменения соответствует указанному в временных метках, а для его подготовки применялся конкретный текстовый редактор. Выводы были подкреплены результатами анализа журналов и восстановленными версиями документа.

Данный кейс демонстрирует, что компьютерно-техническая экспертиза позволяет устанавливать факты, имеющие решающее значение для разрешения споров об авторстве. Комплексный анализ файловой системы, журналов событий и нераспределённых областей обеспечивает достоверность выводов эксперта.

Кейс 2. Восстановление удалённой информации

Одной из наиболее востребованных задач компьютерно-технической экспертизы является восстановление удалённой информации. В рассматриваемом случае перед экспертами была поставлена задача установить содержание файлов, удалённых с носителя информации незадолго до его изъятия.

Заказчик представил флеш-накопитель, с которого, по его утверждению, были удалены файлы, содержащие сведения о финансовых операциях. Перед экспертом были поставлены вопросы о наличии на носителе удалённой информации, её содержании и времени удаления.

Эксперт осмотрел накопитель, зафиксировал его идентификаторы и создал образ с применением устройства блокировки записи. Контрольные суммы совпали, что подтвердило корректность копирования. Дальнейшее исследование проводилось исключительно с образом.

Анализ файловой системы показал, что на носителе имеются записи об удалённых файлах, однако их содержимое в распределённых областях было частично перезаписано. Эксперт применил методы восстановления, основанные на анализе нераспределённых областей и остаточных данных.

В результате восстановления удалось получить несколько файлов, содержащих таблицы с финансовыми данными. Часть файлов была восстановлена полностью, часть — фрагментарно. Эксперт проанализировал восстановленные данные и установил их содержание, а также временные характеристики удаления.

Дополнительно эксперт исследовал журналы операционной системы, которые позволили установить, что удаление файлов производилось с использованием конкретной программы и в определённое время. Эти данные согласовывались с результатами восстановления.

По результатам исследования эксперт сформулировал выводы о наличии на носителе удалённой информации, её содержании и времени удаления. Восстановленные файлы были приобщены к материалам экспертизы в виде копий, заверенных надлежащим образом.

Данный кейс показывает, что компьютерно-техническая экспертиза обладает значительным потенциалом в части восстановления удалённой информации. Даже частично перезаписанные данные могут быть восстановлены и использованы для установления обстоятельств дела.

Кейс 3. Анализ сетевого взаимодействия

Компьютерно-техническая экспертиза нередко требуется для установления фактов сетевого взаимодействия между устройствами. В рассматриваемом случае перед экспертами была поставлена задача установить, осуществлялось ли подключение конкретного компьютера к сети и передавались ли по сети определённые данные.

Заказчик представил системный блок компьютера и сервер, а также журналы сетевого оборудования. Перед экспертом были поставлены вопросы о наличии следов сетевого взаимодействия, содержании переданных данных и участниках информационного обмена.

Эксперт создал образы носителей информации обоих устройств и приступил к их исследованию. Анализ журналов операционной системы показал, что компьютер неоднократно подключался к сети, причём подключения осуществлялись в определённые периоды времени.

Исследование сетевых настроек позволило установить адреса, присваивавшиеся компьютеру при подключении, и адреса удалённых узлов, с которыми осуществлялся обмен данными. Сопоставление этих данных с журналами сетевого оборудования подтвердило факты подключения.

Далее эксперт исследовал кэш-файлы браузера и журналы прикладных программ, что позволило установить содержание информационного обмена. Были выявлены следы передачи файлов определённого типа в определённые периоды времени.

Анализ журналов сервера показал, что с исследуемого компьютера действительно поступали запросы, содержание которых согласовывалось с данными, полученными при исследовании клиентского устройства. Это позволило установить факт сетевого взаимодействия и содержание переданных данных.

По результатам исследования эксперт сформулировал выводы о наличии следов сетевого взаимодействия, содержании переданных данных и участниках информационного обмена. Выводы были подкреплены сопоставлением данных, полученных из различных источников.

Данный кейс демонстрирует, что компьютерно-техническая экспертиза позволяет устанавливать факты сетевого взаимодействия на основе комплексного анализа журналов, кэш-файлов и сетевых настроек. Сопоставление данных из различных источников повышает достоверность выводов.

Кейс 4. Установление факта использования программного обеспечения

В практике компьютерно-технической экспертизы часто возникают вопросы, связанные с использованием программного обеспечения, в том числе при установлении фактов нарушения авторских прав. В рассматриваемом случае перед экспертами была поставлена задача установить, использовалось ли на представленном компьютере конкретное программное обеспечение.

Заказчик представил системный блок компьютера и сведения о программном обеспечении, права на которое принадлежат ему. Перед экспертом были поставлены вопросы о наличии на компьютере следов использования данного программного обеспечения, его версии и периода использования.

Эксперт создал образ жёсткого диска и приступил к исследованию. Анализ файловой системы показал наличие каталогов и файлов, соответствующих наименованию программного обеспечения. Эксперт исследовал исполняемые файлы, библиотеки и конфигурационные файлы.

Изучение журналов операционной системы позволило установить факты запуска исполняемых файлов и периоды их использования. Сопоставление временных меток файлов с журналами подтвердило, что программное обеспечение устанавливалось и использовалось в определённый период.

Далее эксперт исследовал лицензионные соглашения и файлы активации. Было установлено, что на компьютере отсутствуют документы, подтверждающие правомерность использования программного обеспечения. Кроме того, эксперт выявил следы применения средств обхода защиты, что свидетельствовало о неправомерном использовании.

Анализ нераспределённых областей позволил восстановить фрагменты удалённых файлов, относящихся к программному обеспечению, что дополнительно подтвердило факт его использования.

По результатам исследования эксперт сформулировал выводы о наличии на компьютере следов использования программного обеспечения, его версии и периода использования. Выводы были подкреплены результатами анализа файловой системы, журналов и восстановленных данных.

Данный кейс показывает, что компьютерно-техническая экспертиза позволяет устанавливать факты использования программного обеспечения и выявлять признаки нарушения авторских прав. Комплексный анализ различных источников обеспечивает достоверность выводов эксперта.

Кейс 5. Исследование планшетного устройства

Современные компьютерно-технические экспертизы всё чаще связаны с исследованием мобильных устройств, в том числе планшетных компьютеров. В рассматриваемом случае перед экспертами была поставлена задача исследовать планшетное устройство, изъятое у лица, в отношении которого проводилась проверка.

Заказчик представил планшетное устройство и поставил вопросы о наличии на нём информации определённого содержания, а также о фактах её создания и передачи. Эксперт осмотрел устройство, зафиксировал его модель и идентификаторы.

Создание образа планшетного устройства потребовало применения специализированного программного обеспечения, поскольку прямое копирование содержимого встроенной памяти невозможно без использования специальных средств. Эксперт применил аттестованную методику извлечения данных, обеспечивающую сохранность информации.

Исследование извлечённых данных показало наличие сообщений, фотографий и файлов, относящихся к предмету проверки. Эксперт проанализировал временные метки и установил хронологию создания и изменения файлов.

Изучение журналов устройства позволило установить факты подключения к сетям, установки приложений и передачи данных. Сопоставление этих данных с содержанием сообщений позволило восстановить картину событий.

Дополнительно эксперт исследовал резервные копии, сохранившиеся на устройстве, что позволило восстановить информацию, которая была удалена пользователем. Восстановленные данные согласовывались с результатами исследования основной памяти.

По результатам исследования эксперт сформулировал выводы о наличии на устройстве информации определённого содержания, фактах её создания и передачи. Выводы были подкреплены результатами анализа различных источников данных.

Данный кейс демонстрирует, что компьютерно-техническая экспертиза применима не только к традиционным персональным компьютерам, но и к мобильным устройствам. Специфика таких устройств требует применения специализированных методов и инструментов.

Кейс 6. Установление времени изменения файла

Вопросы установления времени изменения файлов нередко возникают в спорах, связанных с исполнением договорных обязательств. В рассматриваемом случае перед экспертами была поставлена задача установить время внесения изменений в конкретный файл.

Заказчик представил системный блок компьютера и электронную копию файла. Перед экспертом были поставлены вопросы о времени создания файла, времени его последнего изменения и о том, вносились ли изменения после определённой даты.

Эксперт создал образ жёсткого диска и исследовал файловую систему. Были выявлены файлы, соответствующие представленной копии, и изучены их временные метки. Однако эксперт отметил, что временные метки могут быть изменены, поэтому необходимы дополнительные источники данных.

Анализ журналов операционной системы и прикладных программ позволил установить факты открытия и сохранения файла. Сопоставление этих данных с временными метками показало, что файл изменялся после указанной заказчиком даты.

Далее эксперт исследовал теневые копии и резервные копии, сохранившиеся на носителе. Анализ этих копий позволил восстановить несколько версий файла, соответствующих различным моментам времени. Сравнение версий подтвердило факт внесения изменений.

Дополнительно эксперт исследовал нераспределённые области и восстановил фрагменты файла, которые не вошли в окончательную версию. Эти данные также согласовывались с выводами о времени изменения файла.

По результатам исследования эксперт сформулировал выводы о времени создания и изменения файла, а также о факте внесения изменений после указанной даты. Выводы были подкреплены результатами анализа различных источников данных.

Данный кейс показывает, что установление времени изменения файла требует комплексного анализа временных меток, журналов и резервных копий. Только совокупность данных позволяет сделать достоверные выводы.

Кейс 7. Исследование серверного оборудования

Компьютерно-техническая экспертиза серверного оборудования представляет собой сложную задачу, требующую учёта особенностей функционирования серверов. В рассматриваемом случае перед экспертами была поставлена задача исследовать сервер, использовавшийся для обработки данных коммерческой организации.

Заказчик представил сервер и поставил вопросы о составе хранящейся на нём информации, а также о фактах доступа к ней. Эксперт осмотрел сервер, зафиксировал его конфигурацию и идентификаторы.

Создание образа серверного оборудования потребовало остановки сервера и применения специализированных средств. Эксперт обеспечил сохранность данных и создал образы всех накопителей, входящих в состав сервера.

Исследование образов показало наличие баз данных, журналов и файлов, относящихся к деятельности организации. Эксперт проанализировал структуру баз данных и установил состав хранящейся информации.

Изучение журналов сервера позволило установить факты доступа к информации, учётные записи пользователей и периоды активности. Сопоставление этих данных с журналами прикладных программ позволило восстановить картину доступа.

Дополнительно эксперт исследовал конфигурацию сервера и установил параметры разграничения доступа. Анализ показал, что доступ к определённой информации имел ограниченный круг пользователей.

По результатам исследования эксперт сформулировал выводы о составе хранящейся информации и фактах доступа к ней. Выводы были подкреплены результатами анализа баз данных и журналов.

Данный кейс демонстрирует, что компьютерно-техническая экспертиза серверного оборудования требует учёта специфики серверных систем и применения специализированных методов. Комплексный анализ позволяет установить факты, имеющие значение для дела.

Кейс 8. Анализ журналов событий операционной системы

Журналы событий операционной системы являются ценным источником информации о действиях пользователя. В рассматриваемом случае перед экспертами была поставлена задача установить действия, выполнявшиеся на компьютере в определённый период времени.

Заказчик представил системный блок компьютера и указал период, за который требовалось установить действия пользователя. Эксперт создал образ жёсткого диска и приступил к исследованию журналов.

Анализ журналов операционной системы показал факты входа в систему, запуска программ, открытия файлов и подключения устройств. Эксперт систематизировал эти данные и установил хронологию событий.

Изучение журналов прикладных программ позволило установить факты работы с конкретными документами и файлами. Сопоставление данных различных журналов позволило восстановить последовательность действий пользователя.

Далее эксперт исследовал журналы сетевых подключений и установил факты обращения к сетевым ресурсам. Эти данные были сопоставлены с журналами браузера и иных программ.

Дополнительно эксперт исследовал данные о подключении внешних устройств, что позволило установить факты использования флеш-накопителей и иных устройств.

По результатам исследования эксперт сформулировал выводы о действиях, выполнявшихся на компьютере в указанный период. Выводы были подкреплены результатами анализа журналов различных уровней.

Данный кейс показывает, что журналы событий операционной системы позволяют восстановить картину действий пользователя. Комплексный анализ журналов различных уровней обеспечивает достоверность выводов.

Кейс 9. Исследование электронной почты

Электронная почта является распространённым средством коммуникации, и её исследование нередко требуется в рамках компьютерно-технической экспертизы. В рассматриваемом случае перед экспертами была поставлена задача установить содержание переписки и факты отправки сообщений.

Заказчик представил системный блок компьютера и поставил вопросы о содержании электронной переписки, а также о фактах отправки и получения конкретных сообщений. Эксперт создал образ жёсткого диска и приступил к исследованию.

Анализ файловой системы показал наличие файлов почтового клиента, содержащих локальные копии сообщений. Эксперт исследовал эти файлы и восстановил содержание переписки.

Изучение журналов почтового клиента позволило установить факты отправки и получения сообщений, а также их временные характеристики. Сопоставление этих данных с содержимым сообщений подтвердило факты переписки.

Далее эксперт исследовал кэш-файлы браузера, что позволило установить факты использования веб-интерфейса почтового сервиса. Анализ кэша восстановил содержание сообщений, которые не сохранились в локальных файлах.

Дополнительно эксперт исследовал нераспределённые области и восстановил удалённые сообщения. Восстановленные данные согласовывались с результатами исследования основных файлов.

По результатам исследования эксперт сформулировал выводы о содержании переписки и фактах отправки сообщений. Выводы были подкреплены результатами анализа различных источников данных.

Данный кейс демонстрирует, что компьютерно-техническая экспертиза позволяет устанавливать содержание электронной переписки и факты отправки сообщений. Комплексный анализ файлов почтового клиента, кэша и нераспределённых областей обеспечивает достоверность выводов.

Кейс 10. Исследование следов использования съёмных носителей

Установление фактов использования съёмных носителей информации является важной задачей компьютерно-технической экспертизы. В рассматриваемом случае перед экспертами была поставлена задача установить, подключались ли к компьютеру конкретные флеш-накопители и копировалась ли на них информация.

Заказчик представил системный блок компьютера и флеш-накопитель. Перед экспертом были поставлены вопросы о фактах подключения накопителя к компьютеру, а также о фактах копирования на него информации.

Эксперт создал образы жёсткого диска и флеш-накопителя и приступил к исследованию. Анализ журналов операционной системы показал факты подключения внешних устройств, в том числе накопителей с определёнными идентификаторами.

Сопоставление идентификаторов подключённых устройств с идентификатором представленного накопителя подтвердило факт его подключения к компьютеру. Эксперт установил периоды, в течение которых накопитель был подключён.

Далее эксперт исследовал журналы файловых операций и установил факты копирования файлов на накопитель. Сопоставление этих данных с содержимым накопителя показало, что скопированные файлы соответствуют файлам, имевшимся на компьютере.

Дополнительно эксперт исследовал нераспределённые области накопителя и восстановил удалённые файлы, что позволило установить факты копирования информации, которая впоследствии была удалена.

По результатам исследования эксперт сформулировал выводы о фактах подключения накопителя к компьютеру и копирования на него информации. Выводы были подкреплены результатами анализа журналов и содержимого накопителя.

Данный кейс показывает, что компьютерно-техническая экспертиза позволяет устанавливать факты использования съёмных носителей информации. Анализ журналов и сопоставление идентификаторов обеспечивают достоверность выводов.

Раздел 5. Актуальные вопросы теории и практики компьютерно-технической экспертизы

5.1. Соотношение компьютерно-технической экспертизы со смежными видами экспертиз

Компьютерно-техническая экспертиза находится в тесной взаимосвязи со смежными видами судебных экспертиз, к числу которых относятся программно-техническая, информационно-компьютерная, техническая экспертиза документов и некоторые иные. Разграничение между указанными видами экспертиз проводится по предмету и объектам исследования.

Программно-техническая экспертиза ориентирована на исследование программного обеспечения и его свойств, тогда как компьютерно-техническая экспертиза охватывает более широкий круг объектов, включая аппаратные средства и носители информации. Информационно-компьютерная экспертиза акцентирует внимание на информации, содержащейся в компьютерных системах, тогда как компьютерно-техническая экспертиза исследует и технические аспекты функционирования систем.

Техническая экспертиза документов исследует документы как материальные объекты, тогда как компьютерно-техническая экспертиза исследует электронные документы и следы их создания. В случаях, когда требуется исследование как материальных, так и электронных аспектов документа, может назначаться комплексная экспертиза.

Разграничение между смежными видами экспертиз имеет важное значение для правильного определения компетенции эксперта и постановки вопросов. Некорректная постановка вопросов может привести к выходу эксперта за пределы своей компетенции или к неполноте исследования.

5.2. Проблемы достоверности выводов эксперта

Достоверность выводов эксперта является ключевым требованием, предъявляемым к результатам компьютерно-технической экспертизы. Обеспечение достоверности достигается за счёт применения аттестованных методик, проверенных инструментов и документирования всех выполняемых операций.

Одной из проблем, влияющих на достоверность выводов, является возможность изменения информации на носителе в результате некорректных действий. Для предотвращения таких ситуаций применяются устройства блокировки записи, а исследование проводится с образами носителей.

Другой проблемой является ограниченность информации, сохраняющейся на носителе. Некоторые данные могут быть утрачены в результате перезаписи или очистки. Эксперт обязан учитывать это обстоятельство и формулировать выводы с учётом возможной неполноты информации.

Проблема интерпретации данных также влияет на достоверность выводов. Одни и те же данные могут допускать различные интерпретации, и эксперт обязан выбрать наиболее обоснованную, подкрепив её результатами исследования.

5.3. Этические аспекты деятельности эксперта

Деятельность эксперта в рамках компьютерно-технической экспертизы сопряжена с необходимостью соблюдения этических норм. Эксперт обязан сохранять независимость и объективность, не допускать воздействия заинтересованных лиц на результаты исследования.

Эксперт обязан соблюдать конфиденциальность информации, ставшей ему известной в связи с производством экспертизы. Разглашение такой информации недопустимо, за исключением случаев, предусмотренных законодательством.

Эксперт обязан воздерживаться от выводов, выходящих за пределы его компетенции. В случаях, когда поставленные вопросы требуют познаний из иных областей, эксперт ходатайствует о привлечении специалистов соответствующего профиля.

5.4. Взаимодействие эксперта с органом, назначившим экспертизу

Взаимодействие эксперта с органом, назначившим экспертизу, осуществляется в процессуальных формах. Эксперт вправе ходатайствовать о предоставлении дополнительных материалов, о привлечении других экспертов, о разъяснении поставленных вопросов.

Орган, назначивший экспертизу, обязан обеспечить эксперту условия, необходимые для производства исследования. В случае возникновения препятствий эксперт сообщает о них и ходатайствует об их устранении.

По завершении экспертизы эксперт направляет заключение органу, назначившему экспертизу. Заключение должно быть составлено в соответствии с требованиями процессуального законодательства и содержать ответы на все поставленные вопросы.

5.5. Значение компьютерно-технической экспертизы для правоприменительной практики

Компьютерно-техническая экспертиза играет важную роль в правоприменительной практике, поскольку позволяет устанавливать факты, которые иными способами установить невозможно. Результаты экспертизы используются в качестве доказательств при рассмотрении уголовных, гражданских и административных дел.

Значение компьютерно-технической экспертизы определяется тем, что значительная часть информации о деятельности организаций и граждан сосредоточена в электронном виде. Установление фактов, связанных с этой информацией, требует специальных познаний и применения специализированных методов.

Компьютерно-техническая экспертиза способствует установлению объективной истины по делу, обеспечивая достоверность и обоснованность выводов. Тем самым она вносит вклад в обеспечение законности и справедливости правоприменительной деятельности.

Раздел 6. Практические рекомендации по подготовке материалов для производства компьютерно-технической экспертизы

6.1. Формулирование вопросов эксперту

Формулирование вопросов эксперту является важным этапом подготовки материалов для производства компьютерно-технической экспертизы. Вопросы должны быть чёткими, конкретными и относиться к компетенции эксперта. Некорректно сформулированные вопросы могут привести к неполноте исследования или к выходу эксперта за пределы своей компетенции.

При формулировании вопросов следует избегать вопросов правового характера, поскольку их разрешение относится к компетенции суда. Вопросы должны быть направлены на установление фактических обстоятельств, а не на правовую квалификацию деяния.

Вопросы целесообразно формулировать с учётом характера исследуемых объектов и возможностей экспертизы. Если вопросы требуют применения различных методов, их целесообразно разделить на группы.

6.2. Подготовка объектов исследования

Подготовка объектов исследования включает в себя обеспечение их сохранности и создание условий для транспортировки. Компьютерную технику следует транспортировать в упаковке, исключающей повреждения. Носители информации следует оберегать от воздействия магнитных полей и механических повреждений.

При изъятии компьютерной техники целесообразно приглашать специалиста, обладающего познаниями в области информационных технологий. Специалист поможет правильно отключить оборудование и обеспечить сохранность информации.

Перед направлением объектов на экспертизу целесообразно составить их перечень с указанием идентификаторов и внешнего состояния. Такой перечень облегчит приём объектов экспертом и обеспечит их учёт.

6.3. Предоставление дополнительных материалов

Для производства компьютерно-технической экспертизы могут потребоваться дополнительные материалы, к числу которых относятся сведения о конфигурации систем, пароли доступа, описания информационных систем. Предоставление таких материалов способствует полноте исследования.

Если дополнительные материалы не предоставлены, эксперт вправе ходатайствовать об их предоставлении. В случае невозможности предоставления материалов эксперт производит исследование на основе имеющихся данных, отражая это в заключении.

6.4. Оценка заключения эксперта

Оценка заключения эксперта является завершающим этапом взаимодействия с экспертом. При оценке заключения следует обращать внимание на обоснованность выводов, их соответствие поставленным вопросам, полноту исследования.

Заключение должно содержать описание хода исследования, примененных методов и полученных результатов. Выводы должны быть подкреплены результатами исследования и не выходить за пределы компетенции эксперта.

В случае возникновения сомнений в обоснованности выводов может быть назначена повторная или дополнительная экспертиза. Оценка заключения эксперта осуществляется в совокупности с иными доказательствами по делу.

Раздел 7. Перспективные направления развития компьютерно-технической экспертизы

7.1. Совершенствование методов исследования

Совершенствование методов исследования является одним из направлений развития компьютерно-технической экспертизы. Разработка новых методов восстановления данных, анализа журналов и исследования программного обеспечения позволяет повысить полноту и достоверность экспертных выводов.

Особое внимание уделяется методам исследования мобильных устройств, которые получают всё большее распространение. Специфика таких устройств требует разработки специализированных методов извлечения данных и их анализа.

Совершенствование методов исследования связано с развитием инструментальных средств. Появление новых программных продуктов позволяет автоматизировать отдельные операции и повысить эффективность экспертной работы.

7.2. Развитие инструментальных средств

Развитие инструментальных средств является важным условием повышения качества компьютерно-технической экспертизы. Современные инструменты позволяют создавать образы носителей, анализировать файловые системы, восстанавливать удалённые данные и исследовать сетевой трафик.

Развитие инструментальных средств идёт по пути интеграции различных функций в единые программные комплексы. Такие комплексы позволяют эксперту выполнять широкий круг операций в рамках единой среды, что повышает эффективность работы.

Вместе с тем применение инструментальных средств требует от эксперта понимания принципов их работы. Некорректное применение инструментов может привести к ошибочным выводам, поэтому эксперт обязан проверять результаты их работы.

7.3. Повышение квалификации экспертов

Повышение квалификации экспертов является необходимым условием развития компьютерно-технической экспертизы. Быстрое развитие информационных технологий требует постоянного обновления знаний экспертов.

Повышение квалификации осуществляется через участие в специализированных мероприятиях, изучение новых методов и инструментов, обмен опытом с коллегами. Эксперт обязан следить за развитием своей области знаний и применять новые достижения в практической деятельности.

Квалификация эксперта подтверждается документами об образовании и повышении квалификации. Регулярное повышение квалификации обеспечивает соответствие эксперта современным требованиям.

7.4. Интеграция компьютерно-технической экспертизы с иными видами экспертиз

Интеграция компьютерно-технической экспертизы с иными видами экспертиз является перспективным направлением развития. Комплексные экспертизы позволяют исследовать объекты с различных сторон и получать более полные выводы.

Интеграция осуществляется через привлечение специалистов различных профилей к производству комплексных экспертиз. Такие экспертизы требуют координации действий экспертов и согласования выводов.

Интеграция компьютерно-технической экспертизы с иными видами экспертиз способствует повышению качества экспертного обеспечения правоприменительной деятельности.

Раздел 8. Заключительные положения

Компьютерно-техническая экспертиза представляет собой востребованный вид судебной экспертизы, значение которого возрастает по мере распространения информационных технологий. В рамках настоящей монографии рассмотрены концептуальные основы компьютерно-технической экспертизы, технические средства и программное обеспечение как объекты исследования, организация производства экспертизы, а также практические аспекты экспертной деятельности.

Проведённый анализ показывает, что компьютерно-техническая экспертиза требует от эксперта глубоких познаний в области информационных технологий, а также владения методами исследования компьютерной техники и носителей информации. Производство экспертизы сопряжено с необходимостью обеспечения сохранности объектов и достоверности выводов.

Рассмотренные кейсы демонстрируют широкие возможности компьютерно-технической экспертизы в части установления фактов, имеющих доказательственное значение. Комплексный анализ различных источников данных позволяет эксперту делать обоснованные выводы и способствовать установлению объективной истины по делу.

Перспективы развития компьютерно-технической экспертизы связаны с совершенствованием методов исследования, развитием инструментальных средств и повышением квалификации экспертов. Интеграция с иными видами экспертиз открывает новые возможности для получения полных и достоверных выводов.

Компьютерно-техническая экспертиза требует большой ответственности и обеспечивает решение широкого круга экспертных задач. В каждом отдельном случае присутствует индивидуальный подход, приемлемые цены, бесплатная консультация специалистов. Обращайтесь в наш офис в Центре Москвы на метро Павелецкая, и мы решим ваши вопросы в максимально короткий срок.

Союз «Федерация судебных экспертов»
Телефоны: 8(495) 666-5-666, 8-(800) 555-04-53
E-mail: info@fse.ms