🟩 Проведение независимой компьютерно-технической экспертизы 

Введение

Современное общество характеризуется стремительным развитием информационных технологий, повсеместным распространением вычислительной техники и глобальных сетей связи. В этих условиях компьютерные системы становятся не только инструментом профессиональной деятельности, но и средством совершения противоправных действий, а также объектом преступных посягательств. Проведение независимой компьютерно-технической экспертизы представляет собой сложный многоэтапный процесс, требующий глубоких специальных познаний в области информационных технологий, программирования, аппаратного обеспечения и сетевых коммуникаций.

Настоящая монография посвящена всестороннему исследованию теоретических основ и практических аспектов проведения независимой компьютерно-технической экспертизы. Актуальность рассматриваемой проблематики обусловлена возрастающей ролью цифровых доказательств в судопроизводстве, необходимостью обеспечения их достоверности и допустимости, а также потребностями правоприменительной практики в квалифицированном разрешении вопросов, требующих специальных знаний в сфере компьютерных технологий.

Проведение независимой компьютерно-технической экспертизы как самостоятельное направление экспертной деятельности сформировалось относительно недавно, однако за короткий период времени приобрело статус одного из наиболее востребованных видов судебных экспертиз. Это связано с тем, что практически любая сфера человеческой деятельности сегодня опосредована использованием компьютерной техники и информационных ресурсов, что порождает множество спорных ситуаций, требующих экспертного разрешения.

В рамках настоящего исследования рассматриваются сущностные характеристики компьютерно-технической экспертизы, её виды и задачи, объекты и субъекты экспертной деятельности, методологические основы исследования, процессуальные аспекты назначения и производства экспертизы, особенности оценки заключения эксперта, а также практические вопросы, возникающие при проведении независимой компьютерно-технической экспертизы. Значительное внимание уделено анализу конкретных ситуаций из экспертной практики, иллюстрирующих сложность и многогранность рассматриваемого вида экспертной деятельности.

Структура монографии отражает логику последовательного раскрытия темы: от общетеоретических вопросов к конкретным практическим аспектам производства экспертных исследований. Каждый раздел содержит теоретический материал, анализ проблемных вопросов и практические рекомендации, основанные на обобщении экспертного опыта.

Раздел первый. Теоретические основы компьютерно-технической экспертизы

Глава первая. Понятие и сущность компьютерно-технической экспертизы

Проведение независимой компьютерно-технической экспертизы представляет собой специфическое техническое исследование, направленное на установление различных фактов, связанных с использованием программно-аппаратных комплексов, в том числе и персональных компьютеров. Данный вид экспертизы в последнее время приобретает все большую популярность как в уголовном, так и гражданском судопроизводстве. Сущность компьютерно-технической экспертизы заключается в применении специальных знаний в области информационных технологий для исследования объектов, которыми выступают компьютерные средства и системы, их компоненты, а также информация, хранящаяся, обрабатываемая или передаваемая с их помощью.

Проведение независимой компьютерно-технической экспертизы базируется на общих принципах судебно-экспертной деятельности, к которым относятся законность, независимость эксперта, объективность, всесторонность и полнота исследования. Вместе с тем рассматриваемый вид экспертизы обладает существенной спецификой, обусловленной особенностями объекта исследования, методами исследования и характером решаемых задач.

Объектами компьютерно-технической экспертизы выступают:

• аппаратные средства вычислительной техники — персональные компьютеры, серверы, ноутбуки, планшетные устройства, мобильные телефоны, периферийные устройства, сетевые компоненты, носители информации различных типов;

• программные средства — операционные системы, прикладное программное обеспечение, утилиты, драйверы, вредоносные программы, программные коды и алгоритмы;

• информационные ресурсы — файлы различных форматов, базы данных, электронная почта, сообщения мессенджеров, журналы событий, данные о сетевой активности;

• компьютерные сети и сетевые сервисы — локальные и глобальные сети, сетевые протоколы, серверы, веб-сайты, облачные хранилища;

• интегрированные комплексы — автоматизированные системы управления, информационные системы, программно-аппаратные комплексы специального назначения.

Предметом компьютерно-технической экспертизы выступают фактические данные, устанавливаемые на основе специальных знаний в области информационных технологий и вычислительной техники. Круг вопросов, разрешаемых данным видом экспертизы, чрезвычайно широк и постоянно расширяется по мере развития технологий.

Проведение независимой компьютерно-технической экспертизы осуществляется с соблюдением установленных процессуальных требований. Экспертное исследование проводится на основании постановления или определения уполномоченного органа либо на договорной основе при производстве так называемой независимой экспертизы. Независимость эксперта обеспечивается его процессуальным статусом, запретом на вмешательство в его деятельность со стороны государственных органов, организаций и иных лиц.

Глава вторая. Виды компьютерно-технической экспертизы

Судебная компьютерная экспертиза не является целостным направлением — она подразделяется на несколько категорий в зависимости от объекта исследований. Дифференциация видов компьютерно-технической экспертизы имеет важное практическое значение, поскольку позволяет правильно определить круг вопросов, подлежащих разрешению, и выбрать соответствующую методику исследования.

Аппаратно-компьютерная экспертиза

Данный вид экспертизы проводится с целью изучения всей аппаратной части компьютера. В данном случае речь ведется о техническом и программном исследовании возможных комплектующих компьютера — носителей, процессоров, материнских плат, видеокарт, шлейфов и других частей, которые могут содержать в себе сведения, важные для рассмотрения в судопроизводстве. Аппаратно-компьютерная экспертиза позволяет установить техническое состояние устройств, их работоспособность, причины неисправностей, соответствие заявленным характеристикам, наличие следов модификации или несанкционированного вмешательства.

В рамках аппаратно-компьютерной экспертизы решаются следующие типовые задачи:

• определение технического состояния и работоспособности компьютерного устройства;

• установление причин возникновения неисправностей и сбоев в работе оборудования;

• определение соответствия технических характеристик устройства заявленным в документации;

• выявление следов вскрытия, ремонта, замены компонентов;

• установление факта подключения внешних устройств и носителей информации;

• определение времени последнего включения и работы устройства;

• диагностика неисправностей отдельных компонентов — жестких дисков, блоков питания, материнских плат, оперативной памяти.

Проведение независимой компьютерно-технической экспертизы аппаратного направления требует наличия специализированного оборудования и инструментов, позволяющих проводить диагностику на компонентном уровне, а также средств для снятия и исследования дампов памяти, чтения служебной информации накопителей.

Программно-компьютерная экспертиза

Сущность данного вида заключается в исследовании программного комплекса компьютера, а именно изучении созданного или определении функционального предназначения программного кода, его части или компьютерного алгоритма. Также может проводиться компьютерная экспертиза интегрированного, проприетарного программного обеспечения, а также программного обеспечения, которое используется на компьютере в качестве облачных платформ.

Программно-компьютерная экспертиза направлена на установление следующих обстоятельств:

• функциональное назначение программного обеспечения;

• наличие в программном коде признаков вредоносных программ;

• факт создания программного продукта конкретным лицом или группой лиц;

• наличие признаков заимствования или плагиата в программном коде;

• соответствие программного обеспечения заявленным характеристикам и документации;

• время создания и модификации программных файлов;

• последовательность действий пользователя при работе с программным обеспечением;

• наличие признаков использования программного обеспечения в противоправных целях.

Проведение независимой компьютерно-технической экспертизы программного направления сопряжено с необходимостью применения специальных методов исследования, включая дизассемблирование, декомпиляцию, анализ исходного кода, трассировку выполнения программ, статический и динамический анализ. Эксперт должен обладать глубокими познаниями в области программирования, знать различные языки программирования, понимать архитектуру операционных систем и принципы функционирования программных сред.

Информационно-компьютерная экспертиза

Информационно-компьютерная экспертиза позволяет отвечать на неспецифические вопросы об объекте исследования, включая составление экспертных выводов на основании изучения, оценки и аналитики как программного обеспечения, так и аппаратной части компьютера. Данный вид экспертизы направлен на исследование информации, хранящейся на компьютерных носителях, в том числе ее содержания, свойств, способов создания и изменения.

В рамках информационно-компьютерной экспертизы решаются задачи:

• установление наличия и содержания информации на носителях;

• определение времени создания, изменения и удаления файлов;

• восстановление удаленной информации;

• установление авторства документов и файлов;

• определение источника происхождения информации;

• выявление признаков фальсификации или модификации информации;

• установление фактов копирования, перемещения или удаления информации;

• определение объема и структуры информационных массивов.

Проведение независимой компьютерно-технической экспертизы информационного направления требует применения специализированного программного обеспечения для работы с файловыми системами, базами данных, журналами событий. Эксперт должен владеть методами восстановления данных, анализа метаданных, исследования различных форматов файлов.

Компьютерно-сетевая экспертиза

Компьютерно-сетевая экспертиза связана с установлением взаимосвязи между объектом изучения и сетью Интернет. Другими словами, сетевая экспертиза проводится с целью установления фактов определенных действий в сети Интернет, произведенных с определенного компьютера с помощью различных технических и информационных средств.

Компьютерно-сетевая экспертиза направлена на разрешение следующих вопросов:

• установление факта подключения компьютера к сети Интернет;

• определение времени и продолжительности сетевых соединений;

• установление адресов, к которым осуществлялось подключение;

• определение фактов передачи и получения информации по сети;

• установление использования сетевых сервисов и ресурсов;

• выявление следов сетевой активности в журналах и логах;

• определение фактов использования программ удаленного доступа;

• установление признаков несанкционированного доступа к сетям и ресурсам.

Проведение независимой компьютерно-технической экспертизы сетевого направления связано с анализом сетевого трафика, журналов событий, конфигурации сетевых подключений, кэша браузеров, данных о сетевых соединениях. Эксперт должен разбираться в сетевых протоколах, архитектуре сетей, принципах маршрутизации и адресации.

Глава третья. Задачи компьютерно-технической экспертизы

Задачи, разрешаемые компьютерно-технической экспертизой, можно условно разделить на диагностические, идентификационные и классификационные.

Диагностические задачи направлены на установление технического состояния объекта, причин возникновения неисправностей, фактов и обстоятельств, связанных с функционированием компьютерных средств. К диагностическим задачам относятся:

• определение технического состояния компьютерного устройства;

• установление причин сбоев и неисправностей;

• определение факта и времени работы устройства;

• установление факта подключения внешних устройств;

• определение последовательности действий пользователя;

• установление факта установки, запуска или удаления программ;

• определение факта копирования, перемещения или удаления информации.

Идентификационные задачи связаны с установлением тождества объекта, его принадлежности к определенной группе, установлением источника происхождения информации. К идентификационным задачам относятся:

• установление принадлежности программного кода конкретному разработчику;

• определение авторства информационного материала;

• установление источника происхождения файла или документа;

• определение устройства, с которого осуществлялось редактирование документа;

• установление факта использования конкретного программного обеспечения для создания файла.

Классификационные задачи направлены на отнесение объекта к определенной категории, классу, группе. К классификационным задачам относятся:

• определение типа и вида программного обеспечения;

• отнесение программы к категории вредоносных;

• определение функционального назначения программного продукта;

• установление типа носителя информации;

• определение категории информации по уровню доступа.

Проведение независимой компьютерно-технической экспертизы предполагает комплексное решение диагностических, идентификационных и классификационных задач в зависимости от обстоятельств конкретного дела и поставленных перед экспертом вопросов.

Раздел второй. Методологические основы компьютерно-технической экспертизы

Глава первая. Общие методы исследования

Проведение независимой компьютерно-технической экспертизы базируется на системе общенаучных и специальных методов исследования. К общенаучным методам относятся анализ, синтез, индукция, дедукция, аналогия, моделирование, наблюдение, измерение, эксперимент. Специальные методы определяются характером объекта исследования и задачами экспертизы.

Методологическую основу компьютерно-технической экспертизы составляют:

• системный подход к исследованию объектов компьютерной техники;

• комплексное применение технических и программных средств исследования;

• обеспечение сохранности исходной информации и доказательственной значимости объектов;

• документирование всех этапов экспертного исследования;

• верификация полученных результатов путем повторных проверок и перекрестного анализа.

Проведение независимой компьютерно-технической экспертизы требует от эксперта владения широким спектром методов исследования, включая:

• методы анализа файловых систем;

• методы исследования операционной системы;

• методы анализа прикладного программного обеспечения;

• методы исследования сетевого трафика;

• методы восстановления удаленных данных;

• методы криптографического анализа;

• методы анализа журналов событий;

• методы исследования метаданных файлов;

• методы дизассемблирования и декомпиляции программного кода;

• методы трассировки выполнения программ;

• методы сравнительного анализа программных продуктов;

• методы хеширования и контроля целостности данных.

Глава вторая. Этапы экспертного исследования

Проведение независимой компьютерно-технической экспертизы осуществляется в несколько последовательных этапов, каждый из которых имеет свои задачи и особенности.

Подготовительный этап включает изучение постановления или определения о назначении экспертизы, уяснение поставленных вопросов, определение объектов исследования, оценку достаточности материалов для производства экспертизы, планирование экспертного исследования, подготовку необходимого оборудования и программного обеспечения. На данном этапе эксперт также решает вопросы о необходимости привлечения других специалистов, о сроках производства экспертизы, о сохранности объектов исследования.

Этап фиксации исходного состояния объекта включает фотографирование, описание внешнего вида, фиксацию серийных номеров и маркировок, определение конфигурации, создание побитовых копий носителей информации. Проведение независимой компьютерно-технической экспертизы требует особой тщательности на данном этапе, поскольку от полноты и точности фиксации исходного состояния зависит достоверность последующих выводов.

Аналитический этап представляет собой непосредственное исследование объекта с применением выбранных методов и средств. На данном этапе эксперт проводит:

• изучение файловой структуры носителей информации;

• анализ содержимого файлов и директорий;

• исследование журналов событий операционной системы;

• анализ программного обеспечения, установленного на компьютере;

• исследование сетевых подключений и конфигурации;

• восстановление удаленных файлов и информации;

• анализ метаданных файлов;

• исследование артефактов работы пользователя;

• анализ вредоносного программного обеспечения;

• исследование программного кода;

• сравнительный анализ объектов исследования.

Синтетический этап включает обобщение полученных результатов, формулирование промежуточных выводов, проверку их обоснованности, устранение противоречий, подготовку обоснования выводов.

Заключительный этап состоит в оформлении заключения эксперта, включающего вводную, исследовательскую и выводную части. Проведение независимой компьютерно-технической экспертизы завершается подписанием заключения экспертом и передачей его органу или лицу, назначившему экспертизу.

Глава третья. Обеспечение сохранности объектов исследования

Одним из важнейших принципов компьютерно-технической экспертизы является обеспечение сохранности объектов исследования. Любое воздействие на объект может привести к изменению информации, утрате доказательственной значимости результатов исследования. В связи с этим проведение независимой компьютерно-технической экспертизы требует соблюдения следующих правил:

• работа с оригинальными носителями информации должна быть минимизирована;

• все исследования проводятся на копиях (образах) носителей информации;

• создание копий должно осуществляться с использованием специализированного программного обеспечения, обеспечивающего побитовое копирование;

• целостность копий должна быть подтверждена путем вычисления контрольных сумм (хеш-значений) до и после исследования;

• все действия с объектами должны документироваться в протоколе;

• оригинальные носители должны храниться в условиях, исключающих их повреждение или несанкционированный доступ.

Проведение независимой компьютерно-технической экспертизы с соблюдением требований сохранности объектов позволяет обеспечить допустимость заключения эксперта как доказательства в судопроизводстве.

Раздел третий. Процессуальные аспекты компьютерно-технической экспертизы

Глава первая. Назначение компьютерно-технической экспертизы

Проведение независимой компьютерно-технической экспертизы может осуществляться как по инициативе органов предварительного расследования, суда, так и по инициативе участников судопроизводства. В уголовном процессе экспертиза назначается постановлением следователя, дознавателя, прокурора или определением суда. В гражданском и арбитражном процессе экспертиза назначается определением суда по ходатайству сторон или по инициативе суда.

При назначении компьютерно-технической экспертизы перед экспертом ставятся вопросы, требующие специальных знаний в области информационных технологий. Вопросы должны быть четкими, конкретными, не допускающими двусмысленного толкования. Проведение независимой компьютерно-технической экспертизы предполагает, что эксперт самостоятельно определяет методы и средства исследования, а также несет ответственность за обоснованность своих выводов.

В постановлении или определении о назначении экспертизы указываются:

• основания назначения экспертизы;

• наименование экспертного учреждения или фамилия эксперта;

• вопросы, поставленные перед экспертом;

• материалы, предоставленные в распоряжение эксперта;

• сведения об объектах исследования;

• срок производства экспертизы.

Глава вторая. Права и обязанности эксперта

Проведение независимой компьютерно-технической экспертизы осуществляется экспертом, обладающим специальными познаниями в области информационных технологий. Эксперт имеет право:

• знакомиться с материалами дела, относящимися к предмету экспертизы;

• ходатайствовать о предоставлении дополнительных материалов;

• заявлять ходатайства о привлечении других экспертов;

• отказаться от производства экспертизы, если поставленные вопросы выходят за пределы его специальных познаний или предоставленные материалы недостаточны;

• самостоятельно выбирать методы и средства исследования;

• давать заключение в пределах своей компетенции.

Эксперт обязан:

• провести полное, всестороннее и объективное исследование;

• дать обоснованное заключение по поставленным вопросам;

• обеспечить сохранность объектов исследования;

• не разглашать сведения, ставшие известными в связи с производством экспертизы;

• явиться по вызову органа или лица, назначившего экспертизу, для разъяснения заключения;

• соблюдать процессуальные сроки производства экспертизы.

Проведение независимой компьютерно-технической экспертизы предполагает независимость эксперта от органа или лица, назначившего экспертизу, сторон и иных заинтересованных лиц. Эксперт не может находиться в служебной или иной зависимости от лица, назначившего экспертизу, а также не может быть заинтересован в исходе дела.

Глава третья. Заключение эксперта

Заключение эксперта по результатам проведения независимой компьютерно-технической экспертизы представляет собой письменный документ, содержащий исследовательскую часть и выводы. Заключение должно быть оформлено в соответствии с установленными требованиями и содержать:

• вводную часть с указанием сведений об эксперте, основаниях производства экспертизы, объектах исследования, поставленных вопросах;

• исследовательскую часть с описанием методов, средств и последовательности исследования, полученных результатов, их анализа и обоснования;

• выводную часть с формулировкой ответов на поставленные вопросы.

Проведение независимой компьютерно-технической экспертизы завершается формулированием выводов, которые должны быть:

• обоснованными — базироваться на результатах проведенного исследования;

• определенными — не допускать различных толкований;

• квалифицированными — соответствовать уровню специальных познаний эксперта;

• доступными для понимания лицами, не обладающими специальными знаниями в области информационных технологий.

Глава четвертая. Оценка заключения эксперта

Заключение эксперта по результатам проведения независимой компьютерно-технической экспертизы подлежит оценке наряду с другими доказательствами по делу. Оценка заключения включает проверку:

• соблюдения процессуальных требований при назначении и производстве экспертизы;

• компетентности эксперта и его независимости;

• полноты и всесторонности проведенного исследования;

• обоснованности выводов;

• соответствия выводов поставленным вопросам;

• допустимости использованных методов и средств исследования.

Проведение независимой компьютерно-технической экспертизы может быть оспорено стороной, не согласной с выводами эксперта, путем заявления ходатайства о назначении дополнительной или повторной экспертизы, вызова эксперта в суд для разъяснения заключения, представления альтернативного заключения специалиста.

Раздел четвертый. Практические аспекты компьютерно-технической экспертизы

Глава первая. Особенности исследования аппаратных средств

Проведение независимой компьютерно-технической экспертизы аппаратного направления требует наличия специализированного оборудования и инструментов. К таким средствам относятся:

• программы для тестирования и диагностики компонентов;

• аппаратные средства для снятия дампов памяти;

• устройства для чтения служебной информации накопителей;

• анализаторы сигналов и логические анализаторы;

• оборудование для исследования электрических цепей;

• микроскопы для исследования микросхем;

• инструменты для вскрытия устройств.

При исследовании аппаратных средств эксперт решает задачи:

• определения технического состояния устройства;

• установления причин неисправностей;

• выявления следов вскрытия и ремонта;

• определения времени работы устройства;

• установления факта подключения внешних устройств;

• определения конфигурации устройства;

• диагностики отдельных компонентов.

Проведение независимой компьютерно-технической экспертизы аппаратного направления требует особой осторожности, поскольку вмешательство в работу устройства может привести к утрате информации. Все исследования должны проводиться с соблюдением мер по сохранности данных.

Глава вторая. Особенности исследования программного обеспечения

При исследовании программного обеспечения эксперту приходится сталкиваться с разнообразными программными продуктами — от простых утилит до сложных интегрированных систем. Проведение независимой компьютерно-технической экспертизы программного направления включает:

• изучение документации на программное обеспечение;

• анализ установочных файлов и конфигурации;

• исследование исполняемых файлов и библиотек;

• анализ исходного кода при его наличии;

• дизассемблирование и декомпиляцию исполняемого кода;

• трассировку выполнения программы;

• анализ взаимодействия программы с операционной системой и сетью;

• определение функциональных возможностей программы;

• выявление вредоносных функций.

При исследовании вредоносного программного обеспечения проведение независимой компьютерно-технической экспертизы требует применения изолированной среды (песочницы) для безопасного запуска и анализа программы. Эксперт должен определить тип вредоносной программы, ее функциональные возможности, способы распространения и воздействия на систему.

Глава третья. Особенности исследования информации на носителях

Исследование информации на носителях является одним из наиболее востребованных направлений компьютерно-технической экспертизы. Проведение независимой компьютерно-технической экспертизы в данной области включает:

• создание побитовой копии носителя;

• анализ файловой системы;

• восстановление удаленных файлов;

• исследование метаданных файлов;

• анализ журналов событий;

• исследование кэша браузеров;

• анализ данных о сетевых подключениях;

• восстановление информации из нераспределенных областей;

• анализ артефактов работы операционной системы.

Проведение независимой компьютерно-технической экспертизы при исследовании информации требует использования специализированного программного обеспечения, такого как комплексы для работы с файловыми системами, средства восстановления данных, анализаторы метаданных, инструменты для работы с журналами событий.

Глава четвертая. Особенности исследования сетевой активности

Компьютерно-сетевая экспертиза направлена на установление фактов сетевой активности и взаимодействия компьютера с сетью Интернет. Проведение независимой компьютерно-технической экспертизы сетевого направления включает:

• анализ конфигурации сетевых подключений;

• исследование журналов сетевых соединений;

• анализ кэша и истории браузеров;

• исследование данных о загрузках файлов;

• анализ электронной почты и сообщений мессенджеров;

• исследование сетевых ресурсов, к которым осуществлялся доступ;

• установление времени и продолжительности сетевых соединений;

• определение адресов и доменных имен;

• анализ следов использования программ удаленного доступа.

Проведение независимой компьютерно-технической экспертизы сетевого направления требует от эксперта знаний в области сетевых протоколов, архитектуры сетей, принципов маршрутизации, а также владения инструментами анализа сетевого трафика.

Раздел пятый. Кейсы из экспертной практики

Кейс первый. Исследование корпоративной автоматизированной системы

В экспертную организацию поступило обращение от руководства крупного промышленного предприятия, расположенного в Московской области. Поводом послужил инцидент, связанный с несанкционированным доступом к автоматизированной системе управления производственными процессами. По словам заявителей, в течение нескольких дней наблюдались сбои в работе системы, сопровождавшиеся искажением данных о параметрах производственных линий и нарушением технологических режимов.

Проведение независимой компьютерно-технической экспертизы было инициировано с целью установления причин сбоев и определения факта несанкционированного вмешательства в работу системы. Перед экспертами были поставлены вопросы о наличии в системе вредоносного программного обеспечения, о возможных путях проникновения в систему, о времени и характере несанкционированных действий.

Эксперты прибыли в офис заявителя, расположенный в центре Москвы недалеко от метро Павелецкая, где располагалась серверная комната с автоматизированной системой управления. На первом этапе была произведена фиксация исходного состояния системы: составлена схема сетевой топологии, описана конфигурация серверов и рабочих станций, сняты побитовые копии жестких дисков серверов и рабочих станций, зафиксированы журналы событий операционной системы и прикладного программного обеспечения.

Анализ копий жестких дисков показал наличие в системе программного обеспечения, не предусмотренного проектной документацией. Указанное программное обеспечение представляло собой программный модуль, маскирующийся под системную службу и обладающий функциональными возможностями по перехвату и модификации данных, передаваемых между рабочими станциями операторов и сервером управления. Модуль активировался по расписанию и осуществлял искажение параметров технологических процессов.

Дальнейшее исследование позволило установить, что внедрение вредоносного модуля было осуществлено через рабочую станцию одного из сотрудников предприятия. В журналах событий операционной системы были обнаружены записи о подключении внешнего носителя информации за несколько дней до появления сбоев. Анализ журналов показал, что с внешнего носителя был запущен исполняемый файл, который инициировал установку вредоносного модуля.

Проведение независимой компьютерно-технической экспертизы включало также анализ сетевого трафика. Были исследованы журналы межсетевого экрана, записи о сетевых соединениях, данные о DNS-запросах. Анализ показал наличие регулярных подключений к внешнему серверу, расположенному за пределами корпоративной сети, в моменты активации вредоносного модуля.

По результатам исследования эксперты сформулировали выводы о наличии в системе вредоносного программного обеспечения, о способе его проникновения, о времени внедрения и характере воздействия на производственные процессы. Заключение экспертов было использовано руководством предприятия для принятия мер по устранению последствий инцидента и предотвращению подобных ситуаций в будущем.

Заинтересованные лица могут обратиться для проведения подобного исследования в офис в центре Москвы на метро Павелецкая, где специалисты проведут все необходимые процедуры.

Кейс второй. Установление факта копирования конфиденциальной информации

В производстве находилось гражданское дело о разглашении коммерческой тайны бывшим сотрудником организации. Истец утверждал, что ответчик, уволившись из компании, скопировал базу данных клиентов и использовал ее в своей новой деятельности. Ответчик отрицал факт копирования, утверждая, что информация была получена им из открытых источников.

Проведение независимой компьютерно-технической экспертизы было поручено экспертной организации, специализирующейся на исследовании компьютерной информации. Перед экспертами были поставлены вопросы: имело ли место копирование файлов базы данных на внешние носители, какие файлы копировались, когда и с какого устройства осуществлялось копирование.

В распоряжение экспертов были предоставлены рабочий компьютер ответчика, изъятый при увольнении, а также внешний жесткий диск, обнаруженный в его рабочем кабинете. Эксперты провели побитовое копирование носителей информации и приступили к исследованию.

Анализ файловой системы рабочего компьютера показал наличие большого количества файлов, связанных с клиентской базой данных. Исследование журналов операционной системы позволило установить, что за несколько дней до увольнения ответчик осуществлял активную работу с файлами базы данных. Были обнаружены записи о подключении внешних USB-устройств.

Анализ внешнего жесткого диска, предоставленного в распоряжение экспертов, выявил наличие на нем файлов, идентичных файлам базы данных истца. Сравнительный анализ файлов, включая проверку контрольных сумм и метаданных, подтвердил их идентичность. Проведение независимой компьютерно-технической экспертизы позволило установить, что файлы были скопированы с рабочего компьютера ответчика на внешний жесткий диск в определенную дату и время.

Дополнительно экспертами был проведен анализ журналов сервера организации-истца, который показал, что доступ к файлам базы данных с учетной записи ответчика осуществлялся в указанные даты и время. Это подтвердило факт копирования информации именно с рабочего компьютера ответчика.

По результатам проведения независимой компьютерно-технической экспертизы эксперты пришли к выводу о том, что копирование файлов базы данных на внешний носитель имело место, было осуществлено с рабочего компьютера ответчика в определенное время, и на внешнем носителе обнаружены файлы, идентичные файлам истца.

Лица, желающие провести аналогичное исследование, могут посетить офис в центре Москвы на метро Павелецкая для получения консультации и заключения договора на проведение экспертизы.

Кейс третий. Исследование программного обеспечения на предмет плагиата

В арбитражном суде рассматривался спор между двумя компаниями-разработчиками программного обеспечения. Истец утверждал, что ответчик неправомерно использовал программный код, разработанный истцом, в своем программном продукте. Ответчик отрицал факт заимствования, утверждая, что программный код был создан независимо.

Проведение независимой компьютерно-технической экспертизы было назначено судом для установления факта заимствования программного кода. Перед экспертами были поставлены вопросы: имеются ли в программном продукте ответчика фрагменты кода, идентичные коду истца, каков объем заимствованного кода, является ли заимствование существенным.

Эксперты получили в распоряжение исходные коды программных продуктов обеих компаний, а также исполняемые файлы. Проведение независимой компьютерно-технической экспертизы началось с анализа структуры проектов, выявления общих модулей и функций.

Сравнительный анализ исходного кода показал наличие значительного количества идентичных фрагментов. Эксперты провели детальное сравнение функций, классов, алгоритмов, структур данных. Были выявлены фрагменты кода, совпадающие дословно, включая комментарии и названия переменных. Также были обнаружены фрагменты с незначительными изменениями, не влияющими на логику работы.

Проведение независимой компьютерно-технической экспертизы включало анализ метаданных файлов исходного кода. Были исследованы даты создания и модификации файлов, история изменений, данные о разработчиках. Анализ показал, что файлы исходного кода ответчика содержат следы, характерные для копирования файлов истца.

Дополнительно эксперты провели сравнительный анализ исполняемых файлов. Были исследованы строковые константы, таблицы импорта и экспорта, структура исполняемых файлов. Анализ выявил значительное сходство, подтверждающее факт заимствования.

По результатам проведения независимой компьютерно-технической экспертизы эксперты установили, что в программном продукте ответчика имеются фрагменты кода, идентичные коду истца, объем заимствования составляет значительную часть программного продукта, заимствование носит существенный характер.

Для проведения подобных исследований можно обратиться в офис в центре Москвы на метро Павелецкая, где работают специалисты в области анализа программного кода.

Кейс четвертый. Восстановление удаленной информации

В уголовном деле о мошенничестве следователь назначил компьютерно-техническую экспертизу для исследования компьютера обвиняемого. По версии следствия, обвиняемый использовал компьютер для подготовки и рассылки мошеннических писем, а также для ведения учета полученных средств. После задержания обвиняемый, по версии следствия, удалил информацию, содержащую доказательства его противоправной деятельности.

Проведение независимой компьютерно-технической экспертизы было поручено экспертам, специализирующимся на восстановлении удаленной информации. Перед экспертами был поставлен вопрос: имеются ли на носителях информации следы удаленных файлов, содержащих сведения о противоправной деятельности.

Эксперты получили в распоряжение системный блок компьютера обвиняемого. Было произведено побитовое копирование жесткого диска, и исследование проводилось на копии. Проведение независимой компьютерно-технической экспертизы началось с анализа файловой системы и поиска следов удаленных файлов.

Анализ показал наличие большого количества удаленных файлов и директорий. Эксперты применили специализированное программное обеспечение для восстановления удаленных данных. Были восстановлены файлы различных форматов, включая текстовые документы, таблицы, электронные письма.

Проведение независимой компьютерно-технической экспертизы включало анализ восстановленных файлов. Среди них были обнаружены документы, содержащие шаблоны мошеннических писем, списки адресатов, таблицы с учетными данными потерпевших, записи о полученных суммах. Восстановленные файлы содержали метаданные, позволяющие установить время их создания и последней модификации.

Дополнительно эксперты исследовали нераспределенные области жесткого диска, где также были обнаружены фрагменты удаленной информации. Анализ журналов операционной системы позволил установить время удаления файлов и программы, использованные для удаления.

По результатам проведения независимой компьютерно-технической экспертизы эксперты пришли к выводу о наличии на носителе информации следов удаленных файлов, содержащих сведения, имеющие значение для дела. Восстановленная информация была передана следствию и использована в качестве доказательства.

Заинтересованные лица могут обратиться в офис в центре Москвы на метро Павелецкая для проведения исследования по восстановлению удаленной информации.

Кейс пятый. Установление факта использования программ удаленного доступа

В судебном разбирательстве по трудовому спору работник утверждал, что работодатель осуществлял несанкционированный доступ к его рабочему компьютеру и контролировал его деятельность. Работодатель отрицал факт установки программ удаленного доступа и утверждал, что работник самостоятельно установил такие программы в личных целях.

Проведение независимой компьютерно-технической экспертизы было назначено судом для установления факта наличия и использования программ удаленного доступа на рабочем компьютере работника. Перед экспертами были поставлены вопросы: имеются ли на компьютере программы удаленного доступа, когда и кем они были установлены, осуществлялось ли подключение к компьютеру извне.

Эксперты получили в распоряжение рабочий компьютер работника, предоставленный работодателем. Проведение независимой компьютерно-технической экспертизы началось с анализа установленного программного обеспечения.

Анализ показал наличие на компьютере программы удаленного доступа, позволяющей осуществлять подключение к рабочему столу. Эксперты исследовали журналы программы, которые содержали записи о подключениях. Анализ журналов показал, что подключения к компьютеру осуществлялись регулярно с внешнего адреса, принадлежащего работодателю.

Проведение независимой компьютерно-технической экспертизы включало анализ журналов операционной системы. Были обнаружены записи об установке программы удаленного доступа. Анализ метаданных установочного файла и журналов установки позволил установить время установки и учетную запись, с которой производилась установка.

Дополнительно эксперты исследовали сетевые подключения компьютера. Анализ журналов межсетевого экрана и данных о сетевых соединениях подтвердил факт регулярных подключений к компьютеру извне.

По результатам проведения независимой компьютерно-технической экспертизы эксперты установили, что на компьютере имеется программа удаленного доступа, установленная с учетной записи администратора, подключения к компьютеру осуществлялись регулярно с внешнего адреса, принадлежащего работодателю.

Для проведения аналогичных исследований можно обратиться в офис в центре Москвы на метро Павелецкая, где специалисты проведут анализ программ удаленного доступа.

Кейс шестой. Исследование электронной почты

В гражданском деле о защите деловой репутации истец утверждал, что ответчик распространял порочащие сведения путем рассылки электронных писем. Ответчик отрицал факт отправки писем, утверждая, что его электронная почта была взломана.

Проведение независимой компьютерно-технической экспертизы было назначено судом для установления факта отправки электронных писем с учетной записи ответчика. Перед экспертами были поставлены вопросы: отправлялись ли письма с учетной записи ответчика, с какого устройства и из какого места осуществлялась отправка, имеются ли признаки взлома учетной записи.

Эксперты получили в распоряжение компьютер ответчика, а также выписку из журналов почтового сервера провайдера. Проведение независимой компьютерно-технической экспертизы началось с анализа почтового клиента, установленного на компьютере ответчика.

Анализ показал наличие в почтовом клиенте учетной записи, с которой, по версии истца, отправлялись письма. Эксперты исследовали журналы почтового клиента, которые содержали записи об отправленных письмах. Анализ журналов показал, что письма с указанным содержанием были отправлены в определенные даты и время.

Проведение независимой компьютерно-технической экспертизы включало анализ журналов почтового сервера провайдера. Журналы содержали записи о подключениях к почтовому серверу с учетной записи ответчика. Анализ IP-адресов, с которых осуществлялись подключения, показал, что подключения осуществлялись с адреса, совпадающего с адресом домашнего интернет-подключения ответчика.

Дополнительно эксперты исследовали компьютер ответчика на предмет наличия следов взлома. Анализ журналов операционной системы, антивирусных логов, данных о запущенных процессах не выявил признаков несанкционированного доступа к компьютеру или учетной записи.

По результатам проведения независимой компьютерно-технической экспертизы эксперты установили, что электронные письма отправлялись с учетной записи ответчика с его домашнего компьютера, признаки взлома учетной записи отсутствуют.

Лица, заинтересованные в проведении исследования электронной почты, могут обратиться в офис в центре Москвы на метро Павелецкая.

Кейс седьмой. Анализ вредоносного программного обеспечения

В уголовном деле о неправомерном доступе к компьютерной информации следователь назначил компьютерно-техническую экспертизу для исследования программы, обнаруженной на сервере потерпевшей организации. По версии следствия, обвиняемый создал и распространил вредоносную программу, обеспечивающую несанкционированный доступ к серверу.

Проведение независимой компьютерно-технической экспертизы было поручено экспертам, специализирующимся на анализе вредоносного программного обеспечения. Перед экспертами были поставлены вопросы: является ли обнаруженная программа вредоносной, каковы ее функциональные возможности, каким образом осуществляется воздействие на компьютерную систему.

Эксперты получили в распоряжение исполняемый файл программы, обнаруженный на сервере, а также образец, изъятый у обвиняемого. Проведение независимой компьютерно-технической экспертизы началось с анализа исполняемого файла.

Первичный анализ показал, что файл является исполняемым файлом для операционной системы. Эксперты применили методы статического анализа, включая исследование структуры файла, таблиц импорта и экспорта, строковых констант. Анализ выявил наличие функций, характерных для вредоносного программного обеспечения.

Проведение независимой компьютерно-технической экспертизы включало динамический анализ программы. Эксперты запустили программу в изолированной среде и наблюдали за ее поведением. Анализ показал, что программа устанавливает соединение с внешним сервером, передает ему информацию о компьютере, принимает команды и выполняет их.

Дальнейшее исследование включало дизассемблирование и декомпиляцию программы. Эксперты восстановили алгоритм работы программы, выявили функции, обеспечивающие несанкционированный доступ, копирование файлов, выполнение команд, маскировку своего присутствия в системе.

Сравнительный анализ образцов, изъятых на сервере и у обвиняемого, показал их идентичность. Это подтвердило факт распространения программы обвиняемым.

По результатам проведения независимой компьютерно-технической экспертизы эксперты установили, что обнаруженная программа является вредоносной, обладает функциональными возможностями по несанкционированному доступу к компьютерной системе, образцы программы идентичны.

Для проведения анализа вредоносного программного обеспечения можно обратиться в офис в центре Москвы на метро Павелецкая, где имеется необходимое оборудование и программное обеспечение.

Кейс восьмой. Исследование сервера базы данных

В арбитражном споре между компаниями возник вопрос о принадлежности данных, хранящихся на сервере базы данных. Истец утверждал, что ответчик неправомерно использует базу данных, созданную истцом. Ответчик утверждал, что база данных была создана им самостоятельно.

Проведение независимой компьютерно-технической экспертизы было назначено судом для исследования сервера базы данных. Перед экспертами были поставлены вопросы: когда и кем создавалась база данных, какие данные были внесены истцом и ответчиком, имеются ли следы копирования данных.

Эксперты получили в распоряжение сервер базы данных, а также резервные копии базы данных, предоставленные обеими сторонами. Проведение независимой компьютерно-технической экспертизы началось с анализа структуры базы данных.

Анализ показал наличие таблиц, содержащих информацию о клиентах, заказах, товарах. Эксперты исследовали структуру таблиц, типы полей, ограничения целостности, индексы. Анализ выявил характерные особенности структуры, указывающие на разработку базы данных истцом.

Проведение независимой компьютерно-технической экспертизы включало анализ журналов базы данных. Журналы содержали записи о транзакциях, включая вставку, обновление и удаление данных. Анализ журналов позволил установить хронологию внесения данных, определить, какие данные были внесены с каких учетных записей.

Дополнительно эксперты исследовали резервные копии базы данных, предоставленные сторонами. Сравнительный анализ резервных копий показал, что копия, предоставленная ответчиком, содержит данные, идентичные данным истца, включая служебные таблицы и метаданные.

По результатам проведения независимой компьютерно-технической экспертизы эксперты установили, что база данных создавалась истцом, структура базы данных и данные свидетельствуют о первичном создании базы данных истцом, в базе данных ответчика имеются данные, идентичные данным истца, что указывает на копирование.

Заинтересованные лица могут обратиться в офис в центре Москвы на метро Павелецкая для проведения исследования баз данных.

Кейс девятый. Установление факта модификации документа

В гражданском деле о признании договора недействительным истец утверждал, что представленный ответчиком экземпляр договора содержит недостоверные сведения, отличающиеся от оригинала. Ответчик утверждал, что договор был подписан в представленной редакции.

Проведение независимой компьютерно-технической экспертизы было назначено судом для исследования электронных файлов договора, представленных обеими сторонами. Перед экспертами были поставлены вопросы: имеются ли различия в файлах, каков характер различий, когда и с использованием какого программного обеспечения вносились изменения.

Эксперты получили в распоряжение электронные файлы договора в формате текстового документа, предоставленные истцом и ответчиком. Проведение независимой компьютерно-технической экспертизы началось с сравнения файлов.

Сравнительный анализ показал наличие различий в тексте договора. Эксперты выявили фрагменты, отличающиеся по содержанию, включая измененные суммы, сроки, условия. Анализ метаданных файлов показал различия в датах создания и модификации.

Проведение независимой компьютерно-технической экспертизы включало анализ внутренней структуры файлов. Эксперты исследовали историю изменений, сохраненную в файлах, данные об авторе, данные о программном обеспечении, использованном для создания и редактирования.

Анализ показал, что файл, представленный ответчиком, содержит следы редактирования, произведенного после даты, указанной в договоре. Данные метаданных свидетельствуют о том, что файл был открыт, отредактирован и сохранен с использованием текстового редактора в определенную дату.

Дополнительно эксперты исследовали компьютер ответчика на предмет наличия исходных версий файла. Анализ показал наличие временных файлов и резервных копий, содержащих текст договора в первоначальной редакции, отличающейся от представленной ответчиком.

По результатам проведения независимой компьютерно-технической экспертизы эксперты установили, что файл договора, представленный ответчиком, содержит изменения, внесенные после подписания, изменения касаются существенных условий договора, следы редактирования обнаружены в метаданных файла.

Для проведения исследования документов на предмет модификации можно обратиться в офис в центре Москвы на метро Павелецкая.

Кейс десятый. Исследование сетевого трафика

В уголовном деле о неправомерном доступе к охраняемой законом компьютерной информации следователь назначил компьютерно-техническую экспертизу для исследования сетевого трафика, зафиксированного на сервере потерпевшей организации. По версии следствия, обвиняемый осуществил несанкционированное подключение к серверу и скопировал конфиденциальную информацию.

Проведение независимой компьютерно-технической экспертизы было поручено экспертам, специализирующимся на анализе сетевого трафика. Перед экспертами были поставлены вопросы: имели ли место подключения к серверу извне, с каких адресов осуществлялись подключения, какие действия выполнялись в ходе подключений, какая информация передавалась.

Эксперты получили в распоряжение дампы сетевого трафика, зафиксированные системой мониторинга сервера, а также журналы межсетевого экрана. Проведение независимой компьютерно-технической экспертизы началось с анализа сетевого трафика.

Анализ показал наличие подключений к серверу по протоколу удаленного доступа. Эксперты исследовали пакеты данных, восстановили последовательность соединений, определили IP-адреса источников подключений.

Проведение независимой компьютерно-технической экспертизы включало анализ содержимого сетевых соединений. Эксперты восстановили команды, передававшиеся на сервер, и ответы сервера. Анализ показал, что в ходе подключений выполнялись команды по копированию файлов, просмотру директорий, изменению конфигурации.

Дополнительно эксперты проанализировали объем переданной информации. Анализ показал, что в ходе одного из подключений было передано значительное количество данных, что соответствует копированию файлов базы данных.

Сопоставление времени подключений с журналами сервера и данными о работе сотрудников позволило установить, что подключения осуществлялись в нерабочее время и не были санкционированы.

По результатам проведения независимой компьютерно-технической экспертизы эксперты установили, что имели место несанкционированные подключения к серверу извне, в ходе подключений осуществлялось копирование конфиденциальной информации, объем переданных данных соответствует объему скопированной информации.

Лица, заинтересованные в проведении анализа сетевого трафика, могут обратиться в офис в центре Москвы на метро Павелецкая, где специалисты проведут все необходимые исследования.

Заключение

Проведение независимой компьютерно-технической экспертизы представляет собой сложный и многогранный процесс, требующий от эксперта глубоких специальных познаний в области информационных технологий, владения современными методами и средствами исследования, соблюдения процессуальных требований и обеспечения сохранности объектов исследования.

В настоящей монографии рассмотрены теоретические основы компьютерно-технической экспертизы, включая понятие, сущность, виды и задачи данного вида экспертной деятельности. Проанализированы методологические основы экспертного исследования, включая общие методы, этапы исследования и требования к обеспечению сохранности объектов.

Значительное внимание уделено процессуальным аспектам компьютерно-технической экспертизы, включая порядок назначения экспертизы, права и обязанности эксперта, требования к заключению эксперта и его оценке. Рассмотрены практические аспекты проведения экспертизы различных объектов — аппаратных средств, программного обеспечения, информации на носителях, сетевой активности.

Проведение независимой компьютерно-технической экспертизы проиллюстрировано конкретными кейсами из экспертной практики, демонстрирующими разнообразие задач, решаемых данным видом экспертизы, и сложность экспертных исследований. Кейсы охватывают исследование корпоративных систем, установление фактов копирования информации, анализ программного обеспечения на предмет плагиата, восстановление удаленной информации, установление фактов использования программ удаленного доступа, исследование электронной почты, анализ вредоносного программного обеспечения, исследование серверов баз данных, установление фактов модификации документов, анализ сетевого трафика.

Проведение независимой компьютерно-технической экспертизы требует от эксперта не только технических знаний, но и понимания правовых аспектов экспертной деятельности, умения работать с процессуальными документами, способности ясно и обоснованно формулировать выводы. Эксперт должен постоянно совершенствовать свои знания и навыки, отслеживать развитие технологий и методов исследования.

Развитие информационных технологий ставит перед компьютерно-технической экспертизой новые задачи, связанные с исследованием облачных сервисов, мобильных устройств, интернета вещей, систем искусственного интеллекта. Проведение независимой компьютерно-технической экспертизы в отношении новых объектов требует разработки новых методов и подходов, что открывает перспективы для дальнейших исследований в данной области.

Для получения консультации и проведения независимой компьютерно-технической экспертизы обращайтесь в Союз «Федерация судебных экспертов». Наши специалисты готовы провести исследование любой сложности в офисе в центре Москвы на метро Павелецкая.

Телефоны: 8(495) 666-5-666, 8-(800) 555-04-53

Электронная почта: info@fse.ms

Союз «Федерация судебных экспертов»