Судебные компьютерно-технические экспертизы

Судебные компьютерно-технические экспертизы (СКТЭ) производятся в целях определения статуса объекта как компьютерного средства, выявления и изучения его роли в расследуемом преступлении, а также получения доступа к информации на носителях данных с последующим всесторонним ее исследованием.

Общим предметом СКТЭ являются факты и обстоятельства, устанавливаемые на основе исследования закономерностей разработки и эксплуатации компьютерных средств, обеспечивающих реализацию информационных процессов, которые зафиксированы в материалах гражданского или уголовного дела, дела об административном правонарушении. Необходимость в СКТЭ обусловливается широким внедрением компьютерных технологий практически во все сферы человеческой деятельности.

Родовая классификация СКТЭ организована на основе обеспечивающих компонент любого компьютерного средства (аппаратного, или технического, программного и информационного обеспечения).

Данная классификация может быть эффективно использована при назначении комплексных экспертиз и решения большого перечня задач.

1. Сущность судебной аппаратно-компьютерной экспертизы заключается в проведении исследования технических (аппаратных) средств компьютерной системы. Предметом данного вида СКТЭ являются факты и обстоятельства, устанавливаемые на основе исследования закономерностей эксплуатации аппаратных средств компьютерной системы – материальных носителей информации о факте или событии гражданского либо уголовного дела.

Объектами судебной аппаратно-компьютерной экспертизы являются:

• персональные компьютеры (настольные, портативные);
• периферийные устройства;
• сетевые аппаратные средства (серверы, рабочие станции, активное оборудование, сетевые кабели и т.д.);
• интегрированные системы (органайзеры); пейджеры;
• мобильные телефоны и т.п.;
• встроенные системы на основе микропроцессорных контроллеров (иммобилайзеры, транспондеры, круиз-контроллеры и проч.);
• любые комплектующие всех указанных компонент (аппаратные блоки, платы расширения, микросхемы и др.).

В судебно-экспертном аспекте наиболее важны такие объекты, как запоминающие устройства и носители данных, включая все известные на момент проведения экспертизы электронные носители данных: микросхемы памяти, магнитные и лазерные диски, магнитооптические диски, магнитные ленты, флэш-карты и т.д.

Примером аппаратно-компьютерной экспертизы является изучение возможностей применения нетипичных или нештатных (например, в случае удара или внезапного отказа) способов исследования носителей данных (чаще всего жестких дисков) с целью извлечения криминалистически значимой информации, хранящейся на них. Другой пример связан с установлением работоспособности системного блока компьютера.

В результате выявленного комплекса диагностических признаков в ходе экспертного исследования было доказано наличие в материнской плате системного блока компьютера заводского брака, приведшего к аппаратной неисправности всего компьютера.

2. Для осуществления экспертного исследования программного обеспечения предназначена судебная программно-компьютерная экспертиза. Ее предметом являются закономерности разработки (создания) и применения (использования) программного обеспечения компьютерной системы, представленной на исследование в целях установления истины по гражданскому или уголовному делу.

Целью судебной программно-компьютерной экспертизы является изучение функционального предназначения, характеристик и реализуемых требований, алгоритма и структурных особенностей, текущего состояния представленного на исследование программного обеспечения компьютерной системы.

Объектами программно-компьютерной экспертизы являются:

• системное программное обеспечение (операционные системы);
• вспомогательные программы – утилиты;
• средства разработки и отладки программ;
• служебная системная информация;
• прикладное программное обеспечение (приложения общего назначения – текстовые и графические редакторы, системы управления базами данных, электронные таблицы, редакторы презентаций и т.д.; приложения специального назначения для решения задач в определенной области науки, техники, экономики и т.д.).

Показательным примером программно-компьютерной экспертизы является экспертное исследование программного обеспечения, позволившее успешно расследовать хищение денежных средств путем использования несовершенства компьютерной программы.

Л., являясь клиентом одного из коммерческих банков, обратил внимание на частичную несовместимость программы автоматизации банковских операций “ПАБА” и программы обслуживания пластиковых карточек “Арканзас”. Первая программа предусматривала для любой валюты два дополнительных знака, рассчитанных на центы, копейки и т.д.

Вторая же программа при операциях с валютами, не имеющими деления на более мелкие единицы (такие, как итальянская лира, японская иена и проч.), считывала последний знак как единицу основной валюты. В результате при снятии через банкомат средств со счета в иностранной валюте, не имеющей деления на мелкие единицы, остаток на счету оставался большим в сто раз, чем было в действительности.

Это позволяло снимать со счета суммы в указанной валюте, стократно превышающие вклад. Произведенное в процессе экспертного исследования изучение используемого программного обеспечения позволило выявить имеющуюся нестыковку и установить фактические обстоятельства выполнения ошибочных операций.

3. Судебная информационно-компьютерная экспертиза (данных) является ключевым видом СКТЭ, так как позволяет завершить целостное построение доказательственной базы путем окончательного разрешения большинства вопросов, связанных с компьютерной информацией. Целью этого вида являются поиск, обнаружение, анализ и оценка информации, подготовленной пользователем или порожденной (созданной) программами для организации информационных процессов в компьютерной системе.

Объектами судебной информационно-компьютерной экспертизы (данных) являются файлы, подготовленные с использованием указанных выше и других программных средств – с расширениями текстовых форматов (.txt,.doc…), графических форматов (.bmp,.jpg,.tif,.cdr…), форматов баз данных (.dbf,.mdb…), электронных таблиц (.xls,.cal…) и др.

Примером судебной информационно-компьютерной экспертизы является экспертиза по выявлению фактов и обстоятельств образования недостачи в одной крупной торговой компьютерной фирме. На разрешение экспертизы был поставлен вопрос: “Какая информация по реализации товарно-материальных ценностей за период с марта по август 200_ г. имеется на представленных компьютерах?”

При производстве экспертизы эксперт СКТЭ исследовал все файлы, имеющиеся на жестких дисках представленных компьютеров, на предмет наличия в них вышеперечисленной информации за указанный период.

Все найденные файлы оказались электронными таблицами, подготовленными средствами Microsoft Excel, что соответствовало показаниям сетевого администратора. Для дальнейшего анализа реализации товарно-материальных ценностей полученная информация была распечатана и передана эксперту судебно-бухгалтерской экспертизы, участвующему в данной комплексной экспертизе.

4. Судебная компьютерно-сетевая экспертиза, в отличие от предыдущих, основывается, прежде всего, на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию. Она выделена в отдельный вид в связи с тем, что лишь использование специальных знаний в области сетевых технологий позволяет соединить воедино полученные объекты, сведения о них и эффективно решить поставленные экспертные задачи. Особое место в компьютерно-сетевой экспертизе занимают экспертные исследования, связанные с интернет-технологиями.

Как видно, задачи судебной компьютерно-сетевой экспертизы охватывают практически все основные задачи основных родов СКТЭ, т.е. решение аппаратных, программных и информационных аспектов при установлении фактов и обстоятельств дела.

Весьма показательным является пример проведения судебной компьютерно-сетевой экспертизы так называемых программных закладок, предоставляющих возможность несанкционированного доступа по сети к данным чужих компьютеров.

Суть экспертного исследования программных закладок заключается в установлении признаков несанкционированных действий (т.е. возможности выполнения своих действий с информацией на ЭВМ без уведомления и согласия ее законного пользователя), а также выявление адресов, по которым производится несанкционированная пересылка тех или иных данных с ЭВМ.

Наиболее достоверным методом проведения подобной экспертизы является метод эксперимента в среде вычислительной сети. В случае решения задач экспертизы программных закладок относительно сети Интернет (при постановке вопросов относительно механизма действий программ “троянцев”) требуется создание некой модели сети Интернет (точнее, ее сегмента). Эта модель обычно состоит из четырех компьютеров, имитирующих основных участников сетевого взаимодействия в Интернете.

Первый компьютер имитирует компьютер какого-либо физического лица или организации, подключенный к сети Интернет через определенного провайдера. Вторым имитируемым компьютером является сервер интернет-провайдера. Именно с его помощью определяются интернет-адреса других компьютеров в сети, к которым обращается программная закладка.

Таким образом, только использование в ходе производства экспертизы указанного аппаратно-программного комплекса позволяет провести достоверное исследование программных закладок, которые отправляют по электронной почте (e-mail) регистрационные данные пользователей для доступа к сети Интернет, и получить соответствующие категорические выводы.

В связи со стремительным развитием современных телекоммуникаций и связи в судебной компьютерно-сетевой экспертизе можно выделить судебную телематическую экспертизу, предметом которой являются фактические данные, устанавливаемые на основе применения специальных знаний при исследовании средств телекоммуникаций и подвижной связи как материальных носителей информации о факте или событии, имеющем отношение к гражданскому или уголовному делу.

Практика показывает, что рассмотренные выше основные виды СКТЭ при производстве большинства экспертных исследований применяются комплексно и чаще всего последовательно. Поэтому в настоящее время в постановлении на производство судебной экспертизы целесообразно указывать не родовое наименование экспертизы, а назначать судебную компьютерно-техническую экспертизу.

Кроме того, в ходе ряда пограничных исследований иногда возникает потребность привлекать специальные знания и из других научных областей. Так, например, обстоит дело с решением задач снятия парольной защиты, получения доступа к закодированным данным, обнаруженным в ходе проведения экспертного исследования, расшифровки информации с поврежденной структурой данных, всестороннего анализа различных криптографических алгоритмов, программ и аппаратных средств. Это направление экспертной деятельности тесно связано с самостоятельной областью исследований – криптографией и защитой информации.

Именно с необходимостью исследования поддельных документов, ценных бумаг и денежных знаков, оттисков печатей, кредитных и расчетных карт, изготовленных с применением современных информационных технологий, связано большинство комплексных экспертиз в рассматриваемой сфере.

Объектами такой комплексной экспертизы являются как некоторые объекты СКТЭ, предназначенные для создания, хранения и передачи информации, так и некоторые объекты СТЭД – документы в бумажной форме. В качестве объектов может также выступать полиграфическое оборудование и оргтехника, интегрированные с компьютерными средствами.

В последние годы широкое распространение получают мультимедийные технологии, которые основаны на представлении данных в формате видеоизображения с применением анимации и звукового сопровождения.

Звуковые и видеофайлы в форматах мультимедиа на носителях данных, в том числе на компакт-дисках с аудио- и видеопродукцией, могут фигурировать в деле в качестве объектов, несущих доказательственную информацию о фактах, событиях, людях. Для непосредственного исследования цифровых видеозаписей и звуковых записей должна быть назначена судебная видеофоноскопическая экспертиза.

Только в ходе указанного исследования могут быть полностью разрешены вопросы относительно достоверности мультимедийной записи, а также установлено, выполнена ли она на конкретном устройстве. Пограничными здесь оказываются и вопросы, связанные с возможностью монтажа записи, непрерывности ее выполнения и т.п.

В случае разрешения вопросов, касающихся исследования звуковой речевой информации, т.е. файлов со звуковыми форматами, требуется назначение комплексной СКТЭ и судебной фоноскопической экспертизы. Эти вопросы часто возникают в связи с широким распространением контрафактной продукции на компакт-дисках.

Следующая пограничная область специальных знаний явно просматривается в экономической и кредитно-финансовой сферах. При производстве судебно-экономических экспертиз информация о действительном состоянии исследуемых объектов зачастую имеется лишь в компьютере, а документированные сведения на бумажных носителях представлены в значительно измененном виде и могут не отражать действительного положения вещей.

В общем случае, следы хозяйственных операций, сопоставление фактически совершенных операций с данными, отраженными в бухгалтерском учете и отчетности, устанавливаются судебно-бухгалтерской экспертизой, которая часто производится по гражданским делам при разрешении споров между юридическими и физическими лицами.

Для автоматизации бухгалтерского учета используется разнообразное программное обеспечение. Весьма ценная доказательственная и ориентирующая информация может быть получена при исследовании компьютерных средств, обеспечивающих бухгалтерские проводки, а также данных, содержащихся в компьютерных системах хозяйственных субъектов разных форм собственности. В таких случаях целесообразно назначение комплексной СКТЭ и судебно-бухгалтерской экспертизы.

Для решения задач, касающихся финансовой деятельности предприятий, соблюдения законодательных актов, регулирующих их финансовые отношения с государственным бюджетом, выполнения договорных обязательств, распределения и выплаты дивидендов, операций с ценными бумагами, инвестициями, и назначаются судебные финансово-экономические экспертизы, которые также должны, как правило, выполняться комплексно с судебными компьютерно-техническими экспертизами.

Другой род класса экономических экспертиз – судебно-товароведческая экспертиза, также стыкуется в определенных случаях с СКТЭ. Если при рассмотрении гражданского или уголовного дела речь заходит о технологии производства (изготовления) компьютерной техники, то налицо необходимость назначения комплексной товароведческой и компьютерно-технической экспертизы. В сути этого исследования лежит интеграция специальных знаний в технологии производства товара и компьютерных технологий.

Поскольку результаты судебной компьютерно-технической экспертизы напрямую зависят от сохранности информации, необходимо при изъятии объектов и подготовке их на экспертизу соблюдать ряд правил, указанных в соответствующих методических руководствах.

При производстве следственных или иных действий, в процессе которых изымаются объекты для экспертизы, необходимо исключить намеренную порчу или уничтожение хранящейся в компьютерах информации.

Для сокрытия информации на компьютерах могут быть установлены специальные защитные программы, которые при некорректном обращении с защищаемыми данными включают процесс их уничтожения, искажения, маскировки.

Включать и выключать компьютеры, производить с ними какие-то манипуляции может только специалист, участвующий в производстве данного следственного действия. Если на объекте было отключено электроснабжение, например, в связи с пожаром или взрывом, до его включения следует проверить, находятся ли все компьютеры и периферийные устройства в отключенном состоянии. Если компьютер на момент начала осмотра (обыска) оказался включен, необходимо оценить информацию, изображенную на дисплее, и определить, какая программа исполняется на данный момент.

В случае работы стандартного программного обеспечения нельзя приступать к каким-либо манипуляциям на входе без предварительного визуального осмотра технических средств. Экран монитора необходимо сфотографировать. Отключить все телефонные линии, подключенные к компьютеру (если таковые соединения имеются).

Следование данной рекомендации позволит обезопасить поиск информации от различного рода устройств повреждения или уничтожения, как аппаратных средств, так и информационной базы. Такими устройствами могут быть электронные ключи, радиозакладки-шумоподавители и др. В случае, если при осмотре аппаратных средств выявлены неизвестные участникам следственного действия устройства (платы расширения, нестандартные соединения и т.д.), компьютер необходимо сразу выключить.

При этом следует не отключать тумблер блока питания, а вынимать вилку из розетки. Затем следует промаркировать всю систему подключения до того, как провода будут отсоединены, промаркировать все порты и разъемы с тем, чтобы потом можно было осуществить точную реконструкцию расположения кабелей, плат расширения и других устройств.

Если конфигурация процессора стандартна, следует корректно завершить работу исполняемой в данный момент программы либо дождаться завершения ее работы для получения дополнительных, возможно искомых, данных. Если для поиска информации задействуется программное обеспечение, не находящееся в компьютере, это необходимо отметить в протоколе. Такие программы должны быть стандартны и лицензированы, а контроль над их работой – нагляден.

При обнаружении, фиксации и изъятии криминалистически значимой информации в вычислительной сети необходимо установить общее количество компьютеров и их распределение по другим помещениям, а также количество и тип используемых серверов и рабочих мест. Далее важно выяснить тип используемой сетевой операционной системы и состав прикладного программного обеспечения, используемого в вычислительной сети.

Следует также установить факт наличия резервных копий данных и места их хранения. Особое внимание должно уделяться выявлению выхода в другие, в том числе и глобальные, сети, установлению возможностей использования коммуникационных средств для связи с удаленными пользователями, другими организациями (фирмами), частными лицами. В это же время определяются принятые в организации мероприятия по защите информации и наличие выхода в Интернет.

В случае использования телефонной линии для связи с другими сетями обеспечить отключение телефона, по возможности удалить из помещения все взрывчатые, едкие и легковоспламеняющиеся материалы.

Сразу же при установлении факта наличия в осматриваемом помещении локальной вычислительной сети следует точно установить местоположение серверов. Как правило, для сервера выделяется специальная комната (серверная), вход в которую ограничен.

Однако помимо центральной серверной в других помещениях могут находиться местные локальные серверы. Внешне определить местоположение компьютеров, подключенных к вычислительной сети, иногда помогает электропроводка: достаточно проследить трассы кабелей или специальных коробов для защиты кабелей.

Иногда в процессе фиксации и изъятия может возникнуть необходимость описания содержимого жесткого диска. Однако, по нашему мнению, совпадающему с мнением большинства специалистов в сфере современных информационных технологий, эту процедуру необходимо проводить только в ходе экспертного исследования.

При изъятии компьютеров и носителей данных их следует упаковывать и опечатывать. Системные блоки компьютеров должны быть пронумерованы, а все разъемы опечатаны. Следует пронумеровать все носители информации, пакеты, в которые они запакованы, проставить соответствующие опознавательные знаки на бумажных аналогах информации (при наличии таковых). При опечатывании компьютеров не следует пользоваться жидким клеем или другими веществами, которые могут испортить техническое средство.

Кроме указанного способа, на практике все чаще используется другой способ опечатывания системного блока. Последний помещается в полиэтиленовый (либо холщовый) пакет, и далее опечатывается уже сам пакет (доступа не будет ни к разъемам, ни к кнопкам, ни к корпусу).

Для опечатывания носителей информации необходимо упаковать их в жесткую негнущуюся коробку и опечатать ее. Далее следует сделать на отдельном листе бумаги подробное описание упакованных носителей (тип каждого из них, количество). Коробка с носителями и описание помещаются в полиэтиленовый пакет, который заклеивается.

Кроме коробок, в крайнем случае для упаковки компьютерных средств могут быть использованы большие полотняные мешки или куски ткани. Если изымается жесткий диск (винчестер), то его необходимо упаковать в антистатический пакет, предотвратить его свободное перемещение в упаковке при транспортировке и опечатать.

Такие действия могут повлечь за собой повреждение или уничтожение имеющейся компьютерной информации. Известны совершенно недопустимые случаи использования изъятых в качестве вещественных доказательств компьютерных средств следователями и сотрудниками оперативных аппаратов для составления процессуальных документов, отчетов, компьютерных игр. Такие действия должны решительно пресекаться, а виновные привлекаться к ответственности, даже если в следственном отделе, расследующем преступление, отказали все служебные компьютеры.

При перевозке компьютерных средств необходимо исключить их механические повреждения и взаимодействие с химически активными веществами. Следует экранировать от воздействий магнитных полей как компьютерные устройства, так и магнитные носители информации. Такое воздействие может привести к порче или уничтожению информации путем размагничивания.

Поскольку компьютерные средства попадают на исследование в экспертные учреждения, особое внимание следует обратить на ограждение изъятых объектов от воздействия широко используемых в этих учреждениях магнитосодержащих средств криминалистической техники (например, магнитных подъемников, магнитных кисточек для выявления следов рук и проч.).

При размещении изъятых объектов на хранение соблюдать установленные правила хранения и складирования электронных технических средств. Нельзя ставить системные блоки компьютеров в штабель выше трех штук, а также размещать на них какие-либо другие предметы. Хранят компьютеры и комплектующие в сухом отапливаемом помещении.

Следует удостовериться, что в нем нет грызунов (мышей и крыс), которые часто являются причиной неисправности аппаратуры. Кроме того, категорически не рекомендуется курить, принимать пишу и содержать животных в помещениях, предназначенных для хранения компьютерной техники и магнитных носителей.