Раздел 1. Концептуальные основы компьютерно-технической экспертизы как рода судебной экспертизы

1.1. Понятие и сущность компьютерно-технической экспертизы

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебной экспертизы, предметом которой выступают фактические данные, устанавливаемые на основе специальных знаний в области информационных технологий, вычислительной техники и программирования, необходимые для разрешения вопросов, возникающих в ходе уголовного, гражданского, арбитражного и административного судопроизводства. Сущность данного вида экспертной деятельности заключается в исследовании компьютерных средств, программного обеспечения, информационных объектов и сетевых ресурсов с целью установления их технического состояния, функционального назначения, а также выявления следов, имеющих доказательственное значение.

В отличие от иных родов судебных экспертиз, объектами компьютерно-технической экспертизы выступают не только материальные предметы (аппаратные средства, носители информации), но и нематериальные субстанции — программные продукты и собственно информация в различных её проявлениях . Двойственная природа объекта исследования предопределяет специфику методологии: эксперт вынужден одновременно решать задачи технической диагностики аппаратуры, анализа программных кодов и содержательной интерпретации данных. Компьютерно-техническая экспертиза в Москве и других регионах Российской Федерации назначается в случаях, когда для установления обстоятельств дела требуются познания в области устройства компьютерной техники, принципов функционирования операционных систем, форматов хранения данных и сетевых протоколов.

Содержательное наполнение понятия компьютерно-техническая экспертиза охватывает несколько взаимосвязанных аспектов. Во-первых, это процессуальный аспект: экспертиза назначается в строгом соответствии с нормами процессуального законодательства, а заключение эксперта выступает самостоятельным видом доказательств. Во-вторых, технический аспект: исследование предполагает применение специализированного программного обеспечения, аппаратных средств и методик, обеспечивающих сохранность исходной информации и достоверность получаемых результатов. В-третьих, логико-методологический аспект: эксперт должен выстроить непротиворечивую цепь рассуждений, связывающую выявленные цифровые артефакты с обстоятельствами, имеющими значение для дела.

Судебная компьютерно-техническая экспертиза как процессуальная категория обладает рядом отличительных признаков. Она назначается управомоченными субъектами (следователем, дознавателем, судом), проводится лицами, обладающими специальными знаниями и предупреждёнными об уголовной ответственности за дачу заведомо ложного заключения, оформляется процессуальным документом — постановлением о назначении компьютерно-технической экспертизы или определением суда. Результаты исследования приобретают статус доказательства только после оценки их судом в совокупности с иными материалами дела.

Содержательная сторона компьютерно-технической экспертизы не сводится к механическому «извлечению» информации с носителя. Экспертное исследование предполагает решение диагностических и идентификационных задач. Диагностические задачи направлены на установление технического состояния объекта, его функциональных возможностей, причин возникновения неисправностей или изменений в информационной среде. Идентификационные задачи связаны с отождествлением конкретного устройства, программы или информационного объекта по его индивидуальным признакам, а также с установлением источника происхождения информации . Разграничение указанных задач имеет не только теоретическое, но и практическое значение: от правильной квалификации задачи зависит выбор методов исследования и формулирование выводов.

В структуре компьютерно-технической экспертизы традиционно выделяются относительно самостоятельные виды, различающиеся по объекту и решаемым задачам. Аппаратно-компьютерная экспертиза ориентирована на исследование физических компонентов вычислительной техники: системных блоков, периферийных устройств, носителей информации, сетевого оборудования. Программно-компьютерная экспертиза предполагает анализ системного и прикладного программного обеспечения, включая установление признаков контрафактности, выявление вредоносных функций, реконструкцию алгоритмов работы программ. Информационно-компьютерная экспертиза (экспертиза данных) сосредоточена на поиске, обнаружении и оценке информации, созданной пользователем или порождённой программными средствами. Компьютерно-сетевая экспертиза исследует процессы обмена данными в локальных и глобальных сетях, включая анализ сетевых протоколов, журналов событий и следов удалённого доступа.

Практическая значимость разграничения видов компьютерно-технических экспертиз обусловлена необходимостью точной постановки вопросов перед экспертом и правильного определения круга объектов, подлежащих исследованию. Вопросы на компьютерно-техническую экспертизу должны формулироваться с учётом компетенции эксперта и не выходить за пределы специальных познаний в области информационных технологий. Недопустима постановка перед экспертом вопросов правового характера, например о квалификации действий лица или о наличии признаков преступления. Корректная формулировка вопроса предполагает указание на конкретный технический параметр или информационный объект, подлежащий установлению.

Институциональная инфраструктура компьютерно-технической экспертизы в Российской Федерации включает государственные судебно-экспертные учреждения (подразделения Министерства юстиции, Министерства внутренних дел, Следственного комитета) и негосударственные экспертные организации. Союз «Федерация судебных экспертов» объединяет специалистов, осуществляющих независимую экспертную деятельность, в том числе в сфере компьютерно-технических исследований. Обращение к услугам независимых экспертов целесообразно в ситуациях, требующих оперативного проведения исследования, альтернативной оценки или при необходимости обеспечения процессуальной самостоятельности стороны в состязательном процессе.

1.2. Место компьютерно-технической экспертизы в системе судебных экспертиз

Определение места компьютерно-технической экспертизы в системе судебных экспертиз предполагает соотнесение её предмета, объектов и методов с иными родами и видами экспертной деятельности. Компьютерно-техническая экспертиза тесно соприкасается с технико-криминалистической экспертизой документов (в части исследования документов, созданных с использованием компьютерных средств), с экспертизой видео- и звукозаписей (в части анализа мультимедийных файлов), с финансово-экономической экспертизой (в части исследования электронных баз данных бухгалтерского учёта). Однако ни одна из перечисленных экспертиз не решает задач, связанных с установлением технического состояния компьютерного средства, анализом программного кода или реконструкцией информационных процессов.

Самостоятельность компьютерно-технической экспертизы подтверждается наличием специфического предмета познания — закономерностей создания, функционирования и взаимодействия компьютерных средств и информационных систем, а также специфических объектов — аппаратного обеспечения, программного обеспечения и информационных объектов . Методологическая база данной экспертизы формируется на стыке информатики, вычислительной техники, программирования и криминалистики, что придаёт ей комплексный характер.

Вопрос о соотношении компьютерно-технической и информационно-аналитической и технической экспертизы компьютерных систем заслуживает отдельного рассмотрения. Информационно-аналитическая составляющая присутствует в компьютерно-техническом исследовании в той мере, в какой эксперт анализирует содержание данных и их смысловые связи. Однако информационно-аналитическая деятельность в чистом виде выходит за пределы экспертизы, поскольку предполагает оценку информации с точки зрения её значения для конкретных целей управления или принятия решений. Техническая экспертиза компьютерной техники, напротив, акцентирует внимание на аппаратной составляющей, оставляя за рамками содержательный анализ данных. Компьютерно-техническая экспертиза интегрирует оба подхода, обеспечивая единство технического и информационного исследования.

Разграничение компетенции эксперта и специалиста имеет существенное значение для правильного назначения исследования. Специалист, привлекаемый к участию в следственном действии, оказывает техническое содействие в обнаружении, фиксации и изъятии компьютерных средств и информации, но не производит экспертного исследования. Эксперт же наделён процессуальным статусом, предполагающим самостоятельность исследования и формулирование выводов от своего имени. Компьютерная экспертиза как разновидность судебной компьютерно-технической экспертизы предполагает именно экспертный, а не вспомогательно-технический характер деятельности.

Соотношение компьютерно-технической экспертизы с судебной экспертизой в целом определяется через категории рода и вида. Компьютерно-техническая экспертиза является родом судебной экспертизы, внутри которого выделяются виды, различающиеся по объектам и задачам. Дальнейшая дифференциация возможна на уровне подвидов, например, экспертиза мобильных устройств, экспертиза серверного оборудования, экспертиза систем видеонаблюдения. Такая дифференциация отражает усложнение технической реальности и необходимость специализации экспертных кадров.

Потребность в назначении компьютерно-технической экспертизы возникает в самых различных категориях дел. По уголовным делам это преступления в сфере компьютерной информации, мошенничество с использованием электронных средств платежа, незаконный оборот порнографических материалов, распространение экстремистских материалов, наркопреступления с использованием сети Интернет. По гражданским и арбитражным делам — споры о качестве программного обеспечения, о нарушении исключительных прав на результаты интеллектуальной деятельности, о неисполнении договоров в IT-сфере. По делам об административных правонарушениях — правонарушения в области связи и информации. Во всех перечисленных случаях компьютерно-техническая экспертиза позволяет установить обстоятельства, недоступные для непосредственного восприятия судом и требующие применения специальных познаний.

Услуги по экспертизе технического состояния компьютерной техники востребованы не только в судебном процессе, но и на досудебной стадии разрешения конфликтов. Досудебное заключение специалиста может использоваться сторонами для оценки перспектив спора, формирования позиции по делу и подготовки к судебному разбирательству. Вместе с тем процессуальный статус досудебного заключения отличается от статуса судебной экспертизы: оно не является экспертным заключением в строгом смысле и оценивается судом наряду с другими письменными доказательствами.

1.3. Нормативно-правовые и организационные основания назначения компьютерно-технической экспертизы

Назначение компьютерно-технической экспертизы осуществляется на основании постановления о назначении компьютерно-технической судебной экспертизы, выносимого следователем, дознавателем или судом. Содержание постановления должно включать сведения о месте и времени его вынесения, о лице, его вынесшем, об основании назначения экспертизы, о вопросах, поставленных перед экспертом, о материалах, предоставляемых в распоряжение эксперта, и о лице или органе, которым поручено производство экспертизы. Несоблюдение требований к содержанию постановления может повлечь признание заключения эксперта недопустимым доказательством.

Постановление о назначении компьютерно-технической экспертизы должно содержать чёткую формулировку вопросов, не допускающую их расширительного или неоднозначного толкования. Вопросы не должны выходить за пределы компетенции эксперта, не должны носить правового характера и не должны требовать разрешения задач, относящихся к иным родам экспертиз. При постановке вопросов рекомендуется использовать терминологию, закреплённую в нормативных документах и технической документации производителей оборудования и программного обеспечения .

Организационное обеспечение компьютерно-технической экспертизы включает несколько этапов. Первый этап — подготовка материалов, направляемых на исследование. Компьютерные средства и носители информации должны быть изъяты, упакованы и транспортированы способами, исключающими несанкционированное изменение содержащейся в них информации. Для этого используются специальные упаковочные материалы, экранирующие контейнеры (например, сумки Фарадея) или алюминиевая фольга, блокирующая радиосигналы . Второй этап — выбор экспертного учреждения или эксперта, обладающего необходимой квалификацией и технической базой. Третий этап — направление постановления и материалов эксперту, обеспечение условий для проведения исследования. Четвёртый этап — получение заключения эксперта и его оценка.

Выбор экспертного учреждения представляет собой самостоятельную организационную задачу. Государственные экспертные учреждения обладают развитой методической базой и штатом аттестованных экспертов, однако их загрузка и ведомственная принадлежность могут ограничивать возможности оперативного проведения исследования. Независимые экспертные организации, входящие в Союз «Федерация судебных экспертов», предлагают альтернативный формат взаимодействия, предполагающий гибкость в сроках, возможность привлечения узкопрофильных специалистов и обеспечения процессуальной самостоятельности стороны, заявившей ходатайство о назначении экспертизы.

Сроки проведения компьютерно-технической экспертизы зависят от объёма исследуемых объектов, сложности поставленных вопросов и доступности необходимых программно-аппаратных средств. Простое исследование одного носителя информации может быть выполнено в течение нескольких дней, тогда как комплексный анализ серверного оборудования, сетевой инфраструктуры или больших массивов данных требует значительно большего времени. В постановлении о назначении экспертизы сроки, как правило, не устанавливаются, однако следователь или суд вправе запросить информацию о предполагаемых сроках выполнения исследования.

Процессуальный статус эксперта предполагает его независимость и личную ответственность за данное заключение. Эксперт не вправе разглашать сведения, ставшие ему известными в связи с производством экспертизы, и обязан отказаться от дачи заключения, если поставленные вопросы выходят за пределы его специальных познаний. Заключение эксперта должно содержать описание проведённого исследования, применённых методов, обоснование выводов и ответы на поставленные вопросы. Выводы могут носить категорический или вероятностный характер, однако вероятностные выводы не должны создавать ложного впечатления определённости.

Союз «Федерация судебных экспертов» обеспечивает организационную поддержку проведения компьютерно-технических исследований, включая подбор экспертов, координацию взаимодействия с заказчиком и контроль качества экспертной работы. Обращение в данную организацию позволяет получить независимое заключение, которое может быть использовано как в судебном процессе, так и на досудебной стадии для оценки перспектив спора. Приглашаем заинтересованных лиц к сотрудничеству.

Раздел 2. Объекты и виды компьютерно-технических экспертиз

2.1. Аппаратно-компьютерная экспертиза: объекты и решаемые задачи

Аппаратно-компьютерная экспертиза направлена на исследование физических компонентов вычислительной техники. К объектам данного вида экспертизы относятся персональные компьютеры (настольные и портативные), периферийные устройства (принтеры, сканеры, мониторы, клавиатуры, манипуляторы), сетевые аппаратные средства (серверы, рабочие станции, активное сетевое оборудование, кабельные системы), интегрированные системы (органайзеры, мобильные телефоны, смартфоны, планшетные компьютеры), встроенные системы на основе микропроцессорных контроллеров, а также комплектующие всех перечисленных устройств .

Предметом аппаратно-компьютерной экспертизы выступают фактические данные о техническом состоянии устройства, его функциональных возможностях, конфигурации, причинах возникновения неисправностей и отклонений от типовых параметров. Эксперт устанавливает, относится ли представленное устройство к компьютерным средствам, к какому типу и модели оно принадлежит, каковы его технические характеристики, исправно ли оно, имеются ли физические дефекты, являются ли выявленные неисправности следствием нарушения правил эксплуатации или иных причин.

Типовые вопросы, разрешаемые в рамках аппаратно-компьютерной экспертизы, включают установление функционального предназначения устройства, его роли в конкретной компьютерной системе, первоначального и фактического состояния, причин изменения потребительских свойств. Отдельную группу составляют вопросы, связанные с носителями информации: является ли представленное устройство носителем информации, каков его тип и параметры, доступен ли носитель для чтения, каковы причины отсутствия доступа.

Методика аппаратно-компьютерного исследования предполагает визуальный осмотр, диагностику с использованием специализированного программного обеспечения, измерение электрических параметров, проверку функционирования в различных режимах. Важное значение имеет обеспечение сохранности информации: перед проведением любых манипуляций, способных изменить состояние носителя, эксперт создаёт посекторную копию (образ) носителя, которая в дальнейшем используется для исследования. Оригинальный носитель при этом сохраняется в неизменном виде.

Аппаратно-компьютерная экспертиза часто выступает первым этапом комплексного исследования, предшествующим программно-компьютерной и информационно-компьютерной экспертизе. Установление исправности устройства и корректности его конфигурации создаёт предпосылки для последующего анализа программного обеспечения и данных. В случаях, когда неисправность устройства препятствует доступу к информации, аппаратная диагностика позволяет определить, возможно ли восстановление доступа и какими методами.

Судебная компьютерно-техническая экспертиза в части аппаратного исследования востребована при расследовании дел, связанных с нарушением правил эксплуатации компьютерной техники, повлёкшим уничтожение или повреждение информации, при спорах о качестве компьютерного оборудования, при установлении причин сбоев в работе информационных систем. Компьютерно-техническая экспертиза в Москве и других городах назначается также для определения рыночной стоимости компьютерной техники, однако вопросы оценки выходят за пределы собственно технической экспертизы и требуют привлечения специалистов в области товароведения.

2.2. Программно-компьютерная экспертиза: анализ программного обеспечения

Программно-компьютерная экспертиза сосредоточена на исследовании системного и прикладного программного обеспечения. Объектами данного вида экспертизы выступают операционные системы, утилиты, средства разработки и отладки программ, служебная системная информация, прикладное программное обеспечение общего и специального назначения . В отличие от аппаратной экспертизы, где объект исследования имеет материальную природу, программный продукт представляет собой совокупность кода и данных, существующую на носителе, но не тождественную ему.

Предмет программно-компьютерной экспертизы составляют фактические данные о составе, функциональном назначении, работоспособности, легитимности и модификациях программного обеспечения. Эксперт устанавливает общую характеристику представленного программного обеспечения, его классификацию (системное или прикладное), наименование, тип, версию, вид представления (явный, скрытый, удалённый), реквизиты разработчика и владельца, состав файлов и их параметры.

Одной из наиболее востребованных задач программно-компьютерной экспертизы является установление признаков контрафактности программного обеспечения. Однако формулировка вопроса о контрафактности требует осторожности: данный термин имеет правовое значение, и его использование в вопросе эксперту может быть расценено как выход за пределы компетенции. Более корректной является постановка вопроса о наличии признаков нарушения условий лицензии изготовителя при инсталляции или использовании программного обеспечения .

Программно-компьютерная экспертиза решает также задачи, связанные с выявлением вредоносных функций программ. Эксперт устанавливает, имеются ли в программном средстве функции, влекущие уничтожение, блокирование, модификацию или копирование информации, нарушение работы компьютерной системы. Анализ вредоносного кода предполагает не только статическое исследование файлов, но и динамический анализ поведения программы в изолированной среде (песочнице), что позволяет выявить скрытые функции, не обнаруживаемые при обычном просмотре кода.

Вопросы на компьютерно-техническую экспертизу программного характера должны формулироваться с учётом конкретных обстоятельств дела. Например, при расследовании дел о неправомерном доступе к компьютерной информации может быть поставлен вопрос о том, использовались ли при инсталляции конкретного программного средства нестандартные приёмы алгоритмизации и программирования, направленные на преодоление защиты. При спорах о качестве разработки программного обеспечения — вопрос о соответствии функциональных возможностей программы условиям договора или технического задания.

Методический арсенал программно-компьютерной экспертизы включает дизассемблирование, декомпиляцию, трассировку, сравнительный анализ хеш-сумм, мониторинг файловой системы и реестра, эмуляцию execution environment. Выбор методов определяется характером поставленных вопросов и особенностями исследуемого программного продукта. Результаты исследования должны быть воспроизводимы: эксперт обязан описать применённые методы и последовательность действий таким образом, чтобы другой квалифицированный специалист мог повторить исследование и получить аналогичные результаты.

2.3. Информационно-компьютерная экспертиза (экспертиза данных)

Информационно-компьютерная экспертиза, или экспертиза данных, является ключевым видом судебной компьютерно-технической экспертизы, поскольку позволяет завершить целостное построение доказательственной базы путём окончательного разрешения большинства вопросов, связанных с компьютерной информацией . Целью данного вида экспертизы является поиск, обнаружение, анализ и оценка информации, подготовленной пользователем или порождённой программами для организации информационных процессов в компьютерной системе.

Объектами информационно-компьютерной экспертизы выступают файлы различных форматов (текстовые, графические, аудио, видео, базы данных, электронные таблицы, журналы событий), а также метаданные, характеризующие условия создания, изменения и доступа к файлам. В отличие от программно-компьютерной экспертизы, где основное внимание уделяется коду и функциональности программ, информационная экспертиза сосредоточена на содержательной стороне данных и их связях с действиями пользователя.

Типовые задачи информационно-компьютерной экспертизы включают установление наличия или отсутствия определённой информации на носителе, определение её типа и характеристик, восстановление удалённых данных, установление хронологии операций с файлами, выявление признаков несанкционированного доступа, определение источника происхождения информации. Эксперт также может устанавливать, какими программными средствами обеспечивается доступ к данным, в каком виде и какого содержания находились данные до их удаления или модификации.

Восстановление удалённой информации представляет собой одну из наиболее сложных и востребованных задач информационно-компьютерной экспертизы. Удаление файла в большинстве файловых систем не приводит к физическому уничтожению данных: освобождается место в таблице размещения файлов, а сами кластеры помечаются как свободные. До момента перезаписи этих кластеров новой информацией существует возможность восстановления содержимого файла. Эксперт использует специализированное программное обеспечение для сканирования носителя, поиска сигнатур файлов и реконструкции удалённых данных.

Установление хронологии событий имеет существенное значение для многих категорий дел. Метаданные файлов (даты создания, последнего изменения, последнего доступа) позволяют выстроить временную последовательность действий пользователя. Однако эксперт должен учитывать, что метаданные могут быть изменены как самим пользователем, так и программными средствами, а также что системные часы компьютера могут быть переведены. Поэтому хронологический анализ предполагает комплексную оценку различных источников: метаданных файлов, журналов операционной системы, записей в реестре, сетевых логов.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части анализа данных требует от эксперта не только технической квалификации, но и понимания предметной области, к которой относятся исследуемые данные. Например, при анализе бухгалтерских баз данных эксперт должен ориентироваться в структуре учётных регистров, при анализе переписки — в форматах хранения сообщений различных мессенджеров. В необходимых случаях к производству экспертизы могут привлекаться специалисты в соответствующих областях, однако их участие не должно подменять собственно экспертное исследование.

2.4. Компьютерно-сетевая экспертиза

Компьютерно-сетевая экспертиза направлена на исследование процессов обмена данными в локальных и глобальных сетях. Объектами данного вида экспертизы выступают сетевые аппаратные средства (серверы, маршрутизаторы, коммутаторы, точки доступа), сетевые протоколы, журналы событий сетевого оборудования и программного обеспечения, а также информационные следы удалённого взаимодействия.

Предмет компьютерно-сетевой экспертизы составляют фактические данные о топологии сети, используемых протоколах, маршрутах передачи данных, фактах подключения к сетевым ресурсам, содержании переданной информации. Эксперт устанавливает, какие устройства входили в состав сети, каким образом осуществлялось взаимодействие между ними, имели ли место несанкционированные подключения, каковы источники и адресаты сетевых сообщений.

Специфика компьютерно-сетевой экспертизы обусловлена динамическим характером сетевых процессов: информация о сетевом взаимодействии часто не сохраняется на каком-либо одном устройстве, а распределена по журналам различных узлов, и её восстановление требует корреляции данных из множества источников. Кроме того, сетевые журналы могут быть ограничены по объёму и периоду хранения, что создаёт временные ограничения для исследования.

Типовые вопросы компьютерно-сетевой экспертизы включают установление факта подключения конкретного устройства к сети, определение IP-адреса и иных идентификаторов устройства, установление содержания переданных данных, выявление признаков несанкционированного доступа, реконструкцию последовательности сетевых событий. При расследовании дел о неправомерном доступе к компьютерной информации сетевая экспертиза позволяет установить, каким образом был осуществлён доступ, с какого устройства и в какое время.

Методы компьютерно-сетевой экспертизы включают анализ журналов (логов) операционной системы и приложений, анализ конфигурации сетевого оборудования, анализ трафика (в той мере, в какой он сохранён), корреляционный анализ событий из различных источников. Важное значение имеет обеспечение неизменности исходных данных: эксперт должен работать с копиями журналов, а оригиналы сохраняться в неизменном виде.

2.5. Комплексные и комбинированные исследования

Компьютерно-техническая экспертиза нередко приобретает комплексный характер, требуя применения знаний из различных областей. Комплексная экспертиза предполагает одновременное решение задач, относящихся к разным родам или видам экспертиз, в рамках единого исследования. Например, при расследовании дел о нарушении авторских прав на программное обеспечение может возникнуть необходимость в одновременном исследовании технических характеристик носителя (аппаратная экспертиза), анализ программного кода на предмет сходства с оригиналом (программная экспертиза) и установление факта распространения контрафактных копий (информационная и сетевая экспертиза).

Комбинированная экспертиза предполагает последовательное решение задач различных видов в рамках одного исследования. Например, сначала проводится аппаратная диагностика устройства, затем — извлечение и анализ данных. Результаты каждого этапа оформляются в едином заключении, при этом эксперт должен чётко разграничивать выводы, относящиеся к разным видам исследования.

Вопросы на компьютерно-техническую экспертизу при комплексном исследовании должны формулироваться таким образом, чтобы разграничить компетенцию участвующих специалистов. Недопустима ситуация, когда вопрос, относящийся к компетенции программиста, ставится перед специалистом в области аппаратного обеспечения, или наоборот. Координация действий участников комплексной экспертизы возлагается на ведущего эксперта, который организует исследование и сводит результаты в единое заключение.

Услуги по экспертизе технического состояния компьютерной техники могут оказываться в формате комплексного исследования, включающего диагностику аппаратуры, анализ программной среды и оценку информационной составляющей. Такой формат востребован при разрешении споров о качестве IT-продуктов, когда необходимо установить, является ли выявленный дефект следствием аппаратной неисправности, ошибки программирования или неправильной эксплуатации. Союз «Федерация судебных экспертов» располагает возможностями для организации комплексных исследований с привлечением специалистов различных профилей.

Раздел 3. Методические основы экспертного исследования компьютерных средств и информации

3.1. Подготовительный этап экспертного исследования

Подготовительный этап компьютерно-технической экспертизы начинается с момента получения экспертом постановления о назначении компьютерно-технической экспертизы и материалов, представленных на исследование. Первой задачей эксперта является проверка достаточности и надлежащего оформления поступивших материалов. Эксперт устанавливает, все ли объекты, указанные в постановлении, фактически представлены, соответствует ли их состояние описанному в сопроводительных документах, соблюдены ли требования к упаковке и транспортировке.

Упаковка компьютерных средств и носителей информации имеет критическое значение для сохранности доказательственной информации. Носители информации, изъятые в ходе следственных действий, должны быть упакованы способом, исключающим несанкционированный доступ и физическое повреждение. Для устройств, содержащих энергонезависимую память и способных к беспроводной передаче данных (смартфоны, планшеты, ноутбуки с модулями Wi-Fi и Bluetooth), применяются экранирующие упаковки, блокирующие радиосигналы. Нарушение требований упаковки может привести к изменению информации на носителе и, как следствие, к утрате доказательственного значения результатов экспертизы.

Приёмка материалов оформляется протоколом или иным документом, фиксирующим состояние упаковки, перечень поступивших объектов и их идентификационные признаки. Эксперт вправе заявить ходатайство о предоставлении дополнительных материалов, если поступивших объектов недостаточно для решения поставленных вопросов, или о разъяснении вопросов, если их формулировка не позволяет однозначно определить задачу исследования.

Планирование исследования предполагает определение последовательности этапов, выбор методов и программно-аппаратных средств, оценку необходимых временных и материальных ресурсов. На подготовительном этапе эксперт также оценивает, не выходят ли поставленные вопросы за пределы его специальных познаний, и при необходимости заявляет о невозможности дачи заключения по отдельным вопросам или ходатайствует о привлечении других специалистов.

Существенное значение имеет создание резервных копий (образов) исследуемых носителей. Образ носителя представляет собой посекторную копию, сохраняющую не только файловую структуру, но и все служебные области, включая удалённые файлы и следы предыдущих операций. Работа с образом, а не с оригиналом, обеспечивает возможность многократного обращения к данным без риска их изменения. Оригинальный носитель после создания образа сохраняется в опечатанном виде и в дальнейшем исследовании не используется, за исключением случаев, когда работа с оригиналом необходима для решения специфических задач (например, при исследовании физически повреждённого носителя).

3.2. Методы исследования аппаратных средств

Исследование аппаратных средств компьютерной техники предполагает применение методов технической диагностики, электрических измерений, функционального тестирования и визуального осмотра. На начальном этапе эксперт производит внешний осмотр объекта, фиксируя его состояние, наличие повреждений, следов вскрытия или ремонта, соответствие маркировки и серийных номеров данным, указанным в материалах дела.

Диагностика персонального компьютера или иного вычислительного устройства начинается с проверки возможности включения и загрузки. Если устройство не включается, эксперт устанавливает причину: неисправность блока питания, материнской платы, иных компонентов. Для этого используются методы измерения напряжений на контрольных точках, проверки целостности цепей, замены подозрительных компонентов на заведомо исправные. При невозможности программной диагностики применяются аппаратные средства диагностики, включая специализированные тестеры и программаторы.

Исследование носителей информации имеет свои особенности. Для жёстких дисков на магнитных пластинах критическое значение имеет состояние механики и магнитного слоя. Если носитель не определяется системой или издаёт посторонние звуки (щелчки, скрип), эксперт не вправе производить повторные включения: это может привести к необратимому повреждению магнитного слоя и утрате информации. В таких случаях применяются методы, не требующие штатной работы накопителя: снятие образа на уровне контроллера, использование технологических режимов производителя, обращение к специализированным аппаратно-программным комплексам, обеспечивающим прямой доступ к служебным областям.

Твердотельные накопители требуют иного подхода. Отсутствие движущихся частей снижает риск механического повреждения, однако создаёт специфические проблемы: внутренний контроллер накопителя выполняет выравнивание износа и сборку мусора, что может приводить к изменению данных при простом подключении устройства. Поэтому при работе с твердотельными накопителями применяются методы, минимизирующие вмешательство в работу контроллера: поканальное снятие образа, использование режимов только для чтения, блокировка команд записи на уровне интерфейса.

Для носителей на оптических дисках и карт флеш-памяти применяются методы посекторного копирования с контролем целостности. При наличии физических повреждений (царапин на рабочей поверхности оптического диска, нарушения контактов карты памяти) используются методы восстановления, включая полировку поверхности, перепайку контактов, обращение к технологическим площадкам на кристалле памяти.

Отдельную группу составляют методы исследования мобильных устройств. Смартфоны и планшеты, как правило, имеют зашифрованную память, защищённую паролем или биометрической аутентификацией. Штатные средства резервного копирования позволяют получить лишь часть данных, доступных приложениям. Для полного извлечения информации применяются методы, основанные на уязвимостях конкретных версий операционных систем, а также аппаратные методы, предполагающие прямое обращение к микросхемам памяти. Выбор метода зависит от модели устройства, версии операционной системы и требований к сохранности данных.

3.3. Методы исследования программного обеспечения

Исследование программного обеспечения начинается с инвентаризации: эксперт устанавливает перечень программ, инсталлированных на исследуемом устройстве, их версии, реквизиты разработчиков, даты установки. Для этого анализируются записи в реестре операционной системы, списки установленных программ, файловая структура, журналы установки. Полученные данные сопоставляются с информацией, содержащейся в материалах дела.

Статический анализ программного кода предполагает исследование исполняемых файлов без их запуска. Эксперт изучает структуру файла, таблицы импорта и экспорта, строковые константы, секции кода и данных. Для этого используются дизассемблеры, декомпиляторы, средства просмотра ресурсов. Статический анализ позволяет выявить подозрительные конструкции, характерные для вредоносного кода, определить функциональное назначение программы, установить признаки модификации исходного кода.

Динамический анализ предполагает запуск программы в контролируемой среде и наблюдение за её поведением. Для этого используются изолированные виртуальные машины, песочницы, средства мониторинга файловой системы, реестра и сетевых соединений. Динамический анализ позволяет выявить функции, которые программа выполняет скрытно, не обнаруживая себя при статическом исследовании. Например, программа может не содержать явных признаков вредоносности в коде, но при запуске обращаться к внешним серверам, загружать дополнительные модули или модифицировать системные файлы.

Сравнительный анализ применяется при установлении сходства программных продуктов. Эксперт сопоставляет структуру файлов, последовательности команд, строковые константы, характерные ошибки и особенности реализации. Наличие совпадающих фрагментов может свидетельствовать о заимствовании кода, однако само по себе не доказывает нарушения исключительных прав: необходимо учитывать, что отдельные фрагменты могут быть результатом использования общих библиотек или стандартных приёмов программирования. Вывод о сходстве должен основываться на совокупности признаков, а не на единичных совпадениях.

Исследование лицензионных условий и признаков контрафактности предполагает сопоставление фактического состояния программной среды с условиями лицензионного соглашения. Эксперт устанавливает, какие компоненты программного продукта инсталлированы, соответствуют ли они приобретённой лицензии, имеются ли признаки использования нелицензионных копий. При этом эксперт не вправе делать вывод о наличии или отсутствии правонарушения: его задача ограничивается установлением технических фактов, которые в дальнейшем оцениваются судом.

3.4. Методы исследования информации и данных

Исследование информационных объектов начинается с анализа файловой системы. Эксперт устанавливает структуру каталогов, перечень файлов, их размеры, даты создания и модификации, атрибуты. Для этого используются как штатные средства операционной системы, так и специализированные программы, обеспечивающие доступ к файловой системе в режиме только для чтения. Работа с образом носителя позволяет избежать изменения метаданных, которое неизбежно при штатном доступе к файлам.

Поиск информации осуществляется по различным критериям: по имени файла, по типу файла, по содержанию, по ключевым словам, по временным параметрам. Для поиска по содержанию используются средства индексации и полнотекстового поиска, позволяющие обрабатывать большие объёмы данных. При поиске по ключевым словам эксперт должен учитывать возможные искажения: разные кодировки, опечатки, использование синонимов, сознательное изменение написания. Поэтому результаты поиска подлежат верификации и содержательной интерпретации.

Восстановление удалённых данных предполагает анализ свободного пространства носителя. Эксперт сканирует неразмеченные области, ищет сигнатуры файлов (характерные последовательности байтов, идентифицирующие формат), реконструирует цепочки кластеров. Эффективность восстановления зависит от файловой системы, степени фрагментации, времени, прошедшего с момента удаления, и интенсивности использования носителя после удаления. В ряде случаев восстановление возможно лишь частично: сохраняется фрагмент файла, но утрачивается его начало или окончание.

Анализ метаданных позволяет установить обстоятельства создания и изменения файлов. Эксперт исследует даты, содержащиеся в файловой системе, а также метаданные, встроенные в сами файлы (например, сведения о программе, создавшей документ, об авторе, о времени редактирования). Сопоставление метаданных из различных источников позволяет выявить несоответствия, свидетельствующие о возможной фальсификации или модификации. Например, дата создания файла в файловой системе может не совпадать с датой, указанной во встроенных метаданных, что требует объяснения.

Анализ журналов событий операционной системы и приложений позволяет реконструировать последовательность действий пользователя. Журналы содержат записи о запуске программ, открытии файлов, подключении устройств, сетевых соединениях, изменениях конфигурации. Эксперт извлекает записи, относящиеся к исследуемому периоду, и выстраивает хронологическую последовательность. При этом необходимо учитывать, что журналы могут быть частично утрачены, модифицированы или сфальсифицированы, поэтому их анализ дополняется исследованием иных источников.

3.5. Оформление результатов экспертного исследования

Результаты компьютерно-технической экспертизы оформляются заключением эксперта, которое должно соответствовать требованиям процессуального законодательства и удовлетворять критериям полноты, объективности и обоснованности. Заключение включает вводную, исследовательскую и резолютивную части.

Вводная часть содержит сведения об эксперте (фамилия, имя, отчество, образование, квалификация, стаж работы), об основании производства экспертизы (постановление или определение), о вопросах, поставленных перед экспертом, о материалах, поступивших на исследование. Здесь же указываются сведения о предупреждении эксперта об ответственности за дачу заведомо ложного заключения.

Исследовательская часть описывает процесс и результаты исследования. Эксперт излагает последовательность действий, применённые методы и программно-аппаратные средства, полученные промежуточные результаты. Описание должно быть достаточным для того, чтобы другой квалифицированный специалист мог оценить корректность применённых методов и воспроизвести исследование. При использовании специализированного программного обеспечения указываются его наименование, версия и назначение.

Резолютивная часть содержит выводы эксперта по поставленным вопросам. Выводы формулируются в виде кратких, однозначных утверждений, непосредственно вытекающих из проведённого исследования. Недопустимо включение в выводы сведений, не основанных на исследовании, или формулировок, допускающих расширительное толкование. При невозможности решения вопроса эксперт указывает причины, по которым вывод не может быть сделан.

К заключению прилагаются иллюстративные материалы: скриншоты, схемы, распечатки журналов, таблицы. Приложения должны быть подписаны экспертом и заверены надлежащим образом. Объём иллюстративных материалов определяется характером исследования и необходимостью подтверждения выводов.

Раздел 4. Практические аспекты назначения и производства компьютерно-технической экспертизы

4.1. Формулирование вопросов эксперту

Правильная постановка вопросов перед экспертом является условием получения доказательственной информации, пригодной для использования в судебном процессе. Вопросы на компьютерно-техническую экспертизу должны удовлетворять нескольким требованиям: относиться к предмету экспертизы, не выходить за пределы специальных познаний эксперта, быть сформулированными однозначно и не содержать правовых квалификаций.

Вопросы аппаратного характера формулируются применительно к конкретному устройству: является ли представленное устройство компьютерным средством, к какому типу и модели оно относится, каковы его технические характеристики, исправно ли устройство, имеются ли неисправности, какова причина их возникновения. Применительно к носителям информации: является ли представленный объект носителем информации, доступен ли он для чтения, каковы причины невозможности доступа.

Вопросы программного характера направлены на установление свойств программного обеспечения: какое программное обеспечение инсталлировано на представленном устройстве, каково его функциональное назначение, соответствует ли оно лицензионным условиям, имеются ли признаки вредоносных функций, каковы результаты сравнения с эталонным образцом. При формулировании вопросов о контрафактности целесообразно использовать технические формулировки, избегая правовых терминов.

Вопросы информационного характера связаны с установлением наличия, содержания и происхождения информации: имеется ли на носителе информация определённого содержания, каковы её реквизиты, когда и какими средствами она создана, имеются ли признаки удаления или модификации, возможно ли восстановление удалённой информации. При постановке таких вопросов важно указать критерии поиска (ключевые слова, форматы, временные интервалы), чтобы эксперт мог целенаправленно исследовать данные.

Вопросы сетевого характера касаются процессов взаимодействия: имело ли место подключение устройства к сети, каковы адреса взаимодействующих сторон, каково содержание переданных данных, имеются ли признаки несанкционированного доступа. Сетевые вопросы требуют указания на конкретные журналы или иные источники, в которых может содержаться искомая информация.

Типичной ошибкой при формулировании вопросов является их избыточность: постановка десятков вопросов, часть которых дублирует друг друга или не имеет отношения к делу. Избыточность увеличивает сроки и стоимость исследования, не повышая доказательственной ценности заключения. Целесообразно формулировать минимально необходимое число вопросов, охватывающих существенные для дела обстоятельства.

Другой распространённой ошибкой является постановка вопросов, требующих правовой оценки. Вопросы о том, имел ли место неправомерный доступ, содержит ли информация признаки экстремизма, является ли программа контрафактной, относятся к компетенции суда, а не эксперта. Эксперт устанавливает технические факты, на основе которых суд делает правовые выводы.

4.2. Взаимодействие эксперта с участниками процесса

Взаимодействие эксперта с органами, назначившими экспертизу, и участниками процесса строится на основе процессуальных норм и требований объективности. Эксперт вправе ходатайствовать о предоставлении дополнительных материалов, о привлечении других экспертов, о разъяснении вопросов. Он обязан отказаться от дачи заключения, если поставленные вопросы выходят за пределы его специальных познаний или если предоставленных материалов недостаточно для решения задачи.

Следователь или суд вправе присутствовать при производстве экспертизы, однако не вправе вмешиваться в ход исследования или влиять на содержание выводов. Участники процесса могут заявлять отвод эксперту, ходатайствовать о постановке дополнительных вопросов, о назначении дополнительной или повторной экспертизы. Реализация этих прав не должна использоваться для затягивания процесса или оказания давления на эксперта.

Дополнительная экспертиза назначается при недостаточной ясности или полноте заключения, а также при возникновении новых вопросов в отношении ранее исследованных объектов. Повторная экспертиза назначается при сомнениях в обоснованности заключения или при наличии противоречий между заключениями разных экспертов. Основанием для повторной экспертизы не может служить лишь несогласие стороны с выводами эксперта: необходимы объективные признаки недостоверности или неполноты заключения.

При производстве комплексной экспертизы взаимодействие экспертов различных специальностей осуществляется в порядке, определяемом ведущим экспертом. Каждый эксперт подписывает ту часть заключения, которая содержит результаты его исследования, и несёт ответственность за свои выводы. Общие выводы подписываются всеми экспертами, участвовавшими в комплексном исследовании.

4.3. Оценка заключения компьютерно-технической экспертизы

Оценка заключения эксперта осуществляется судом по общим правилам оценки доказательств: заключение не имеет заранее установленной силы и оценивается в совокупности с другими доказательствами. При оценке проверяется соблюдение процессуальных требований при назначении и производстве экспертизы, компетентность эксперта, достаточность и надлежащее качество исследованных материалов, обоснованность применённых методов, логическая непротиворечивость выводов.

Соблюдение процессуальных требований предполагает проверку того, что экспертиза назначена управомоченным лицом, постановление о назначении компьютерно-технической экспертизы оформлено надлежащим образом, эксперт предупреждён об ответственности, права участников процесса соблюдены. Нарушение процессуальных требований может повлечь признание заключения недопустимым доказательством.

Компетентность эксперта оценивается по его образованию, квалификации и опыту работы в соответствующей области. Наличие диплома о высшем образовании по специальности, связанной с информационными технологиями, прохождение профессиональной переподготовки по экспертной специальности, стаж экспертной работы — эти обстоятельства свидетельствуют о надлежащей компетентности. При оценке следует учитывать, что компьютерно-техническая экспертиза охватывает широкий круг вопросов, и эксперт может быть компетентен в одних областях и недостаточно компетентен в других.

Обоснованность применённых методов проверяется путём сопоставления описанных в заключении методик с признанными научно-техническими подходами. Если эксперт применяет нестандартные методы, он должен обосновать их выбор и показать, что результаты, полученные с их помощью, достоверны. Отсутствие описания методов или ссылки на несуществующие методики является признаком недобросовестности или недостаточной квалификации.

Логическая непротиворечивость выводов предполагает соответствие выводов исследовательской части заключения. Если в исследовательской части описаны результаты, не позволяющие сделать категорический вывод, а в резолютивной части вывод сформулирован категорически, это свидетельствует о необоснованности заключения. Аналогично, если выводы противоречат друг другу или содержат взаимоисключающие утверждения, заключение не может быть признано достоверным.

4.4. Типичные ошибки и недостатки экспертных заключений

Анализ экспертной практики позволяет выявить типичные ошибки и недостатки, снижающие доказательственное значение заключений. К их числу относятся выход за пределы компетенции, недостаточная обоснованность выводов, неполнота исследования, нарушение требований к оформлению.

Выход за пределы компетенции проявляется в формулировании выводов правового характера, в оценке действий лиц, в квалификации правонарушений. Эксперт, устанавливая, например, что программа содержит функции, позволяющие осуществить несанкционированный доступ, не вправе делать вывод о том, что лицо совершило неправомерный доступ: это вопрос правовой квалификации, относящийся к компетенции суда.

Недостаточная обоснованность выводов выражается в отсутствии описания методики, в ссылках на источники, не поддающиеся проверке, в пропуске промежуточных результатов. Если эксперт утверждает, что информация была удалена в определённое время, он должен описать, на основании каких данных сделан этот вывод, какие метаданные и журналы исследованы, как исключены альтернативные объяснения.

Неполнота исследования проявляется в игнорировании существенных для дела обстоятельств, в отказе от исследования части объектов, в поверхностном анализе данных. Например, при исследовании переписки эксперт может ограничиться анализом одного почтового ящика, не проверив наличие сообщений в других источниках, что приводит к неполной реконструкции событий.

Нарушение требований к оформлению выражается в отсутствии необходимых реквизитов, в небрежном описании объектов, в отсутствии подписей и печатей. Такие нарушения могут повлечь признание заключения недопустимым доказательством даже при достоверности содержащихся в нём выводов.

Раздел 5. Кейсы из экспертной практики

Кейс 1. Исследование ноутбука по делу о хищении денежных средств с банковских счетов

В производство поступил ноутбук, изъятый у подозреваемого в совершении серии хищений денежных средств с банковских счетов граждан. По версии следствия, подозреваемый использовал ноутбук для доступа к системам дистанционного банковского обслуживания, применяя похищенные учётные данные. Перед экспертом были поставлены вопросы: имеются ли на носителе сведения об использовании систем дистанционного банковского обслуживания, каковы реквизиты учётных записей, имеются ли следы применения программ, позволяющих осуществлять несанкционированный доступ.

При приёмке материалов было установлено, что ноутбук упакован в полиэтиленовый пакет без экранирования, что создавало риск изменения информации при наличии активных сетевых подключений. Эксперт немедленно поместил устройство в экранирующий контейнер и приступил к снятию образа носителя. Образ был создан с использованием аппаратного блокиратора записи, что исключало возможность модификации оригинального носителя.

Анализ образа показал, что на жёстком диске установлена операционная система, настроенная на автоматическое подключение к сети Wi-Fi. В журналах браузера обнаружены записи о посещении страниц банковских интернет-сервисов, при этом часть записей относилась к периоду, предшествовавшему инкриминируемым событиям. В кэше браузера сохранились фрагменты страниц, содержащих формы ввода логинов и паролей. Временные метки записей коррелировали с датами хищений, указанными в материалах дела.

Дальнейший анализ выявил наличие на носителе программного обеспечения, не входящего в состав стандартной конфигурации операционной системы. Программа представляла собой утилиту для перехвата нажатий клавиатуры и сохранения вводимых символов в скрытый файл. Файл журнала содержал последовательности символов, соответствующие форматам логинов и паролей, используемых в системах дистанционного банковского обслуживания. Эксперт установил, что программа запускалась автоматически при загрузке операционной системы и работала в скрытом режиме.

При исследовании сетевых журналов обнаружены записи о подключениях к IP-адресам, принадлежащим, согласно открытым источникам, хостинг-провайдерам, предоставляющим услуги размещения виртуальных серверов. Содержание переданных данных восстановить не удалось, поскольку трафик не сохранялся, однако факт подключений в сочетании с наличием программы перехвата позволял сделать вывод о возможной передаче похищенных данных на внешние серверы.

По результатам исследования эксперт сформулировал выводы: на носителе имеются сведения об использовании систем дистанционного банковского обслуживания в период, соответствующий инкриминируемым событиям; на носителе обнаружена программа, функционально предназначенная для перехвата вводимых с клавиатуры данных; в журнале программы содержатся последовательности символов, соответствующие форматам учётных данных. Выводы были положены в основу обвинения и подтверждены другими доказательствами. Данный кейс иллюстрирует значение комплексного исследования, объединяющего аппаратную, программную и информационную составляющие.

Кейс 2. Восстановление удалённой переписки по делу о распространении сведений, порочащих честь и достоинство

В рамках гражданского дела о защите чести и достоинства истец утверждал, что ответчик распространил в социальной сети сведения, не соответствующие действительности. Ответчик отрицал факт публикации, утверждая, что его учётная запись была взломана. На исследование был представлен системный блок, изъятый у ответчика, с вопросом: имеются ли на носителе следы публикации сообщений определённого содержания, когда и какими средствами они были созданы.

При осмотре системного блока эксперт зафиксировал отсутствие внешних повреждений, соответствие серийных номеров данным, указанным в материалах дела. Образ носителя был создан штатными средствами с блокировкой записи. Анализ файловой системы показал наличие установленного браузера, в профиле которого сохранились учётные данные для входа в социальную сеть. Кэш браузера содержал фрагменты страниц, включая элементы интерфейса редактирования сообщений.

Поиск по ключевым словам, указанным в исковом заявлении, в явном виде не дал результатов: сообщения были удалены. Эксперт приступил к восстановлению удалённых данных. Сканирование свободного пространства носителя выявило фрагменты файлов, содержащих текстовые последовательности, совпадающие с оспариваемыми сведениями. Восстановление целостности файлов было частичным: сохранились фрагменты текста, но утратилась часть служебной информации.

Дальнейший анализ был направлен на установление времени публикации. Эксперт исследовал журналы браузера, в которых сохранились записи о посещении страниц социальной сети. Временные метки записей коррелировали с периодом, указанным истцом. Кроме того, в кэше сохранились изображения, соответствующие аватару ответчика, что свидетельствовало о входе в учётную запись с данного устройства.

Для проверки версии о взломе эксперт исследовал журналы безопасности операционной системы. Были обнаружены записи о входах в систему, при этом все входы осуществлялись с локального устройства, следов удалённого подключения не выявлено. Журналы браузера не содержали записей о смене пароля или об аномальных сессиях. Совокупность установленных фактов позволяла сделать вывод о том, что публикация сообщений осуществлялась с исследуемого устройства без признаков несанкционированного доступа.

Эксперт сформулировал выводы: на носителе имеются восстановленные фрагменты текста, содержание которых соответствует оспариваемым сведениям; временные метки сохранившихся записей соответствуют периоду публикации; признаки удалённого доступа к учётной записи не обнаружены. Заключение было использовано судом при оценке доводов сторон. Кейс демонстрирует возможности восстановления удалённой информации и значение комплексного анализа различных источников для реконструкции событий.

Кейс 3. Программно-компьютерная экспертиза по делу о нарушении авторских прав на программное обеспечение

Правообладатель обратился с иском к организации, использующей, по его мнению, нелицензионные копии программного продукта. На исследование были представлены системные блоки, изъятые в офисе организации. Перед экспертом поставлены вопросы: какое программное обеспечение инсталлировано на представленных устройствах, соответствует ли оно лицензионным условиям, имеются ли признаки использования нелицензионных копий.

Эксперт произвёл инвентаризацию программного обеспечения на каждом из представленных устройств. Для этого анализировались записи в реестре, списки установленных программ, файловая структура. Было установлено, что на всех устройствах инсталлирован исследуемый программный продукт одной и той же версии. При этом на части устройств обнаружены файлы, изменяющие стандартную процедуру активации, что является признаком применения методов обхода защиты.

Сравнительный анализ файлов программного продукта показал, что часть исполняемых файлов имеет изменённые контрольные суммы по сравнению с эталонными образцами, предоставленными правообладателем. Изменения затрагивали модули, отвечающие за проверку лицензионного ключа. Эксперт установил, что модификация направлена на отключение процедуры проверки, что позволяет использовать программный продукт без действующей лицензии.

Исследование журналов установки и системных журналов позволило установить время инсталляции и источник установочных файлов. Установочные файлы располагались на сетевом ресурсе, доступном с нескольких устройств. Содержимое сетевого ресурса к моменту исследования было удалено, однако в кэше и временных файлах сохранились фрагменты, позволяющие идентифицировать источник.

Эксперт также проанализировал лицензионные соглашения, представленные правообладателем, и сопоставил их условия с фактическим состоянием программной среды. Было установлено, что количество инсталляций превышает количество приобретённых лицензий, а на части устройств используются модифицированные версии, не предусмотренные лицензией. Выводы эксперта содержали установление технических фактов: наличие программного продукта, наличие модификаций, направленных на обход защиты, превышение количества инсталляций над количеством лицензий. Правовая оценка этих фактов была дана судом. Кейс иллюстрирует методику программно-компьютерной экспертизы при разрешении споров об интеллектуальных правах.

Кейс 4. Компьютерно-сетевая экспертиза по делу о неправомерном доступе к серверу организации

Организация заявила о несанкционированном доступе к её серверу, в результате которого были скопированы конфиденциальные документы. На исследование представлены сервер, коммутатор и журналы сетевого оборудования. Перед экспертом поставлены вопросы: имели ли место подключения к серверу из внешней сети, каковы адреса источников подключений, каким образом был осуществлён доступ, какие данные были скопированы.

Эксперт начал с анализа конфигурации сервера и сетевого оборудования. Было установлено, что сервер подключён к локальной сети, имеющей выход в интернет через маршрутизатор. На маршрутизаторе была настроена трансляция адресов, при этом журналирование подключений велось в ограниченном объёме. Журналы сервера содержали записи о входах в систему, однако часть записей была утрачена в результате ротации.

Анализ сохранившихся журналов выявил записи о входах с учётной записи администратора в нерабочее время. IP-адреса источников входа принадлежали диапазонам, зарегистрированным за пределами региона нахождения организации. Эксперт сопоставил временные метки входов с временем изменения файлов, содержащих конфиденциальные документы, и установил корреляцию: копирование файлов осуществлялось в сессиях, инициированных с внешних адресов.

Дальнейший анализ был направлен на установление способа доступа. Эксперт исследовал журналы веб-сервера, функционирующего на том же устройстве. Были обнаружены записи о запросах, содержащих конструкции, характерные для эксплуатации уязвимости в модуле обработки форм. Последовательность запросов свидетельствовала о целенаправленном поиске уязвимости и последующем выполнении команд на сервере. Эксперт установил, что в результате эксплуатации уязвимости злоумышленник получил возможность выполнения команд с правами веб-сервера, что позволило ему повысить привилегии и получить доступ к учётной записи администратора.

Анализ сетевого трафика, сохранившегося фрагментарно, позволил установить объём данных, переданных с сервера на внешний адрес. Объём коррелировал с размером конфиденциальных документов, что подтверждало вывод о копировании. Эксперт сформулировал выводы: имели место подключения к серверу из внешней сети; доступ осуществлён путём эксплуатации уязвимости веб-приложения; в результате доступа скопированы файлы, содержащие конфиденциальные документы. Кейс демонстрирует методику компьютерно-сетевой экспертизы и значение корреляции данных из различных источников.

Кейс 5. Аппаратно-компьютерная экспертиза по делу о повреждении компьютерной техники

В рамках арбитражного дела рассматривался спор между организацией и поставщиком оборудования о качестве поставленной компьютерной техники. Истец утверждал, что поставленные системные блоки имеют производственные дефекты, ответчик настаивал на нарушении правил эксплуатации. На исследование представлены три системных блока с вопросами: имеются ли неисправности, какова их причина, являются ли они производственными или эксплуатационными.

Эксперт произвёл внешний осмотр устройств. На корпусах обнаружены следы пыли и загрязнений, свидетельствующие об эксплуатации в условиях, не соответствующих рекомендациям производителя. При вскрытии корпусов выявлено скопление пыли на радиаторах системы охлаждения, что могло приводить к перегреву компонентов. На одном из устройств обнаружены следы термического повреждения в области блока питания.

Диагностика показала, что два устройства не включаются, одно включается, но работает нестабильно. Для установления причины неисправностей эксперт произвёл измерение напряжений на контрольных точках блоков питания. На одном из устройств напряжение на линии питания процессора оказалось ниже номинального, что свидетельствовало о деградации конденсаторов. На другом устройстве выявлен обрыв в цепи питания материнской платы.

Эксперт исследовал условия эксплуатации, отражённые в документах, представленных сторонами. Организация эксплуатировала оборудование в помещении без системы кондиционирования, при этом температура воздуха в летний период превышала рекомендуемые производителем значения. Журналы системы мониторинга, сохранившиеся на одном из устройств, содержали записи о превышении температуры процессора, что подтверждало вывод о перегреве.

Сопоставление выявленных дефектов с условиями эксплуатации позволило эксперту сделать вывод: неисправности имеют эксплуатационный характер и обусловлены перегревом вследствие нарушения условий эксплуатации. Производственных дефектов, которые могли бы привести к выходу устройств из строя, не обнаружено. Выводы эксперта были положены в основу решения суда об отказе в удовлетворении иска. Кейс иллюстрирует значение аппаратной диагностики и анализа условий эксплуатации при разрешении споров о качестве оборудования.

Кейс 6. Информационно-компьютерная экспертиза по делу о распространении экстремистских материалов

В рамках уголовного дела на исследование представлен мобильный телефон, изъятый у обвиняемого. Перед экспертом поставлены вопросы: имеются ли на устройстве файлы, содержащие материалы, признанные экстремистскими, каким образом они получены, распространялись ли они через сетевые сервисы.