Раздел 1. Концептуальные основы компьютерно-технической экспертизы

Компьютерно-техническая экспертиза представляет собой процессуальное действие, назначаемое уполномоченными субъектами в целях получения объективного и научно обоснованного заключения по вопросам, требующим специальных знаний в области информационных технологий, вычислительной техники и программного обеспечения. Данный вид исследования охватывает широкий спектр объектов, включая аппаратные средства, программные продукты, базы данных, файловые системы, сетевые журналы и цифровые следы, возникающие в процессе функционирования автоматизированных систем. Содержание компьютерно-технической экспертизы в Москве определяется характером поставленных задач и спецификой конкретного дела, однако её методологическая основа остаётся единой и базируется на строгой последовательности этапов исследования.

Ключевым элементом рассматриваемой деятельности является разграничение технического и правового аспектов. Эксперт устанавливает фактические обстоятельства функционирования объекта, его состояние, свойства и причинно-следственные связи, но не разрешает вопросов правовой квалификации. Например, при исследовании информационной системы эксперт определяет работоспособность модулей, целостность баз данных и наличие следов несанкционированного доступа, но вывод о виновности конкретного лица относится к компетенции правоприменителя. Такое разделение обеспечивает объективность заключения и исключает выход за пределы специальных знаний.

Объектная область компьютерно-технической экспертизы неоднородна и включает несколько относительно самостоятельных направлений. К числу основных относятся исследования аппаратных средств, программного обеспечения, баз данных и информационных систем в целом. Каждое направление требует применения специализированного инструментария и обладает собственной методической спецификой. Вместе с тем интегративный характер современных информационных технологий приводит к тому, что на практике эксперт чаще всего имеет дело с комплексными объектами, в которых аппаратная часть, программная среда и данные неразрывно связаны между собой.

Методологический аппарат компьютерно-технической экспертизы формируется на стыке нескольких дисциплин. Теоретическую базу составляют положения информатики, теории вычислительных систем и программирования. Прикладную основу образуют инструментальные средства анализа данных, восстановления информации, исследования журналов событий и проверки целостности. Процессуальная составляющая определяется требованиями к оформлению результатов исследования и порядку взаимодействия с назначившим экспертизу органом. Такое сочетание обеспечивает необходимый уровень достоверности выводов и их доказательственного значения.

Особое внимание в рамках рассматриваемого направления уделяется вопросам фиксации исходного состояния объектов. Любое вмешательство в работу информационной системы, будь то включение устройства, запуск программного обеспечения или копирование данных, потенциально изменяет цифровую среду. Поэтому корректная процедура начинается с создания образа носителя или дампа памяти, которые впоследствии исследуются без риска модификации оригинала. Нарушение этого правила способно привести к утрате доказательственной информации и поставить под сомнение обоснованность выводов эксперта.

Понятие компьютерно-технической экспертизы неразрывно связано с категорией цифровых следов. Под ними понимаются любые изменения в состоянии носителей информации и программной среды, возникшие в результате действий пользователя или работы автоматизированных процессов. К цифровым следам относятся файлы, метаданные, записи журналов, артефакты реестра, фрагменты удалённых данных и иные объекты, сохраняющие информацию о событиях. Выявление, интерпретация и документирование таких следов составляют значительную часть содержательной работы эксперта.

Субъектный состав рассматриваемой деятельности включает экспертов, обладающих профильной подготовкой в области информационных технологий, а также должностных лиц, назначающих исследование и оценивающих его результаты. Эффективность взаимодействия между ними во многом определяет качество итогового заключения. Чёткость формулировки вопросов, полнота предоставленных материалов и корректность разъяснения возможностей эксперта на этапе подготовки — необходимые условия успешного проведения исследования.

В структурном отношении компьютерно-техническая экспертиза может быть разделена на несколько стадий, последовательность которых отражает логику познавательного процесса. Первоначально осуществляется изучение представленных материалов и документации, затем производится непосредственное исследование объектов с применением инструментальных средств, после чего результаты систематизируются и оформляются в виде выводов. Каждая стадия имеет собственные промежуточные задачи, решение которых обеспечивает переход к следующему этапу.

Значение рассматриваемого направления для современной правоприменительной практики трудно переоценить. Информационные технологии проникают во все сферы общественной жизни, и значительная часть юридически значимых событий оставляет следы именно в цифровой среде. Споры о качестве программного обеспечения, инциденты информационной безопасности, дела о неправомерном доступе к данным и многие другие категории дел требуют привлечения специальных познаний в области вычислительной техники. Компьютерно-техническая экспертиза выступает тем инструментом, который позволяет преобразовать технические данные в доказательственную информацию.

Раздел 2. Правовые и организационные основы назначения и производства компьютерно-технической экспертизы

Организация производства компьютерно-технической экспертизы опирается на совокупность процессуальных норм, определяющих порядок назначения исследования, права и обязанности участников, требования к содержанию и форме заключения. Независимо от вида судопроизводства, общие принципы остаются неизменными: экспертиза назначается только после возникновения необходимости в специальных знаниях, эксперт действует независимо и подчиняется требованиям закона, а его выводы подлежат оценке наряду с другими доказательствами.

Назначение экспертизы оформляется соответствующим процессуальным документом, в котором формулируются вопросы, указываются объекты исследования и материалы, предоставляемые в распоряжение эксперта. От качества постановки вопросов во многом зависит результативность исследования. Вопросы должны быть конкретными, относимыми к делу и не выходить за пределы специальных знаний. Недопустимо ставить перед экспертом вопросы правового характера, например о виновности лица или квалификации деяния, поскольку их разрешение относится к исключительной компетенции суда.

Существенное значение имеет определение круга объектов, подлежащих исследованию. В зависимости от обстоятельств дела это могут быть отдельные устройства, изъятые при производстве следственных действий, образы жёстких дисков, выгрузки из баз данных, журналы серверов или документация на программное обеспечение. Полнота и репрезентативность представленных объектов напрямую влияют на возможность формулирования категорических выводов. Если исследование проводится по копии, эксперт должен располагать сведениями о способе её получения и убедиться в отсутствии признаков модификации.

Процессуальный статус эксперта предполагает сочетание самостоятельности и ответственности. Эксперт вправе знакомиться с материалами дела в той части, которая необходима для исследования, заявлять ходатайства о предоставлении дополнительных материалов, использовать в работе научно-технические средства. Одновременно он обязан провести исследование объективно, всесторонне и в установленные сроки, а также воздерживаться от выводов, не обеспеченных достаточными основаниями. В случае недостаточности представленных данных эксперт формулирует мотивированное сообщение о невозможности дать заключение.

Организационные формы производства компьютерно-технической экспертизы могут различаться. Исследование может проводиться в государственном экспертном учреждении либо в негосударственной организации, обладающей необходимыми ресурсами и специалистами. Выбор конкретной организации зависит от характера дела, сложности задач и требований к срокам. При этом процессуальные требования к заключению и порядку его получения остаются едиными.

Документальное оформление результатов исследования подчиняется установленным правилам. Заключение эксперта должно содержать вводную, исследовательскую и резолютивную части. Во вводной части указываются сведения об эксперте, основания производства экспертизы и поставленные вопросы. Исследовательская часть отражает последовательность действий, применённые методы и полученные промежуточные результаты. Выводы формулируются в резолютивной части и должны быть краткими, однозначными и логически вытекать из проведённого исследования.

Отдельного внимания заслуживает вопрос о разграничении компетенции эксперта и лиц, назначающих исследование. Эксперт не вправе самостоятельно определять, какие материалы являются относимыми к делу, и не должен решать вопросы, требующие юридической оценки. В то же время в пределах своей компетенции он обязан использовать все доступные и допустимые методы для получения достоверного результата. Нарушение этого баланса в любую сторону снижает доказательственное значение заключения.

Взаимодействие эксперта с органом или лицом, назначившим экспертизу, не исчерпывается получением постановления и направлением заключения. В ходе производства могут возникать вопросы, требующие оперативного разрешения: уточнение формулировок, согласование порядка доступа к объектам, определение допустимых методов исследования. Своевременное и корректное разрешение таких вопросов способствует соблюдению процессуальных сроков и повышению качества итогового документа.

Компьютерно-техническая экспертиза в Москве, как и в других регионах, осуществляется с соблюдением общих процессуальных требований, однако столичный контекст вносит определённые особенности. Здесь сосредоточено значительное число организаций, специализирующихся на производстве таких исследований, что создаёт условия для выбора наиболее подготовленного исполнителя. Вместе с тем возрастает и ответственность за качество подготовки материалов и формулировки заданий, поскольку от этого зависит эффективность использования доступного экспертного потенциала.

Организационная стадия включает также вопросы, связанные с обеспечением сохранности объектов. При передаче цифровых носителей и документов должны соблюдаться меры, исключающие их повреждение или несанкционированное изменение. Экспертная организация обязана обеспечить надлежащие условия хранения и учёта поступивших материалов. Нарушение этих требований может повлечь утрату доказательственной информации и срыв производства экспертизы.

Раздел 3. Методические подходы к исследованию программного обеспечения и информационных систем

Исследование программного обеспечения составляет одну из наиболее востребованных и одновременно сложных областей компьютерно-технической экспертизы. Сложность обусловлена многообразием программных продуктов, различием в архитектуре, лицензионных условиях и способах распространения. Перед экспертом могут ставиться вопросы о соответствии программного продукта техническому заданию, наличии или отсутствии признаков модификации, стоимости разработки, а также о функциональных характеристиках конкретных модулей.

Исследование информационных систем, программного обеспечения и баз данных представляет собой одно из наиболее сложных и востребованных направлений современной экспертной деятельности. В рамках данного направления эксперту приходится иметь дело с программно-аппаратными комплексами, которые включают серверную часть, клиентские приложения, системы управления базами данных и сетевое оборудование. Каждый из компонентов обладает собственными характеристиками и требует отдельного подхода, однако итоговые выводы должны отражать состояние системы в целом.

Методика исследования программного обеспечения строится на сочетании статического и динамического анализа. Статический анализ предполагает изучение исходного кода, если он предоставлен, либо дизассемблирование и декомпиляцию исполняемых файлов. Динамический анализ связан с наблюдением за поведением программы в контролируемой среде: фиксацией обращений к файловой системе, сетевых соединений, изменений в реестре. Комбинация этих подходов позволяет получить более полную картину и снизить риск ошибочных выводов.

При исследовании информационных систем центральное место занимает сопоставление фактического состояния объекта с документацией. Техническое задание, проектная документация, руководства пользователя и администратора образуют систему требований, относительно которых оценивается реализация. Однако на практике документация может быть неполной или противоречивой, а требования — сформулированными в общих выражениях. В таких случаях эксперт должен чётко обозначить границы проверяемых положений и указать, какие требования не допускают однозначной технической интерпретации.

Базы данных выступают особым объектом исследования, поскольку аккумулируют информацию о деятельности организации и её взаимодействии с контрагентами. Анализ структуры базы данных позволяет установить состав сущностей, их атрибутов и связей, что даёт представление о предметной области и логике функционирования системы. Исследование хранимых процедур и триггеров раскрывает бизнес-логику, которая не всегда очевидна из пользовательского интерфейса. Сопоставление структуры и содержимого базы с документацией и фактическими обстоятельствами дела составляет основу для выводов о соответствии или несоответствии системы предъявляемым требованиям.

Значимым аспектом является работа с журналами событий и метаданными. Записи журналов содержат сведения о времени выполнения операций, учётных записях пользователей и характере действий. Метаданные файлов позволяют установить даты создания и изменения документов, что бывает критически важно для восстановления хронологии событий. Однако интерпретация этих данных требует осторожности: системное время может быть изменено, журналы — очищены, а метаданные — модифицированы. Эксперт обязан оценивать надёжность каждого источника и учитывать возможность искажений.

Инструментальное обеспечение компьютерно-технической экспертизы включает как стандартные средства операционной системы, так и специализированные программные комплексы. Выбор конкретного инструмента определяется характером задачи и типом исследуемого объекта. При этом важным требованием является документирование применённых методов и версий программного обеспечения, что обеспечивает воспроизводимость исследования и возможность проверки его результатов.

Особую категорию составляют задачи, связанные с определением стоимости программного продукта или объёма трудозатрат на его создание. Такие исследования требуют привлечения знаний не только в области программирования, но и в сфере экономики программного обеспечения. Эксперт анализирует функциональный состав продукта, сложность реализованных алгоритмов, трудозатраты на разработку и тестирование, а также рыночные условия. Результатом становится обоснованная оценка, которая может использоваться в спорах о вознаграждении или ущербе.

Исследование информационных систем нередко сопряжено с необходимостью работы в условиях ограниченного доступа. Заказчик может предоставить не полный исходный код, а лишь отдельные модули или исполняемые файлы. В таких случаях эксперт должен оценить достаточность материалов для ответа на поставленные вопросы и либо сформулировать выводы с соответствующими оговорками, либо заявить о невозможности решения задачи в имеющемся объёме. Честное и обоснованное указание на ограничения является предпочтительным по сравнению с попыткой сформулировать категорический вывод при недостатке данных.

Раздел 4. Исследование баз данных как самостоятельное направление экспертной деятельности

Базы данных представляют собой организованную совокупность структурированной информации, управление которой осуществляется с помощью систем управления базами данных. В контексте компьютерно-технической экспертизы база данных выступает одновременно как объект технического исследования и как носитель информации о деятельности организации. Эксперт анализирует структуру базы, её содержимое, механизмы обеспечения целостности и правила разграничения доступа, а также следы операций, сохранившиеся в журналах и служебных таблицах.

Структурный анализ базы данных начинается с построения модели сущностей и связей. Таблицы, представления, хранимые процедуры и ограничения целостности образуют каркас, который отражает предметную область. Сопоставление этой модели с документацией и фактическими обстоятельствами позволяет выявить несоответствия, например отсутствие таблиц, необходимых для реализации заявленной функциональности, или наличие скрытых полей, не описанных в руководстве. Подобные расхождения могут иметь существенное значение для разрешения спора.

Содержательный анализ предполагает извлечение и интерпретацию данных, хранящихся в таблицах. В зависимости от поставленных вопросов эксперта могут интересовать записи о транзакциях, сведения о пользователях, журналы изменений или агрегированные показатели. При работе с большими объёмами данных применяются методы выборки и статистической обработки. Важно обеспечить репрезентативность выборки и корректность применённых запросов, поскольку ошибки на этом этапе способны привести к искажению выводов.

Анализ программных объектов базы данных — хранимых процедур, функций и триггеров — позволяет раскрыть логику обработки информации, которая не всегда видна на уровне пользовательского интерфейса. Хранимые процедуры могут содержать алгоритмы расчёта показателей, правила начисления или проверки условий. Триггеры фиксируют автоматические реакции системы на изменения данных. Исследование этих объектов даёт эксперту ключ к пониманию того, как именно система обрабатывает информацию и какие механизмы обеспечивают её функционирование.

Отдельного внимания заслуживает вопрос о целостности и сохранности данных. В ходе эксплуатации базы данных возможны сбои, ошибки администрирования, а также преднамеренные воздействия, приводящие к повреждению или утрате информации. Эксперт устанавливает наличие или отсутствие признаков таких воздействий, оценивает возможность восстановления данных и определяет причины выявленных нарушений. Для этого используются как встроенные средства СУБД, так и специализированные утилиты.

При исследовании баз данных, изъятых в рамках уголовного или гражданского дела, важное значение имеет документирование процедуры получения копии. Эксперт должен располагать сведениями о том, каким образом была создана резервная копия или выгрузка, какие средства применялись и была ли обеспечена неизменность исходного состояния. Без такой информации достоверность последующих выводов может быть поставлена под сомнение.

Специфической задачей является сопоставление нескольких версий базы данных. В спорах, связанных с разработкой или сопровождением информационных систем, стороны могут представлять различные редакции одного и того же продукта. Эксперт должен зафиксировать источник каждой версии, дату её получения и способ идентификации, после чего провести сравнение по согласованным параметрам. Различия сами по себе не свидетельствуют о нарушении; они могут быть обусловлены последующими изменениями, выполненными правомерно. Задача эксперта — описать выявленные расхождения и, если это возможно, установить их причины.

Методика исследования баз данных находится в состоянии развития, что связано с постоянным совершенствованием технологий хранения и обработки информации. Появление облачных платформ, распределённых систем и нереляционных моделей данных ставит перед экспертами новые задачи. Однако базовые принципы — объективность, документирование, воспроизводимость и опора на проверяемые данные — сохраняют своё значение независимо от конкретной технологии.

Раздел 5. Практические кейсы исследования цифровых объектов

Кейс 1. Исследование базы данных инвестиционной платформы

В производство экспертной организации поступила база данных на платформе MySQL, изъятая в рамках расследования деятельности организации, привлекавшей средства граждан под предлогом инвестирования в ценные бумаги. Перед экспертом были поставлены вопросы о том, содержит ли база данных сведения о реальных операциях на финансовых рынках, как формировались выплаты клиентам и соответствует ли заявленная доходность фактическим источникам средств.

На первом этапе был проведён структурный анализ. Эксперт установил перечень таблиц, их атрибутивный состав и связи между ними. Центральными сущностями оказались таблицы пользователей, пополнений, выплат и начислений. Отдельно была выделена таблица, содержащая сведения о реферальных связях между пользователями. При этом в базе отсутствовали таблицы, которые могли бы отражать операции с ценными бумагами: сведения о сделках, котировках, портфелях клиентов. Уже на структурном уровне было выявлено несоответствие между заявленной инвестиционной моделью и фактической организацией данных.

Содержательный анализ показал, что начисления на баланс пользователей производились ежедневно в фиксированном процентном соотношении. Хранимая процедура, отвечавшая за начисление, содержала формулу умножения текущего баланса на постоянный коэффициент. Источником этого коэффициента была не внешняя рыночная информация, а внутренний параметр системы. Иными словами, доходность формировалась административно, а не как результат инвестиционной деятельности.

Дальнейшее исследование позволило установить, что значительная часть поступивших средств направлялась на выплаты ранее привлечённым клиентам. Соотношение входящих платежей и выплат было устойчивым и свидетельствовало о том, что система функционировала по принципу перераспределения средств между участниками, а не за счёт внешнего источника дохода. Эксперт описал выявленную схему движения средств, указав на техническую зависимость выплат от последующих поступлений.

В выводах было отмечено, что исследованная база данных не содержит сведений, подтверждающих осуществление операций на финансовых рынках. Механизм начисления дохода реализован через внутренний алгоритм, не связанный с внешними рыночными данными. Структура и содержание базы данных соответствуют модели, при которой выплаты производятся за счёт средств новых участников. Заключение содержало описание методики исследования и перечень проверенных объектов, что обеспечивало возможность его проверки и оценки.

Кейс 2. Исследование программного обеспечения на предмет модификации

В рамках гражданского спора между заказчиком и разработчиком программного продукта возник вопрос о том, подвергалось ли поставленное программное обеспечение несанкционированным изменениям после передачи заказчику. Заказчик утверждал, что выявленные в работе системы сбои обусловлены дефектами разработки, тогда как разработчик ссылался на вмешательство в код со стороны заказчика.

Эксперту были предоставлены исполняемые файлы, часть исходного кода, документация и журналы сборки. Исследование началось с сопоставления контрольных сумм исполняемых файлов с теми, которые были зафиксированы при передаче. Было установлено, что ряд файлов имеет отличные контрольные суммы, однако это само по себе не свидетельствовало о модификации, поскольку различия могли возникнуть при обновлении среды выполнения или пересборке.

Для более точного ответа эксперт проанализировал журналы сборки и метаданные. Сопоставление дат изменения файлов с датами, указанными в актах приёмки-передачи, показало, что часть изменений была внесена после передачи. Однако характер этих изменений требовал дополнительного исследования. Дизассемблирование изменённых модулей выявило, что внесённые правки затрагивают конфигурационные параметры, а не алгоритмическую логику.

Дальнейший анализ показал, что изменения были произведены с использованием учётной записи, зарегистрированной на стороне заказчика, и соответствовали процедуре настройки, предусмотренной руководством администратора. При этом в одном из модулей было обнаружено изменение, не описанное в документации и не соответствующее типовой процедуре настройки. Это изменение затрагивало обработку одного из второстепенных параметров и не влияло на работоспособность основных функций.

В выводах эксперт указал, что часть изменений в программном обеспечении была внесена после передачи заказчику и связана с настройкой системы в соответствии с документацией. Одно изменение не может быть объяснено стандартной процедурой настройки, однако его влияние на возникновение заявленных сбоев не установлено. Для окончательного ответа на вопрос о причине сбоев потребовалось бы дополнительное исследование, которое выходило за рамки поставленных вопросов.

Кейс 3. Восстановление хронологии событий по журналам сервера

Организация заявила об утечке конфиденциальной информации, хранившейся на внутреннем сервере. Руководство подозревало, что доступ к данным был осуществлён одним из сотрудников в нерабочее время. Задача эксперта состояла в установлении факта доступа и, по возможности, учётной записи, под которой он был выполнен.

Эксперту были предоставлены образы системного диска сервера, журналы операционной системы, журналы веб-сервера и базы данных. Работа началась с создания рабочей копии образов, что позволило проводить исследование без риска изменения исходных данных. Затем были проанализированы журналы аутентификации. В них содержались записи об успешных и неуспешных попытках входа, а также сведения о времени сессий.

Сопоставление времени из журналов операционной системы и веб-сервера выявило расхождение в несколько минут, что потребовало приведения всех записей к единой временной шкале. После синхронизации эксперт установил, что в интересующий период имел место вход в систему под учётной записью, принадлежащей одному из администраторов. Время входа и продолжительность сессии были зафиксированы в журналах.

Дальнейший анализ журналов веб-сервера показал, что в течение этой сессии выполнялись запросы к внутреннему приложению, обеспечивающему доступ к документам. Запросы включали операции просмотра и выгрузки файлов. Журналы базы данных содержали записи о corresponding запросах, которые подтверждали факт обращения к таблицам, содержащим сведения о документах.

Эксперт также исследовал вопрос о том, мог ли доступ быть осуществлён удалённо. Анализ сетевых подключений и журналов брандмауэра показал, что в указанное время не было зафиксировано внешних подключений к серверу. Сессия была инициирована с рабочей станции, находящейся во внутренней сети организации. Идентификация конкретного физического лица, находившегося за этой станцией, выходила за пределы технического исследования, поскольку требовала сопоставления с данными систем контроля доступа и иными материалами.

В заключении эксперт описал установленную последовательность событий, указал учётную запись и временные интервалы, а также перечислил операции, выполненные в ходе сессии. Выводы не содержали утверждений о виновности конкретного лица, поскольку это относилось к компетенции правоприменителя. Техническая картина, восстановленная по журналам, послужила основой для дальнейшей проверки обстоятельств дела.

Кейс 4. Исследование файловых метаданных в споре о создании документа

В арбитражном процессе возник спор о времени создания технического документа, который одна из сторон представила в качестве доказательства согласования проекта. Противоположная сторона утверждала, что документ был создан позже указанной в нём даты и не может рассматриваться как согласованный в установленный срок.

Эксперту был предоставлен файл в формате текстового документа, а также копии жёсткого диска рабочей станции, на которой, по утверждению стороны, создавался этот документ. Исследование началось с анализа внутренних метаданных файла. Программное обеспечение, использованное для создания документа, сохраняло сведения о датах создания и последнего изменения, а также общее время редактирования. Эти данные указывали на то, что документ создавался в несколько сеансов, причём первый сеанс датировался более ранним периодом, чем дата, указанная в самом документе.

Однако эксперт учитывал, что системное время может быть изменено, а метаданные — отредактированы. Поэтому следующим этапом стал анализ файловой системы. Эксперт исследовал записи главной файловой таблицы, которые содержат сведения о времени создания, модификации и доступа к файлам. Сопоставление этих записей с метаданными документа показало их согласованность: временные метки файловой системы соответствовали внутренним метаданным.

Дополнительно были проанализированы журналы операционной системы и сведения о подключении внешних носителей. В журналах сохранились записи о копировании файлов, относящиеся к интересующему периоду. Хронология этих записей не противоречила данным метаданных. Также были исследованы теневые копии и резервные копии, сохранившиеся на рабочей станции. Одна из теневых копий содержала более раннюю версию документа, что подтверждало факт его существования на момент создания копии.

В выводах эксперт указал, что совокупность исследованных данных — внутренних метаданных, записей файловой системы, журналов и теневых копий — согласуется между собой и свидетельствует о том, что документ создавался в период, предшествующий указанной в нём дате. Вместе с тем эксперт отметил, что полная гарантия неизменности системного времени отсутствует, однако для её достижения потребовалось бы одновременное согласованное изменение множества независимых источников, что маловероятно. Заключение было построено на перекрёстной проверке нескольких групп данных, что повысило его убедительность.

Кейс 5. Анализ программы для ЭВМ на предмет заимствования кода

Спор между двумя организациями касался вопроса о том, является ли программный продукт, выпущенный одной из них, результатом самостоятельной разработки или содержит фрагменты кода, заимствованные из продукта другой организации. Истец утверждал, что ответчик использовал его исходный код без разрешения.

Эксперту были предоставлены исполняемые файлы обоих продуктов, а также фрагменты исходного кода истца, которые, по его утверждению, были заимствованы. Ответчик исходный код не предоставил, ссылаясь на конфиденциальность. В связи с этим исследование проводилось на уровне исполняемых файлов и сопровождалось анализом документации.

Первоначально эксперт провёл сравнение структуры исполняемых файлов: секций, таблиц импорта, строковых констант и ресурсов. Были выявлены совпадения в названиях отдельных функций и строковых литералах, однако такие совпадения могли объясняться использованием общих библиотек или сходством предметной области. Для более обоснованных выводов потребовался анализ логики.

Эксперт выполнил дизассемблирование отдельных модулей обоих продуктов и сопоставил последовательности инструкций. Были обнаружены участки, характеризующиеся высокой степенью сходства не только на уровне отдельных команд, но и на уровне алгоритмической структуры. При этом сходные фрагменты не относились к типовым библиотечным функциям и не могли быть объяснены использованием стандартных средств разработки.

Дополнительно были проанализированы строковые константы и сообщения об ошибках. Некоторые из них совпадали дословно, включая орфографические особенности и нестандартные формулировки. Совокупность выявленных совпадений — структурных, алгоритмических и текстовых — превышала вероятность случайного совпадения.

В выводах эксперт указал, что в исследованных исполняемых файлах обнаружены фрагменты, характеризующиеся высокой степенью сходства с соответствующими фрагментами продукта истца. Характер сходства позволяет предположить заимствование, однако окончательный вывод о наличии или отсутствии заимствования требует сопоставления исходного кода, который ответчиком предоставлен не был. Эксперт отметил, что при отсутствии исходного кода выводы ограничены уровнем исполняемых файлов, и сформулировал заключение с соответствующей оговоркой.

Кейс 6. Исследование информационной системы на соответствие техническому заданию

Государственный заказчик и исполнитель спорили о том, соответствует ли созданная информационная система требованиям технического задания. Заказчик утверждал, что ряд функций не реализован или реализован ненадлежащим образом, исполнитель настаивал на полном выполнении обязательств.

Эксперту были предоставлены техническое задание, проектная документация, акты приёмки, доступ к работающей системе и её резервная копия. Исследование началось с формализации требований технического задания. Эксперт выделил требования, допускающие объективную техническую проверку, и требования, сформулированные в общих выражениях. К последним относились, например, указания на «удобство» или «высокую скорость» работы, которые не имеют однозначного измеримого критерия.

Далее была проведена проверка реализуемости выделенных требований. Для каждого из них эксперт определил метод проверки: анализ документации, изучение структуры базы данных, выполнение тестовых сценариев в копии системы. Тестовые сценарии разрабатывались на основе формулировок технического задания и не выходили за их пределы.

В ходе проверки было установлено, что большинство требований, допускающих объективную проверку, реализовано. Вместе с тем по нескольким пунктам выявлены расхождения. В частности, одна из функций, описанная в техническом задании как обязательная, в системе отсутствовала. Другая функция была реализована, но её поведение в граничных условиях отличалось от описанного в документации.

Эксперт также проанализировал, могли ли выявленные расхождения быть устранены в ходе настройки или доработки без изменения основной архитектуры. Анализ показал, что отсутствующая функция не может быть активирована через настройки, поскольку соответствующий модуль в системе отсутствует. Расхождение в поведении другой функции требовало изменения программного кода.

В выводах эксперт перечислил проверенные требования и указал, какие из них выполнены, какие не выполнены и какие не допускают однозначной проверки в силу формулировки. Заключение содержало описание методики проверки каждого требования, что позволяло оценить обоснованность выводов. Эксперт подчеркнул, что его выводы относятся к технической стороне вопроса и не затрагивают правовые аспекты ответственности сторон.

Кейс 7. Экспертиза носителя, изъятого при обыске

При производстве обыска у подозреваемого был изъят внешний жёсткий диск. Следствие интересовало, содержит ли диск файлы, относящиеся к предмету расследования, и была ли предпринята попытка уничтожить или скрыть информацию.

Эксперт получил диск и постановление о назначении экспертизы. Первым действием стало создание посекторного образа диска. Исследование проводилось исключительно по образу, что исключало риск изменения исходного носителя. Целостность образа была проверена путём вычисления контрольных сумм до и после создания.

Анализ файловой системы показал наличие нескольких разделов, один из которых был отформатирован, но не заполнен данными. В нераспределённом пространстве и в области, где ранее располагались файлы, были обнаружены следы удалённых документов. Эксперт применил методы восстановления, что позволило извлечь часть файлов, содержащих текстовые документы и таблицы.

Содержательный анализ восстановленных файлов показал, что они относятся к финансовой деятельности организации, фигурирующей в деле. Часть документов содержала сведения о платежах и контрагентах, совпадающие с данными, полученными из других источников. Эксперт также исследовал метаданные восстановленных файлов, что позволило установить примерное время их создания и последней модификации.

Отдельно был исследован вопрос о признаках преднамеренного удаления. Эксперт проанализировал записи файловой системы и журналы, сохранившиеся на диске. Следов использования специализированных средств безопасного удаления обнаружено не было. Удаление файлов носило характер, соответствующий обычной операции очистки корзины или форматирования раздела. Вместе с тем эксперт отметил, что часть служебных записей была утрачена, что ограничило возможность восстановления полной хронологии.

В заключении эксперт перечислил восстановленные файлы, описал их содержание и указал на наличие в них сведений, относящихся к обстоятельствам дела. Было отмечено, что часть информации утрачена безвозвратно, однако сохранившиеся фрагменты позволяют сделать выводы о характере хранившихся данных. Выводы сопровождались описанием методов восстановления и указанием на ограничения, обусловленные состоянием носителя.

Кейс 8. Исследование сетевого трафика и журналов брандмауэра

Организация столкнулась с несанкционированным доступом к внутренним ресурсам. По предварительным данным, доступ был осуществлён из внешней сети. Задача эксперта состояла в установлении источника подключения и характера действий, выполненных злоумышленником.

Эксперту были предоставлены журналы брандмауэра, записи системы обнаружения вторжений, журналы веб-сервера и сервера приложений. Исследование началось с реконструкции сетевых соединений. По записям брандмауэра были выделены сессии, инициированные с внешних IP-адресов в период, указанный в постановлении.

Анализ показал, что несколько попыток подключения завершились неудачно, однако одна сессия была установлена. Соединение было инициировано на порт, предназначенный для удалённого администрирования. Журналы сервера приложений содержали записи об аутентификации, которые коррелировали по времени с данными брандмауэра. Аутентификация была выполнена успешно с использованием учётной записи, обладающей административными правами.

Дальнейший анализ журналов показал, что в ходе сессии выполнялись команды, направленные на создание новых учётных записей и изменение конфигурации. Система обнаружения вторжений зафиксировала аномальную активность, однако автоматическая блокировка не была активирована. Эксперт описал последовательность действий, восстановленную по журналам, и указал временные интервалы.

Отдельно был исследован вопрос о том, можно ли установить географическое местоположение источника подключения. Эксперт отметил, что IP-адрес сам по себе не позволяет однозначно определить физическое лицо или точное место, поскольку может использоваться промежуточными узлами, прокси-серверами или сетями трансляции адресов. Для более точной идентификации потребовались бы данные от провайдера, которые не входили в компетенцию эксперта.

В выводах эксперт описал установленную последовательность событий: факт подключения, использованную учётную запись, перечень выполненных действий и время их совершения. Выводы опирались на перекрёстный анализ нескольких независимых источников журналов, что повысило их достоверность. Эксперт указал на ограничения, связанные с невозможностью идентификации конкретного лица только по сетевым данным.

Кейс 9. Определение рыночной стоимости программного продукта

В рамках спора о размере компенсации за использование программного продукта потребовалось определить его рыночную стоимость. Эксперту были предоставлены документация, описание функциональности, сведения о трудозатратах и данные о аналогичных продуктах на рынке.

Исследование началось с анализа функционального состава продукта. Эксперт выделил основные модули, определил их сложность и оценил трудозатраты на разработку. Для этого использовались как документальные данные, так и сведения, полученные от разработчиков. Там, где документация была неполной, эксперт применял метод аналогий, сопоставляя продукт с известными решениями сходного назначения.

Затем был проведён анализ рыночных условий. Эксперт изучил предложения на рынке программного обеспечения, выделил сопоставимые продукты и проанализировал их ценовые характеристики. Сопоставление проводилось по функциональным и техническим параметрам. При этом эксперт учитывал, что рынок программного обеспечения неоднороден и цены могут существенно различаться в зависимости от условий лицензирования и объёма предоставляемых прав.

На основе функционального анализа и рыночных данных была сформирована оценка стоимости. Эксперт использовал затратный и сравнительный подходы, сопоставил полученные результаты и объяснил причины расхождений. Итоговая величина была определена как диапазон, поскольку рыночная стоимость программного обеспечения зависит от условий сделки и не может быть установлена с абсолютной точностью.

В заключении эксперт описал методику оценки, перечислил использованные источники и обосновал выбор подходов. Выводы содержали указание на диапазон стоимости и факторы, влияющие на её величину. Эксперт отметил, что оценка носит технико-экономический характер и не заменяет собой бухгалтерскую или иную специализированную оценку, если таковая требуется по закону.

Кейс 10. Исследование следов работы с базами данных в корпоративной системе

В ходе служебной проверки возник вопрос о том, кто из сотрудников вносил изменения в клиентскую базу данных. Руководство подозревало, что несанкционированная корректировка сведений была произведена с использованием учётной записи одного из администраторов.

Эксперту были предоставлены резервные копии базы данных за несколько периодов, журналы транзакций и журналы аутентификации. Исследование началось с сопоставления резервных копий. Сравнение показало, что в определённый момент в записях, касающихся нескольких клиентов, произошли изменения, не отражённые в первичных документах.

Далее эксперт проанализировал журналы транзакций. СУБД сохраняла сведения о выполненных операциях, включая время, тип операции и учётную запись, под которой она выполнялась. Записи журнала коррелировали с изменениями, выявленными при сравнении копий. Операции были выполнены под учётной записью, обладающей правами на редактирование клиентских данных.

Однако эксперт учитывал, что учётная запись может использоваться несколькими лицами, а также что действия могли быть выполнены удалённо. Для проверки этой версии были проанализированы журналы аутентификации и сетевые журналы. Сопоставление времени входа в систему и времени выполнения операций показало, что сессия, в ходе которой были внесены изменения, была инициирована с рабочей станции, закреплённой за конкретным сотрудником. При этом вход в систему был выполнен с использованием пароля, а не по электронному ключу, что не позволяло исключить использование учётных данных другим лицом.

Эксперт также исследовал, имели ли место попытки скрыть следы изменений. Анализ журналов показал, что записи о соответствующих транзакциях сохранились в полном объёме, признаков очистки или модификации журналов не обнаружено. Это позволяло восстановить картину событий с достаточной степенью детализации.

В выводах эксперт указал время выполнения операций, учётную запись, под которой они были выполнены, и рабочую станцию, с которой была инициирована сессия. Эксперт отметил, что технические данные не позволяют однозначно установить физическое лицо, находившееся за рабочей станцией, однако круг возможных пользователей ограничен. Выводы были сформулированы с указанием на различия между технической идентификацией учётной записи и установлением личности.

Раздел 6. Особенности исследования цифровых объектов в условиях ограниченных ресурсов

Производство компьютерно-технической экспертизы не всегда осуществляется в идеальных условиях. Эксперт может располагать ограниченным набором объектов, неполной документацией или сжатыми сроками. Умение работать в таких условиях и корректно обозначать границы возможных выводов составляет важную часть профессиональной компетенции.

Одной из типичных ситуаций является предоставление только резервной копии базы данных без доступа к работающей системе. В этом случае эксперт лишён возможности наблюдать динамические процессы, проверять поведение системы в реальном времени или анализировать сетевые взаимодействия. Однако статический анализ структуры и содержимого копии всё же позволяет ответить на значительную часть вопросов. Эксперт должен чётко указать, какие выводы основаны на статическом анализе и какие ограничения с этим связаны.

Аналогичная ситуация возникает при исследовании программного обеспечения без исходного кода. Дизассемблирование и анализ исполняемых файлов дают представление о логике программы, но не позволяют восстановить исходный текст с полной достоверностью. Некоторые конструкции компилятора могут быть интерпретированы неоднозначно. Эксперт обязан отразить эти ограничения в заключении и избегать категорических утверждений там, где они не обеспечены достаточными данными.

Ограниченность ресурсов может проявляться и во времени. Сжатые сроки не должны приводить к снижению качества исследования или пропуску существенных проверок. Рациональное планирование работы, prioritization задач и концентрация на вопросах, имеющих наибольшее значение для дела, позволяют в разумные сроки получить обоснованные выводы. Если объём работы превышает возможности эксперта в установленный срок, он вправе ходатайствовать о его продлении, указав объективные причины.

Отдельного внимания заслуживает проблема неполноты исходных данных, связанная с действиями лиц, ранее работавших с объектом. Удаление файлов, очистка журналов, изменение конфигурации — всё это может существенно ограничить возможности исследования. Эксперт должен уметь выявлять признаки таких действий и оценивать их влияние на достоверность выводов. В некоторых случаях восстановление полной картины оказывается невозможным, и тогда задачей становится максимально полное описание сохранившихся фрагментов и их интерпретация с указанием на неопределённость.

В условиях ограниченных ресурсов возрастает значение документирования всех выполненных действий. Чем меньше объектов доступно эксперту, тем важнее зафиксировать каждый шаг исследования, чтобы обеспечить возможность проверки и оценки его результатов. Подробные протоколы, снимки экрана, контрольные суммы и описания применённых инструментов составляют основу доверия к заключению, особенно когда выводы носят вероятностный характер.

Раздел 7. Взаимодействие эксперта с участниками процесса и оценка заключения

Заключение эксперта не существует изолированно; оно включается в систему доказательств и подлежит оценке со стороны лиц, ведущих производство по делу, а также иных участников процесса. Понимание того, как заключение будет воспринято и проверено, влияет на требования к его содержанию и форме.

Стороны процесса вправе знакомиться с заключением, заявлять ходатайства о назначении дополнительной или повторной экспертизы, ставить перед экспертом вопросы в рамках допроса. Эксперт должен быть готов обосновать применённые методы и сделанные выводы, не выходя при этом за пределы своей компетенции. Разъяснение технических аспектов должно быть доступным для лиц, не обладающих специальными знаниями, но при этом не приводить к упрощению, искажающему существо дела.

Оценка заключения включает проверку его относимости, допустимости и достоверности. Относимость определяется связью выводов с обстоятельствами, подлежащими установлению. Допустимость зависит от соблюдения процессуальных требований при назначении и производстве экспертизы. Достоверность оценивается по внутренней согласованности заключения, обоснованности применённых методов и соответствию выводов исследовательской части.

Споры вокруг заключения часто касаются не столько технических выводов, сколько их интерпретации. Эксперт может установить факт доступа к системе с определённой учётной записи, но не может утверждать, что доступ был осуществлён конкретным лицом, если технические данные не позволяют это сделать. Смешение технического факта и юридического вывода недопустимо и может привести к ошибочной оценке заключения.

Взаимодействие эксперта с участниками процесса не ограничивается формальными процедурами. В ходе допроса могут выясняться детали применённой методики, обоснованность выбора инструментов, причины отклонения альтернативных версий. Эксперт должен быть способен изложить логику своего исследования последовательно и аргументированно, не прибегая к излишней технической детализации там, где она не требуется для понимания.

Практика показывает, что наиболее уязвимыми для критики являются выводы, сформулированные без указания на ограничения. Категорическое утверждение, не подкреплённое достаточными данными, может быть оспорено и поставить под сомнение всё заключение. Напротив, взвешенная формулировка, отражающая степень достоверности и границы возможных интерпретаций, воспринимается как признак профессионализма и повышает доверие к результатам работы.

Раздел 8. Инструментальное обеспечение и документирование исследований

Выбор инструментальных средств для производства компьютерно-технической экспертизы определяется характером объекта и поставленных вопросов. Универсального набора инструментов, пригодного для всех случаев, не существует. Эксперт формирует рабочий набор исходя из конкретной задачи, руководствуясь соображениями надёжности, воспроизводимости и допустимости применения в процессуальном контексте.

Для исследования файловых систем и восстановления удалённых данных применяются специализированные программные комплексы, обеспечивающие посекторный анализ и реконструкцию структур. При работе с базами данных используются как встроенные средства СУБД, так и сторонние утилиты, позволяющие выполнять запросы, анализировать планы выполнения и извлекать служебную информацию. Для дизассемблирования и анализа исполняемых файлов применяются отладчики и дизассемблеры, выбор которых зависит от архитектуры и формата исследуемого объекта.

Документирование исследований является неотъемлемой частью работы. Каждый существенный шаг должен быть зафиксирован таким образом, чтобы впоследствии можно было проверить его результаты. К формам документирования относятся протоколы выполнения операций, снимки экрана, выгрузки запросов, контрольные суммы файлов и образов. При использовании специализированного программного обеспечения указываются его наименование, версия и настройки, влияющие на результаты.

Особое значение документирование приобретает при работе с объектами, состояние которых может измениться. Если эксперт исследует копию, необходимо зафиксировать способ её создания и убедиться в неизменности оригинала. Если работа ведётся с работающей системой, следует минимизировать вмешательство и документировать каждое действие, способное повлиять на состояние объекта. Нарушение этого требования может привести к утрате доказательственной информации и поставить под сомнение обоснованность выводов.

Инструментальное обеспечение и документирование неразрывно связаны с вопросом о воспроизводимости исследования. Заключение должно быть составлено так, чтобы другой эксперт, обладающий сходной квалификацией, мог повторить основные этапы и получить сопоставимые результаты. Это не означает, что все действия должны быть описаны с исчерпывающей детализацией, однако ключевые операции и параметры их выполнения должны быть отражены с достаточной полнотой.

Раздел 9. Организационные аспекты деятельности экспертных учреждений

Эффективность производства компьютерно-технической экспертизы зависит не только от квалификации отдельного эксперта, но и от организации работы экспертного учреждения. Распределение нагрузки, обеспечение сохранности объектов, поддержание инструментальной базы и контроль качества заключений составляют взаимосвязанную систему, влияющую на конечный результат.

Приём и регистрация объектов, поступающих на исследование, требуют внимательного отношения к фиксации их состояния. Цифровые носители чувствительны к внешним воздействиям, а их содержимое может быть изменено при неправильном обращении. Экспертное учреждение должно располагать процедурами, обеспечивающими сохранность поступивших материалов на всех этапах — от приёма до возврата или уничтожения.

Распределение задач между экспертами строится с учётом их специализации и текущей загрузки. Компьютерно-техническая экспертиза охватывает широкий спектр объектов, и не каждый эксперт обладает одинаковой подготовкой во всех областях. Рациональное распределение позволяет обеспечить высокое качество исследования и соблюдение сроков. При необходимости к работе привлекаются специалисты смежных профилей, однако ответственность за итоговое заключение остаётся на эксперте, подписавшем документ.

Контроль качества является важным элементом организации. Внутреннее рецензирование заключений позволяет выявить ошибки, неточности и необоснованные выводы до передачи документа заказчику. Рецензент проверяет соответствие выводов исследовательской части, обоснованность применённых методов и соблюдение требований к оформлению. Такая практика способствует повышению доверия к результатам работы учреждения.

Материально-техническое обеспечение экспертной деятельности включает не только программные средства, но и аппаратную базу. Исследование современных носителей информации требует оборудования, поддерживающего соответствующие интерфейсы и стандарты. Устаревание инструментальной базы ограничивает возможности экспертов и может приводить к отказу от производства исследований по отдельным категориям объектов. Поэтому поддержание инфраструктуры в актуальном состоянии является условием сохранения компетенции учреждения.

Компьютерно-техническая экспертиза в Москве осуществляется в условиях высокой концентрации экспертных организаций и, соответственно, конкуренции. Это создаёт стимулы к повышению качества и развитию специализации, однако требует и ответственного подхода к выбору исполнителя. Заказчику важно убедиться в наличии у организации необходимых ресурсов и опыта, а также в способности обеспечить сохранность переданных объектов.

Раздел 10. Заключительные положения о содержании и границах экспертного исследования

Подводя итог рассмотрению теоретических и прикладных аспектов компьютерно-технической экспертизы, следует обозначить границы, в которых экспертное исследование сохраняет свою доказательственную силу и не выходит за пределы специальных знаний.

Экспертное заключение отвечает на вопросы технического характера. Оно устанавливает состояние объектов, их свойства, причинно-следственные связи и фактические обстоятельства функционирования информационных систем. Оно не содержит выводов о виновности, умысле, правовой квалификации деяния или оценке доказательств. Соблюдение этого разграничения обеспечивает объективность и допустимость заключения как доказательства.

Возможности эксперта ограничены предоставленными материалами и состоянием объектов. Если исходные данные неполны, повреждены или недоступны, эксперт обязан отразить это в выводах и указать, в какой степени ограничения повлияли на результат. Категорические утверждения при недостатке данных недопустимы, поскольку они создают ложное впечатление достоверности и могут ввести в заблуждение лиц, оценивающих заключение.

Методическая база компьютерно-технической экспертизы продолжает развиваться вместе с технологиями. Появление новых платформ, моделей данных и способов обработки информации ставит перед экспертами новые задачи, требующие освоения дополнительных знаний и инструментов. Однако базовые принципы — объективность, документирование, воспроизводимость и опора на проверяемые данные — остаются неизменными и служат основой профессиональной деятельности независимо от конкретных технических условий.

Организации, специализирующиеся на производстве таких исследований, вносят вклад в развитие экспертной практики через накопление опыта, обобщение результатов и совершенствование методик. Федерация судебных экспертов объединяет специалистов и организации, работающие в различных направлениях судебной экспертизы, и обеспечивает условия для профессионального взаимодействия. Обращение в такую организацию позволяет заказчику получить доступ к квалифицированной помощи в решении вопросов, требующих специальных знаний в области информационных технологий.