Раздел 1. Концептуальные основания компьютерно-технической экспертизы как рода судебной экспертизы

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебной экспертизы, предметом которого выступают факты и обстоятельства, устанавливаемые на основе исследования закономерностей разработки и эксплуатации компьютерных средств и систем, обеспечивающих реализацию информационных процессов. Данный род экспертизы сформировался в ответ на объективную потребность правоприменительной практики в специальных знаниях, позволяющих получать доказательственно значимую информацию из цифровой среды. В отличие от иных родов экспертиз, объектом которых выступают материальные носители, компьютерно-техническая экспертиза имеет дело с информацией, существующей в форме, недоступной для непосредственного восприятия без применения специальных технических средств и программного обеспечения.

Ключевая особенность рассматриваемого рода экспертизы состоит в том, что её объекты обладают свойством изменчивости. Любое воздействие на носитель информации — будь то включение устройства, запуск операционной системы или просто подключение к сети — способно повлечь модификацию хранящихся данных, включая служебные записи, журналы событий и временные метки. Именно поэтому краеугольным принципом производства компьютерно-технической экспертизы выступает требование неизменности исходных данных. Реализация данного принципа достигается путём обязательного создания криминалистической копии — побитового образа носителя, получаемого с использованием аппаратных или программных блокираторов записи. Все последующие исследования проводятся исключительно с копией, тогда как оригинал остаётся неизменным и сохраняется для возможной повторной проверки или повторной экспертизы .

Предмет компьютерно-технической экспертизы охватывает широкий спектр обстоятельств, подлежащих установлению в ходе судопроизводства. К числу типовых задач относится определение статуса объекта как компьютерного средства, выявление его роли в расследуемом событии, получение доступа к хранящейся информации и её всестороннее исследование . В зависимости от процессуальной ситуации перед экспертом могут ставиться вопросы о наличии на носителе конкретных файлов, времени их создания и модификации, фактах подключения внешних устройств, использования сетевых ресурсов, а также о следах применения программных средств, направленных на уничтожение или сокрытие информации.

Объектный состав компьютерно-технической экспертизы включает аппаратные средства — системные блоки персональных компьютеров, переносные устройства, периферийное оборудование, сетевые компоненты, а также машинные носители информации и программное обеспечение. Отдельную категорию образуют информационные объекты: документы, созданные с применением компьютерных средств, базы данных, мультимедийные файлы, журналы регистрации событий. В современной практике к числу исследуемых объектов всё чаще относятся мобильные устройства, видеорегистраторы, средства позиционирования и иные цифровые приборы, обладающие встроенной памятью и сетевыми интерфейсами .

Методологическую основу компьютерно-технической экспертизы образует система общенаучных и специальных методов. Визуальный метод исследования применяется на начальном этапе осмотра объектов и позволяет зафиксировать их внешнее состояние, целостность упаковки, наличие идентификационных признаков. Метод тестирования компьютерных средств используется для проверки работоспособности аппаратных компонентов и определения их функциональных характеристик. При работе с программными продуктами и информационными массивами применяются методы контекстного поиска, восстановления удалённых данных, анализа метаданных, сравнения контрольных сумм. Инструментальную базу составляют сертифицированные программно-аппаратные комплексы, обеспечивающие воспроизводимость и проверяемость результатов исследования .

Компьютерно-техническая экспертиза в Москве и других регионах Российской Федерации демонстрирует устойчивую тенденцию к росту востребованности. Это обусловлено как увеличением числа преступлений, совершаемых с использованием информационных технологий, так и расширением сферы гражданского оборота, в которой цифровые доказательства приобретают самостоятельное доказательственное значение. В гражданском процессе рассматриваемый род экспертизы применяется при разрешении споров, связанных с защитой интеллектуальной собственности, исполнением договорных обязательств, наследственными правоотношениями, защитой прав потребителей . В уголовном судопроизводстве компьютерно-техническая экспертиза обеспечивает получение доказательств по делам о неправомерном доступе к компьютерной информации, мошенничестве в сфере информационных технологий, распространении вредоносных программ.

Союз «Федерация судебных экспертов» представляет собой объединение экспертных учреждений и специалистов, осуществляющих производство судебных экспертиз, включая компьютерно-техническую экспертизу. Организация располагает региональными представительствами и обеспечивает методическое сопровождение экспертной деятельности. Для лиц, нуждающихся в производстве компьютерно-технической экспертизы, членство в Союзе «Федерация судебных экспертов» открывает доступ к экспертным кадровым ресурсам и инструментальной базе, необходимой для решения задач любой степени сложности. Обращение в данное объединение позволяет заказчику получить заключение, соответствующее требованиям процессуального законодательства и обладающее необходимой доказательственной силой.

Раздел 2. Процессуальные и организационные аспекты назначения и производства компьютерно-технической экспертизы

Назначение компьютерно-технической экспертизы требует от инициатора процесса чёткого понимания целей исследования и корректной постановки вопросов. Практика показывает, что значительная часть трудностей, возникающих при производстве данного рода экспертиз, связана именно с недостаточной проработкой вопросов на стадии назначения. Вопросы должны формулироваться в пределах специальных знаний эксперта, быть конкретными и не допускать расширительного толкования. Например, вопрос «содержится ли на представленном компьютере информация о хищении» выходит за пределы компетенции эксперта, поскольку требует правовой квалификации, тогда как вопрос «имеются ли на носителе файлы, содержащие тексты с указанными реквизитами, и какова дата их последней модификации» является корректным и разрешимым средствами компьютерно-технического исследования.

Процессуальный статус заключения эксперта по результатам компьютерно-технической экспертизы определяется нормами соответствующих процессуальных кодексов. Заключение оценивается судом наряду с другими доказательствами и не имеет заранее установленной силы. Вместе с тем, специфика цифровых доказательств такова, что их допустимость напрямую зависит от соблюдения процедуры изъятия и сохранения носителей информации. Нарушение требований к упаковке, транспортировке или хранению электронных носителей способно повлечь утрату или модификацию информации, что делает невозможным её использование в процессе доказывания. В этой связи взаимодействие лиц, назначающих экспертизу, с экспертным учреждением на подготовительном этапе приобретает критическое значение .

Негосударственные экспертные организации играют существенную роль в обеспечении потребностей судопроизводства в компьютерно-технических исследованиях. Их деятельность характеризуется гибкостью в сроках производства, возможностью привлечения узкопрофильных специалистов и применения специализированного инструментария. Вместе с тем, качество экспертного заключения негосударственной организации определяется не формой собственности, а квалификацией эксперта и соблюдением методических требований. Союз «Федерация судебных экспертов» предъявляет к своим членам требования, включающие наличие высшего профильного образования, стажа работы по экспертной специальности и прохождение добровольной сертификации. Для клиентов, обращающихся в данное объединение, это служит дополнительной гарантией соответствия привлекаемого эксперта профессиональным стандартам.

Организация производства компьютерно-технической экспертизы предполагает последовательное выполнение ряда этапов. На предварительной стадии эксперт знакомится с постановлением о назначении экспертизы, уточняет перечень объектов и вопросов, проверяет достаточность представленных материалов. При необходимости эксперт заявляет ходатайство о предоставлении дополнительных сведений или уточнении вопросов. На исследовательской стадии производится осмотр объектов, создание криминалистических копий, анализ информации с применением выбранных методов. Завершающая стадия включает формулирование выводов, оформление заключения и подготовку иллюстративных материалов. Каждый этап документируется, что обеспечивает возможность проверки хода и результатов исследования.

Сроки производства компьютерно-технической экспертизы варьируются в зависимости от объёма исследуемой информации, сложности поставленных задач и технического состояния объектов. Простая экспертиза одного носителя с целью поиска конкретных файлов может быть выполнена в течение нескольких дней. Исследование изъятого серверного оборудования с терабайтными массивами данных, требующее восстановления удалённых разделов и анализа журналов за длительный период, может занимать недели и месяцы. При назначении экспертизы целесообразно предварительно согласовать с экспертным учреждением реалистичные сроки, поскольку необоснованное занижение временных рамок создаёт риск неполноты исследования.

Кейс 1. Восстановление удалённой видеофонограммы в рамках расследования дорожно-транспортного происшествия

В производстве экспертного учреждения находилось исследование цифрового автомобильного видеорегистратора, изъятого с места дорожно-транспортного происшествия. Следствием ставился вопрос о наличии на устройстве записей, зафиксировавших обстоятельства столкновения транспортных средств. Представленный видеорегистратор не имел встроенной памяти для длительного хранения видеофонограмм, запись осуществлялась на карту Flash-памяти, которая к моменту изъятия содержала фрагментированные и частично перезаписанные данные.

Экспертом была создана побитовая копия карты памяти с использованием аппаратного блокиратора записи. Исследование оригинального носителя не производилось во избежание модификации информации. На копии был выполнен анализ файловой системы, позволивший идентифицировать секторы, содержащие фрагменты видеофайлов, не отражённые в таблице размещения файлов. Применение специализированного программного обеспечения для восстановления данных позволило реконструировать видеофонограмму, на которой были зафиксированы обстоятельства движения транспортного средства и момент столкновения.

Восстановленный файл был экспортирован в формате, обеспечивающем возможность просмотра стандартными средствами, и записан на оптический диск, приложенный к заключению. В выводах эксперта было указано, что на карте памяти из числа восстановимых удалённых и повреждённых видеофонограмм имеется запись, зафиксировавшая обстоятельства ДТП, соответствующая сведениям, содержащимся в постановлении о назначении экспертизы. Иных восстановимых записей, относящихся к событию, обнаружено не было. Заключение было принято судом в качестве доказательства и положено в основу обвинительного приговора. Данный кейс иллюстрирует значение принципа работы исключительно с криминалистической копией: прямое исследование оригинального носителя с высокой вероятностью привело бы к перезаписи сохранившихся фрагментов и утрате доказательственной информации.

Раздел 3. Методический аппарат исследования аппаратных средств и носителей информации

Исследование аппаратных компонентов компьютерных средств составляет значительную часть объёма работ по компьютерно-технической экспертизе. На начальном этапе производится визуальный осмотр объекта, фиксация его внешнего состояния, наличия повреждений, следов вскрытия, идентификационных маркировок. Для системных блоков персональных компьютеров характерно наличие внутренних компонентов, доступ к которым требует частичной разборки корпуса. Эксперт фиксирует конфигурацию устройства, модели установленных комплектующих, наличие свободных слотов и разъёмов, что в совокупности позволяет судить о функциональных возможностях системы и потенциальных направлениях её использования.

Исследование носителей информации на магнитных и твердотельных накопителях предполагает определение их класса, интерфейса подключения, ёмкости и состояния. Носитель подключается к стендовому оборудованию эксперта в режиме, исключающем запись. Программными средствами производится анализ таблицы разделов, определение типов файловых систем, проверка целостности структурных элементов. Выявляются признаки повреждения файловой системы, наличие сбойных секторов, несоответствие фактических параметров разделов заявленным. Для носителей, содержащих зашифрованные разделы, принимаются меры к поиску ключевой информации или использованию легальных средств обхода защиты при наличии соответствующих оснований.

Восстановление удалённой информации является одной из наиболее востребованных задач компьютерно-технической экспертизы. Удаление файла в большинстве файловых систем не приводит к немедленному уничтожению его содержимого: освобождаются лишь записи в таблице размещения файлов, тогда как кластеры данных остаются нетронутыми до момента их перезаписи новой информацией. Эксперт применяет методы сигнатурного поиска, позволяющие идентифицировать файлы по характерным заголовкам и структуре независимо от состояния служебных записей. Эффективность восстановления зависит от давности удаления, интенсивности последующей эксплуатации носителя и характера файловой системы.

Программно-аппаратные комплексы, применяемые при производстве компьютерно-технической экспертизы, должны отвечать требованиям научной обоснованности и валидации. Использование непроверенного или самодельного программного обеспечения ставит под сомнение достоверность полученных результатов, поскольку корректность его работы не может быть подтверждена независимой проверкой. Союз «Федерация судебных экспертов» обеспечивает своих членов доступом к сертифицированному инструментарию и методическим рекомендациям, разработанным на основе обобщения экспертной практики. Для заказчиков, обращающихся в данное объединение, это создаёт уверенность в том, что исследование выполняется с применением средств, признанных экспертным сообществом.

Отдельного внимания заслуживает исследование мобильных устройств. Специфика данной категории объектов определяется их конструктивной замкнутостью, наличием средств защиты от несанкционированного доступа, постоянным сетевым взаимодействием. Извлечение информации из мобильного устройства может производиться несколькими способами, выбор которых зависит от модели устройства, версии операционной системы и состояния защиты. Наиболее полные данные получаются при создании физического образа встроенной памяти, однако для современных устройств с шифрованием данная процедура часто оказывается недоступной без учётных данных пользователя. В таких случаях эксперты прибегают к логическому извлечению, позволяющему получить пользовательские данные, журналы вызовов, сообщения, сведения о местоположении.

Кейс 2. Исследование информационной базы «1С:Предприятие» по делу о нарушении исключительных прав

Предметом исследования являлась информационная база бухгалтерского учёта, функционирующая на платформе «1С:Предприятие» и изъятая у организации-ответчика. Истец утверждал, что ответчик использовал контрафактные копии программных продуктов, запускавшиеся без ключа аппаратной защиты, что повлекло причинение имущественного ущерба. Перед экспертом ставились вопросы о наличии на представленном оборудовании программных продуктов с признаками нелицензионного использования, а также о следах модификации информационной базы.

Экспертом был произведён осмотр серверного оборудования и рабочих станций, созданы образы системных разделов. Анализ журналов регистрации событий операционной системы позволил установить факты запуска исполняемых файлов платформы «1С» с параметрами, характерными для обхода процедуры лицензирования. В памяти устройства были обнаружены файлы, содержащие признаки применения средств нейтрализации защиты. Исследование информационной базы включало анализ истории изменений записей, восстановление удалённых документов, сопоставление метаданных с фактическими хозяйственными операциями.

Выводы эксперта содержали указание на то, что на представленном оборудовании использовались программные продукты с признаками контрафактности, а в информационной базе имеются следы внесения изменений в записи за период, предшествующий изъятию. Заключение было оценено судом в совокупности с иными доказательствами и послужило основанием для удовлетворения требований правообладателя. Специфика данного кейса состояла в необходимости интеграции технических знаний с пониманием предметной области бухгалтерского учёта: без этого интерпретация выявленных аномалий в данных была бы затруднена, а выводы могли бы быть признаны неубедительными. Обращение в Союз «Федерация судебных экспертов» позволило привлечь эксперта, обладающего компетенциями в обеих областях.

Раздел 4. Исследование программного обеспечения и информационных объектов

Программное обеспечение как объект компьютерно-технической экспертизы требует от эксперта познаний в области программирования, алгоритмизации и архитектуры вычислительных систем. Типовыми задачами данного направления являются установление факта наличия конкретного программного продукта на носителе, определение версии и источника его установки, проверка работоспособности, выявление признаков модификации или нейтрализации средств защиты. При исследовании программ, предположительно содержащих вредоносный код, применяются методы статического и динамического анализа. Статический анализ предполагает изучение исполняемого кода без его запуска, тогда как динамический анализ связан с наблюдением за поведением программы в контролируемой среде.

Информационные объекты — текстовые документы, электронные таблицы, базы данных, графические и мультимедийные файлы — исследуются с целью установления их происхождения, авторства, времени создания и изменения. Метаданные файла содержат сведения о программе, в которой он создан, датах создания и последней модификации, учётной записи пользователя. Однако следует учитывать, что метаданные могут быть изменены как намеренно, так и в результате сбоя системы или обновления программного обеспечения. Поэтому выводы о времени создания документа делаются на основе совокупности признаков, включая служебные записи файловой системы, журналы приложений и артефакты операционной системы.

Установление факта создания документа на конкретном компьютере производится путём сопоставления идентификаторов, содержащихся в метаданных, с учётными записями пользователей, зарегистрированными в системе. Анализу подвергаются журналы недавно открывавшихся документов, списки последних файлов в приложениях, временные файлы, создаваемые офисными пакетами при редактировании. В некоторых случаях удаётся обнаружить автоматически сохраняемые копии, которые не были удалены пользователем и содержат промежуточные версии документа. Совокупность этих данных позволяет с высокой степенью достоверности утверждать, что документ создавался или редактировался на исследуемом устройстве.

Исследование баз данных представляет собой отдельное направление, требующее от эксперта понимания принципов организации систем управления базами данных. Анализу подлежат структура таблиц, записи журналов транзакций, индексы, служебные таблицы. Восстановление удалённых записей производится на основе анализа журналов и нераспределённого пространства файлов базы данных. Для информационных систем, функционирующих в клиент-серверной архитектуре, исследуются как серверная часть, так и рабочие станции пользователей, поскольку следы операций могут сохраняться в кэше приложений и локальных журналах.

Кейс 3. Установление факта редактирования электронного документа после его подписания

В рамках гражданского спора о признании договора недействительным истец утверждал, что представленная ответчиком электронная копия договора была изменена после подписания. Ответчик настаивал на том, что документ существует в неизменном виде с момента создания. Перед экспертом ставился вопрос о том, подвергался ли файл, содержащий текст договора, изменениям после указанной в документе даты.

Экспертом были исследованы метаданные файла, журналы операционной системы, а также теневые копии, сохраняемые системой резервного копирования. Анализ показал, что дата последней модификации файла, зафиксированная в его свойствах, совпадает с датой подписания. Однако в теневых копиях, созданных системой за несколько дней до предполагаемого подписания, был обнаружен файл с тем же именем, но иным содержанием в части условий о сроках исполнения обязательств. Сопоставление версий позволило установить, что изменение текста было произведено после создания теневой копии, а метаданные файла были подвергнуты корректировке с использованием специализированного программного обеспечения.

Вывод эксперта содержал указание на то, что файл договора подвергался редактированию после даты, указанной как дата подписания, а временные метки файла были изменены. Заключение было принято судом и послужило основанием для критической оценки доказательства, представленного ответчиком. Кейс демонстрирует важность комплексного анализа: только метаданные файла в данном случае дали бы ложную картину, тогда как сопоставление с системными резервными копиями позволило восстановить фактическую последовательность событий. Для производства данного исследования заказчик обратился в Союз «Федерация судебных экспертов», располагающий экспертами в области анализа метаданных и файловых систем.

Раздел 5. Компьютерно-техническая экспертиза в гражданском и арбитражном процессе

Гражданское судопроизводство предъявляет к компьютерно-технической экспертизе требования, отличные от тех, которые характерны для уголовного процесса. Если в уголовном деле эксперт чаще всего имеет дело с объектами, изъятыми в ходе следственных действий, то в гражданском процессе носители информации нередко представляются сторонами добровольно, что создаёт риск их предварительной модификации. Эксперт должен учитывать данное обстоятельство и строить исследование таким образом, чтобы выявлять признаки искусственного изменения информации. К числу таких признаков относятся несоответствие временных меток логике события, наличие следов применения программ для очистки метаданных, аномалии в журналах регистрации.

Защита интеллектуальной собственности составляет значительную категорию гражданских дел, в которых назначается компьютерно-техническая экспертиза. Предметом исследования выступают экземпляры программного обеспечения, установленные на оборудовании ответчика. Эксперт определяет наличие программ, их версии, признаки лицензионности, факты использования средств обхода защиты. В делах о защите авторских прав на литературные и музыкальные произведения исследуются файлы, содержащие соответствующий контент, а также история их распространения через сетевые ресурсы. Специфика данных дел требует от эксперта не только технических знаний, но и понимания правовых категорий, используемых в формулировках вопросов.

Договорные споры нередко требуют установления объёма и качества выполненных работ, связанных с разработкой программного обеспечения или информационных систем. В таких случаях перед экспертом ставится задача сопоставления фактически созданного программного продукта с требованиями технического задания. Эксперт анализирует исходный код, документацию, журналы разработки, историю изменений в системах контроля версий. Выводы формулируются в терминах соответствия или несоответствия функциональных характеристик продукта условиям договора. Данная категория исследований относится к числу наиболее сложных, поскольку требует не только технической квалификации, но и способности интерпретировать положения договора в терминах, доступных для судебной оценки.

Наследственные дела и споры о признании завещаний представляют собой относительно новую категорию, в которой компьютерно-техническая экспертиза применяется для установления обстоятельств создания электронных документов. Если завещание или иной документ существовал в цифровой форме, эксперт может установить время его создания, устройство, на котором он создавался, учётную запись пользователя. Однако следует иметь в виду, что электронный документ без надлежащего удостоверения не приобретает юридической силы, и экспертиза в данном случае способна подтвердить или опровергнуть факт создания файла, но не заменить собой требуемую законом форму сделки.

Кейс 4. Спор о выполнении работ по разработке программного обеспечения

Между заказчиком и исполнителем был заключён договор на разработку информационной системы. Заказчик отказался от оплаты, ссылаясь на несоответствие представленного результата условиям технического задания. Исполнитель обратился в арбитражный суд с требованием о взыскании задолженности. Судом была назначена компьютерно-техническая экспертиза, перед экспертом ставились вопросы о соответствии функциональных характеристик представленного программного продукта требованиям технического задания.

Экспертом были исследованы исходный код, исполняемые файлы, база данных системы, а также документация, переданная заказчику. Анализ кода включал оценку его структуры, наличия комментариев, следов использования сред разработки и систем контроля версий. Сопоставление перечня функций, реализованных в системе, с пунктами технического задания показало, что часть заявленных функций присутствует в виде заглушек или реализована частично. В частности, модуль формирования отчётности не обеспечивал выгрузку в форматах, предусмотренных заданием, а подсистема разграничения прав доступа не поддерживала ролевую модель в объёме, описанном заказчиком.

Выводы эксперта содержали указание на частичное соответствие представленного программного продукта требованиям технического задания с перечислением конкретных несоответствий. Суд, оценив заключение в совокупности с иными доказательствами, признал работы выполненными не в полном объёме и удовлетворил требования исполнителя частично. Кейс иллюстрирует необходимость для эксперта не ограничиваться техническим анализом, но и понимать contractual контекст: формулировки технического задания могут быть неполными или допускать неоднозначное толкование, и задача эксперта — дать суду объективную картину состояния программного продукта, не подменяя собой правовую оценку договора. Для данного исследования стороны обратились в Союз «Федерация судебных экспертов», обеспечивший привлечение специалиста, имеющего опыт в области разработки и аудита информационных систем.

Раздел 6. Компьютерно-техническая экспертиза в уголовном судопроизводстве

Уголовное судопроизводство предъявляет к компьютерно-технической экспертизе наиболее высокие требования в части процессуальной безупречности. Объекты, изъятые в ходе следственных действий, должны быть упакованы и опечатаны способом, исключающим доступ к ним без нарушения целостности упаковки. При поступлении в экспертное учреждение фиксируется состояние упаковки, её соответствие описанию в протоколе изъятия. Вскрытие упаковки производится в присутствии эксперта и оформляется актом. Соблюдение этих формальностей необходимо для того, чтобы исключить утверждения защиты о возможной подмене или модификации объектов.

Типовыми задачами компьютерно-технической экспертизы по уголовным делам являются установление фактов создания, распространения или хранения информации, запрещённой к обороту; выявление следов неправомерного доступа к компьютерной информации; установление авторства текстов или программ; определение фактов использования вредоносных программ. По делам о преступлениях в сфере экономики компьютерно-техническая экспертиза позволяет выявлять следы ведения двойной бухгалтерии, уничтожения финансовых документов, использования специализированного программного обеспечения для обналичивания денежных средств.

Особую сложность представляют исследования, связанные с сетевыми технологиями. Установление факта подключения к конкретным ресурсам, времени и продолжительности соединений, объёма переданных данных требует анализа журналов маршрутизаторов, серверных логов, кэша браузеров. Если устройство использовало средства анонимизации, эксперт должен зафиксировать наличие таких средств и, по возможности, установить их конфигурацию. Однако следует учитывать, что современные средства анонимизации обеспечивают высокий уровень защиты, и вывод эксперта в таких случаях может ограничиваться констатацией факта использования соответствующего программного обеспечения без установления конкретных действий пользователя.

Вредоносные программы исследуются с целью установления их функциональных возможностей и механизмов распространения. Эксперт анализирует исполняемый код, выявляет признаки деструктивного поведения, определяет способы маскировки. Для динамического анализа создаётся изолированная среда, в которой запуск вредоносной программы не может повлечь повреждения информационной инфраструктуры экспертного учреждения. Результаты наблюдения фиксируются в протоколе, который прилагается к заключению. Выводы о назначении вредоносной программы делаются на основе совокупности признаков: наличия функций несанкционированного доступа, шифрования файлов, сетевого взаимодействия с командными серверами.

Кейс 5. Исследование вредоносного программного обеспечения по делу о неправомерном доступе

Организация обратилась в правоохранительные органы с заявлением о блокировке работы локальной сети и повреждении файлов на сервере. По версии следствия, бывший сотрудник, обладавший административными правами, установил на сервер программу, обеспечивающую несанкционированный доступ и последующее шифрование данных. В качестве обвиняемого было привлечено лицо, ранее занимавшее должность системного администратора. Перед экспертом ставились вопросы о наличии на сервере вредоносного программного обеспечения, его функциональных возможностях и связи с действиями конкретного пользователя.

Экспертом был создан образ системного раздела сервера. Анализ файловой системы выявил исполняемый файл, не входящий в состав стандартного программного обеспечения и не имеющий цифровой подписи. Статический анализ кода показал наличие функций шифрования файлов по определённым расширениям и механизма обратной связи с удалённым сервером. Динамический анализ в изолированной среде подтвердил, что программа при запуске осуществляет шифрование файлов в заданных каталогах и отправляет сведения о конфигурации системы на внешний адрес. В журналах операционной системы были обнаружены записи о запуске данного файла из-под учётной записи, соответствующей логину обвиняемого, в период, когда он обладал действующими правами доступа.

Выводы эксперта содержали указание на то, что на сервере присутствует программа, обладающая функциями шифрования файлов и несанкционированного сетевого взаимодействия, а её запуск производился с учётной записи, использовавшейся обвиняемым. Защита заявляла ходатайство о назначении повторной экспертизы, указывая на возможность дистанционного запуска программы иными лицами, однако суд признал первоначальное заключение обоснованным, отметив, что экспертом были исследованы журналы аутентификации, не содержащие признаков несанкционированного подключения к учётной записи обвиняемого. Для проведения исследования следствие обратилось в Союз «Федерация судебных экспертов», располагающий специалистами в области анализа вредоносного кода и системных журналов.

Раздел 7. Доказательственное значение заключения компьютерно-технической экспертизы и его оценка

Заключение эксперта по результатам компьютерно-технической экспертизы представляет собой самостоятельный вид доказательства, содержание которого составляют выводы о фактах, установленных на основе специальных знаний. Оценка заключения включает проверку соблюдения процессуальных требований при назначении и производстве экспертизы, оценку научной обоснованности применённых методов, полноты исследования и непротиворечивости выводов. Суд не вправе игнорировать заключение, если оно получено с соблюдением установленной процедуры, однако вправе не согласиться с выводами эксперта при наличии достаточных оснований, которые должны быть мотивированы в решении.

Специфика оценки заключения компьютерно-технической экспертизы состоит в том, что суд, как правило, не обладает специальными познаниями, достаточными для самостоятельной проверки корректности применённых экспертом методов. В этой связи возрастает значение таких факторов, как репутация экспертного учреждения, квалификация эксперта, наличие сертификатов и допусков, применение валидированного инструментария. Союз «Федерация судебных экспертов» обеспечивает соответствие своих членов установленным требованиям и несёт ответственность за качество выполняемых исследований, что создаёт для суда дополнительную гарантию достоверности заключения.

Типичными основаниями для назначения повторной или дополнительной экспертизы являются неполнота исследования, неясность или противоречивость выводов, сомнения в квалификации эксперта. В практике встречаются случаи, когда эксперт выходит за пределы своей компетенции, формулируя выводы правового характера или разрешая вопросы, относящиеся к иным областям знания. Например, эксперт не вправе устанавливать виновность лица или давать правовую квалификацию деяния; его задача — установить технические факты, которые суд оценивает в совокупности с иными доказательствами. Нарушение этого принципа влечёт признание заключения недопустимым доказательством в соответствующей части.

Возможность проверки заключения обеспечивается полнотой отражения хода исследования. Эксперт обязан указать, какие методы и программные средства применялись, какие операции выполнялись, какие промежуточные результаты были получены. Если заключение содержит лишь итоговые выводы без описания исследовательской части, оно может быть признано не соответствующим требованиям полноты. Для заказчиков, обращающихся в Союз «Федерация судебных экспертов», гарантией качества служит внутренний контроль оформления заключений, обеспечивающий соответствие их структуры и содержания процессуальным требованиям.

Кейс 6. Признание заключения недопустимым доказательством вследствие нарушения процедуры изъятия

По делу о мошенничестве в сфере компьютерной информации следствием был изъят ноутбук, предположительно использовавшийся для совершения преступления. При изъятии устройство не было выключено, а после изъятия хранилось без надлежащей упаковки. В ходе экспертизы, проведённой в другом учреждении, на носителе были обнаружены файлы, содержащие сведения о финансовых операциях. Защита заявила ходатайство о признании заключения недопустимым доказательством, ссылаясь на то, что доступ к устройству после изъятия не был исключён, а следовательно, информация могла быть модифицирована.

Суд при рассмотрении ходатайства установил, что протокол изъятия не содержит сведений о выключении устройства или блокировке доступа к нему, упаковка не обеспечивала защиты от несанкционированного вскрытия, а в журнале регистрации событий операционной системы имеются записи, свидетельствующие о том, что после изъятия устройство включалось. Эксперт, проводивший исследование, не смог пояснить, каким образом исключалась возможность модификации информации в период между изъятием и началом экспертизы. Суд признал заключение недопустимым доказательством и исключил его из совокупности доказательств, что повлекло прекращение уголовного дела в отношении обвиняемого по данному эпизоду.

Данный кейс иллюстрирует критическую важность соблюдения процедурных требований на всех этапах обращения с цифровыми доказательствами. Даже технически корректное исследование не способно компенсировать нарушения, допущенные при изъятии и хранении объектов. Для лиц, инициирующих производство компьютерно-технической экспертизы, Союз «Федерация судебных экспертов» предоставляет консультационную поддержку по вопросам надлежащего обращения с электронными носителями, что позволяет снизить риск последующего признания доказательств недопустимыми.

Раздел 8. Организационные и инструментальные аспекты деятельности экспертного учреждения

Эффективность производства компьютерно-технической экспертизы в значительной степени определяется организационными условиями и инструментальной базой экспертного учреждения. К числу обязательных элементов инфраструктуры относится наличие стендового оборудования, позволяющего подключать исследуемые носители в режиме, исключающем запись. Применяются аппаратные блокираторы, обеспечивающие физическую защиту от операций записи на уровне интерфейса подключения. Программные блокираторы используются в качестве дополнительной меры, однако их надёжность уступает аппаратным решениям, поскольку зависит от корректности работы операционной системы.

Создание криминалистических копий производится с использованием специализированного программного обеспечения, обеспечивающего побитовое копирование и вычисление контрольных сумм. Контрольная сумма (хеш) созданной копии сопоставляется с контрольной суммой оригинала, что позволяет подтвердить идентичность образа исходному носителю. Вычисленные значения фиксируются в заключении, обеспечивая возможность независимой проверки. Для носителей большого объёма создание полного образа может занимать значительное время, поэтому в некоторых случаях допускается создание образов отдельных разделов или логических копий, однако это должно быть обосновано в заключении.

Программное обеспечение, применяемое для анализа информации, подразделяется на несколько категорий. Средства анализа файловых систем обеспечивают доступ к структуре каталогов, атрибутам файлов, журналам файловой системы. Средства восстановления данных позволяют извлекать удалённую и повреждённую информацию. Средства анализа содержимого обеспечивают поиск по ключевым словам, классификацию файлов по типам, извлечение метаданных. Средства анализа сетевой активности используются для исследования журналов соединений, кэша браузеров, конфигураций сетевых интерфейсов. Каждое средство должно иметь документацию, подтверждающую его функциональные возможности и корректность работы.

Ведение экспертной документации обеспечивает возможность проверки хода исследования и преемственность при передаче материалов. В состав документации входят журналы регистрации операций с объектами, акты вскрытия упаковки, протоколы создания копий, рабочие записи эксперта. Ведение документации в электронной форме предпочтительно, поскольку позволяет обеспечить хронологическую привязку записей и защиту от последующих изменений. Союз «Федерация судебных экспертов» устанавливает требования к ведению документации для своих членов, что способствует единообразию практики и повышению доверия к результатам экспертиз.

Кейс 7. Восстановление удалённой базы данных бухгалтерского учёта

В ходе расследования дела о налоговом преступлении следствием был изъят сервер, использовавшийся организацией для ведения бухгалтерского учёта. К моменту изъятия база данных была удалена, а файлы, содержащие учётные записи, отсутствовали в файловой системе. Следствие полагало, что удаление было произведено с целью сокрытия следов финансовых операций. Перед экспертом ставился вопрос о возможности восстановления удалённой базы данных и установления периода, за который сохранились записи.

Экспертом был создан побитовый образ системного раздела сервера. Анализ нераспределённого пространства выявил секторы, содержащие фрагменты файлов базы данных. Применение сигнатурного поиска позволило идентифицировать заголовки файлов, характерные для используемой системы управления базами данных. В результате восстановления удалось получить файл базы данных, содержащий записи за период, предшествующий удалению. Целостность восстановленных записей была проверена путём сопоставления с журналами транзакций, сохранившимися в другом разделе. Вывод эксперта содержал указание на возможность восстановления базы данных в объёме, достаточном для установления интересующих следствие операций.

Защита ходатайствовала о проведении повторной экспертизы, утверждая, что восстановленные данные могли быть повреждены в процессе восстановления. Однако эксперт в судебном заседании пояснил, что применялась методика, исключающая модификацию исходного образа, а контрольные суммы восстановленных файлов были зафиксированы и позволяют проверить их целостность. Суд признал заключение допустимым и положил его в основу обвинительного приговора. Исследование выполнялось экспертом, являющимся членом Союза «Федерация судебных экспертов», что обеспечило применение валидированных методик и инструментария.

Раздел 9. Взаимодействие эксперта с участниками процесса и пределы компетенции

Пределы компетенции эксперта в компьютерно-технической экспертизе определяются границами специальных знаний в области информационных технологий и смежных дисциплин. Эксперт не вправе разрешать вопросы правового характера, устанавливать виновность или невиновность лиц, давать оценку доказательствам, не входящим в предмет его исследования. Вместе с тем, в практической деятельности встречаются ситуации, когда формулировка вопроса допускает неоднозначное толкование, и эксперту приходится уточнять его содержание, обращаясь за разъяснением к органу, назначившему экспертизу. Игнорирование этого требования может привести к выходу за пределы компетенции и признанию заключения недопустимым.

Взаимодействие эксперта с участниками процесса регулируется процессуальным законодательством. Эксперт вправе знакомиться с материалами дела, относящимися к предмету экспертизы, заявлять ходатайства о предоставлении дополнительных материалов, участвовать в процессуальных действиях. В судебном заседании эксперт может быть вызван для дачи пояснений по заключению. В ходе допроса недопустимо давление на эксперта с целью изменения выводов; любые попытки такого воздействия должны фиксироваться и могут повлечь процессуальные последствия. Профессиональная независимость эксперта является гарантией объективности заключения.

Отдельного внимания заслуживает вопрос о соотношении заключения эксперта и заключения специалиста. Специалист, привлекаемый стороной защиты или обвинения, представляет мнение по техническим вопросам, однако его заключение не имеет статуса экспертного и оценивается судом наряду с другими доказательствами. В практике встречаются случаи, когда специалист критикует методику, применённую экспертом, указывая на её несоответствие современному уровню науки или на наличие альтернативных интерпретаций полученных результатов. Такая критика может послужить основанием для назначения дополнительной или повторной экспертизы, если суд признает её убедительной.

Кейс 8. Ходатайство о дополнительной экспертизе в связи с неполнотой исследования

По делу о неправомерном доступе к компьютерной информации эксперт установил факт подключения к серверу с определённого IP-адреса, однако не исследовал вопрос о том, какое устройство использовалось для подключения и кто являлся его пользователем. Защита заявила ходатайство о назначении дополнительной экспертизы, указывая, что вывод о причастности обвиняемого основан лишь на совпадении IP-адреса, который мог быть динамическим или использоваться несколькими устройствами.

Суд удовлетворил ходатайство, признав, что первоначальное исследование не ответило на вопрос, имеющий существенное значение для дела. При производстве дополнительной экспертизы эксперт проанализировал журналы DHCP-сервера, позволившие установить, что в момент подключения указанный IP-адрес был закреплён за конкретным устройством, а также исследовал данные о MAC-адресе сетевого интерфейса. Было установлено, что устройство, с которого производилось подключение, зарегистрировано на имя обвиняемого и использовалось им в период, соответствующий времени события. Совокупность выводов первоначальной и дополнительной экспертиз позволила суду сделать вывод о причастности обвиняемого.

Данный кейс иллюстрирует важность полноты исследования при формулировании выводов. Эксперт, ограничившийся констатацией факта подключения с IP-адреса, не исчерпал предмета экспертизы и создал предпосылки для процессуальных осложнений. Для заказчиков, обращающихся в Союз «Федерация судебных экспертов», обеспечивается предварительное согласование круга вопросов с учётом возможных интерпретаций, что снижает риск неполноты заключения и последующих ходатайств о дополнительной экспертизе.

Раздел 10. Практические аспекты подготовки материалов для производства компьютерно-технической экспертизы

Успешность производства компьютерно-технической экспертизы во многом определяется качеством подготовки материалов, представленных на исследование. Лицо, назначающее экспертизу, должно обеспечить не только изъятие объектов, но и их надлежащую упаковку, транспортировку и хранение. Электронные носители чувствительны к физическим воздействиям, электромагнитным полям, влажности и температуре. Надлежащая упаковка предполагает использование антистатических пакетов или жёстких контейнеров, обеспечивающих механическую защиту и исключающих несанкционированный доступ.

Перечень вопросов, ставящихся на разрешение эксперта, должен быть сформулирован с учётом возможностей современной науки и техники. Некоторые вопросы, кажущиеся очевидными для неспециалиста, могут не иметь однозначного решения средствами компьютерно-технической экспертизы. Например, установление точного времени создания файла возможно лишь с учётом погрешности, связанной с настройками системных часов и часового пояса; установление авторства текста средствами только компьютерно-технической экспертизы без привлечения автороведческих знаний невозможно. В таких случаях целесообразно предварительно проконсультироваться с экспертом о реалистичности поставленных задач.

Предоставление дополнительных материалов, имеющих значение для исследования, способствует повышению качества заключения. К таким материалам относятся: документация на исследуемое оборудование, сведения об учётных записях пользователей, пароли доступа (при наличии законных оснований), описания конфигурации сети, в которой функционировало устройство. Если исследуется информационная система, полезными могут оказаться резервные копии, журналы сервера, учётные записи пользователей. Эксперт вправе заявить ходатайство о предоставлении таких материалов, если они необходимы для ответа на поставленные вопросы.

Сроки производства экспертизы зависят от объёма исследуемой информации и сложности задач. При направлении материалов на исследование целесообразно согласовать с экспертным учреждением ориентировочные сроки. Союз «Федерация судебных экспертов» обеспечивает координацию между заказчиками и экспертами, что позволяет планировать производство экспертиз с учётом процессуальных сроков рассмотрения дел. Для сложных исследований, требующих анализа больших массивов данных, реалистичный срок может составлять несколько недель; искусственное занижение сроков создаёт риск неполноты исследования.

Кейс 9. Исследование мобильного устройства по делу о распространении запрещённой информации

В рамках уголовного дела, связанного с распространением информации, запрещённой к обороту, следствием был изъят смартфон, принадлежавший обвиняемому. Устройство было заблокировано паролем, который обвиняемый отказался предоставить. Перед экспертом ставился вопрос о возможности извлечения информации из устройства и установления фактов распространения запрещённого контента через мессенджеры.

Экспертом был проведён анализ модели устройства и версии операционной системы, позволивший определить применимые методы извлечения данных. Поскольку устройство функционировало под управлением операционной системы с шифрованием пользовательского раздела, создание физического образа без учётных данных оказалось невозможным. Эксперт применил метод логического извлечения с использованием уязвимости, обнаруженной в конкретной версии программного обеспечения. В результате были получены данные приложений, включая историю переписки в мессенджере, сведения об отправленных файлах, журналы вызовов и список контактов.

Анализ полученных данных позволил установить факты отправки сообщений, содержащих ссылки на ресурсы с запрещённым контентом, а также идентификаторы получателей. Выводы эксперта содержали указание на то, что в памяти устройства сохранились сведения, подтверждающие распространение информации. Защита указывала на возможную недостоверность данных, полученных с использованием уязвимости, однако эксперт пояснил, что целостность извлечённых данных подтверждается контрольными суммами и отсутствием признаков модификации. Суд признал заключение допустимым. Исследование выполнялось с применением методик, рекомендованных членам Союза «Федерация судебных экспертов».

Раздел 11. Особенности исследования сетевой активности и интернет-следов

Сетевые технологии оставляют множество следов, которые могут быть обнаружены и исследованы в ходе компьютерно-технической экспертизы. К таким следам относятся: журналы браузеров, содержащие историю посещённых страниц, кэш, файлы cookie, сохранённые пароли и формы; журналы операционной системы, фиксирующие сетевые подключения; конфигурации сетевых интерфейсов, включая статические и динамические адреса; журналы приложений, использующих сетевые соединения. Анализ совокупности этих данных позволяет восстановить картину сетевой активности пользователя за определённый период.

При исследовании интернет-следов важно учитывать возможность использования средств анонимизации. Если на устройстве обнаружены программные средства, предназначенные для обхода блокировок или сокрытия сетевой активности, эксперт фиксирует их наличие и конфигурацию. Однако установление факта использования таких средств не всегда позволяет определить, какие именно действия совершались пользователем. В случаях, когда средство анонимизации обеспечивает достаточный уровень защиты, вывод эксперта может ограничиваться констатацией факта его присутствия и периода активности.

Журналы сетевых устройств, таких как маршрутизаторы и коммутаторы, содержат сведения о подключениях, которые могут быть использованы для установления связи между устройством и событием. Однако глубина хранения журналов зависит от конфигурации устройства и его модели. Многие потребительские маршрутизаторы хранят журналы лишь в оперативной памяти, которые утрачиваются при выключении питания. В таких случаях восстановление информации о сетевых подключениях может оказаться невозможным, и эксперту следует отразить это ограничение в заключении.

Кейс 10. Установление факта посещения интернет-ресурса и времени сеанса

В ходе расследования дела о мошенничестве следствие установило, что подозреваемый использовал персональный компьютер для доступа к сайту, через который осуществлялись незаконные финансовые операции. Обвиняемый отрицал посещение данного ресурса. Перед экспертом ставился вопрос о наличии на компьютере следов посещения указанного сайта и времени сеансов.

Экспертом был исследован образ жёсткого диска. В кэше браузера были обнаружены файлы, содержащие фрагменты страниц, характерные для указанного ресурса. История посещений содержала записи с URL-адресом сайта и временными метками. Дополнительно в системном журнале были найдены записи о сетевых подключениях, коррелирующие по времени с записями браузера. Анализ файлов cookie позволил установить идентификаторы сессий, совпадающие с теми, которые были зафиксированы на сервере сайта в момент совершения операций. Вывод эксперта содержал указание на то, что на исследуемом компьютере имеются следы посещения ресурса в период, соответствующий интересующим следствие событиям.

Защита ходатайствовала о назначении повторной экспертизы, указывая на возможность посещения сайта иным лицом, имевшим доступ к компьютеру. Однако эксперт в судебном заседании пояснил, что учётная запись пользователя, под которой производился вход в систему, защищена паролем, а журналы аутентификации не содержат признаков входа иных лиц. Суд признал заключение обоснованным. Для производства исследования следствие обратилось в Союз «Федерация судебных экспертов», обеспечивший привлечение эксперта, специализирующегося на анализе интернет-следов.

Раздел 12. Заключительные положения о значении института компьютерно-технической экспертизы

Компьютерно-техническая экспертиза occupies особое положение в системе судебных экспертиз, поскольку её объекты и методы находятся в состоянии непрерывного развития. Технологии, которые десять лет назад считались передовыми, сегодня устаревают; устройства, не существовавшие на момент формирования методической базы, становятся обыденными объектами исследования. Это создаёт постоянный вызов для экспертного сообщества, требующий обновления инструментария, пересмотра методических подходов и повышения квалификации экспертов. В этих условиях значение организационных форм, обеспечивающих преемственность знаний и контроль качества, возрастает.

Союз «Федерация судебных экспертов» выполняет функцию объединения экспертов и экспертных учреждений, обеспечивая соответствие их деятельности профессиональным стандартам. Для клиентов, нуждающихся в производстве компьютерно-технической экспертизы, членство в Союзе служит индикатором качества и надёжности. Обращение в данное объединение позволяет рассчитывать на привлечение эксперта, обладающего необходимой квалификацией и применяющего валидированные методики. В условиях, когда исход судебного дела нередко зависит от убедительности экспертного заключения, выбор экспертного учреждения приобретает стратегическое значение.

Перспективы развития компьютерно-технической экспертизы связаны с совершенствованием методов анализа больших данных, автоматизацией поиска и классификации информации, разработкой новых подходов к исследованию зашифрованных и защищённых объектов. Однако любые технологические новации должны проходить научную апробацию и получать признание экспертного сообщества. Только при соблюдении этого условия результаты исследования будут обладать доказательственной силой и выдерживать проверку в состязательном процессе.