Раздел 1. Концептуальные основы компьютерно-технической экспертизы

Компьютерно-техническая экспертиза представляет собой процессуальное действие, состоящее в исследовании специалистом материальных носителей цифровой информации, а также самих информационных массивов с целью установления фактов, имеющих доказательственное значение для разрешения правового спора или уголовного дела. В условиях стремительной цифровизации всех сфер общественной жизни значение данного рода экспертиз возрастает многократно, поскольку практически любое правонарушение или гражданско-правовой конфликт сегодня оставляет следы в электронной среде. Союз «Федерация судебных экспертов» на протяжении многих лет обеспечивает производство компьютерно-техническая экспертиза в Москве и регионах, опираясь на собственные лабораторные мощности и штат аттестованных специалистов.

Предмет рассматриваемого рода экспертизы неоднороден и включает в себя несколько взаимосвязанных компонентов. Прежде всего, исследованию подлежит аппаратная составляющая компьютерных средств: системные блоки, накопители на жестких магнитных дисках, твердотельные накопители, периферийные устройства, мобильные телефоны, планшеты, а также сетевое оборудование. Вторым компонентом выступает программное обеспечение, установленное на носителе и находящееся в рабочем или нерабочем состоянии. Третьим и наиболее значимым компонентом являются собственно информационные массивы: файлы, базы данных, журналы событий, кэш приложений, следы сетевой активности. Нематериальный характер информации не отменяет того обстоятельства, что она существует исключительно на материальных носителях, что и позволяет эксперту исследовать ее инструментальными методами.

Объекты компьютерно-технической экспертизы принято подразделять на две большие группы. К первой относятся материальные объекты, изъятые в установленном процессуальном порядке: компьютеры, ноутбуки, серверы, мобильные устройства, внешние накопители, оптические диски. Ко второй группе относятся виртуальные объекты: образы накопителей, созданные с помощью специализированного программного обеспечения, файлы резервных копий, дампы оперативной памяти, сетевые пакеты. Работа с образами, а не с оригиналами, является золотым стандартом современной экспертизы, поскольку исключает риск inadvertent изменения исходных данных в ходе исследования.

Методологическая база компьютерно-технической экспертизы формируется на стыке нескольких дисциплин: информатики, криминалистики, теории судебной экспертизы и процессуального права. Эксперт обязан не только владеть техническим инструментарием, но и понимать процессуальные границы своих полномочий, корректно формулировать выводы и обеспечивать их проверяемость. Именно поэтому Союз «Федерация судебных экспертов» уделяет первостепенное внимание не только технической оснащенности лабораторий, но и процессуальной подготовке экспертов, их способности давать показания в суде и защищать свои заключения перед лицом критики со стороны процессуальных оппонентов.

Классификация компьютерно-технических экспертиз проводится по нескольким основаниям. По характеру решаемых задач выделяют диагностические экспертизы, направленные на установление технического состояния объекта и причин возникновения неисправностей; идентификационные экспертизы, связанные с установлением тождества объектов; классификационные экспертизы, определяющие принадлежность объекта к определенной группе; и реконструкционные экспертизы, восстанавливающие хронологию событий или содержание данных. По объекту исследования различают аппаратную, программную, информационную и сетевую экспертизы, хотя на практике границы между ними подвижны и комплексный характер исследования является скорее правилом, чем исключением.

Раздел 2. Процессуальные аспекты назначения и производства

Назначение компьютерно-технической экспертизы требует от инициатора процесса не только знания материального права, но и понимания технических возможностей экспертного исследования. Суды, следователи и дознаватели нередко испытывают затруднения при формулировании вопросов эксперту, что приводит к постановке избыточных, дублирующих или технически неисполнимых вопросов. В практике встречались случаи, когда перед экспертом ставилось более тридцати вопросов, значительная часть которых перекрывала друг друга, что существенно удлиняло сроки производства и не способствовало полноте исследования.

Союз «Федерация судебных экспертов» предлагает сторонам процесса услугу предварительного консультирования по вопросам назначения экспертизы. Такая консультация позволяет сформулировать вопросы в соответствии с реальными возможностями современного оборудования и программного обеспечения, определить оптимальный перечень объектов, подлежащих направлению на исследование, и избежать типичных ошибок, связанных с недостаточной технической осведомленностью участников процесса. Консультация не заменяет собой процессуальное решение о назначении экспертизы, но существенно повышает его качество и результативность.

Определение о назначении экспертизы должно содержать сведения об объектах исследования, перечень вопросов, данные об эксперте или экспертном учреждении, а также предупреждение об ответственности за дачу заведомо ложного заключения. Применительно к компьютерно-технической экспертизе особое значение приобретает корректное описание объектов: необходимо указать не только марку и модель устройства, но и его серийный номер, состояние на момент изъятия, наличие или отсутствие паролей доступа, перечень изъятых вместе с устройством аксессуаров. Отсутствие этих сведений может привести к невозможности производства исследования или к существенному снижению доказательственной ценности выводов.

Сроки производства компьютерно-технической экспертизы варьируются в зависимости от сложности объекта и объема исследуемой информации. Простейшие диагностические исследования могут быть выполнены в течение нескольких дней, тогда как анализ образов накопителей большого объема с восстановлением удаленных данных и исследованием сетевых артефактов может занимать недели и месяцы. В арбитражном процессе, где объем исследуемых данных зачастую особенно велик, сроки производства экспертизы могут растягиваться на длительное время, что требует от суда и сторон терпения и процессуальной дисциплины.

Процессуальный статус эксперта в компьютерно-технической экспертизе имеет ряд особенностей. Эксперт не вправе самостоятельно собирать материалы для исследования, выходить за пределы поставленных вопросов, вступать в контакты с участниками процесса по вопросам, связанным с производством экспертизы, без ведома органа, назначившего экспертизу. Вместе с тем эксперт обязан заявить самоотвод при наличии обстоятельств, исключающих его участие в деле, а также вправе ходатайствовать о предоставлении дополнительных материалов, необходимых для дачи заключения.

Раздел 3. Аппаратные методы исследования

Аппаратные методы компьютерно-технической экспертизы направлены на исследование физического состояния устройств, их компонентов и носителей информации. К числу основных задач, решаемых с применением аппаратных методов, относится установление технической исправности устройства, выявление следов вскрытия или несанкционированного вмешательства, определение причин выхода из строя, а также снятие образов с носителей информации с соблюдением требований к неизменности исходных данных.

Визуальный осмотр является первичным и обязательным этапом аппаратного исследования. Эксперт фиксирует внешнее состояние устройства, наличие повреждений корпуса, следов жидкости, признаков перегрева, посторонних включений. На этом этапе применяются увеличительные приборы, источники ультрафиолетового и инфракрасного излучения, позволяющие выявить следы, невидимые при обычном освещении. Результаты осмотра протоколируются и фотографируются с соблюдением масштаба и правил судебной фотографии.

Инструментальная диагностика аппаратных компонентов предполагает использование специализированного оборудования: мультиметров для проверки электрических цепей, программаторов для считывания микросхем памяти, анализаторов интерфейсов для перехвата сигналов, передаваемых между устройством и накопителем. При работе с неисправными накопителями применяются аппаратно-программные комплексы, позволяющие снять образ с поврежденного устройства, обходя неисправные участки и перенаправляя чтение на исправные области. Такие комплексы требуют высокой квалификации оператора и значительных временных затрат, однако позволяют получить доказательственно значимую информацию даже в тех случаях, когда штатное подключение накопителя к компьютеру невозможно.

Снятие образа накопителя является центральной процедурой аппаратного этапа. Образ представляет собой побитовую копию содержимого носителя, включая служебные области, неразмеченное пространство и предположительно удаленные данные. Для верификации образа вычисляются хеш-суммы исходного носителя и созданного образа; совпадение хеш-сумм подтверждает идентичность копии оригиналу. Дальнейшее исследование производится исключительно с образом, что гарантирует неизменность оригинала и возможность повторной проверки выводов эксперта.

Аппаратные методы применяются и при исследовании мобильных устройств. Современные смартфоны представляют собой сложные вычислительные комплексы с многоуровневой системой защиты, преодоление которой требует специальных знаний и оборудования. Эксперт использует как штатные средства отладки, предоставляемые производителем, так и специализированные программно-аппаратные комплексы, позволяющие получить доступ к файловой системе устройства, базе данных сообщений, журналам вызовов и геолокационным данным. Следует подчеркнуть, что компьютерно-техническая экспертиза в Москве, производимая специалистами Союза «Федерация судебных экспертов», обеспечивается всем необходимым парком оборудования для работы с мобильными устройствами ведущих производителей.

Раздел 4. Программные методы исследования информационных массивов

Программные методы составляют ядро компьютерно-технической экспертизы, поскольку именно они позволяют извлечь из исследуемого носителя ту информацию, которая имеет доказательственное значение. Современный инструментарий эксперта включает десятки специализированных программных продуктов, каждый из которых решает свой круг задач: создание и верификацию образов, восстановление удаленных файлов, поиск по ключевым словам и сигнатурам, анализ файловых систем, исследование журналов операционной системы и приложений, анализ сетевых артефактов.

Восстановление удаленных данных является одной из наиболее востребованных задач компьютерно-технической экспертизы. Удаление файла не приводит к немедленному уничтожению его содержимого: информация сохраняется на носителе до тех пор, пока занимаемые ею секторы не будут перезаписаны новыми данными. Программные средства восстановления анализируют служебные области файловой системы, находят записи об удаленных файлах и восстанавливают их содержимое. Эффективность восстановления зависит от времени, прошедшего с момента удаления, интенсивности использования носителя и ряда других факторов. Эксперт обязан документировать все действия по восстановлению, чтобы обеспечить возможность проверки полученных результатов.

Поиск по ключевым словам и сигнатурам представляет собой второй по значимости класс программных методов. Поиск по сигнатурам позволяет обнаружить файлы определенных типов независимо от их расширения и расположения: сигнатура представляет собой характерную последовательность байтов, присущую файлам данного формата. Поиск по регулярным выражениям обеспечивает обнаружение данных, соответствующих заданному шаблону: номеров телефонов, адресов электронной почты, банковских реквизитов, фрагментов текста. Комбинирование различных методов поиска позволяет эксперту с высокой степенью вероятности обнаружить искомую информацию даже в тех случаях, когда она была намеренно скрыта или замаскирована.

Анализ файловых систем дает возможность установить время создания, изменения и доступа к файлам, выявить следы перемещения и копирования данных, восстановить историю работы пользователя. Различные файловые системы обладают спецификой, поэтому применяются специализированные программные средства, учитывающие особенности конкретной файловой системы. Журналы транзакций, сохраняемые современными файловыми системами, позволяют в ряде случаев восстановить не только факт существования файла, но и последовательность операций, произведенных с ним.

Анализ приложений и операционных систем предполагает исследование журналов событий, реестра, конфигурационных файлов, кэша приложений. Эти данные позволяют установить, какие программы запускались, какие устройства подключались, какие действия выполнялись пользователем. Особое значение имеет анализ журналов событий операционной системы, которые содержат сведения о входе в систему, запуске служб, ошибках и предупреждениях. В современных условиях, когда злоумышленники все чаще прибегают к удалению следов своей активности, именно артефакты операционной системы становятся той нитью, которая позволяет восстановить картину произошедшего.

Раздел 5. Исследование сетевых артефактов и мобильных устройств

Сетевые артефакты представляют собой следы взаимодействия компьютера с локальной или глобальной сетью. К ним относятся журналы сетевых служб, конфигурация сетевых интерфейсов, таблицы маршрутизации, кэш DNS, файлы cookie, журналы брандмауэра, а также пакеты данных, зафиксированные в момент передачи. Анализ этих данных позволяет установить участников сетевого обмена, содержание переданных сообщений, время и последовательность событий, а в ряде случаев и физическое местоположение устройств, участвовавших в обмене.

Исследование мобильных устройств выделилось в отдельное направление компьютерно-технической экспертизы в силу специфики как аппаратной, так и программной составляющей. Мобильный телефон аккумулирует огромный объем информации о своем владельце: журналы вызовов, базы данных сообщений, список контактов, историю браузера, геолокационные метки, данные о перемещениях, сведения о подключенных сетях Wi-Fi и Bluetooth, фотографии с привязкой к местности и времени. Извлечение этой информации требует применения специализированных программно-аппаратных комплексов, учитывающих архитектурные особенности различных моделей устройств и версий операционных систем.

Проблема доступа к защищенным данным мобильных устройств стоит особенно остро. Современные операционные системы используют шифрование данных, биометрическую аутентификацию и многоуровневые механизмы защиты, преодоление которых штатными средствами невозможно. В практике экспертных учреждений встречаются случаи, когда исследование мобильного телефона не представляется возможным именно из-за отсутствия пароля доступа. Эксперт обязан отразить этот факт в заключении, указав, какие именно данные не могли быть исследованы и по какой причине.

Сетевой анализ в компьютерно-технической экспертизе не ограничивается исследованием артефактов, сохранившихся на устройстве. В ряде случаев требуется анализ трафика, зафиксированного в момент совершения противоправных действий, либо восстановление картины сетевого взаимодействия по данным, сохранившимся на нескольких устройствах. Такие задачи решаются с применением методов корреляционного анализа, позволяющих сопоставить временные метки событий, зафиксированных на разных устройствах, и восстановить единую хронологию.

Раздел 6. Кейс 1: Исследование системного блока по делу о распространении запрещенной информации

В производство Союза «Федерация судебных экспертов» поступил системный блок, изъятый в ходе обыска у гражданина, подозреваемого в распространении информации, запрещенной к обороту на территории Российской Федерации. По версии следствия, с использованием данного системного блока осуществлялось размещение материалов в сети Интернет, содержащих признаки пропаганды запрещенных веществ. Перед экспертом были поставлены вопросы о наличии на носителе информации следов работы с соответствующими ресурсами, а также о наличии файлов, содержащих ключевые слова, относящиеся к предмету расследования.

На первом этапе исследования эксперт произвел визуальный осмотр системного блока, зафиксировал его внешнее состояние, отсутствие повреждений корпуса и следов несанкционированного вскрытия. Системный блок был подключен к технологическому компьютеру через аппаратный блокиратор записи, что гарантировало невозможность изменения данных на штатном накопителе. С помощью специализированного программного обеспечения был создан побитовый образ накопителя, после чего вычислены хеш-суммы исходного носителя и образа; совпадение хеш-сумм подтвердило идентичность копии оригиналу. Дальнейшее исследование производилось исключительно с образом.

Анализ файловой системы показал, что на накопителе установлена операционная система семейства Windows, имеются следы использования нескольких учетных записей. В пользовательском профиле, соответствующем учетной записи подозреваемого, были обнаружены артефакты браузера: история посещений, кэш, файлы cookie, сохраненные пароли. История посещений содержала записи о посещении ресурсов, тематика которых соответствовала предмету расследования. В кэше браузера сохранились фрагменты страниц, включая изображения и текстовые блоки, которые могли быть использованы для распространения запрещенной информации.

Поиск по ключевым словам производился с применением регулярных выражений, учитывающих возможные варианты написания искомых терминов. В результате поиска были обнаружены файлы, содержащие ключевые слова, указанные в постановлении о назначении экспертизы. Часть обнаруженных файлов располагалась в каталогах, типичных для хранения загруженного контента; другая часть была обнаружена в неразмеченной области накопителя и в секторах, содержащих следы удаленных файлов. Восстановление удаленных данных позволило получить несколько файлов, содержащих текстовые материалы и изображения, соответствующие предмету расследования.

Анализ журналов операционной системы позволил установить время последнего входа в систему, время подключения внешних устройств, время установки и удаления программ. Сопоставление временных меток с данными, представленными следствием, показало, что активность на устройстве имела место в период, соответствующий инкриминируемым событиям. В заключении эксперт отразил перечень обнаруженных файлов, их расположение, время создания и изменения, а также результаты поиска по ключевым словам с указанием конкретных совпадений.

Раздел 7. Кейс 2: Восстановление удаленной переписки на мобильном устройстве

На исследование поступил мобильный телефон, изъятый у лица, привлекаемого к ответственности по факту мошенничества. Следствие располагало данными о том, что с использованием данного устройства велась переписка, содержащая сведения о противоправных действиях. Однако к моменту изъятия устройства часть сообщений была удалена владельцем. Перед экспертом был поставлен вопрос о возможности восстановления удаленной переписки и установления ее содержания.

Мобильный телефон был подключен к специализированному программно-аппаратному комплексу, поддерживающему работу с устройствами на базе соответствующей операционной системы. После установления соединения эксперт произвел логическое извлечение данных, включающее копирование файловой системы устройства и баз данных приложений. Для повышения полноты исследования был также предпринят анализ резервных копий, которые могли сохраниться в облачном хранилище или на связанном компьютере.

База данных приложения для обмена сообщениями была обнаружена в служебном каталоге приложения. Штатный просмотр базы данных показал наличие активной переписки за определенный период, однако часть записей отсутствовала. Анализ журналов транзакций базы данных и служебных файлов приложения позволил обнаружить следы удаленных записей. С применением методов восстановления данных из журналов и неразмеченных областей файловой системы эксперт восстановил значительную часть удаленной переписки.

Содержание восстановленных сообщений было проанализировано на предмет соответствия вопросам, поставленным следствием. В переписке были обнаружены фрагменты, содержащие обсуждение обстоятельств, relevantных для расследования, включая упоминания денежных сумм, сроков и участников событий. Временные метки сообщений позволили установить хронологию переписки и соотнести ее с данными о движении денежных средств, имевшимися в материалах дела.

Отдельное внимание было уделено вопросам аутентификации восстановленных данных. Эксперт указал в заключении, что восстановленные сообщения сохранили метаданные, характерные для оригинальных записей приложения, включая идентификаторы отправителя и получателя, временные метки и служебные поля. Совокупность этих признаков позволила сделать вывод о том, что восстановленные записи являются фрагментами переписки, действительно имевшей место на исследуемом устройстве, а не артефактами, возникшими в результате работы программных средств восстановления.

Раздел 8. Кейс 3: Диагностика неисправности серверного оборудования в арбитражном споре

В арбитражном суде рассматривался спор между заказчиком и поставщиком серверного оборудования относительно причин выхода из строя сервера, приобретенного по договору поставки. Истец утверждал, что неисправность возникла вследствие производственного дефекта, ответчик настаивал на том, что причиной послужили нарушения правил эксплуатации со стороны истца. Суд назначил компьютерно-техническую экспертизу, производство которой было поручено Союзу «Федерация судебных экспертов».

Экспертной комиссии были представлены сервер, блок питания, комплект кабелей и техническая документация. Осмотр места эксплуатации производился с выездом на объект, где эксперт зафиксировал условия размещения сервера: температуру окружающей среды, влажность, наличие системы вентиляции, состояние электропитания. Параметры микроклимата и качества электропитания были сопоставлены с требованиями технической документации производителя.

В лабораторных условиях был произведен осмотр внутренних компонентов сервера. На материнской плате обнаружены следы перегрева в области процессорного разъема и модулей памяти, вздутие конденсаторов в цепи питания. Блок питания был подвергнут нагрузочному тестированию, в ходе которого выявлено несоответствие выходных параметров заявленным характеристикам. Анализ журналов системы управления сервером показал, что в период, предшествовавший выходу из строя, имели место неоднократные фиксации повышения температуры и срабатывания средств аварийного отключения.

Сопоставление выявленных признаков с данными о условиях эксплуатации позволило комиссии прийти к выводу о комбинированном характере причин неисправности. С одной стороны, деградация компонентов блока питания и системы охлаждения носила признаки производственного характера, что подтверждалось результатами нагрузочного тестирования и отсутствием следов внешнего воздействия. С другой стороны, условия эксплуатации, зафиксированные на объекте, не в полной мере соответствовали требованиям производителя, что способствовало ускоренному износу компонентов. В заключении комиссия отразила оба фактора, указав на их взаимосвязь и относительную роль в возникновении неисправности.

Раздел 9. Кейс 4: Исследование программного обеспечения на предмет заимствования кода

В рамках гражданского дела о защите исключительных прав на программу для ЭВМ суд назначил экспертизу, перед которой был поставлен вопрос о наличии заимствований в исходном коде ответчика из программы истца. На исследование были представлены исходные коды обеих программ на электронных носителях, а также документация, описывающая функциональные возможности и архитектуру программных продуктов.

Эксперт начал исследование с сопоставления структуры проектов: количества и назначения модулей, иерархии каталогов, используемых библиотек и фреймворков. Уже на этом этапе были выявлены существенные совпадения в архитектуре и организации кода, которые не могли быть объяснены общностью решаемой задачи. Дальнейший анализ был сосредоточен на идентификации фрагментов кода, совпадающих дословно или с незначительными модификациями.

Для количественной оценки заимствований был применен метод сравнения на основе хеширования нормализованных фрагментов кода. Нормализация включала удаление комментариев, приведение отступов и пробелов к единому виду, переименование идентификаторов в соответствии с их типом. Такой подход позволил выявить совпадения даже в тех случаях, когда заимствованный код был подвергнут косметической переработке, направленной на сокрытие сходства. Результаты сравнения показали, что значительная часть модулей ответчика содержит фрагменты, дословно совпадающие с кодом истца.

Отдельно был исследован вопрос о возможности самостоятельного создания выявленных совпадающих фрагментов. Эксперт проанализировал характер совпадений: наличие одинаковых ошибок, нестандартных решений, специфических комментариев и идентификаторов. Совокупность этих признаков свидетельствовала в пользу того, что совпадающие фрагменты имеют общее происхождение, а не являются результатом независимого параллельного творчества. В заключении были приведены конкретные примеры совпадающих фрагментов с указанием их расположения в файлах обеих программ и оценкой объема заимствований.

Раздел 10. Кейс 5: Анализ сетевого трафика по делу о неправомерном доступе

По факту неправомерного доступа к компьютерной информации следствием был изъят сервер, выполнявший функции шлюза доступа в сеть Интернет. По версии следствия, через данный сервер осуществлялся несанкционированный доступ к информационным ресурсам потерпевшей организации. Перед экспертом был поставлен вопрос об установлении факта несанкционированного доступа, времени его совершения и использованных IP-адресов.

На сервере был обнаружен журнал сетевого экрана, сохранивший записи о входящих и исходящих соединениях за период, охватывающий инкриминируемые события. Записи содержали сведения об IP-адресах источника и назначения, портах, протоколах, времени начала и окончания соединений, объеме переданных данных. Журнал был экспортирован в формате, пригодном для машинного анализа, и подвергнут фильтрации по критериям, указанным в постановлении о назначении экспертизы.

В результате фильтрации были выявлены соединения, направленные на IP-адреса, принадлежащие потерпевшей организации, в период, соответствующий инкриминируемым событиям. Анализ последовательности соединений показал, что они носили нерегулярный характер и существенно отличались от типичного трафика, генерируемого легитимными пользователями. В частности, были зафиксированы попытки подключения к портам, не используемым штатным программным обеспечением, а также соединения с IP-адресами, зарегистрированными в юрисдикциях, не связанных с деятельностью организации.

Для установления связи между выявленными сетевыми событиями и конкретными устройствами в сети экспертом был проанализирован протокол DHCP, содержащий сведения о выдаче IP-адресов клиентским устройствам. Сопоставление временных меток DHCP-записей с записями сетевого экрана позволило установить, какому устройству в локальной сети был назначен IP-адрес, с которого производились подозрительные соединения. Дальнейший анализ журналов операционной системы этого устройства позволил идентифицировать учетную запись, активную в момент совершения соединений.

Раздел 11. Кейс 6: Экспертиза серверного оборудования в споре о качестве услуг связи

Арбитражный суд рассматривал спор между оператором связи и организацией-абонентом относительно качества предоставляемых услуг. Абонент утверждал, что оператор не обеспечивает заявленную пропускную способность канала, что привело к убыткам в его предпринимательской деятельности. Оператор настаивал на том, что параметры канала соответствуют договору, а проблемы абонента вызваны неисправностью его собственного оборудования.

Экспертиза проводилась с выездом на объект абонента. Эксперт произвел измерения параметров канала с использованием сертифицированного оборудования, фиксируя пропускную способность, задержку, джиттер и потери пакетов в различные периоды времени. Измерения производились как на границе ответственности оператора, так и на оборудовании абонента, что позволило локализовать источник отклонений.

Параллельно было исследовано серверное оборудование абонента, подключенное к каналу. Анализ конфигурации сетевых интерфейсов выявил несоответствие настроек скорости и дуплекса на стороне абонента параметрам, согласованным с оператором. Журналы сетевого оборудования содержали записи о многочисленных ошибках передачи, коллизиях и повторных передачах, что свидетельствовало о проблемах на канальном уровне. На основании совокупности данных эксперт пришел к выводу, что заявленные оператором параметры канала в целом соблюдаются, тогда как наблюдаемые абонентом проблемы обусловлены неисправностью и неверной конфигурацией его собственного оборудования.

Раздел 12. Кейс 7: Исследование базы данных на предмет фальсификации записей

В рамках уголовного дела о неправомерном доступе к компьютерной информации и модификации данных следствием была изъята база данных, содержащая сведения о результатах медицинских анализов. По версии следствия, в базу были внесены изменения, исказившие результаты анализов ряда пациентов. Перед экспертом был поставлен вопрос о наличии признаков модификации записей и о возможности установления времени и обстоятельств внесения изменений.

База данных была представлена в виде файла, созданного системой управления базами данных. Эксперт произвел копирование файла и его исследование в лабораторных условиях. Анализ служебных таблиц и журналов транзакций показал, что база данных ведется с включенным протоколированием изменений, что позволило восстановить историю модификаций записей за определенный период.

В журнале транзакций были обнаружены записи об операциях обновления, произведенных в отношении записей, касающихся пациентов, указанных в постановлении о назначении экспертизы. Время совершения операций соответствовало периоду, когда, по версии следствия, был совершен неправомерный доступ. Анализ учетных записей, от имени которых производились операции, показал, что они выполнялись с использованием служебной учетной записи, обладающей расширенными правами доступа.

Дальнейший анализ позволил установить, что изменения затрагивали конкретные поля записей, содержащие результаты анализов, и носили целенаправленный характер. Сопоставление с резервными копиями базы данных, представленными организацией, подтвердило, что исходные значения полей отличались от тех, которые были зафиксированы после модификации. В заключении эксперт отразил перечень измененных записей, исходные и модифицированные значения, время внесения изменений и учетные записи, использованные для их внесения.

Раздел 13. Кейс 8: Экспертиза мобильного приложения на предмет соответствия заявленной функциональности

Потребитель обратился в суд с иском к разработчику мобильного приложения, утверждая, что приобретенная программа не выполняет заявленные функции и содержит скрытые возможности, не описанные в документации. Суд назначил экспертизу, перед которой были поставлены вопросы о соответствии функциональности приложения описанию, представленному в магазине приложений и документации, а также о наличии скрытых функций, способных причинить вред пользователю.

Эксперт установил приложение на тестовое устройство, изолированное от внешних сетей, и произвел исследование его поведения. Функциональные возможности, заявленные в описании, были проверены последовательно; для каждой функции фиксировалось ее наличие или отсутствие, а также соответствие заявленным характеристикам. Часть функций, описанных как доступные в базовой версии, оказалась заблокирована до совершения встроенных покупок, что не было очевидным образом указано в описании.

Статический анализ исполняемого кода и манифеста приложения выявил разрешения, запрашиваемые приложением при установке и в процессе работы. Среди запрошенных разрешений присутствовали доступ к контактам, журналу вызовов, SMS-сообщениям и геолокации, что не было обусловлено заявленной функциональностью и не упоминалось в описании. Динамический анализ, произведенный с применением инструментов перехвата системных вызовов, подтвердил, что приложение обращается к соответствующим ресурсам устройства при определенных сценариях использования.

Анализ сетевой активности приложения показал, что оно передает на удаленный сервер сведения, не являющиеся необходимыми для выполнения заявленных функций, включая идентификаторы устройства и данные о местоположении. В заключении эксперт отразил перечень выявленных скрытых функций и избыточных разрешений, указав на их потенциальную опасность для пользователя и несоответствие описанию, представленному потребителю.

Раздел 14. Кейс 9: Восстановление данных с поврежденного накопителя

В рамках расследования уголовного дела был изъят накопитель на жестких магнитных дисках, имевший механические повреждения. Следствие располагало данными о том, что на накопителе сохранялась информация, имеющая доказательственное значение, однако стандартные методы доступа к ней оказались безуспешными. Перед экспертом был поставлен вопрос о возможности восстановления информации и ее извлечения в пригодном для исследования виде.

Накопитель был вскрыт в условиях, обеспечивающих минимальное воздействие на магнитные пластины. Визуальный осмотр выявил повреждение блока магнитных головок, что делало невозможным штатное чтение данных. Для снятия образа был применен аппаратно-программный комплекс, позволяющий производить чтение с использованием донорского блока головок, совместимого с данной моделью накопителя. Операция производилась в чистовой камере, обеспечивающей защиту от пыли и статического электричества.

Процесс снятия образа занял несколько дней и сопровождался неоднократными сбоями чтения на поврежденных участках. Эксперт применял стратегию многократного чтения проблемных секторов с усреднением результатов, что позволило получить достоверные данные даже в тех случаях, когда отдельные попытки чтения давали ошибки. Для участков, чтение которых оказалось невозможным, в образе были сделаны пометки, позволившие впоследствии оценить полноту восстановленных данных.

Анализ полученного образа показал, что файловая система накопителя сохранилась в достаточной степени для восстановления структуры каталогов и значительной части файлов. Восстановление файлов производилось как по записям файловой системы, так и по сигнатурам, что позволило извлечь данные, записи о которых были утрачены. Среди восстановленных файлов оказались документы, содержащие сведения, relevantные для расследования. В заключении эксперт отразил перечень восстановленных файлов, их расположение, степень сохранности и ограничения, связанные с повреждением накопителя.

Раздел 15. Кейс 10: Исследование облачного хранилища по запросу суда

В рамках гражданского спора о защите деловой репутации суд назначил экспертизу, перед которой был поставлен вопрос о содержании файлов, размещенных ответчиком в облачном хранилище. Истец утверждал, что ответчик распространял порочащие сведения, размещая соответствующие документы в общедоступном облачном сервисе. Ответчик отрицал факт размещения таких документов.

Эксперт получил доступ к учетной записи ответчика в облачном сервисе на основании определения суда, обязывающего ответчика предоставить необходимые данные. Доступ был осуществлен с использованием учетных данных, предоставленных ответчиком, в присутствии представителей обеих сторон. Эксперт произвел экспорт журналов активности учетной записи, списка файлов и каталогов, а также метаданных, связанных с файлами.

Анализ журналов активности показал, что в период, указанный истцом, производились загрузки файлов, соответствующих по описанию документам, о которых шла речь в деле. Метаданные файлов содержали сведения о времени создания, авторе документа, дате последней модификации и параметрах доступа. Сопоставление метаданных с данными, представленными истцом, показало их соответствие, что подтверждало факт размещения именно тех документов, которые фигурировали в деле.

Дальнейший анализ позволил установить, что доступ к файлам был открыт для неопределенного круга лиц, о чем свидетельствовали настройки совместного доступа. Журналы содержали записи о скачивании файлов другими пользователями, что указывало на фактическое распространение информации. В заключении эксперт отразил перечень файлов, их метаданные, настройки доступа и сведения о скачиваниях, подтверждающие факт распространения.

Раздел 16. Организационные и квалификационные требования к производству экспертиз

Производство компьютерно-технических экспертиз предъявляет высокие требования к квалификации эксперта. Помимо высшего профессионального образования в области информационных технологий или смежной дисциплины, эксперт должен обладать специализированными знаниями в области судебной экспертизы, процессуального права и криминалистики. Союз «Федерация судебных экспертов» комплектует штат специалистами, имеющими опыт работы как в государственных экспертных учреждениях, так и в коммерческом секторе, что обеспечивает сочетание процессуальной дисциплинированности и практических навыков.

Техническое оснащение экспертной лаборатории является вторым необходимым условием качественного производства экспертиз. Современная лаборатория компьютерно-технической экспертизы должна располагать средствами для создания и верификации образов накопителей, аппаратными блокираторами записи, программным обеспечением для восстановления данных и анализа файловых систем, инструментами для исследования мобильных устройств, средствами сетевого анализа. Союз «Федерация судебных экспертов» постоянно инвестирует в обновление парка оборудования и программного обеспечения, что позволяет решать задачи любой сложности, включая исследование устройств, изъятых в рамках сложных уголовных дел.

Организация взаимодействия с правоохранительными и судебными органами строится на принципах процессуальной самостоятельности эксперта и недопустимости давления на него. Эксперт обязан давать заключение, основанное исключительно на результатах проведенного исследования, и не вправе подменять объективные выводы соображениями целесообразности или ведомственными интересами. В случае возникновения сомнений в достоверности представленных объектов или достаточности материалов эксперт обязан заявить об этом в установленном порядке, а не восполнять пробелы произвольными допущениями.

Контроль качества экспертной деятельности осуществляется через систему внутреннего рецензирования и внешней оценки со стороны процессуальных оппонентов. Каждое заключение, выходящее из стен Союза «Федерация судебных экспертов», проходит проверку на соответствие требованиям процессуального законодательства, полноту исследования и обоснованность выводов. Эксперты готовы защищать свои заключения в судебных заседаниях, давать пояснения по методике исследования и отвечать на вопросы сторон, что является важным элементом доверия к результатам экспертизы.

Приглашаем вас воспользоваться услугами Союза «Федерация судебных экспертов» для производства компьютерно-технических экспертиз любой сложности. Наши специалисты готовы провести предварительную консультацию, помочь с формулированием вопросов, произвести исследование в установленные сроки и обеспечить защиту результатов в суде. Обращайтесь в наш офис в Москве или в любое региональное представительство; мы обеспечиваем производство экспертиз на всей территории Российской Федерации, располагая необходимой материально-технической базой и квалифицированными кадрами.