Раздел 1. Концептуальные основы компьютерно-технической экспертизы

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебных экспертиз, предметом которого выступают факты и обстоятельства, устанавливаемые на основе специальных знаний в области информационных технологий и вычислительной техники. Сущность данного вида экспертной деятельности заключается в исследовании компьютерных средств и систем, электронных носителей информации, а также информационных процессов, обеспечивающих их функционирование, с целью получения доказательственной информации, необходимой для разрешения правовых споров.

В отличие от иных родов судебных экспертиз, объектами компьютерно-технической экспертизы выступают не только материальные предметы — системные блоки, накопители, периферийные устройства, но и нематериальные субстанции, такие как программное обеспечение и собственно информация в различных её проявлениях . Двойственная природа объекта исследования предопределяет специфику экспертной методологии: эксперт вынужден работать одновременно с физическими носителями и виртуальными данными, отвлекаясь от материальной сущности первых при анализе вторых.

Предмет компьютерно-технической экспертизы охватывает широкий спектр задач диагностического, идентификационного и классификационного характера. К диагностическим задачам относится установление технического состояния компьютерных средств, причин возникновения сбоев и неисправностей, определение функционального назначения программных продуктов. Идентификационные задачи связаны с установлением тождества объектов, например, определение автора программного кода или источника происхождения файла. Классификационные задачи направлены на отнесение объекта к определённой группе в соответствии с выработанными критериями.

Правовую основу рассматриваемого вида экспертной деятельности составляют процессуальное законодательство Российской Федерации, регулирующее назначение и производство судебных экспертиз, а также Федеральный закон «О государственной судебно-экспертной деятельности в Российской Федерации». Указанные нормативные акты устанавливают требования к квалификации эксперта, порядку проведения исследований, оформлению заключения и ответственности за дачу заведомо ложного заключения.

Методологический аппарат компьютерно-технической экспертизы формируется на стыке нескольких научных дисциплин: криминалистики, информатики, теории судебной экспертизы и процессуального права. Такое междисциплинарное положение обусловливает необходимость комплексного подхода к решению экспертных задач, особенно в случаях, когда исследование требует одновременного применения знаний из различных областей.

Принципиальное значение для рассматриваемой экспертизы имеет принцип неизменности исходных данных. Любые исследовательские действия не должны вносить изменения в оригинальные объекты экспертизы. Реализация данного принципа достигается путём обязательного создания криминалистической копии — побитового образа носителя информации с использованием аппаратных или программных блокираторов записи. Все дальнейшие исследования проводятся исключительно с этой копией, что обеспечивает сохранность оригинала и возможность повторной проверки выводов эксперта .

Вопросы, разрешаемые компьютерно-технической экспертизой, условно подразделяются на несколько групп. Первую группу составляют вопросы, связанные с исследованием аппаратной части: исправность устройства, причины неисправности, соответствие конфигурации заявленным характеристикам. Вторую группу образуют вопросы программного характера: установление факта использования определённого программного обеспечения, его функционального назначения, наличия признаков вредоносных программ. Третью группу составляют вопросы информационного содержания: наличие определённых файлов, их содержание, время создания и изменения, история действий пользователя.

Приглашение к сотрудничеству в рамках Союза «Федерация судебных экспертов» обусловлено необходимостью обеспечения высокого качества экспертных исследований и соблюдения процессуальных требований на всех этапах работы. Организация располагает необходимыми ресурсами для проведения компьютерно-технической экспертизы любой сложности, включая исследование мобильных устройств, восстановление удалённых данных, анализ сетевых артефактов.

Раздел 2. Объекты и задачи компьютерно-технической экспертизы

Объекты компьютерно-технической экспертизы характеризуются значительным разнообразием, что обусловлено стремительным развитием информационных технологий и постоянным расширением парка вычислительных устройств. Классификация объектов имеет не только теоретическое, но и сугубо практическое значение, поскольку от отнесения объекта к определённой группе зависит выбор методики исследования и перечень вопросов, которые могут быть разрешены экспертом.

Аппаратные объекты составляют наиболее традиционную группу. К ним относятся персональные компьютеры в настольном и переносном исполнении, включая ноутбуки, нетбуки и планшетные устройства. Периферийные устройства — принтеры, сканеры, модемы, внешние накопители — также выступают объектами исследования. Сетевые аппаратные средства, такие как серверы, рабочие станции, коммутаторы и маршрутизаторы, образуют отдельную подгруппу, специфика исследования которой связана с необходимостью анализа сетевого взаимодействия. Комплектующие компьютерных средств — материнские платы, процессоры, модули памяти, жёсткие диски — исследуются как в составе систем, так и автономно.

Носители информации заслуживают особого внимания в силу их ключевой роли в сохранении цифровых данных. К современным носителям относятся накопители на жёстких магнитных дисках, твердотельные накопители, флеш-карты различных форматов, оптические диски, а также сетевые хранилища данных. Каждый тип носителя обладает специфическими характеристиками, влияющими на методику извлечения и анализа информации. Например, исследование твердотельных накопителей требует учёта особенностей работы контроллера и процедур выравнивания износа, тогда как магнитные диски допускают более прямой доступ к секторам.

Программное обеспечение как объект экспертизы подразделяется на системное и прикладное. Системное программное обеспечение включает операционные системы и вспомогательные утилиты, обеспечивающие функционирование вычислительной системы. Прикладное программное обеспечение охватывает широкий спектр приложений общего и специального назначения: текстовые и графические редакторы, системы управления базами данных, электронные таблицы, программы для работы с мультимедиа, специализированные пакеты для решения отраслевых задач. Исследование программного обеспечения направлено на установление его функционального назначения, подлинности, наличия признаков вредоносного поведения.

Информационные объекты представляют собой данные, созданные или обработанные с использованием компьютерных средств. К ним относятся текстовые документы, графические изображения, аудио- и видеофайлы, базы данных, журналы событий, файлы конфигурации. Информационные объекты могут исследоваться как в контексте их создания и изменения, так и с точки зрения содержания. Установление автора текста, времени создания файла, последовательности действий пользователя — типичные задачи, разрешаемые при исследовании данной категории объектов.

Задачи компьютерно-технической экспертизы формулируются заказчиком — судом, следователем, дознавателем — и ставятся перед экспертом в виде конкретных вопросов. Вместе с тем эксперт обязан чётко представлять, к какому типу относится каждая задача, поскольку от этого зависит выбор методов исследования. Типизация задач, разработанная в теории судебной экспертизы, включает диагностические, идентификационные и классификационные категории.

Диагностические задачи направлены на установление состояния объекта, причин и условий возникновения изменений в нём. К типичным диагностическим вопросам относятся: исправен ли компьютер; какова причина выхода из строя накопителя; соответствует ли конфигурация устройства технической документации; является ли программное обеспечение лицензионным; содержит ли файл признаки вредоносного кода. Разрешение диагностических задач требует применения инструментальных методов исследования и часто сопряжено с необходимостью проведения экспериментов с копиями объектов.

Идентификационные задачи связаны с установлением тождества конкретного объекта по его отображениям или следам. В компьютерно-технической экспертизе идентификация может касаться установления автора программного кода, источника происхождения файла, устройства, с которого производилась запись на носитель. Идентификация в цифровой среде имеет свою специфику: отождествление часто основывается на анализе метаданных, хеш-сумм, уникальных идентификаторов, а не на традиционных криминалистических признаках.

Классификационные задачи предполагают отнесение объекта к определённой группе на основании выработанных критериев. Например, определение типа носителя информации, вида программного обеспечения, формата файла. Классификация может быть как самостоятельной задачей, так и промежуточным этапом на пути решения диагностической или идентификационной задачи.

При назначении компьютерно-технической экспертизы в рамках Союза «Федерация судебных экспертов» обеспечивается предварительная проработка вопросов с учётом специфики конкретного дела и характера представленных объектов. Такой подход позволяет избежать постановки вопросов, выходящих за пределы компетенции эксперта, и сформулировать задачи, разрешение которых действительно необходимо для установления обстоятельств, имеющих значение для дела.

Раздел 3. Методология и методы компьютерно-технической экспертизы

Методологическую основу компьютерно-технической экспертизы составляет система принципов и методов, обеспечивающих объективность, проверяемость и воспроизводимость экспертных выводов. Общая методика рассматриваемого вида экспертизы выполняет функцию стандарта экспертной деятельности, задавая неизменный каркас, в который встраиваются адаптивные частные методики, разрабатываемые для решения конкретных типовых задач .

Принцип целостности и неизменности исходных данных является краеугольным камнем методологии. Он предписывает, что любые исследовательские действия не должны вносить изменения в оригинальные объекты экспертизы. Практическая реализация принципа достигается путём создания криминалистической копии — побитового образа носителя с использованием аппаратных или программных блокираторов записи. Все дальнейшие манипуляции производятся исключительно с копией. Оригинал сохраняется в неизменном виде, что обеспечивает возможность повторной экспертизы и проверки выводов.

Принцип научной обоснованности и валидации методик требует, чтобы применяемые экспертом методы, программные и аппаратные средства были научно апробированы, а их результаты — воспроизводимы и проверяемы. Использование непроверенного, самописного программного обеспечения без доказательств корректности его работы ставит под сомнение все выводы эксперта. В экспертной практике применяются как стандартизированные инструменты, такие как EnCase Forensic, PC3000 и Zert, так и специализированные утилиты, валидация которых подтверждена документально .

Принцип документированности и верифицируемости обязывает эксперта детально протоколировать весь ход исследования. Фиксации подлежат: какие инструменты использовались, с какими параметрами, какие последовательности команд выполнялись, какие промежуточные результаты были получены. Такая документация позволяет не только проверить выводы, но и при необходимости воспроизвести исследование полностью.

Визуальный метод исследования занимает особое положение среди методов компьютерно-технической экспертизы. Несмотря на кажущуюся простоту, визуальное исследование требует сосредоточенности и внимания для выявления признаков, не лежащих на поверхности. Осмотр внешнего вида устройств, фиксация серийных номеров, описание состояния корпусов и разъёмов — начальный этап любого экспертного исследования. Визуальный метод применяется как при непосредственном наблюдении, так и с использованием оптических устройств, усиливающих возможности восприятия .

Метод тестирования компьютерных средств основан на использовании стандартных, формализованных вопросов или задач, по результатам решения которых формируется вывод о состоянии исследуемого объекта. Тестирование, по существу, является разновидностью эксперимента, однако строго формализованного. Характер ответов и результаты решения задач дают возможность однозначно разрешить искомую задачу. Тестирование широко применяется при диагностике аппаратного обеспечения, проверке работоспособности устройств, верификации программных продуктов.

Метод тестирования программных и информационных продуктов приобрёл особую актуальность в связи с ростом числа дел, связанных с программным обеспечением и цифровым контентом. Перед экспертами всё чаще ставятся вопросы об авторстве программ, наличии определённой информации в памяти машины, функциональном назначении приложений. Для разрешения подобных вопросов применяются как операционные возможности машин и структурный анализ программных продуктов, так и специализированные аппаратно-программные комплексы.

Инструментальные средства, применяемые в компьютерно-технической экспертизе, подразделяются на несколько категорий. Программные средства обеспечения доступа к данным позволяют считывать информацию с носителей, обходя или нейтрализуя системы защиты. Средства поиска и извлечения данных обеспечивают нахождение файлов по ключевым словам, сигнатурам, регулярным выражениям. Средства восстановления удалённых данных анализируют служебные области файловой системы и восстанавливают содержимое удалённых файлов. Средства анализа файловых систем дают возможность исследовать структуру размещения данных, атрибуты файлов, журналы транзакций.

Программно-аппаратные комплексы представляют собой сочетание программных и аппаратных средств, обеспечивающее решение задач, недоступных для каждого из них в отдельности. К таким комплексам относится, например, оборудование для исследования микросхем памяти с помощью программаторов, анализа прошивок, восстановления данных с неисправных накопителей. Применение программно-аппаратных методов требует высокой квалификации эксперта и наличия специального оборудования.

Особую группу составляют методы криптографического исследования. К ним относятся средства анализа паролей, исследования зашифрованных данных, проверки цифровых подписей. Криптографические методы требуют специальных знаний и вычислительных ресурсов. Их применение позволяет получить доступ к защищённой информации, установить подлинность документов, выявить следы шифрования. Однако возможность применения криптографических методов ограничена вычислительной сложностью решения соответствующих задач и не всегда может быть реализована в приемлемые сроки.

Выбор методов исследования определяется характером объекта и поставленными задачами. В каждом конкретном случае эксперт обязан обосновать применение того или иного метода, продемонстрировать его пригодность для разрешения поставленного вопроса и обеспечить документирование всех этапов исследования. Такой подход соответствует требованиям, предъявляемым к заключению эксперта процессуальным законодательством, и обеспечивает доказательственную силу результатов компьютерно-технической экспертизы.

Обращение в Союз «Федерация судебных экспертов» гарантирует применение методик, соответствующих современному уровню развития науки и техники, и использование оборудования, прошедшего необходимую проверку и валидацию.

Раздел 4. Процессуальные аспекты назначения и производства компьютерно-технической экспертизы

Процессуальный порядок назначения и производства компьютерно-технической экспертизы определяется нормами уголовно-процессуального, гражданско-процессуального и арбитражно-процессуального законодательства. Соблюдение установленных процедур является обязательным условием допустимости заключения эксперта в качестве доказательства по делу.

Назначение экспертизы оформляется соответствующим процессуальным документом: постановлением следователя или дознавателя, определением суда. В документе должны быть указаны основания назначения экспертизы, вопросы, поставленные перед экспертом, объекты, представленные на исследование, и материалы дела, необходимые для дачи заключения. От того, насколько грамотно сформулированы вопросы, во многом зависит результативность экспертизы и полнота получаемых выводов.

Постановка вопросов перед экспертом требует учёта его компетенции. Вопросы, выходящие за пределы специальных знаний эксперта, не подлежат разрешению. Например, перед экспертом-компьютерщиком не могут ставиться вопросы правового характера: о виновности лица, о квалификации деяния. Разграничение вопросов факта и вопросов права является принципиальным для определения допустимости экспертного заключения.

Выбор экспертного учреждения или конкретного эксперта осуществляется лицом, назначившим экспертизу. При поручении производства экспертизы Союзу «Федерация судебных экспертов» заказчик получает гарантию квалифицированного подхода к исследованию, поскольку организация располагает штатом аттестованных специалистов в области компьютерно-технической экспертизы и необходимым инструментальным обеспечением. Независимость экспертного учреждения от органов, ведущих производство по делу, служит дополнительной гарантией объективности заключения.

Эксперт, которому поручено производство экспертизы, обязан провести всестороннее, полное и объективное исследование представленных объектов. Он вправе знакомиться с материалами дела, относящимися к предмету экспертизы, заявлять ходатайства о предоставлении дополнительных материалов, необходимых для дачи заключения. При недостаточности представленных материалов или сложности поставленных вопросов эксперт может заявить о невозможности дачи заключения, однако такая позиция должна быть мотивирована.

Заключение эксперта как процессуальный документ должно соответствовать установленным требованиям. В вводной части указываются сведения об эксперте, основания производства экспертизы, вопросы, поставленные перед экспертом, объекты исследования. В исследовательской части описывается процесс исследования, применённые методы и инструменты, полученные промежуточные результаты. В выводах формулируются ответы на поставленные вопросы. Заключение подписывается экспертом и удостоверяется печатью экспертного учреждения.

Оценка заключения эксперта лицом, ведущим производство по делу, включает проверку соблюдения процессуальных требований, научной обоснованности выводов, их соответствия исследовательской части. В случае возникновения сомнений в обоснованности заключения или наличия противоречий может быть назначена повторная или дополнительная экспертиза. Повторная экспертиза поручается другому эксперту или экспертам, дополнительная — тому же или другому эксперту в зависимости от характера возникших вопросов.

Участие эксперта в судебном заседании является формой процессуального взаимодействия, позволяющей разъяснить отдельные положения заключения, ответить на вопросы участников процесса. Эксперт не вправе разглашать сведения, ставшие ему известными в связи с производством экспертизы, если они составляют охраняемую законом тайну. Он также не вправе самостоятельно собирать материалы для исследования, вступать в контакты с участниками процесса по вопросам, связанным с производством экспертизы.

В рамках Союза «Федерация судебных экспертов» обеспечивается процессуальная корректность всех действий экспертов, оформление заключений в строгом соответствии с требованиями законодательства, а также готовность экспертов к защите своих выводов в судебных заседаниях. Такой подход минимизирует риск признания заключения недопустимым доказательством и повышает доверие к результатам экспертизы со стороны всех участников процесса.

Раздел 5. Особенности исследования аппаратных средств

Исследование аппаратных средств составляет одну из наиболее востребованных направлений компьютерно-технической экспертизы. Аппаратные объекты характеризуются разнообразием конструктивных исполнений, что требует от эксперта знания схемотехники, принципов работы вычислительных устройств и методов диагностики.

Первичный этап исследования аппаратного обеспечения начинается с визуального осмотра и фиксации внешнего состояния объекта. Описываются габариты, цвет, маркировочные обозначения, серийные номера, наличие повреждений, следы вскрытия или ремонта. Фиксация внешнего вида производится с применением фотографирования, при этом обеспечивается возможность идентификации объекта по сделанным снимкам в последующем.

Диагностика технического состояния аппаратного средства предполагает проверку работоспособности устройства в целом и его отдельных компонентов. Для этого применяются как программные средства диагностики, так и аппаратные методы, включая измерение электрических характеристик, тестирование сигналов на контактах, проверку работы механических узлов. При невозможности включения устройства в штатном режиме эксперт прибегает к методам покаскадной диагностики, позволяющим локализовать неисправность.

Установление причин неисправности является типичной диагностической задачей. Причинами могут выступать производственные дефекты, механические повреждения, термическое воздействие, электростатические разряды, некорректная эксплуатация, воздействие программных средств. Разграничение аппаратных и программных причин сбоев требует комплексного подхода и применения методов как технической диагностики, так и анализа программной среды.

Исследование носителей информации занимает особое место в силу их роли как хранилищ цифровых данных. При работе с накопителями на жёстких магнитных дисках эксперт учитывает возможность наличия скрытых областей, служебных зон, переназначенных секторов. Твердотельные накопители требуют учёта особенностей работы контроллера, процедур выравнивания износа и сборки мусора, которые могут влиять на доступность удалённых данных. Флеш-карты исследуются с учётом специфики их контроллеров и возможности восстановления информации после удаления.

Создание криминалистической копии носителя является обязательным этапом исследования. Копия создаётся побитово, с использованием блокираторов записи, исключающих возможность изменения оригинала. Правильность создания копии верифицируется путём сравнения хеш-сумм оригинала и копии. Совпадение хеш-сумм служит доказательством идентичности образа и оригинала. Все дальнейшие исследования проводятся исключительно с копией.

Восстановление удалённых данных представляет собой сложную задачу, решение которой зависит от множества факторов. Удаление файла не приводит к немедленному уничтожению его содержимого: информация сохраняется на носителе до тех пор, пока занимаемые ею секторы не будут перезаписаны новыми данными. Эффективность восстановления зависит от времени, прошедшего с момента удаления, и от интенсивности использования носителя после удаления. Для восстановления применяются специализированные программные средства, анализирующие служебные области файловой системы и находящие записи об удалённых файлах.

Исследование мобильных устройств выделилось в самостоятельное направление в связи с их широким распространением и спецификой конструкции. Смартфоны и планшеты содержат энергонезависимую память, доступ к которой может быть ограничен производителем. Для извлечения данных применяются как программные методы, использующие отладочные интерфейсы и уязвимости операционной системы, так и аппаратные методы, включающие непосредственное подключение к микросхемам памяти. Выбор метода определяется моделью устройства, версией операционной системы и состоянием устройства.

При исследовании аппаратных средств эксперт обязан учитывать возможность наличия средств защиты информации, препятствующих доступу к данным. Шифрование накопителей, парольная защита, биометрическая идентификация — эти и другие механизмы могут существенно осложнить исследование. В таких случаях эксперт фиксирует наличие средств защиты и по возможности применяет методы их обхода, однако не вправе прибегать к действиям, приводящим к уничтожению информации.

Для проведения компьютерно-технической экспертизы аппаратных средств в Союзе «Федерация судебных экспертов» используется специализированное оборудование, включающее аппаратные блокираторы записи, программаторы, диагностические комплексы. Применение сертифицированного и валидированного оборудования обеспечивает достоверность получаемых результатов и их признание в процессуальном порядке.

Раздел 6. Исследование программного обеспечения

Программное обеспечение как объект компьютерно-технической экспертизы требует от эксперта глубоких знаний в области программирования, операционных систем и прикладных приложений. Исследование программных продуктов направлено на установление их функционального назначения, подлинности, наличия признаков вредоносного поведения, а также на разрешение иных вопросов, имеющих значение для дела.

Установление функционального назначения программного обеспечения является одной из основных задач. Эксперт определяет, для чего предназначена программа, какие функции она выполняет, соответствует ли её поведение заявленному описанию. Для этого применяются методы статического и динамического анализа. Статический анализ предполагает исследование исполняемого кода без его запуска: дизассемблирование, декомпиляция, анализ строк и импортируемых функций. Динамический анализ связан с запуском программы в контролируемой среде и наблюдением за её поведением.

Выявление признаков вредоносного программного обеспечения составляет отдельное направление экспертной работы. Вредоносные программы классифицируются по способу распространения и характеру воздействия: вирусы, черви, троянские программы, программы-шпионы, программы-вымогатели. Для обнаружения вредоносного кода применяются антивирусные средства, однако их использование не исчерпывает возможностей эксперта. Антивирусные программы могут не обнаруживать новые или модифицированные образцы, поэтому эксперт прибегает к анализу поведения программы, исследованию её взаимодействия с операционной системой и сетевой активностью.

Исследование программного обеспечения на предмет соответствия лицензионным требованиям также относится к компетенции эксперта. Устанавливается факт использования нелицензионного программного продукта, наличие признаков модификации исполняемых файлов, обход средств защиты от копирования. Подобные исследования требуют сопоставления исследуемого экземпляра с эталонным, анализа контрольных сумм, проверки цифровых подписей.

Анализ программного кода как объекта авторского права предполагает установление признаков заимствования, компиляции из общего исходного кода, наличия уникальных идентификаторов. Для этого применяются методы сравнительного анализа, выявления совпадающих фрагментов, исследования структуры кода. Установление автора программы по особенностям стиля программирования представляет собой сложную задачу, решение которой возможно лишь при наличии достаточной базы сравнения.

Исследование операционных систем и системного программного обеспечения направлено на установление конфигурации системы, параметров настройки, журналов событий. Анализ журналов операционной системы позволяет установить время входа в систему, запуска приложений, подключения устройств, возникновения ошибок. Эти данные имеют существенное значение для реконструкции событий, связанных с расследуемым деянием.

Прикладное программное обеспечение исследуется в контексте его использования для создания, обработки или передачи информации. Устанавливается, запускалась ли конкретная программа, какие файлы открывались в ней, производились ли операции сохранения или экспорта данных. Для получения таких сведений анализируются кэш приложений, списки недавних документов, файлы конфигурации, журналы.

Исследование программного обеспечения требует создания стерильной среды, исключающей влияние на результаты внешних факторов. Для этого применяются виртуальные машины, изолированные стенды, эмуляторы. Запуск исследуемых программ производится в условиях, предотвращающих их воздействие на реальные данные и сетевые ресурсы. Документирование всех действий эксперта обеспечивает возможность проверки и воспроизведения результатов.

В экспертной практике применяются как стандартизированные инструменты анализа программного обеспечения, так и специализированные разработки. Выбор инструмента определяется характером задачи и типом исследуемого объекта. При использовании нестандартных средств эксперт обязан обосновать их пригодность и продемонстрировать корректность получаемых результатов.

Специалисты Союза «Федерация судебных экспертов» обладают опытом исследования программного обеспечения различных классов, включая системное программное обеспечение, прикладные приложения, вредоносные программы, средства защиты информации. Применение валидированных методик и сертифицированного инструментария обеспечивает доказательственную значимость выводов.

Раздел 7. Информационно-компьютерная экспертиза данных

Информационно-компьютерная экспертиза направлена на исследование собственно данных, хранящихся на носителях информации. Объектами данного направления выступают файлы различных форматов: текстовые документы, графические изображения, аудио- и видеофайлы, базы данных, журналы событий, конфигурационные файлы. Задачи, разрешаемые при исследовании информационных объектов, связаны с установлением их содержания, происхождения, времени создания и изменения, а также последовательности действий пользователя.

Установление содержания файла является базовой задачей информационно-компьютерной экспертизы. Эксперт извлекает данные из файла и представляет их в читаемом виде, пригодном для восприятия участниками процесса. Для файлов стандартных форматов применяются соответствующие приложения, однако в ряде случаев требуется восстановление структуры файла или декодирование данных, хранящихся в нестандартном формате. При исследовании баз данных эксперт извлекает записи, устанавливает структуру таблиц, восстанавливает связи между данными.

Определение времени создания и изменения файлов основывается на анализе метаданных файловой системы. Файловые системы хранят сведения о времени создания файла, последнего доступа к нему, последней модификации. Эти данные могут быть использованы для реконструкции хронологии событий. Однако эксперт обязан учитывать, что временные метки могут быть изменены как программными средствами, так и в результате изменения системного времени. Поэтому выводы о времени создания файла делаются с осторожностью и подкрепляются анализом других данных.

Восстановление истории действий пользователя предполагает исследование различных артефактов операционной системы и приложений. К таким артефактам относятся: списки недавно открывавшихся документов, кэш браузеров, журналы посещённых веб-сайтов, файлы предыстории ввода, журналы подключения внешних устройств. Анализ совокупности артефактов позволяет составить достаточно полную картину действий пользователя за определённый период.

Исследование графических и мультимедийных файлов включает установление их подлинности, выявление признаков редактирования или монтажа. Анализ метаданных, таких как данные EXIF для изображений, может содержать сведения о устройстве съёмки, дате и времени, параметрах экспозиции. Однако метаданные могут быть удалены или изменены, поэтому их наличие не гарантирует подлинности, а отсутствие не свидетельствует о подделке.

Поиск информации по ключевым словам является распространённым методом исследования информационных объектов. Эксперт осуществляет поиск в массиве данных, используя заданные заказчиком критерии. Результаты поиска фиксируются и представляются в заключении. При поиске по ключевым словам важно учитывать возможные искажения, связанные с кодировкой текста, использованием синонимов, опечатками.

Исследование сетевых артефактов позволяет установить факты сетевого взаимодействия: обращения к удалённым ресурсам, передачи данных, использования сетевых служб. Анализу подвергаются журналы сетевых служб, кэш DNS, файлы конфигурации сетевых интерфейсов, данные мониторинга трафика. Сетевые артефакты могут сохраняться как на исследуемом устройстве, так и на сетевом оборудовании, и их получение может требовать взаимодействия с администраторами сетей.

При исследовании информационных объектов эксперт обязан обеспечить неизменность исходных данных. Работа производится с копиями, оригиналы сохраняются в неприкосновенности. Все действия документируются, применяемые инструменты и их параметры фиксируются. Результаты исследования представляются в форме, доступной для проверки: таблицы, распечатки, выписки из файлов.

Информационно-компьютерная экспертиза часто назначается в комплексе с аппаратно-компьютерной и программно-компьютерной экспертизой. Комплексное исследование позволяет разрешить вопросы, требующие одновременного применения знаний из различных областей. Например, установление факта запуска вредоносной программы требует исследования как программного обеспечения, так и информационных артефактов, оставленных этой программой.

В Союзе «Федерация судебных экспертов» информационно-компьютерная экспертиза проводится с применением широкого спектра программных средств, обеспечивающих извлечение, поиск, восстановление и анализ данных. Специалисты организации имеют опыт работы с файловыми системами различных типов, базами данных, форматами мультимедиа, что позволяет решать задачи любой сложности.

Раздел 8. Компьютерно-сетевая экспертиза

Компьютерно-сетевая экспертиза выделилась в самостоятельное направление в связи с широким распространением сетевых технологий и необходимостью исследования обстоятельств сетевого взаимодействия. Объектами данного направления выступают сетевые аппаратные средства, сетевые протоколы, журналы сетевых служб, конфигурации сетевых интерфейсов, данные мониторинга трафика.

Специфика компьютерно-сетевой экспертизы обусловлена тем, что работа компьютера в сети существенно отличается от работы в автономном режиме. Сетевые взаимодействия оставляют следы как на локальных устройствах, так и на промежуточном оборудовании. Получение полной картины события требует анализа данных из различных источников, что может быть сопряжено с организационными и техническими сложностями.

Установление факта сетевого взаимодействия является типичной задачей компьютерно-сетевой экспертизы. Эксперт исследует журналы сетевых служб, кэш DNS, таблицы соединений, данные мониторинга трафика для подтверждения или опровержения факта обмена данными между устройствами. Анализ сетевых пакетов позволяет установить участников обмена, содержание переданных сообщений, время и последовательность событий.

Исследование конфигурации сетевых интерфейсов даёт возможность установить параметры подключения устройства к сети: IP-адрес, маску подсети, шлюз по умолчанию, DNS-серверы. Эти данные могут быть использованы для идентификации устройства в сети и установления его места в сетевой топологии. Однако следует учитывать, что конфигурация может быть изменена как пользователем, так и программными средствами, а IP-адреса могут динамически распределяться.

Анализ журналов сетевых служб позволяет восстановить хронологию сетевых событий. Журналы веб-серверов, прокси-серверов, файрволов содержат записи о запросах, подключениях, отказах в доступе. Исследование этих записей даёт возможность установить, с каких адресов производились обращения, к каким ресурсам, в какое время. Журналы могут храниться как на локальных устройствах, так и на серверах, и их получение требует взаимодействия с администраторами соответствующих систем.

Исследование сетевого оборудования предполагает анализ конфигураций коммутаторов, маршрутизаторов, точек доступа. Эксперт устанавливает правила маршрутизации, списки контроля доступа, настройки портов, таблицы MAC-адресов. Эти данные позволяют reconstruct топологию сети и установить, какие устройства были подключены к определённым сегментам сети.

При исследовании сетевых артефактов эксперт сталкивается с проблемой распределённости данных. Следы сетевого взаимодействия могут находиться на множестве устройств, и их сбор требует согласованных действий. Кроме того, сетевое оборудование часто не сохраняет детальных журналов или хранит их в течение ограниченного времени. Эти обстоятельства должны учитываться при планировании экспертизы и оценке полноты получаемых данных.

Компьютерно-сетевая экспертиза часто связана с исследованием инцидентов информационной безопасности: несанкционированного доступа, сетевых атак, утечек данных. Для установления обстоятельств таких инцидентов применяются методы анализа трафика, исследования журналов безопасности, выявления аномалий в сетевой активности. Эксперт должен обладать знаниями в области сетевых протоколов и средств защиты информации.

При производстве компьютерно-сетевой экспертизы в Союзе «Федерация судебных экспертов» применяются специализированные анализаторы трафика, средства исследования журналов, инструменты моделирования сетевых взаимодействий. Специалисты организации обладают практическим опытом анализа сетевых инцидентов и могут привлекаться для разрешения сложных вопросов, связанных с сетевыми технологиями.

Раздел 9. Кейс 1: Исследование факта несанкционированного доступа к корпоративной информационной системе

В производство экспертного учреждения поступило определение суда о назначении компьютерно-технической экспертизы по делу о неправомерном доступе к охраняемой законом компьютерной информации. Согласно материалам дела, из корпоративной информационной системы организации были похищены сведения, составляющие коммерческую тайну. Следствие располагало данными о том, что доступ был осуществлён с рабочей станции одного из сотрудников в нерабочее время.

На исследование были представлены: системный блок рабочей станции, серверный накопитель с журналами событий, сетевое хранилище с резервными копиями, а также логи файрвола за период, охватывающий предполагаемое событие. Задачей эксперта являлось установление факта подключения к информационной системе извне, идентификация устройства, с которого производился доступ, и определение времени совершения действий.

На первом этапе была создана криминалистическая копия жёсткого диска рабочей станции с использованием аппаратного блокиратора записи. Хеш-суммы оригинала и копии совпали, что подтвердило корректность созданного образа. Дальнейшие исследования производились исключительно с копией. Аналогичным образом были созданы копии серверных журналов и конфигураций сетевого оборудования.

Анализ журналов операционной системы рабочей станции показал, что в предполагаемое время в системе был зарегистрирован вход под учётной записью сотрудника, которому принадлежало устройство. Однако время входа не соответствовало обычному графику работы. Журналы также содержали записи о подключении внешнего USB-устройства незадолго до входа в систему. Исследование реестра позволило установить, что данное устройство ранее не подключалось к рабочей станции.

Изучение журналов файрвола выявило входящее соединение на порт удалённого доступа, инициированное с IP-адреса, не принадлежащего корпоративной сети. Соединение было установлено за несколько минут до регистрации входа в операционной системе. Время соединения совпало с периодом, когда, согласно показаниям свидетелей, сотрудник находился в другом месте.

Анализ сетевого трафика, сохранённого на пограничном маршрутизаторе, подтвердил факт обмена данными между рабочей станцией и внешним IP-адресом. Объём переданных данных соответствовал размеру похищенных файлов. Содержимое трафика было зашифровано, однако метаданные соединения позволили установить направление передачи и примерный объём.

Исследование USB-устройства, изъятого у сотрудника, показало наличие на нём файлов, идентичных по содержанию похищенным документам. Временные метки файлов соответствовали периоду, установленному по журналам. Хеш-суммы файлов на USB-устройстве совпали с хеш-суммами файлов, хранившихся в корпоративной системе до инцидента.

На основании совокупности исследованных данных эксперт пришёл к выводу, что доступ к информационной системе был осуществлён удалённо с использованием средств удалённого администрирования, установленных на рабочей станции. Устройство, с которого производился доступ, не принадлежало корпоративной сети. Факт копирования данных на внешний носитель подтверждался журналами операционной системы и результатами исследования USB-устройства. Время совершения действий было установлено с точностью до минуты на основании сопоставления данных из различных источников.

Заключение эксперта было представлено в суд и использовано при вынесении приговора. Защита не оспорила выводы эксперта, поскольку методика исследования и применённые инструменты были подробно документированы, а результаты поддавались проверке. Данный кейс демонстрирует значение комплексного анализа данных из различных источников для установления обстоятельств компьютерных инцидентов.

Раздел 10. Кейс 2: Восстановление удалённых файлов при расследовании дела о мошенничестве

В рамках расследования уголовного дела о мошенничестве в сфере предпринимательской деятельности следователь назначил компьютерно-техническую экспертизу изъятого у подозреваемого ноутбука. По версии следствия, подозреваемый использовал ноутбук для подготовки документов, содержащих заведомо ложные сведения о финансовом состоянии организации, которые впоследствии были представлены контрагентам. Сам подозреваемый утверждал, что ноутбук использовался исключительно для личных целей и не содержит документов, связанных с коммерческой деятельностью.

На исследование был представлен ноутбук с установленной операционной системой и офисным пакетом. При первичном осмотре эксперт зафиксировал внешнее состояние устройства, отсутствие видимых повреждений, наличие учётной записи пользователя, защищённой паролем. Для доступа к данным был создан побитовый образ накопителя с использованием программно-аппаратного комплекса, после чего работа производилась с копией.

Первичный анализ файловой системы показал наличие стандартного набора пользовательских файлов: документы, изображения, музыка. Файлы, связанные с коммерческой деятельностью, в видимых каталогах отсутствовали. Однако анализ служебных областей файловой системы выявил записи об удалённых файлах, относящихся к периоду, указанному в материалах дела. Количество удалённых файлов значительно превышало обычный уровень для личного устройства.

Для восстановления удалённых данных эксперт применил специализированное программное обеспечение, анализирующее журналы файловой системы и нераспределённые области накопителя. В результате было восстановлено несколько десятков файлов, среди которых оказались документы с расширениями текстовых форматов и электронных таблиц. Содержание восстановленных документов включало финансовые расчёты, договоры, деловую переписку, относящуюся к деятельности организации, упомянутой в материалах дела.

Временные метки восстановленных файлов указывали на то, что они создавались и редактировались в период, охватывающий предполагаемые преступные действия. Анализ метаданных офисных документов позволил установить имена авторов, названия организаций, пути к сетевым ресурсам, которые использовались при работе с файлами. Эти сведения corroborated с данными, полученными из других источников, в частности из документов, изъятых в офисе организации.

Дополнительно эксперт исследовал кэш офисного пакета и списки недавних документов. В кэше сохранились фрагменты содержимого документов, которые не были восстановлены полностью. Списки недавних документов содержали пути к файлам на сетевом ресурсе, что свидетельствовало о работе с корпоративной сетью. Журналы подключений к сети содержали записи о подключении к VPN-серверу организации в соответствующие периоды.

Исследование журналов браузера выявило посещения сайтов, связанных с финансовой отчётностью и регистрацией юридических лиц. История поисковых запросов содержала запросы, касающиеся порядка составления бухгалтерской отчётности и минимизации налоговых обязательств. Эти данные, хотя и не являлись прямым доказательством, corroborated версию следствия о целенаправленной подготовке к совершению мошенничества.

Защита заявила ходатайство о признании заключения эксперта недопустимым доказательством, ссылаясь на то, что восстановленные файлы могли быть созданы после удаления и не отражают реального содержания работы пользователя. Эксперт в судебном заседании разъяснил, что восстановление производилось с копии, целостность которой подтверждена хеш-суммами, а временные метки файлов согласуются с данными из независимых источников. Суд признал заключение допустимым и положил его в основу приговора.

Данный кейс иллюстрирует важность восстановления удалённых данных как источника доказательственной информации. Удаление файлов не означает их безвозвратного уничтожения, и квалифицированное исследование позволяет восстановить информацию, имеющую существенное значение для дела. Обращение в Союз «Федерация судебных экспертов» в подобных случаях обеспечивает применение апробированных методик восстановления и документирование всех этапов работы.

Раздел 11. Кейс 3: Экспертиза программного обеспечения на предмет наличия вредоносного кода

Организация обратилась в правоохранительные органы с заявлением о неправомерном воздействии на её информационную систему, выразившемся в блокировке файлов и требовании выкупа. По данному факту было возбуждено уголовное дело, в рамках которого назначена компьютерно-техническая экспертиза. На исследование представлены: сервер организации, с которого произошло распространение вредоносной программы, жёсткий диск одного из пострадавших компьютеров, а также образец файла, предположительно являющегося программой-вымогателем, изъятый с заражённой машины.

Перед экспертом были поставлены вопросы: является ли представленный файл вредоносной программой; каков механизм его воздействия на компьютерные системы; возможно ли определение источника распространения программы. Для ответа на поставленные вопросы эксперт применил методы статического и динамического анализа.

Статический анализ начался с исследования структуры исполняемого файла. Эксперт установил формат файла, архитектуру, для которой он предназначен, наличие цифровой подписи. Подпись отсутствовала, что является типичным для вредоносных программ. Анализ строк, содержащихся в файле, выявил наличие путей к системным каталогам, команд для работы с файловой системой, а также строк, характерных для программ-вымогателей: названия алгоритмов шифрования, расширения зашифрованных файлов, текст требования выкупа.

Дизассемблирование кода позволило выявить последовательность действий программы. Было установлено, что программа при запуске проверяет наличие «метки заражения» в системе, чтобы избежать повторного шифрования. Затем она перечисляет файлы в определённых каталогах, отбирая документы, изображения, архивы и базы данных. Для каждого файла создаётся зашифрованная копия, а оригинал удаляется. В завершение создаётся файл с требованием выкупа и контактными данными.

Динамический анализ производился в изолированной виртуальной среде. Эксперт запустил программу на тестовой машине с файлами-приманками и наблюдал за её поведением. Поведение соответствовало результатам статического анализа: файлы были зашифрованы, оригиналы удалены, создан файл с требованием выкупа. Мониторинг сетевой активности показал, что программа attempted установить соединение с удалённым сервером для передачи ключа шифрования, однако в изолированной среде соединение было заблокировано.

Исследование сервера, с которого распространялась программа, выявило наличие уязвимости в веб-приложении, позволившей злоумышленнику загрузить вредоносный файл. Журналы веб-сервера содержали записи о запросах, соответствующих эксплуатации уязвимости, с IP-адреса, зарегистрированного за пределами Российской Федерации. Временные метки записей совпадали со временем начала массового заражения.

На основании проведённого исследования эксперт пришёл к выводу, что представленный файл является вредоносной программой класса «программа-вымогатель». Механизм воздействия включает шифрование пользовательских файлов и требование выкупа за восстановление доступа. Источником распространения являлся скомпрометированный сервер организации, уязвимость в веб-приложении которого была использована для загрузки вредоносного файла.

Заключение эксперта позволило следствию квалифицировать деяние как неправомерный доступ к компьютерной информации с использованием вредоносной программы. Материалы экспертизы были использованы для установления размера ущерба и определения круга потерпевших. Специалисты, проводившие исследование, обладали необходимой квалификацией в области анализа вредоносного кода, а применённые инструменты и методы были документированы в достаточной степени для проверки выводов.

Раздел 12. Кейс 4: Установление авторства программного кода

В рамках гражданского дела о защите авторских прав на программное обеспечение истец утверждал, что ответчик неправомерно использовал разработанный истцом программный продукт, модифицировав его и распространяя под своим именем. Ответчик отрицал использование кода истца, утверждая, что разработал собственный продукт независимо. Суд назначил компьютерно-техническую экспертизу для установления наличия заимствования в программном коде.

На исследование были представлены исходные коды программных продуктов истца и ответчика, а также исполняемые файлы, распространяемые ответчиком. Эксперт должен был ответить на вопросы: содержат ли исходные коды ответчика фрагменты, совпадающие с кодом истца; имеются ли признаки компиляции исполняемых файлов из исходного кода истца; возможно ли установление факта независимой разработки.

Эксперт начал с нормализации представленных исходных кодов: приведения к единому формату, удаления комментариев, стандартизации отступов. Затем был произведён сравнительный анализ с использованием методов поиска точных совпадений и нечёткого сравнения. Точные совпадения значительных фрагментов кода были обнаружены в нескольких модулях, отвечающих за обработку данных и пользовательский интерфейс.

Для оценки значимости совпадений эксперт применил метрики, учитывающие длину совпадающих фрагментов, их функциональную нагрузку, наличие в открытых источниках. Было установлено, что совпадающие фрагменты не являются тривиальными и не могут быть объяснены использованием общих библиотек или стандартных паттернов программирования. Уникальные имена переменных, характерные комментарии и структурные особенности, присутствовавшие в коде истца, были обнаружены в коде ответчика.

Анализ исполняемых файлов ответчика показал наличие строк и символов, совпадающих с символами в исполняемых файлах истца. Отладочная информация, сохранившаяся в исполняемых файлах, содержала пути к файлам, соответствующие структуре проекта истца. Цифровые подписи отсутствовали, что не позволяло напрямую установить цепочку компиляции, однако совокупность признаков указывала на компиляцию из кода, производного от кода истца.

Ответчик в своих объяснениях ссылался на то, что совпадения обусловлены использованием одних и тех же открытых библиотек и следованием общим рекомендациям по программированию. Эксперт проверил данное утверждение, сравнив совпадающие фрагменты с кодом открытых библиотек, указанных ответчиком. Было установлено, что совпадающие фрагменты не входят в состав этих библиотек и не являются типичными реализациями стандартных алгоритмов.

Дополнительно эксперт исследовал историю разработки, восстановленную по метаданным файлов и журналам систем контроля версий, представленным сторонами. Хронология создания файлов у ответчика указывала на то, что значительные объёмы кода появились в короткий срок, что нехарактерно для независимой разработки сложного продукта. Отдельные файлы ответчика содержали следы редактирования, характерные для копирования и последующей адаптации.

На основании совокупности исследованных данных эксперт пришёл к выводу, что исходные коды ответчика содержат фрагменты, заимствованные из кода истца. Объём заимствования составляет значительную часть функционально нагруженных модулей. Признаки независимой разработки в отношении этих фрагментов отсутствуют. Исполняемые файлы ответчика с высокой вероятностью скомпилированы из кода, производного от кода истца.

Заключение эксперта было положено в основу решения суда об удовлетворении исковых требований. Суд признал факт нарушения исключительных прав истца и взыскал компенсацию. Дело демонстрирует возможности компьютерно-технической экспертизы в установлении фактов заимствования программного кода, которые не очевидны при поверхностном сравнении. Методика, применённая экспертом, включала как автоматизированные инструменты сравнения, так и экспертный анализ значимости совпадений, что обеспечило обоснованность выводов.

Раздел 13. Кейс 5: Исследование мобильного устройства при расследовании дела о незаконном обороте информации

В ходе расследования уголовного дела о незаконном обороте сведений, составляющих личную тайну, у подозреваемого был изъят смартфон. Следствие полагало, что устройство использовалось для получения, хранения и передачи информации, добытой незаконным путём. Подозреваемый утверждал, что смартфон принадлежит его супруге и не содержит информации, относящейся к делу.

Перед экспертом были поставлены вопросы: какие данные хранятся в памяти устройства; имеются ли среди них сведения, относящиеся к предмету расследования; осуществлялась ли передача данных с устройства. Для доступа к данным требовалось преодолеть блокировку экрана, установленную на устройстве.

Смартфон был представлен в выключенном состоянии. Эксперт поместил устройство в экранирующую камеру, предотвращающую удалённое стирание данных, и создал образ памяти с использованием специализированного программно-аппаратного комплекса. Для обхода блокировки был применён метод, использующий уязвимость загрузчика, позволивший получить доступ к разделам памяти без потери данных.

Анализ образа выявил наличие нескольких учётных записей, в том числе учётной записи, зарегистрированной на имя подозреваемого. Журналы устройства содержали записи о звонках и сообщениях, связанных с лицами, упомянутыми в материалах дела. В памяти приложений для обмена сообщениями были обнаружены диалоги, содержащие обсуждение передачи сведений, которые следствие квалифицировало как личную тайну.

Приложение для работы с электронной почтой содержало черновики писем с вложениями, в которых находились файлы, содержащие персональные данные третьих лиц. Метаданные файлов указывали на то, что они были созданы на другом устройстве и скопированы на смартфон. Анализ журналов синхронизации показал, что файлы были загружены в облачное хранилище и доступны с других устройств.

Геолокационные данные, сохранённые в памяти устройства, позволили установить маршруты перемещений, которые коррелировали с местами встреч, упомянутыми в показаниях свидетелей. Временные метки геоданных совпадали с временем отправки сообщений, содержащих информацию о передаче сведений.

Подозреваемый в своих объяснениях утверждал, что не знал о содержимом устройства и что устройством пользовалась его супруга. Однако анализ журналов разблокировки показал, что устройство разблокировалось с использованием биометрических данных, зарегистрированных на подозреваемого, в том числе в моменты, когда, по показаниям свидетелей, он находился один.

Эксперт также исследовал вопрос о передаче данных с устройства. Журналы сетевых подключений содержали записи о подключении к точкам доступа Wi-Fi в местах, соответствующих предполагаемым встречам. Объём переданных данных в отдельные сессии соответствовал размеру файлов, обнаруженных в почтовых черновиках. Содержание трафика не сохранилось, однако метаданные соединений corroborated вывод о передаче информации.

На основании проведённого исследования эксперт пришёл к выводу, что в памяти смартфона хранятся данные, относящиеся к предмету расследования, включая файлы с персональными данными третьих лиц и переписку, содержащую обсуждение их передачи. Устройство использовалось подозреваемым, что подтверждается журналами разблокировки и учётными записями. Передача данных с устройства осуществлялась, в том числе через облачные сервисы и приложения обмена сообщениями.

Заключение эксперта было использовано следствием для предъявления обвинения. Защита attempted оспорить допустимость экспертизы, ссылаясь на применение методов обхода блокировки, однако суд признал заключение допустимым, поскольку исследование производилось с копией, оригинал не был изменён, а методика обхода блокировки не влияла на достоверность извлечённых данных. Кейс демонстрирует важность исследования мобильных устройств как источников доказательственной информации и возможности преодоления защитных механизмов современными экспертными средствами.

Раздел 14. Кейс 6: Экспертиза серверного оборудования по делу о разглашении коммерческой тайны

Организация обратилась в арбитражный суд с иском о взыскании убытков, причинённых разглашением коммерческой тайны бывшим сотрудником, перешедшим на работу к конкуренту. Истец утверждал, что сотрудник скопировал конфиденциальные документы с корпоративного сервера перед увольнением. Ответчик отрицал факт копирования, утверждая, что доступ к документам был обусловлен рабочими обязанностями и не сопровождался неправомерным использованием.

Суд назначил компьютерно-техническую экспертизу серверного оборудования истца. На исследование были представлены серверный накопитель с журналами доступа, система хранения резервных копий, а также рабочая станция ответчика, изъятая по месту работы. Задачей эксперта являлось установление факта доступа к конфиденциальным документам, объёма скопированных данных и способа копирования.

Эксперт создал образы накопителей с использованием аппаратных средств, исключающих запись. Анализ журналов сервера начался с установления структуры хранения конфиденциальных документов и прав доступа к ним. Было установлено, что доступ к соответствующему каталогу имели несколько сотрудников, включая ответчика. Журналы содержали записи об обращениях к файлам, включая операции чтения и копирования.

Фильтрация журналов по учётной записи ответчика и временному периоду, предшествовавшему увольнению, выявила серию обращений к конфиденциальным файлам, которые не были связаны с текущими рабочими задачами. Обращения производились в нерабочее время и с рабочей станции, закреплённой за ответчиком. Объём прочитанных данных значительно превышал обычный уровень для данного пользователя.

Журналы также содержали записи о подключении внешних USB-устройств к рабочей станции ответчика в те же периоды. Идентификаторы устройств не совпадали с устройствами, зарегистрированными в организации. Время подключения коррелировало со временем обращения к конфиденциальным файлам.

Исследование рабочей станции ответчика выявило следы копирования файлов на внешний носитель. Журналы операционной системы содержали записи о подключении USB-устройства, а в кэше системы сохранились имена файлов, соответствующие конфиденциальным документам. Однако сами файлы на рабочей станции отсутствовали, что согласовывалось с версией о копировании на внешний носитель и последующем удалении.

Анализ сетевой активности рабочей станции показал подключения к облачным хранилищам данных в период, следующий за копированием. Объём переданных данных соответствовал размеру скопированных файлов. Содержание трафика не сохранилось, однако метаданные соединений указывали на передачу данных за пределы корпоративной сети.

Ответчик в судебном заседании утверждал, что обращения к файлам были обусловлены необходимостью завершения рабочих проектов перед увольнением. Однако эксперт в своём заключении отметил, что характер обращений — массовое чтение файлов, не связанных с текущими задачами, в нерабочее время, с последующим копированием на незарегистрированные носители — не соответствует типичной рабочей активности. Эксперт также указал, что часть файлов, к которым осуществлялся доступ, не входила в зону ответственности ответчика.

Суд признал заключение эксперта допустимым и положил его в основу решения об удовлетворении исковых требований. Было установлено, что ответчик осуществил неправомерное копирование конфиденциальных документов с использованием служебного положения. Кейс иллюстрирует значение анализа серверных журналов и артефактов рабочих станций для установления фактов неправомерного доступа к информации и копирования данных. Комплексный подход, включающий исследование серверной и клиентской частей, позволил восстановить полную картину события.

Раздел 15. Кейс 7: Исследование электронной почты при разрешении спора о заключении договора

В арбитражном процессе рассматривался спор между двумя организациями о заключении договора поставки. Истец утверждал, что договор был заключён путём обмена электронными письмами, содержащими оферту и акцепт. Ответчик отрицал получение оферты и утверждал, что представленные истцом распечатки электронной почты сфальсифицированы.

Суд назначил компьютерно-техническую экспертизу для установления подлинности электронной переписки. На исследование были представлены: почтовый сервер истца, почтовый сервер ответчика, а также компьютеры сотрудников, участвовавших в переписке. Перед экспертом были поставлены вопросы: имел ли место факт отправки и получения писем определённого содержания; соответствуют ли представленные распечатки данным, хранящимся на серверах; возможно ли установление факта изменения писем после отправки.

Эксперт начал с исследования почтового сервера истца. Журналы SMTP-соединений содержали записи об отправке писем на адрес ответчика в указанные в иске даты. Записи включали идентификаторы сообщений, размеры, время отправки. Содержимое писем было извлечено из хранилища сервера. Заголовки писем содержали стандартные поля, включая Message-ID, Date, From, To, Subject.

Аналогичное исследование было проведено в отношении почтового сервера ответчика. Журналы содержали записи о получении писем с сервера истца. Идентификаторы сообщений совпадали с идентификаторами, зафиксированными на сервере истца. Контрольные суммы вложений, вычисленные на обоих серверах, совпали. Это свидетельствовало о том, что письма, отправленные истцом, были получены сервером ответчика без изменений.

Однако ответчик утверждал, что письма не были доставлены конкретному сотруднику, а были получены на общий ящик и не были прочитаны. Для проверки этого утверждения эксперт исследовал журналы почтового клиента сотрудника ответчика. Журналы содержали записи о подключении к почтовому серверу и загрузке сообщений. Идентификаторы загруженных сообщений совпадали с идентификаторами спорных писем. Отметки о прочтении отсутствовали, однако факт загрузки подтверждал, что письма были доступны сотруднику.

Эксперт также проверил представленные истцом распечатки на предмет соответствия данным серверов. Содержание распечаток совпало с содержимым писем, извлечённых с серверов. Заголовки, включая технические поля, также совпали. Признаков редактирования распечаток не было обнаружено.

Дополнительно эксперт исследовал возможность изменения писем после отправки. Анализ заголовков не выявил признаков повторной отправки или пересылки. Контрольные суммы, вычисленные для писем на сервере истца и на сервере ответчика, совпали, что исключало возможность изменения содержимого в процессе передачи. Журналы серверов не содержали записей о повторной отправке или изменении спорных сообщений.

На основании проведённого исследования эксперт пришёл к выводу, что письма, содержащие оферту и акцепт, были отправлены с почтового сервера истца и получены почтовым сервером ответчика. Содержимое писем на серверах соответствует представленным распечаткам. Признаков фальсификации или изменения переписки не обнаружено. Сотрудник ответчика, которому были адресованы письма, имел техническую возможность ознакомиться с их содержанием.

Суд признал заключение эксперта допустимым и удовлетворил исковые требования, признав договор заключённым. Ответчик не представил доказательств, опровергающих выводы эксперта. Кейс демонстрирует значение исследования серверной инфраструктуры электронной почты для установления фактов обмена документами. В отличие от простого представления распечаток, экспертиза серверов позволяет установить подлинность переписки и исключить возможность фальсификации.

Раздел 16. Кейс 8: Экспертиза факта использования нелицензионного программного обеспечения

Правообладатель программного обеспечения обратился в суд с иском к организации о взыскании компенсации за нарушение исключительных прав. Истец утверждал, что на компьютерах ответчика установлено и используется нелицензионное программное обеспечение, принадлежащее истцу. Ответчик утверждал, что использует только лицензионные экземпляры, а проверка, проведённая истцом, была некорректной.

Суд назначил компьютерно-техническую экспертизу. На исследование были представлены системные блоки компьютеров ответчика, изъятые в ходе осмотра, а также документы, подтверждающие приобретение лицензий. Перед экспертом были поставлены вопросы: какое программное обеспечение установлено на представленных компьютерах; является ли использование установленного программного обеспечения лицензионным; имеются ли признаки модификации программ или обхода средств защиты.

Эксперт создал образы накопителей представленных компьютеров. Анализ установленного программного обеспечения начался с инвентаризации: определения перечня установленных программ, их версий, наличия лицензионных ключей и активации. Для каждой программы, указанной в иске, эксперт проверил наличие признаков лицензионной установки.

Было установлено, что на нескольких компьютерах установлены экземпляры программ, указанных в иске. Однако лицензионные ключи, введённые на этих компьютерах, совпадали между собой, что противоречит условиям лицензирования, допускающим использование одного ключа только на одном компьютере. Кроме того, часть ключей отсутствовала в базах активации правообладателя, что указывало на их нелегитимное происхождение.

Эксперт также исследовал вопрос о модификации программ. Сравнение исполняемых файлов с эталонными версиями, полученными от правообладателя, выявило различия в файлах, отвечающих за проверку лицензии. Дизассемблирование модифицированных файлов показало наличие изменений, направленных на обход процедуры активации. Характер изменений соответствовал типичным методам обхода защиты, применяемым в нелицензионном программном обеспечении.

Ответчик представил документы, подтверждающие приобретение лицензий на часть программ. Эксперт сопоставил серийные номера лицензий, указанные в документах, с серийными номерами, активированными на компьютерах. Часть лицензий, указанных в документах, не была активирована. На компьютерах, где должны были быть активированы эти лицензии, были установлены программы с нелегитимными ключами или модифицированными файлами.

Эксперт также проверил журналы установки программ. Журналы содержали записи об установке программ в даты, предшествующие приобретению лицензий, указанных ответчиком. Это свидетельствовало о том, что программы использовались до приобретения лицензий, что также является нарушением лицензионного соглашения.

На основании проведённого исследования эксперт пришёл к выводу, что на представленных компьютерах установлено и используется программное обеспечение, права на которое не подтверждены лицензионными документами. Часть экземпляров имеет признаки модификации, направленной на обход средств защиты. Документы, представленные ответчиком, не подтверждают легитимность использования всех установленных экземпляров программ.

Суд признал заключение эксперта допустимым и удовлетворил исковые требования, взыскав компенсацию. Ответчик не смог опровергнуть выводы эксперта. Кейс демонстрирует методы установления фактов использования нелицензионного программного обеспечения, включая анализ лицензионных ключей, сравнение с эталонными версиями, исследование журналов установки. Экспертиза такого рода требует от эксперта знаний в области лицензирования программного обеспечения и методов защиты от несанкционированного использования.

Раздел 17. Кейс 9: Исследование факта уничтожения информации на сервере организации

В рамках уголовного дела о неправомерном воздействии на компьютерную информацию рассматривался эпизод уничтожения базы данных клиентов организации. Следствие полагало, что бывший системный администратор, уволенный за нарушение трудовой дисциплины, осуществил удаление базы данных в качестве акта мести. Обвиняемый отрицал причастность, утверждая, что удаление произошло в результате сбоя оборудования.

На исследование были представлены: сервер, на котором размещалась база данных, система хранения резервных копий, журналы сервера, а также домашний компьютер обвиняемого. Задачей эксперта являлось установление причины уничтожения данных: сбой оборудования, ошибка программного обеспечения или умышленные действия пользователя.

Эксперт начал с исследования аппаратного состояния сервера. Диагностика накопителей не выявила признаков физических неисправностей: показатели S.M.A.R.T. находились в норме, количество переназначенных секторов не превышало допустимых значений, ошибок чтения не зафиксировано. Тестирование оперативной памяти и процессора не выявило проблем. Признаков сбоя оборудования, который мог бы привести к потере данных, обнаружено не было.

Анализ журналов операционной системы и системы управления базами данных показал, что в момент предполагаемого уничтожения данных в системе выполнялись команды, инициированные из сеанса удалённого доступа. Сеанс был установлен с IP-адреса, который, согласно журналам файрвола, соответствовал домашнему подключению обвиняемого. Время сеанса совпало со временем исчезновения базы данных.

Журналы системы управления базами данных содержали записи о выполнении команды удаления базы данных. Команда была выполнена от имени учётной записи с административными правами. Учётная запись, использованная для удаления, принадлежала обвиняемому. Однако обвиняемый утверждал, что его учётная запись могла быть скомпрометирована.

Для проверки этого утверждения эксперт исследовал журналы аутентификации. Записи показали, что вход в систему с учётной записью обвиняемого был выполнен с использованием пароля, а не по ключу или сертификату. Пароль был введён корректно с первой попытки. Журналы также содержали записи о предыдущих успешных входах с того же IP-адреса в течение нескольких недель до инцидента, что свидетельствовало о том, что доступ осуществлялся с домашнего компьютера обвиняемого.

Исследование домашнего компьютера обвиняемого выявило наличие клиента удалённого доступа, использовавшегося для подключения к серверу. Журналы клиента содержали записи о подключениях к серверу организации, включая подключение в момент инцидента. В кэше браузера сохранились страницы администрирования сервера. На накопителе были обнаружены файлы, содержащие фрагменты базы данных, которые, вероятно, были скопированы перед удалением.

Анализ резервных копий показал, что последняя успешная резервная копия базы данных была создана за несколько дней до инцидента. После инцидента резервное копирование не выполнялось, поскольку база данных отсутствовала. Восстановление базы данных из резервной копии было возможно, однако часть данных, внесённых после создания копии, была утрачена. Размер ущерба был оценён на основании количества утраченных записей и трудозатрат на восстановление.

На основании проведённого исследования эксперт пришёл к выводу, что уничтожение базы данных произошло в результате умышленных действий пользователя, а не в результате сбоя оборудования или ошибки программного обеспечения. Команда удаления была выполнена из сеанса, установленного с домашнего компьютера обвиняемого с использованием его учётной записи. Признаков компрометации учётной записи не обнаружено. На компьютере обвиняемого сохранились следы подготовки к удалению, включая копирование фрагментов базы данных.

Суд признал заключение эксперта допустимым и положил его в основу приговора. Обвиняемый был признан виновным в неправомерном воздействии на компьютерную информацию. Кейс демонстрирует важность комплексного анализа журналов сервера, сетевого оборудования и клиентских устройств для установления источника воздействия и разграничения умышленных действий и технических сбоев.

Раздел 18. Кейс 10: Экспертиза цифровых фотографий на предмет подлинности

В гражданском процессе рассматривался спор о защите чести, достоинства и деловой репутации. Истец утверждал, что ответчик распространил фотографии, содержащие признаки фотомонтажа и порочащие истца. Ответчик утверждал, что фотографии являются подлинными и отражают реальные события. Суд назначил компьютерно-техническую экспертизу для установления подлинности изображений.

На исследование были представлены файлы изображений в исходном формате, а также распечатки, выполненные истцом и ответчиком. Перед экспертом были поставлены вопросы: являются ли изображения результатом фотомонтажа; имеются ли признаки редактирования; соответствуют ли метаданные файлов заявленным условиям съёмки.

Эксперт начал с исследования метаданных файлов. Файлы содержали данные EXIF, включая информацию о камере, дате и времени съёмки, параметрах экспозиции. Метаданные соответствовали модели камеры, заявленной ответчиком, и дате, указанной в объяснениях. Однако эксперт отметил, что метаданные могут быть отредактированы, поэтому их соответствие не является достаточным доказательством подлинности.

Визуальный анализ изображений выявил несоответствия в освещении и тенях. На одном из фрагментов направление теней не соответствовало направлению света, определённому по другим объектам на фотографии. Границы между объектами в нескольких местах имели признаки неоднородности, характерные для вставки фрагментов из других изображений. Увеличение фрагментов выявило различия в уровне шума и артефактах сжатия, что указывало на различное происхождение частей изображения.

Эксперт применил метод анализа ошибок сжатия (Error Level Analysis). Метод основан на том, что области изображения, подвергшиеся редактированию, имеют иной уровень ошибок сжатия по сравнению с нетронутыми областями. Результаты анализа выявили области с аномально высоким или низким уровнем ошибок, пространственно совпадающие с фрагментами, вызвавшими подозрения при визуальном осмотре.

Анализ шумовых характеристик подтвердил наличие неоднородностей. Шумовые паттерны в разных частях изображения различались по спектральным характеристикам, что несовместимо с одновременной съёмкой одной камерой. В частности, фрагмент, содержащий изображение истца, имел шумовые характеристики, отличные от фона.

Эксперт также исследовал возможность восстановления истории редактирования. В файлах не сохранилось слоёв или иных артефактов, характерных для программ редактирования. Однако следы повторного сжатия указывали на то, что изображение сохранялось более одного раза, что типично для процесса редактирования и последующего экспорта.

Ответчик утверждал, что изображения были получены с камеры и не редактировались. Однако эксперт отметил, что модель камеры, указанная в метаданных, не поддерживает формат, в котором сохранены файлы, без промежуточной конвертации. Это означало, что файлы прошли через программную обработку, что противоречило утверждению о прямой передаче с камеры.

На основании совокупности признаков эксперт пришёл к выводу, что представленные изображения содержат признаки фотомонтажа. Фрагменты изображений имеют различное происхождение, о чём свидетельствуют несоответствия в освещении, шумовых характеристиках и артефактах сжатия. Метаданные файлов не соответствуют заявленным условиям съёмки. Изображения не являются подлинными в том смысле, что не отражают реально происходившую сцену.

Суд признал заключение эксперта допустимым и положил его в основу решения об удовлетворении иска. Ответчик не смог представить доказательств подлинности изображений. Кейс демонстрирует методы установления подлинности цифровых изображений, включая анализ метаданных, визуальный анализ, анализ ошибок сжатия и шумовых характеристик. Экспертиза такого рода требует от эксперта знаний в области цифровой фотографии и обработки изображений.

---

Приглашаем к сотрудничеству в Союзе «Федерация судебных экспертов» для проведения компьютерно-технической экспертизы любой сложности. Наши специалисты обладают необходимым опытом и инструментарием для исследования аппаратных средств, программного обеспечения, информационных объектов и сетевых артефактов. Обращение в организацию гарантирует соблюдение процессуальных требований, применение валидированных методик и готовность экспертов к защите своих выводов в судебных заседаниях.