IT ЭКСПЕРТИЗА

🟥 Экспертиза метаданных

Союз «Федерация судебных экспертов» приглашает вас, уважаемый читатель, к углублённому изучению одной из наиболее динамично развивающихся областей судебной компьютерно-технической экспертизы. Настоящая монография посвящена комплексному анализу экспертизы метаданных как самостоятельного направления экспертной деятельности, обладающего собственным предметом, объектом и методическим аппаратом. В условиях, когда цифровые следы становятся основным носителем криминалистически значимой информации, способность эксперта корректно интерпретировать метаданные файловых систем, операционных систем и прикладного программного обеспечения приобретает решающее значение для установления обстоятельств, входящих в предмет доказывания по уголовным, гражданским и арбитражным делам.

Раздел 1. Концептуальные основы экспертизы метаданных

1.1. Понятие метаданных в судебно-экспертном контексте

Метаданные представляют собой структурированную информацию, описывающую свойства, происхождение, структуру и взаимосвязи объектов цифровой среды. В отличие от пользовательских данных, непосредственно создаваемых человеком или программным обеспечением в процессе целевой деятельности, метаданные формируются автоматически файловыми системами, операционными системами и приложениями, что придаёт им особую доказательственную ценность. Экспертиза метаданных как вид экспертной деятельности направлена на извлечение, декодирование, верификацию и интерпретацию этих скрытых от непосредственного восприятия информационных слоёв с целью установления фактов, имеющих значение для разрешения правового спора.

Специфика экспертизы метаданных состоит в том, что эксперт работает с информацией, которая не предназначена для пользователя и зачастую не отображается стандартными средствами операционной системы. Файловая система NTFS, доминирующая на платформе Windows, хранит в Главной файловой таблице (Master File Table, MFT) для каждого файла набор атрибутов, включая как минимум один атрибут $F I L E_{N} A ME иодинатрибут$ STANDARD_INFORMATION, каждый из которых содержит четыре временные метки. Расхождение между значениями этих меток, а также между метками, сохраняемыми в разных атрибутах, может свидетельствовать о намеренном искажении временных характеристик файла, что делает экспертизу метаданных инструментом выявления следов фальсификации цифровых доказательств.

В рамках экспертизы метаданных исследуются не только временные характеристики, но и структурные признаки: ссылки на родительские каталоги, идентификаторы томов, атрибуты сжатия и шифрования, альтернативные потоки данных, журналы изменений и иные служебные структуры. Каждый из этих элементов в отдельности может не иметь решающего значения, однако их совокупность позволяет реконструировать последовательность событий с высокой степенью достоверности.

1.2. Предмет и объект экспертизы метаданных

Предметом экспертизы метаданных является установление фактических данных о событиях, действиях и состояниях объектов цифровой среды на основе анализа служебной информации, автоматически формируемой программно-аппаратными средствами. Объектами исследования выступают как непосредственно носители информации (накопители на жёстких магнитных дисках, твердотельные накопители, USB-флеш-накопители, карты памяти), так и образы их содержимого, полученные с соблюдением требований криминалистической методики.

Экспертиза метаданных не подменяет собой иные виды компьютерно-технических исследований, а дополняет их. Если экспертиза содержимого направлена на установление смысла и свойств пользовательских файлов, то экспертиза метаданных отвечает на вопросы о том, когда, каким образом и при каких обстоятельствах эти файлы возникли, изменялись, перемещались или уничтожались. Именно метаданные позволяют восстановить хронологию событий даже при отсутствии доступа к содержимому файлов или при его повреждении.

1.3. Методологические принципы

Методологическую основу экспертизы метаданных составляют принципы объективности, верифицируемости и воспроизводимости. Эксперт обязан не только представить выводы, но и обосновать их таким образом, чтобы результаты исследования могли быть проверены независимыми специалистами с использованием иных инструментальных средств. Это требование приобретает особую актуальность в связи с тем, что многие коммерческие инструменты цифровой криминалистики используют алгоритмы, не прошедшие независимого тестирования и экспертной оценки, что повышает неопределённость получаемых результатов.

Экспертиза метаданных опирается на фундаментальное положение о том, что любое действие с файлом в файловой системе оставляет след в служебных структурах. Даже если пользователь не осознаёт этого, операционная система фиксирует факт создания, открытия, изменения, переименования или удаления файла. Задача эксперта состоит в том, чтобы выявить эти следы, правильно их интерпретировать и представить в форме, доступной для восприятия судом и участниками процесса.

Раздел 2. Файловые системы как источник метаданных

2.1. Структура MFT в NTFS и её экспертное значение

Файловая система NTFS, используемая в операционных системах семейства Windows, хранит метаданные в Главной файловой таблице, которая представляет собой специализированный файл, содержащий записи обо всех файлах и каталогах тома. Каждая запись MFT имеет фиксированный размер (обычно 1024 байта) и включает заголовок, за которым следуют атрибуты. Для целей экспертизы метаданных наибольший интерес представляют атрибуты $ST A N D A R D_{I} NFORM A T I ON и$ FILE_NAME.

Атрибут $ST A N D A R D_{I} NFORM A T I ON содержитчетыревременныеметки : создания, изменения, обращенияизаписив MFT . Этиметкиобновляютсяоперационнойсистемойвпроцессеобычнойработыимогутбытьизмененыпрограммнымисредствами . Атрибут$ FILE_NAME, дублирующий имя файла и ссылку на родительский каталог, содержит собственный набор временных меток, которые, как правило, не обновляются при обычных операциях доступа к файлу, а сохраняют значения, соответствующие моменту создания, перемещения или переименования файла. Сопоставление значений этих двух наборов меток является стандартным приёмом выявления фальсификации временных характеристик: если метка создания в $ST A N D A R D_{I} NFORM A T I ON оказываетсяболееранней, чемметкасозданияв$ FILE_NAME, это может указывать на применение специализированных утилит для изменения времени.

2.2. Резидентные данные и их экспертный потенциал

Особенностью NTFS является возможность хранения небольших файлов непосредственно в записи MFT, без выделения отдельных кластеров на диске. Такие файлы называются резидентными. Если размер файла не превышает примерно 700–744 байт (для записей MFT размером 1024 байта), его содержимое размещается в атрибуте $DATA внутри самой записи. Для экспертизы метаданных это обстоятельство имеет двоякое значение. Во-первых, резидентные файлы могут сохраняться в MFT даже после их удаления из пользовательского пространства, поскольку запись MFT не обязательно немедленно очищается. Во-вторых, при росте файла и его переходе из резидентного состояния в нерезидентное область, ранее занимаемая содержимым, может не быть полностью перезаписана, образуя так называемый «атрибутный шлак» (attribute slack), в котором сохраняются фрагменты прежнего содержимого.

Экспертиза метаданных в отношении резидентных данных позволяет выявлять следы вредоносных программ, конфигурационные файлы, сценарии автоматизации и иные объекты, которые злоумышленник мог считать удалёнными. Практическая значимость этого направления подтверждается задокументированными случаями обнаружения вредоносного кода, сохранявшего полезную нагрузку в атрибутах расширенных файлов (extended attributes), что демонстрирует способность метаданных выступать не только описательным, но и носителем скрытого содержимого.

2.3. Специфика метаданных в файловых системах, отличных от NTFS

Экспертиза метаданных не ограничивается платформой Windows. Файловая система exFAT, широко используемая на сменных носителях и в устройствах потребительского класса, также содержит служебные структуры, повреждение которых может блокировать доступ к данным. Исследования показывают, что даже при повреждении метаданных и сигнатур заголовков файлов возможно восстановление информации на основе верификации ключевых параметров загрузочного сектора (BPB) и сигнатур файлов. Для эксперта это означает необходимость владения методиками работы с метаданными различных файловых систем, а не только наиболее распространённых.

Файловые системы семейства ext, используемые в операционных системах Linux, хранят метаданные в индексных дескрипторах (inodes), содержащих информацию о правах доступа, владельце, временных метках и блоках данных. Хотя структура этих метаданных отличается от NTFS, общие принципы экспертного исследования сохраняются: сопоставление различных источников временных меток, выявление аномалий и реконструкция последовательности событий.

Раздел 3. Инструментальные средства и методические подходы

3.1. Сбор метаданных с использованием специализированных утилит

Одним из базовых инструментов сбора метаданных в экспертной практике является утилита mac-robber, предназначенная для сбора информации о распределённых файлах в смонтированной файловой системе. Собранные данные могут быть использованы инструментом mactime из состава The Sleuth Kit для построения временной шкалы файловой активности. Существенным ограничением mac-robber является то, что утилита требует монтирования файловой системы средствами операционной системы и не извлекает данные из удалённых файлов или файлов, скрытых руткитами. Кроме того, при монтировании с правами записи mac-robber модифицирует время доступа к каталогам, что требует принятия мер предосторожности, в частности монтирования исследуемого раздела в режиме только для чтения.

Экспертиза метаданных с использованием подобных инструментов предполагает строгое документирование всех действий, поскольку любое вмешательство в состояние исследуемого носителя может повлиять на достоверность получаемых результатов. Выбор инструментария должен определяться типом файловой системы, состоянием носителя и задачами конкретного исследования.

3.2. Анализ артефактов прикладного программного обеспечения

Метаданные формируются не только файловой системой, но и прикладными программами. Программы поиска файлов, такие как Everything для Windows, создают собственные индексы, содержащие имена файлов, пути, временные метки и историю поисковых запросов пользователя. Исследование показывает, что Everything отслеживает изменения в файловой системе в реальном времени через журнал изменений NTFS и сохраняет индекс в файле Everything.db, который может быть исследован для установления факта существования удалённых файлов, идентификации томов (GUID, буква диска, IP-адрес сетевого ресурса) и восстановления истории поиска.

Для экспертизы метаданных прикладные артефакты представляют ценность постольку, поскольку они фиксируют действия пользователя, которые не отражаются в метаданных файловой системы. Например, факт открытия файла может не изменить метку времени доступа, если операционная система настроена на отложенное обновление, однако приложение, осуществившее доступ, может сохранить соответствующую запись в своём журнале или кэше.

3.3. Верификация и интерпретация

Завершающим этапом экспертизы метаданных является верификация полученных данных и их интерпретация в контексте обстоятельств дела. Верификация предполагает перекрёстную проверку сведений, полученных из различных источников: записей MFT, журналов операционной системы, артефактов приложений, сетевых журналов. Расхождения между источниками не обязательно свидетельствуют о фальсификации; они могут объясняться штатными механизмами работы программного обеспечения, однако каждое расхождение требует экспертного объяснения.

Интерпретация метаданных должна учитывать, что их формирование и модификация регулируются внутренними алгоритмами операционной системы и приложений, которые могут изменяться между версиями. Эксперт обязан располагать сведениями о версии операционной системы, конфигурации файловой системы и настройках прикладного программного обеспечения, чтобы избежать ошибочных выводов, основанных на предположениях о поведении системы, не соответствующих её фактическому состоянию.

Раздел 4. Практические кейсы экспертизы метаданных

Кейс 1. Установление факта фальсификации временных меток документа

В рамках расследования дела о мошенничестве в сфере договорных обязательств перед экспертом была поставлена задача определить, соответствует ли дата создания договора, указанная в документе, фактическому времени его изготовления. Исследованию подвергался образ жёсткого диска, изъятого у подозреваемого. Договор представлял собой файл формата DOCX, хранившийся в пользовательском каталоге.

Экспертиза метаданных началась с извлечения записи MFT, соответствующей исследуемому файлу. Анализ атрибута $ST A N D A R D_{I} NFORM A T I ON показал, чтометкасозданияфайласоответствуетдате, указаннойвдокументе, аметкаизменениянезначительноотличаетсяотнеё . Однакоприсопоставлениисатрибутом$ FILE_NAME было обнаружено, что метка создания в этом атрибуте существенно отличается от метки в $STANDARD_INFORMATION и соответствует более поздней дате, отстоящей от заявленной даты создания документа на несколько месяцев.

Дальнейший анализ выявил дополнительные признаки вмешательства. Журнал USN (Update Sequence Number), хранящий записи об изменениях файлов в томе NTFS, содержал запись о переименовании файла и изменении его атрибутов в дату, соответствующую метке в $FILE_NAME. Кроме того, в том же каталоге были обнаружены временные файлы, созданные офисным пакетом при сохранении документа, чьи временные метки также соответствовали более поздней дате. Совокупность этих данных позволила эксперту сделать вывод о том, что файл договора был создан значительно позже указанной в нём даты, а временные метки были изменены с использованием специализированного программного обеспечения. Вывод эксперта был положен в основу обвинения.

Кейс 2. Восстановление истории работы с файлами при расследовании инцидента информационной безопасности

Организация обратилась с заявлением о несанкционированном доступе к конфиденциальной информации. Служба безопасности обнаружила, что ряд документов, содержащих коммерческую тайну, был скопирован на внешний носитель, однако журналы аудита операционной системы не содержали записей о подключении съёмных устройств. Перед экспертом была поставлена задача установить, имел ли место факт копирования и какие устройства использовались.

Экспертиза метаданных была сосредоточена на артефактах операционной системы Windows, связанных с работой съёмных носителей. В реестре были обнаружены записи о подключении USB-устройств, включая идентификаторы экземпляров и метки томов. Сопоставление этих записей с данными из файла Setupapi.dev.log позволило установить точное время первого подключения каждого устройства и серийные номера.

Однако ключевым доказательством стали метаданные файловой системы. Анализ записей MFT показал, что в каталоге, содержащем конфиденциальные документы, были обнаружены записи об удалённых файлах-ярлыках, указывающих на путь к съёмному носителю. Хотя сами ярлыки были удалены, их записи MFT сохранились и содержали информацию о целевых путях. Кроме того, в файле Everything.db, индексе программы поиска, использовавшейся на рабочей станции, сохранилась история поисковых запросов, включавшая имена конфиденциальных файлов, и записи о результатах поиска, содержавшие пути к файлам на съёмном носителе. Экспертиза метаданных позволила реконструировать последовательность действий: поиск файлов, копирование на внешний носитель и последующее удаление ярлыков. Выводы эксперта способствовали установлению факта утечки и идентификации устройства, использовавшегося для выноса информации.

Кейс 3. Анализ метаданных exFAT при повреждении носителя

В производстве находилось гражданское дело о восстановлении данных с повреждённой карты памяти, содержавшей результаты научных исследований, имевших значительную коммерческую ценность. Карта памяти была отформатирована в файловой системе exFAT и подверглась воздействию, приведшему к повреждению служебных структур. Стандартные средства восстановления данных не дали результата.

Экспертиза метаданных в данном случае потребовала применения специализированной методики, основанной на верификации ключевых параметров загрузочного сектора и поиске сигнатур файлов. Было установлено, что загрузочная запись тома содержала искажённые значения параметров, что препятствовало корректному монтированию файловой системы. Эксперт осуществил сканирование носителя с целью идентификации блоков, содержащих сигнатуры файлов, и сопоставил полученные данные с фрагментами метаданных, сохранившимися в неповреждённых областях.

Анализ показал, что, несмотря на повреждение основной копии таблицы размещения файлов, на носителе сохранились резервные копии служебных структур, а также фрагменты индексных записей, содержащих имена файлов и их размеры. Реконструкция иерархической структуры каталогов на основе этих фрагментов позволила восстановить значительную часть утраченных данных. Экспертиза метаданных в условиях повреждения носителя продемонстрировала, что даже частично сохранившиеся служебные структуры могут служить основой для восстановления информации и установления факта её существования. Результаты исследования были использованы для обоснования размера убытков, причинённых утратой данных.

Кейс 4. Установление хронологии событий при расследовании дела о неправомерном доступе

Предметом судебного разбирательства являлся спор между работодателем и бывшим сотрудником, которого обвиняли в копировании базы клиентов перед увольнением. Сотрудник утверждал, что скопировал лишь несколько документов, необходимых для завершения текущих проектов, и сделал это с разрешения руководителя. Работодатель настаивал на том, что копирование носило систематический характер и было направлено на хищение информации.

Экспертиза метаданных была проведена в отношении рабочей станции сотрудника и серверного хранилища, на котором размещалась база клиентов. Анализ журналов доступа к файлам на сервере показал, что учётная запись сотрудника обращалась к файлам базы в течение нескольких недель, предшествовавших увольнению. Однако журналы сервера не содержали сведений о копировании, поскольку регистрировали только факты открытия и чтения.

Исследование метаданных файловой системы рабочей станции выявило следы создания локальных копий. В MFT были обнаружены записи о файлах, имена которых соответствовали именам файлов базы, с временными метками, совпадающими по времени с обращениями к серверу, зафиксированными в его журналах. Файлы были впоследствии удалены, однако их записи MFT сохранились. Анализ атрибутов $FILE_NAME этих записей показал, что файлы создавались в каталоге, путь к которому соответствовал папке синхронизации облачного хранилища, настроенной на рабочей станции сотрудника.

Дополнительно экспертиза метаданных была проведена в отношении артефактов облачного клиента, сохранивших журналы синхронизации. Эти журналы содержали записи о загрузке файлов с именами, совпадающими с именами удалённых локальных копий, в облачное хранилище в даты, непосредственно предшествовавшие увольнению. Совокупность метаданных файловой системы и артефактов приложения позволила эксперту сделать вывод о том, что сотрудник систематически создавал локальные копии файлов базы клиентов и синхронизировал их с личным облачным хранилищем. Вывод эксперта опроверг утверждение о единичном копировании документов.

Кейс 5. Исследование метаданных резидуальных данных в MFT

В ходе расследования уголовного дела о распространении вредоносного программного обеспечения перед экспертом была поставлена задача установить, запускался ли на исследуемом компьютере конкретный исполняемый файл, предположительно являвшийся инструментом атаки. Файл был обнаружен на съёмном носителе, изъятом у подозреваемого, однако факт его запуска на рабочей станции отрицался.

Экспертиза метаданных рабочей станции началась с поиска записей MFT, соответствующих имени исследуемого файла. Такая запись была обнаружена, несмотря на то что сам файл в файловой системе отсутствовал. Анализ атрибута $DATA этой записи показал, что файл являлся резидентным, то есть его содержимое полностью размещалось в записи MFT. Размер файла составлял менее 700 байт, что соответствовало критерию резидентности.

Было установлено, что запись MFT не была перезаписана и сохранила содержимое файла в целостности. Эксперт извлёк данные из атрибута $DATA и вычислил хеш-сумму, которая совпала с хеш-суммой файла на съёмном носителе. Кроме того, временные метки в записи MFT указывали на факт создания файла на рабочей станции в дату, предшествовавшую инциденту, и его последующего удаления. Дальнейший анализ журнала USN подтвердил факт создания и удаления файла.

Экспертиза метаданных в данном кейсе продемонстрировала, что резидентные данные, сохранившиеся в MFT после удаления файла, могут служить прямым доказательством факта присутствия и, в определённых условиях, запуска вредоносного файла на исследуемой системе. Вывод эксперта был использован для опровержения версии защиты о случайном заражении устройства без участия пользователя.

Кейс 6. Анализ временных аномалий при установлении давности создания архива

В арбитражном споре о взыскании задолженности по договору поставки ответчик представил архив электронной переписки, подтверждающей, по его утверждению, согласование условий поставки в заявленный период. Истец оспаривал подлинность переписки, указывая на возможность её позднейшего изготовления. Перед экспертом была поставлена задача определить, соответствует ли фактическое время создания архива указанному периоду.

Экспертиза метаданных архива формата ZIP, представленного ответчиком, выявила несоответствия во временных метках. Центральный каталог архива содержал записи о файлах с временными метками, соответствующими заявленному периоду. Однако при анализе локальных заголовков файлов внутри архива были обнаружены расхождения: временные метки локальных заголовков отличались от меток центрального каталога на несколько месяцев и соответствовали более поздней дате.

Дополнительно экспертиза метаданных была проведена в отношении самого файла архива. Анализ MFT носителя, на котором архив был представлен, показал, что файл архива был создан в дату, соответствующую более поздним меткам, а метка изменения незначительно отличалась от неё. Сопоставление метаданных архива и метаданных файловой системы позволило эксперту прийти к выводу о том, что архив был создан в более поздний период, а временные метки файлов внутри него были изменены с целью придания видимости соответствия заявленному периоду. Вывод эксперта был учтён судом при оценке доказательственной силы представленного документа.

Кейс 7. Исследование метаданных сетевого хранилища при расследовании инцидента с утечкой

Организация-правообладатель обратилась с заявлением о неправомерном использовании её программного продукта конкурирующей фирмой. Было высказано предположение, что исходный код был скопирован с корпоративного сетевого хранилища бывшим сотрудником, перешедшим на работу к конкуренту. Задача эксперта состояла в установлении факта доступа к определённым каталогам хранилища с учётной записи подозреваемого и объёма скопированных данных.

Экспертиза метаданных сетевого хранилища, функционировавшего на платформе Windows Server, была сосредоточена на журналах доступа и записях MFT томов, на которых размещались общие каталоги. Журналы аудита содержали записи об открытии файлов, однако, как и в предыдущих случаях, не фиксировали факт копирования. Анализ записей MFT позволил выявить записи о файлах, которые были открыты, но не изменены, с метками доступа, соответствующими времени, зафиксированному в журналах.

Ключевым элементом экспертизы метаданных стало исследование теневых копий томов (Volume Shadow Copies), сохранявшихся на сервере. Сопоставление записей MFT из теневых копий, созданных в разные моменты времени, позволило установить, что в период, соответствующий предполагаемому копированию, в каталоге временных файлов сервера создавались файлы, имена которых соответствовали именам файлов исходного кода с добавлением расширения .tmp. Размеры этих временных файлов, восстановленные из метаданных, в совокупности соответствовали размеру каталога с исходным кодом. Хотя сами временные файлы были удалены, их записи MFT в теневых копиях сохранились. Экспертиза метаданных позволила сделать вывод о том, что исходный код подвергался обработке, характерной для архивирования или копирования, с учётной записи подозреваемого в указанный период.

Кейс 8. Установление факта удаления файлов как обстоятельства дела

В ходе расследования дела о нарушении режима коммерческой тайны было установлено, что сотрудник, уволенный за разглашение конфиденциальной информации, перед уходом произвёл массовое удаление файлов из рабочего каталога. Следствие интересовал вопрос о том, какие именно файлы были удалены, поскольку часть информации впоследствии была обнаружена у конкурента.

Экспертиза метаданных была проведена в отношении образа жёсткого диска рабочей станции сотрудника. Анализ записей MFT выявил значительное количество записей, помеченных как неиспользуемые, но сохранивших атрибуты $FILE_NAME с именами файлов и ссылками на родительский каталог. Временные метки этих записей указывали на то, что файлы существовали в течение длительного времени и были удалены в течение нескольких дней, предшествовавших увольнению.

Сопоставление записей MFT с журналом USN позволило восстановить последовательность удаления и идентифицировать каталог, из которого производилось удаление. Дальнейший анализ выявил, что некоторые из удалённых файлов были резидентными, и их содержимое частично сохранилось в записях MFT. Эксперт извлёк сохранившиеся фрагменты и установил, что они содержат фрагменты документов, тематически соответствующих информации, обнаруженной у конкурента. Экспертиза метаданных в данном кейсе позволила не только установить факт массового удаления файлов, но и идентифицировать часть удалённого содержимого, что способствовало доказыванию факта неправомерного завладения информацией.

Кейс 9. Анализ метаданных журнала изменений NTFS при расследовании дела о подлоге

Предметом рассмотрения в суде общей юрисдикции являлся спор о признании недействительным договора дарения недвижимости. Истец утверждал, что договор был подписан под влиянием обмана и в действительности не соответствовал воле дарителя. Ответчик представил электронную версию договора, датированную более ранним периодом, чем, по утверждению истца, была достигнута договорённость. Возник вопрос о времени фактического создания электронного документа.

Экспертиза метаданных была проведена в отношении компьютера, на котором, по утверждению ответчика, создавался документ. Исследование записи MFT файла договора показало, что метки создания и изменения соответствуют дате, указанной ответчиком. Однако анализ журнала USN выявил запись о создании файла с тем же именем в более позднюю дату, а также записи о переименовании и изменении атрибутов, соответствующие дате, близкой к дате предполагаемого создания. Это противоречие потребовало дальнейшего исследования.

Экспертиза метаданных была расширена за счёт анализа артефактов текстового редактора, использовавшегося для создания документа. В реестре были обнаружены записи о недавних файлах (RecentDocs), содержавшие имя исследуемого файла с временной меткой, соответствующей более поздней дате. Кроме того, в каталоге временных файлов были обнаружены фрагменты файлов, созданных редактором при сохранении документа, чьи временные метки также соответствовали поздней дате. Совокупность данных журнала USN и артефактов редактора позволила эксперту сделать вывод о том, что документ был создан в более поздний период, а его временные метки в файловой системе были изменены. Вывод эксперта был положен в основу решения суда о недействительности договора.

Кейс 10. Комплексная экспертиза метаданных при расследовании дела о неправомерном использовании программного обеспечения

Правообладатель программного обеспечения обратился с заявлением о нарушении его исключительных прав. Было установлено, что на компьютерах в офисе организации-нарушителя использовались нелицензионные копии программ. Задача эксперта состояла в установлении факта использования конкретных экземпляров программ и периода их использования.

Экспертиза метаданных проводилась в отношении нескольких рабочих станций и сервера организации. На каждой рабочей станции исследовались записи MFT, соответствующие исполняемым файлам программ, а также артефакты операционной системы, связанные с запуском приложений. Анализ записей MFT позволил установить, что исполняемые файлы были созданы в даты, предшествовавшие проверке, и неоднократно открывались, о чём свидетельствовали метки доступа. Сопоставление меток доступа с журналами USN и артефактами реестра (например, записями в ключах UserAssist) позволило подтвердить факт запуска программ.

Особенностью данного кейса стала необходимость разграничения легально установленных и нелицензионных копий. Экспертиза метаданных выявила, что нелицензионные копии располагались в каталогах, отличных от стандартных путей установки, и имели метки создания, указывающие на их копирование с внешнего носителя, а не на установку из дистрибутива. Кроме того, метаданные файлов установщика, сохранившиеся в каталоге временных файлов, содержали информацию о том, что установка производилась вручную, без использования штатных средств развёртывания. Совокупность метаданных файловой системы и артефактов операционной системы позволила эксперту установить факт использования нелицензионных копий программ в течение определённого периода, что послужило основанием для расчёта размера компенсации.

Раздел 5. Организационные аспекты производства экспертизы метаданных

5.1. Компетенция эксперта и требования к производству исследования

Производство экспертизы метаданных требует от эксперта познаний в области архитектуры файловых систем, операционных систем и прикладного программного обеспечения, а также владения инструментальными средствами извлечения и анализа служебной информации. Союз «Федерация судебных экспертов» обеспечивает методическую поддержку экспертов, специализирующихся в данной области, и содействует формированию единых подходов к производству исследований.

Экспертиза метаданных предполагает строгое соблюдение требований к работе с цифровыми доказательствами: использование образов, полученных с соблюдением процедуры хеширования, обеспечение неизменности исследуемых данных, документирование всех операций. Отступление от этих требований может привести к признанию заключения эксперта недопустимым доказательством.

5.2. Формулирование вопросов, разрешаемых экспертизой метаданных

Перед экспертом могут быть поставлены вопросы, касающиеся времени создания, изменения, доступа к файлам, последовательности действий с файлами, фактов удаления или переименования, использования съёмных носителей, а также соответствия временных меток заявленным обстоятельствам. Постановка вопросов должна учитывать возможности экспертизы метаданных и ограничения, обусловленные состоянием исследуемого носителя и доступными источниками информации.

Экспертиза метаданных не разрешает вопросов о содержании файлов, если для этого требуется исследование, выходящее за пределы компетенции эксперта, или о виновности конкретных лиц. Задачей эксперта является установление фактов, а не правовых выводов.

5.3. Взаимодействие с иными видами экспертиз

Экспертиза метаданных может производиться как самостоятельно, так и в комплексе с иными компьютерно-техническими исследованиями. Результаты экспертизы метаданных могут использоваться при производстве почерковедческих, технических экспертиз документов, а также при оценке достоверности иных доказательств. Комплексный подход позволяет получить более полную картину исследуемых событий.

Союз «Федерация судебных экспертов» приглашает экспертов и специалистов к сотрудничеству в целях развития экспертизы метаданных как востребованного направления судебно-экспертной деятельности. Объединение усилий практикующих экспертов, исследователей и разработчиков инструментальных средств позволяет повышать достоверность и доказательственную значимость результатов экспертизы метаданных, а также обеспечивать единообразие методических подходов в условиях стремительного развития цифровых технологий.