Настоящая монография посвящена комплексному исследованию теоретических, методических и практических аспектов ИТ экспертизы как самостоятельного рода судебной экспертизы, обеспечивающего потребности правосудия в условиях цифровой трансформации общественных отношений. В работе раскрываются предмет, объекты и задачи ИТ экспертизы, рассматривается система методов экспертного исследования компьютерных средств, программного обеспечения и цифровой информации. Значительное внимание уделено процессуальным и организационным основам назначения и производства ИТ экспертизы, а также вопросам взаимодействия эксперта с органами предварительного расследования и судом. Отдельные разделы посвящены особенностям исследования мобильных устройств, восстановлению удалённой информации, анализу вредоносного программного обеспечения и сетевых технологий. Практическая часть монографии включает десять экспертных кейсов, иллюстрирующих типичные и сложные ситуации, возникающие при производстве ИТ экспертизы по уголовным, гражданским и арбитражным делам. Монография адресована судебным экспертам, следователям, судьям, адвокатам, а также научным работникам и обучающимся, интересующимся проблемами судебной компьютерно-технической экспертизы.

Введение

Цифровизация всех сфер жизнедеятельности современного общества привела к тому, что компьютерные средства, программное обеспечение, телекоммуникационные сети и электронные носители информации стали неотъемлемыми атрибутами не только повседневной жизни граждан, но и механизмов совершения значительного числа правонарушений. Информация, зафиксированная в цифровой форме, всё чаще выступает в качестве средства совершения преступлений, предмета преступного посягательства либо источника доказательственных сведений, имеющих решающее значение для установления обстоятельств, входящих в предмет доказывания по уголовному, гражданскому или арбитражному делу.

В этих условиях особую актуальность приобретает институт судебной экспертизы, специальные познания которого позволяют получить ответы на вопросы, требующие исследования закономерностей создания, обработки, хранения и передачи цифровой информации. ИТ экспертиза, понимаемая в настоящей работе как судебная компьютерно-техническая экспертиза в широком смысле, включающая исследование аппаратных средств, программного обеспечения, информационных массивов и сетевых ресурсов, представляет собой динамично развивающийся род судебных экспертиз, методический аппарат которого находится в стадии активного формирования и совершенствования.

Цель настоящей монографии состоит в систематизированном изложении теоретических основ и практических аспектов производства ИТ экспертизы, выявлении проблемных зон экспертной практики и демонстрации возможностей экспертного исследования цифровых объектов на конкретных примерах. Достижение поставленной цели предполагает решение ряда задач: определение понятия и места ИТ экспертизы в системе судебных экспертиз; характеристику объектов и задач экспертного исследования; описание методов, применяемых при работе с компьютерными средствами и цифровыми данными; анализ процессуальных особенностей назначения и производства рассматриваемого вида экспертизы; иллюстрацию экспертной практики через серию кейсов, отражающих различные категории дел и типы исследуемых объектов.

Структура монографии обусловлена логикой движения от общего к частному. Первый раздел посвящён концептуальным основам ИТ экспертизы. Второй раздел раскрывает систему методов экспертного исследования. Третий раздел обращается к процессуальным и организационным вопросам. Четвёртый раздел содержит практические кейсы. Завершает работу заключение, в котором подводятся итоги и формулируются выводы, значимые для дальнейшего развития экспертной деятельности в рассматриваемой сфере.

Автор надеется, что представленный материал окажется полезным как для действующих экспертов, совершенствующих свои познания в области исследования цифровых объектов, так и для представителей правоохранительных органов и судейского корпуса, принимающих решения о назначении ИТ экспертизы и оценке заключений эксперта. Приглашаем заинтересованных лиц к сотрудничеству в рамках Союза «Федерация судебных экспертов», объединяющего специалистов, готовых обеспечить квалифицированное экспертное сопровождение по широкому спектру вопросов, связанных с исследованием компьютерной техники и цифровой информации.

Раздел 1. Теоретические и методологические основы ИТ экспертизы

1.1. Понятие ИТ экспертизы и её место в системе судебных экспертиз

ИТ экспертиза представляет собой род судебной экспертизы, предметом которой выступают факты и обстоятельства, устанавливаемые на основе специальных знаний в области информационных технологий, компьютерной техники и закономерностей цифрового отображения информации. В специальной литературе и экспертной практике наряду с термином «ИТ экспертиза» широко используются синонимичные обозначения, среди которых наиболее устоявшимся является «судебная компьютерно-техническая экспертиза» . Употребление различных наименований не меняет сущности исследуемого института, однако подчёркивает его междисциплинарный характер, находящийся на стыке криминалистики, информатики, радиоэлектроники и процессуального права.

Становление ИТ экспертизы в качестве самостоятельного рода экспертиз было обусловлено объективными потребностями судопроизводства, столкнувшегося с необходимостью исследования принципиально новых объектов — компьютерных средств и систем, программных продуктов, баз данных, сетевых ресурсов. Традиционные криминалистические экспертизы, ориентированные на материальные следы, оказались неспособны дать ответы на вопросы о содержании цифровой информации, механизмах её создания и модификации, функционировании программного обеспечения. Ответом на этот вызов стало формирование особого направления экспертной деятельности, опирающегося на методы точных наук и информационных технологий.

Предмет ИТ экспертизы охватывает широкий круг обстоятельств. К их числу относятся: установление технических характеристик и функционального назначения компьютерных средств; определение статуса объекта как компьютерного средства и его роли в расследуемом событии; выявление и исследование информации, хранящейся на носителях данных; установление фактов доступа к информации, её копирования, модификации или удаления; определение времени и последовательности действий пользователя в операционной системе; исследование программного обеспечения на предмет его функционального назначения и признаков вредоносности . Перечень этот не является исчерпывающим, поскольку развитие технологий непрерывно порождает новые объекты и новые вопросы, требующие экспертного разрешения.

Место ИТ экспертизы в системе судебных экспертиз определяется её принадлежностью к классу инженерно-технических экспертиз. Внутри этого класса она дифференцируется на виды в зависимости от объекта и решаемых задач. Наиболее распространённой является классификация, выделяющая аппаратно-компьютерную, программно-компьютерную, информационно-компьютерную и компьютерно-сетевую экспертизы . Аппаратно-компьютерная экспертиза сосредоточена на исследовании физических компонентов компьютерных систем — процессоров, накопителей, периферийных устройств. Программно-компьютерная экспертиза направлена на анализ программного обеспечения, его функциональных свойств и алгоритмов. Информационно-компьютерная экспертиза имеет своим предметом собственно информацию, хранящуюся на носителях, её содержание и свойства. Компьютерно-сетевая экспертиза исследует процессы обмена данными в сетях, сетевые протоколы и ресурсы. Указанное деление в значительной мере условно, поскольку на практике эксперту часто приходится решать задачи, относящиеся одновременно к нескольким видам, что требует применения комплексного подхода.

Следует подчеркнуть, что ИТ экспертиза не исчерпывается исследованием исключительно аппаратных средств. Центральным объектом экспертного познания выступает информация в цифровой форме, существующая на материальных носителях, но не тождественная им. Нематериальный характер информации, её способность к многократному копированию без потери содержания, лёгкость модификации и удаления создают существенные сложности для экспертного исследования, требуя применения специальных методик обеспечения сохранности исходных данных и верификации полученных результатов . Именно информационная составляющая определяет специфику ИТ экспертизы по сравнению с иными инженерно-техническими экспертизами.

В рамках настоящей монографии термин «ИТ экспертиза» используется для обозначения всей совокупности экспертных исследований, объектом которых являются компьютерные средства, программное обеспечение и цифровая информация, независимо от конкретного вида экспертизы и категории дела, по которому она назначается. Такой подход представляется оправданным, поскольку позволяет охватить единым теоретическим взглядом разнородные явления экспертной практики, объединённые общностью объекта и специальных знаний.

1.2. Объекты и задачи ИТ экспертизы

Объекты ИТ экспертизы отличаются значительным разнообразием. В самом общем виде их можно разделить на несколько групп. Первую группу составляют аппаратные средства — персональные компьютеры (настольные и портативные), серверы, периферийные устройства, сетевые коммутаторы и маршрутизаторы, мобильные устройства (смартфоны, планшеты), а также встроенные системы, функционирующие на основе микропроцессорных контроллеров . Каждый из перечисленных объектов обладает собственными техническими характеристиками и требует применения соответствующих методов исследования.

Вторую группу образуют носители информации — жёсткие магнитные диски, твердотельные накопители, оптические диски, флеш-карты, карты памяти и иные устройства, предназначенные для хранения цифровых данных. Носитель выступает материальной основой существования информации, и его исследование часто предшествует содержательному анализу данных. При работе с носителями эксперту необходимо установить их тип, модель, ёмкость, интерфейс подключения, состояние файловой системы и наличие признаков повреждения .

Третью группу составляют программные продукты — операционные системы, прикладное программное обеспечение, утилиты, вредоносные программы. Исследование программного обеспечения направлено на установление его функционального назначения, алгоритмов работы, времени инсталляции и возможных модификаций. Особую сложность представляет анализ вредоносного кода, требующий специальных познаний в области реверс-инжиниринга и безопасного запуска программ в изолированной среде.

Четвёртую группу образуют информационные объекты — файлы различных форматов, базы данных, журналы событий (лог-файлы), электронная переписка, документы, мультимедийные записи. Именно эта группа объектов чаще всего представляет наибольший интерес для следствия и суда, поскольку содержащаяся в ней информация может иметь доказательственное значение. Исследование информационных объектов включает поиск данных по заданным критериям, восстановление удалённых файлов, установление авторства и времени создания документов.

Задачи, решаемые в рамках ИТ экспертизы, подразделяются на диагностические и идентификационные. Диагностические задачи направлены на установление состояния объекта, его свойств и характеристик. К их числу относятся: определение технического состояния компьютерного средства и причин его неисправности; установление конфигурации аппаратных и программных компонентов; выявление признаков вредоносного воздействия; определение времени выполнения тех или иных операций . Идентификационные задачи связаны с установлением тождества объекта или его принадлежности к определённой группе. Примерами могут служить установление авторства программного кода, идентификация устройства по цифровым следам, определение принадлежности файла к конкретной программной среде.

Отдельную категорию составляют задачи, связанные с исследованием сетевых технологий. К ним относятся установление фактов соединения между устройствами, определение IP-адресов и маршрутов передачи данных, анализ сетевого трафика. Решение этих задач требует применения методов, разработанных в области телекоммуникаций и сетевых протоколов . Следует отметить, что грань между компьютерно-технической и компьютерно-сетевой экспертизой в ряде случаев оказывается размытой, поскольку современные устройства практически постоянно подключены к сети, а сетевое взаимодействие оставляет следы в памяти самих устройств.

Формулирование вопросов, ставящихся перед экспертом, является критически важным этапом, от которого во многом зависит результативность экспертизы. Вопросы должны быть конкретными, корректными с технической точки зрения и разрешимыми на современном уровне развития науки и техники. Типичными вопросами, адресуемыми эксперту по ИТ экспертизе, являются следующие: содержит ли представленный носитель информацию, имеющую отношение к делу; каково содержание обнаруженных файлов; имеются ли на носителе признаки удаления или модификации информации; какое программное обеспечение установлено на устройстве и какова его функция; осуществляется ли доступ к устройству удалённо; каковы хронологические рамки интересующих событий . Приведённый перечень не является обязательным и корректируется в зависимости от обстоятельств конкретного дела.

В рамках настоящей монографии термин «ИТ экспертиза» охватывает все перечисленные объекты и задачи. Вместе с тем, учитывая ограниченный объём работы, основное внимание уделено наиболее востребованным направлениям экспертной практики, связанным с исследованием носителей информации, восстановлением данных и анализом программного обеспечения. Вопросы, относящиеся к аппаратно-компьютерной диагностике неисправностей, освещаются лишь в той мере, в какой они необходимы для понимания общих принципов экспертного исследования.

1.3. Правовые основы назначения и производства ИТ экспертизы

Правовую основу ИТ экспертизы составляют нормы процессуального законодательства, регулирующие назначение и производство судебных экспертиз, а также положения законодательства о государственной судебно-экспертной деятельности. В уголовном судопроизводстве назначение экспертизы регламентируется статьями Уголовно-процессуального кодекса, устанавливающими основания и порядок назначения экспертизы, права и обязанности эксперта, требования к заключению эксперта. В гражданском и арбитражном процессе соответствующие нормы содержатся в процессуальных кодексах, определяющих порядок назначения экспертизы по ходатайству сторон или по инициативе суда.

Общим для всех процессуальных форм является требование о назначении экспертизы в случаях, когда для установления обстоятельств, имеющих значение для дела, необходимы специальные знания. ИТ экспертиза относится именно к такой категории исследований: судья, следователь или дознаватель, не обладая познаниями в области информационных технологий, не в состоянии самостоятельно разрешить вопросы о содержании цифровой информации, функциональном назначении программного обеспечения или причинах сбоя компьютерной системы. Назначение экспертизы в этих случаях не только допустимо, но и необходимо для обеспечения полноты и объективности исследования обстоятельств дела.

Процессуальный статус эксперта, производящего ИТ экспертизу, определяется его правами и обязанностями, закреплёнными в процессуальном законодательстве. Эксперт обязан провести исследование на основе представленных материалов, дать обоснованное и объективное заключение по поставленным вопросам, не выходить за пределы своей компетенции, обеспечить сохранность представленных объектов. Он вправе знакомиться с материалами дела, относящимися к предмету экспертизы, заявлять ходатайства о предоставлении дополнительных материалов, отказаться от дачи заключения, если поставленные вопросы выходят за пределы его специальных знаний или представленные материалы недостаточны для ответа.

Существенной особенностью ИТ экспертизы является необходимость обеспечения неизменности цифровых объектов в процессе исследования. Любое воздействие на носитель информации — подключение к устройству, запуск программ, открытие файлов — может привести к изменению метаданных, журналов событий и иных следов, имеющих доказательственное значение. Поэтому процессуальным законодательством и методическими рекомендациями предусматривается обязательное копирование исходной информации и производство исследования на копии (образе), а не на оригинале. Оригинальный носитель при этом должен быть упакован и опечатан надлежащим образом. Соблюдение этого требования гарантирует допустимость полученных доказательств и возможность повторной экспертизы.

Оценка заключения эксперта по ИТ экспертизе осуществляется по общим правилам оценки доказательств. Суд, следователь, дознаватель обязаны проверить, соблюдена ли процессуальная форма назначения и производства экспертизы, компетентен ли эксперт, достаточно ли представленных материалов, обоснованны ли выводы. Специфика ИТ экспертизы состоит в том, что выводы эксперта часто формулируются в терминах, малопонятных для лиц, не обладающих специальными познаниями. Это создаёт риск как необоснованного доверия к заключению, так и необоснованного его отклонения. В связи с этим возрастает роль квалифицированной оценки заключения с привлечением специалистов, способных разъяснить содержание экспертных выводов и их доказательственное значение.

В рамках настоящей монографии вопросы правового регулирования рассматриваются в объёме, необходимом для понимания процессуального контекста экспертной деятельности. Детальный анализ процессуальных норм и практики их применения выходит за пределы настоящего исследования. Приглашаем заинтересованных лиц, столкнувшихся с необходимостью назначения или производства ИТ экспертизы, обращаться в Союз «Федерация судебных экспертов», обеспечивающий квалифицированное экспертное сопровождение по широкому спектру вопросов, связанных с исследованием компьютерной техники и цифровой информации.

Раздел 2. Методы экспертного исследования в ИТ экспертизе

2.1. Общенаучные и специальные методы

Методологический аппарат ИТ экспертизы формируется на пересечении общенаучных методов познания и специальных методов, разработанных в области информационных технологий и криминалистики. К общенаучным методам, применяемым в экспертной деятельности, относятся наблюдение, описание, сравнение, измерение, эксперимент, моделирование, анализ и синтез, индукция и дедукция. Эти методы составляют основу любого экспертного исследования, обеспечивая логическую стройность и обоснованность выводов.

Наблюдение в ИТ экспертизе реализуется через визуальный осмотр объектов, фиксацию их внешнего состояния, изучение экранных форм и интерфейсов программ. Описание предполагает фиксацию выявленных признаков в протоколе осмотра и заключении эксперта с использованием специальной терминологии. Сравнение позволяет сопоставить исследуемые объекты с эталонами, типовыми образцами или между собой для выявления сходства и различия. Измерение применяется при определении количественных характеристик объектов — объёма носителя, размеров файлов, временных интервалов.

Эксперимент в ИТ экспертизе имеет ограниченное применение и проводится, как правило, в изолированной среде с использованием копий исследуемых объектов. Он может заключаться в запуске программ в виртуальной машине, проверке реакции системы на определённые воздействия, воспроизведении условий работы программного обеспечения. Моделирование используется для построения теоретических представлений о процессах, недоступных непосредственному наблюдению, например о механизмах распространения вредоносного кода или о последовательности действий пользователя, приведших к изменению состояния системы.

Специальные методы ИТ экспертизы подразделяются на методы работы с аппаратными средствами, методы анализа программного обеспечения и методы исследования информации. К первой группе относятся методы диагностики аппаратных компонентов, определения их технических параметров, выявления физических дефектов. Вторая группа включает методы статического и динамического анализа программ, дизассемблирования, отладки, эмуляции. Третья группа охватывает методы поиска и доступа к данным, восстановления удалённой информации, анализа файловых систем, криптоанализа, контент-анализа .

Выбор конкретного метода или совокупности методов определяется характером поставленных задач, свойствами исследуемого объекта и условиями производства экспертизы. Эксперт самостоятельно определяет методику исследования, руководствуясь своими специальными познаниями и требованиями полноты и объективности. Вместе с тем, при производстве ИТ экспертизы рекомендуется опираться на апробированные методики, прошедшие валидацию и признанные экспертным сообществом. Применение нестандартных методов требует особого обоснования в заключении эксперта.

Следует отметить, что многие задачи ИТ экспертизы на современном этапе решаются путём разработки специальных методик для каждого частного случая. Это связано с многообразием объектов и быстрым развитием технологий, опережающим формирование унифицированных методических рекомендаций . Такое положение создаёт определённые трудности для обеспечения единообразия экспертной практики, но одновременно стимулирует творческий подход эксперта и развитие методологии.

2.2. Методы исследования носителей информации и восстановления данных

Исследование носителей информации составляет значительную часть экспертной практики по ИТ экспертизе. Типичная последовательность действий эксперта при работе с носителем включает его визуальный осмотр, определение типа и интерфейса, подключение к стендовому оборудованию, создание посекторной копии (образа), анализ файловой системы и поиск значимой информации. Каждый из этапов имеет свои особенности и требует применения соответствующих инструментов.

Создание образа носителя является критически важным этапом, от которого зависит сохранность исходных данных и возможность последующего анализа. Образ представляет собой точную посекторную копию содержимого носителя, включая свободное пространство и служебные области. Для создания образов используются специализированные программные и аппаратные средства, обеспечивающие побитовое копирование без изменения исходного носителя. При невозможности создания полного образа (например, при физических повреждениях носителя) эксперт может прибегнуть к частичному копированию доступных областей, однако это должно быть отражено в заключении и учтено при оценке полноты исследования.

Анализ файловой системы начинается с определения её типа (FAT, NTFS, ext, APFS и др.) и основных параметров — размера кластера, количества секторов, расположения служебных областей. Затем эксперт переходит к изучению структуры каталогов, поиску файлов, представляющих интерес, и анализу их метаданных — времени создания, модификации, доступа. Метаданные часто имеют не меньшее доказательственное значение, чем содержание файлов, поскольку позволяют установить хронологию событий и выявить факты фальсификации.

Восстановление удалённой информации является одной из наиболее востребованных задач ИТ экспертизы. При удалении файла операционная система, как правило, не стирает его содержимое физически, а лишь помечает соответствующие кластеры как свободные и удаляет запись из каталога. До тех пор, пока эти кластеры не будут перезаписаны новой информацией, существует возможность восстановления удалённого файла. Эксперт использует методы сигнатурного поиска (по характерным заголовкам файлов), анализа журналов файловой системы, поиска остаточных данных в нераспределённых областях . Эффективность восстановления зависит от многих факторов: типа файловой системы, времени, прошедшего с момента удаления, интенсивности использования носителя после удаления.

Отдельного внимания заслуживает исследование зашифрованной информации. Шифрование, широко применяемое в современных операционных системах и приложениях, создаёт серьёзные препятствия для экспертного исследования. При наличии пароля или ключа эксперт может получить доступ к зашифрованным данным; при их отсутствии — констатировать факт шифрования и, в некоторых случаях, определить использованный алгоритм. Методы преодоления шифрования, применяемые в экспертной практике, ограничены и не всегда приводят к успеху. В заключении эксперта в таких случаях указывается на невозможность доступа к информации и причины этого.

При работе с носителями информации эксперт обязан обеспечить неизменность исходных данных. Все манипуляции с оригинальным носителем должны быть минимизированы; исследование производится на копии. Если возникает необходимость в повторном обращении к оригиналу, это должно быть обосновано и зафиксировано. Соблюдение этого требования является не только техническим, но и процессуальным условием допустимости заключения эксперта в качестве доказательства.

2.3. Методы исследования программного обеспечения

Исследование программного обеспечения представляет собой одно из наиболее сложных направлений ИТ экспертизы. Программный код является объектом, недоступным для непосредственного чувственного восприятия; его анализ требует применения специальных методов и инструментов. В зависимости от целей исследования эксперт может прибегать к статическому или динамическому анализу, а также к их комбинации.

Статический анализ предполагает изучение программного кода без его выполнения. Эксперт исследует исполняемые файлы, библиотеки, скрипты, используя методы дизассемблирования (преобразования машинного кода в язык ассемблера) и декомпиляции (восстановления исходного кода высокого уровня). Статический анализ позволяет выявить структуру программы, используемые алгоритмы, строковые константы, обращения к системным ресурсам, признаки вредоносной активности. Он безопасен, поскольку не приводит к запуску потенциально опасного кода, но требует высокой квалификации эксперта и значительных временных затрат.

Динамический анализ заключается в наблюдении за поведением программы в процессе её выполнения. Для этого программа запускается в изолированной среде — виртуальной машине, песочнице или на специально подготовленном стенде, отключённом от сети. Эксперт фиксирует действия программы: создание и модификацию файлов, обращения к реестру, сетевые соединения, попытки доступа к защищённым областям. Динамический анализ позволяет выявить функциональные возможности программы, которые неочевидны при статическом изучении, но сопряжён с риском распространения вредоносного кода при недостаточной изоляции среды.

Для исследования вредоносного программного обеспечения применяются специализированные методы, включая сигнатурный анализ (сопоставление кода с базами известных вредоносных программ), эвристический анализ (выявление подозрительных конструкций и поведенческих паттернов), эмуляцию (выполнение кода в контролируемой среде с перехватом системных вызовов). Результатом исследования является установление факта наличия вредоносных свойств, определение типа вредоносной программы (троян, шифровальщик, шпионское ПО и т.д.) и описание её функциональных возможностей.

При исследовании программного обеспечения, не обладающего признаками вредоносности, перед экспертом могут ставиться вопросы о его функциональном назначении, времени установки, фактах модификации. Для ответа на эти вопросы анализируются журналы установки, метаданные файлов, записи в системном реестре. Установление времени инсталляции программы позволяет соотнести её появление с интересующими следствие или суд событиями.

Следует подчеркнуть, что выводы эксперта по результатам исследования программного обеспечения должны быть сформулированы в терминах, доступных для понимания лицами, не обладающими специальными познаниями в области программирования. Эксперт обязан избегать излишней технической детализации, одновременно обеспечивая достаточную обоснованность своих выводов. В необходимых случаях в заключении приводится описание применённых методов и инструментов, позволяющее проверить достоверность полученных результатов.

Раздел 3. Процессуальные и организационные аспекты ИТ экспертизы

3.1. Назначение ИТ экспертизы: подготовка материалов и формулирование вопросов

Успех ИТ экспертизы во многом определяется качеством её подготовки, осуществляемой лицом, назначающим экспертизу. К числу ключевых элементов подготовки относятся сбор и надлежащее оформление материалов, направляемых на исследование, а также формулирование вопросов, ставящихся перед экспертом. Ошибки на этом этапе могут привести к невозможности производства экспертизы, существенному затягиванию сроков или получению выводов, не отвечающих на интересующие следствие и суд вопросы.

Материалы, направляемые на ИТ экспертизу, обычно включают исследуемые объекты (компьютерные средства, носители информации, документы), а также материалы дела, относящиеся к предмету экспертизы. Исследуемые объекты должны быть изъяты, упакованы и опечатаны в соответствии с процессуальными требованиями. При изъятии компьютерной техники необходимо соблюдать особые меры предосторожности: не допускать изменения состояния системы, не производить включение и выключение устройств без необходимости, обеспечить защиту от физических воздействий. Нарушение этих правил может привести к утрате или модификации цифровых следов, что сделает невозможным их экспертное исследование.

Наряду с объектами на экспертизу направляются материалы, содержащие сведения, необходимые для понимания контекста исследования. К таким материалам относятся протоколы осмотра, постановления о назначении экспертизы, документы, содержащие информацию о паролях, учётных записях, конфигурации исследуемых систем. Предоставление эксперту полной и достоверной информации об исследуемых объектах является условием обоснованности его выводов. Сокрытие или искажение таких сведений может привести к ошибочным выводам.

Формулирование вопросов эксперту — наиболее сложный и ответственный этап подготовки. Вопросы должны соответствовать следующим требованиям: относиться к предмету экспертизы, быть разрешимыми на современном уровне развития науки и техники, не выходить за пределы компетенции эксперта, быть сформулированными чётко и однозначно. Недопустимо ставить перед экспертом вопросы правового характера (например, о виновности лица, о квалификации деяния), поскольку их разрешение относится к исключительной компетенции суда и следствия.

Типичные ошибки при формулировании вопросов по ИТ экспертизе включают: постановку вопросов, требующих познаний в областях, не относящихся к информационным технологиям; формулирование вопросов в слишком общей форме, не позволяющей дать конкретный ответ; объединение в одном вопросе нескольких самостоятельных задач; постановку вопросов, ответы на которые не имеют значения для дела. Избежать этих ошибок позволяет предварительная консультация со специалистом в области ИТ экспертизы, который может помочь сформулировать вопросы и определить перечень материалов, необходимых для исследования.

При назначении ИТ экспертизы важно правильно определить её вид и выбрать экспертное учреждение или конкретного эксперта. От этого зависят сроки производства, качество исследования и возможность использования полученных результатов в доказывании. Союз «Федерация судебных экспертов» объединяет квалифицированных специалистов в области ИТ экспертизы, способных обеспечить производство исследований по широкому кругу вопросов, связанных с компьютерной техникой и цифровой информацией. Обращение в Союз позволяет получить экспертное сопровождение на всех этапах — от консультации по formulation вопросов до оценки полученного заключения.

3.2. Производство ИТ экспертизы: этапы и особенности

Производство ИТ экспертизы включает несколько последовательных этапов, каждый из которых имеет свои задачи и особенности. Первый этап — ознакомление с поступившими материалами и оценка их достаточности для производства исследования. Эксперт изучает постановление о назначении экспертизы, вопросы, материалы дела, оценивает состояние упаковки объектов. При обнаружении недостатков материалов (неполнота, противоречивость, отсутствие необходимых сведений) эксперт заявляет ходатайство о предоставлении дополнительных материалов или разъяснении вопросов.

Второй этап — планирование исследования. Эксперт определяет последовательность действий, выбирает методы и инструменты, оценивает необходимые временные и материальные ресурсы. На этом этапе важно предусмотреть меры по обеспечению сохранности исходных данных: создание резервных копий, использование Write Blockers (устройств, блокирующих запись на носитель), изоляция исследуемых объектов от сети. План исследования может корректироваться в процессе работы в зависимости от получаемых результатов.

Третий этап — непосредственное исследование объектов. Он включает осмотр, фиксацию исходного состояния, создание копий, анализ данных, проведение экспериментов (при необходимости). Эксперт документирует свои действия, фиксируя промежуточные результаты и наблюдаемые явления. Ведение подробных записей необходимо не только для составления заключения, но и для обеспечения возможности проверки хода и результатов исследования.

Четвёртый этап — обобщение результатов и формулирование выводов. Эксперт анализирует полученные данные, оценивает их достоверность и полноту, делает выводы по поставленным вопросам. Выводы должны быть обоснованными, непротиворечивыми и сформулированными в форме, доступной для понимания. При невозможности ответа на вопрос эксперт указывает причины (недостаточность материалов, выход за пределы компетенции, неприменимость существующих методик).

Пятый этап — оформление заключения эксперта. Заключение является процессуальным документом, имеющим доказательственное значение. Оно должно содержать вводную часть (сведения об эксперте, основании производства экспертизы, поставленных вопросах), исследовательскую часть (описание объектов, методов, хода и результатов исследования) и выводы. К заключению прилагаются материалы, иллюстрирующие ход и результаты исследования (скриншоты, распечатки, оптические диски с копиями данных).

Особенностью ИТ экспертизы является необходимость обеспечения возможности повторного исследования. В отличие от многих других видов экспертиз, где объект в процессе исследования может быть видоизменён или расходован, цифровые объекты позволяют создать точные копии, пригодные для последующего анализа. Эксперт должен стремиться к тому, чтобы его действия не приводили к необратимым изменениям исходных объектов, а созданные им копии и рабочие материалы сохранялись и могли быть представлены по запросу.

3.3. Оценка заключения эксперта по ИТ экспертизе

Заключение эксперта по ИТ экспертизе, как и любое иное заключение, подлежит оценке на предмет относимости, допустимости и достоверности. Оценка осуществляется лицом, производящим дознание, следователем, прокурором или судом. Вместе с тем, специфика ИТ экспертизы такова, что для квалифицированной оценки заключения часто требуется привлечение специалиста, способного разъяснить содержание технических выводов и оценить их обоснованность.

При оценке заключения проверяется соблюдение процессуальных требований: компетентность эксперта, наличие у него необходимой квалификации и допусков; соблюдение порядка назначения экспертизы; разъяснение эксперту его прав и обязанностей; предупреждение об ответственности за дачу заведомо ложного заключения. Нарушение процессуальных требований может повлечь признание заключения недопустимым доказательством.

Оценка достоверности выводов предполагает проверку научной обоснованности применённых методов, полноты и всесторонности исследования, логической непротиворечивости выводов. Эксперт должен указать, какие методы и инструменты он использовал, и обосновать их применимость для решения поставленных задач. Если выводы эксперта основаны на неапробированных методиках или недостаточных данных, это может послужить основанием для сомнений в их достоверности.

Существенным элементом оценки является проверка соответствия выводов поставленным вопросам. Эксперт не вправе выходить за пределы своей компетенции и отвечать на вопросы правового характера. Если выводы эксперта содержат оценки, относящиеся к компетенции суда (например, о виновности лица или о квалификации деяния), такие выводы не могут быть использованы в качестве доказательства в соответствующей части.

Оценка заключения по ИТ экспертизе часто требует специальных познаний, которыми не обладают участники процесса. В таких случаях целесообразно привлечение специалиста для дачи консультации или пояснения. Специалист может разъяснить значение использованных экспертом терминов, оценить корректность применённых методов, указать на возможные ошибки или неясности. Заключение специалиста не заменяет заключение эксперта, но помогает суду и сторонам правильно понять и оценить последнее.

В случае возникновения сомнений в обоснованности заключения или наличии противоречий между выводами нескольких экспертов может быть назначена повторная или дополнительная экспертиза. Повторная экспертиза поручается другому эксперту или комиссии экспертов и разрешает те же вопросы, что и первичная. Дополнительная экспертиза проводится при недостаточной ясности или полноте заключения и разрешает новые вопросы, возникшие в ходе оценки. Назначение повторной экспертизы по ИТ экспертизе требует особой тщательности, поскольку цифровые объекты могут быть утрачены или модифицированы, что ограничит возможности повторного исследования.

Раздел 4. Практические кейсы по ИТ экспертизе

Кейс 1. Восстановление удалённой информации по делу о хищении денежных средств с банковских счетов

В производство экспертного учреждения поступило постановление следователя о назначении ИТ экспертизы по уголовному делу, возбуждённому по признакам преступления, предусмотренного статьёй Уголовного кодекса, устанавливающей ответственность за хищение денежных средств с банковских счетов с использованием компьютерной техники. На исследование был представлен системный блок персонального компьютера, изъятый в офисе коммерческой организации, а также ноутбук, принадлежащий одному из сотрудников. Следствие располагало сведениями о том, что с расчётного счёта организации были переведены значительные суммы на счета подставных лиц, и полагало, что для совершения хищения использовалась вредоносная программа, внедрённая на компьютер главного бухгалтера.

Перед экспертом были поставлены следующие вопросы: имеются ли на представленных носителях информации признаки вредоносного программного обеспечения; содержится ли на носителях информация, свидетельствующая о несанкционированном доступе к системе дистанционного банковского обслуживания; имеются ли на носителях удалённые файлы, содержащие сведения о финансовых операциях, и могут ли они быть восстановлены.

При осмотре системного блока эксперт зафиксировал его конфигурацию, состояние пломб и упаковки, после чего извлёк жёсткий диск и подключил его к стендовому компьютеру через устройство, блокирующее запись. С помощью специализированного программного обеспечения был создан посекторный образ носителя, целостность которого подтверждена контрольной суммой. Дальнейшее исследование производилось исключительно с образом, оригинальный носитель был возвращён в упаковку и опечатан.

Анализ файловой системы показал, что на носителе установлена операционная система Windows, имеются следы работы стандартных офисных приложений и браузера. В журналах событий операционной системы были обнаружены записи о запуске исполняемого файла, расположенного в папке временных файлов, за несколько дней до предполагаемой даты хищения. Имя файла содержало характерные признаки, не соответствующие легитимному программному обеспечению. При статическом анализе данного файла эксперт выявил наличие обфусцированного (запутанного) кода, обращений к функциям перехвата клавиатурного ввода и сетевых соединений. Динамический анализ в изолированной виртуальной среде подтвердил, что программа осуществляет сбор вводимых с клавиатуры данных и отправку их на удалённый сервер по заданному IP-адресу. Совокупность выявленных признаков позволила эксперту сделать вывод о наличии на носителе вредоносной программы, функционально относящейся к классу троянских программ, предназначенных для хищения аутентификационных данных.

Далее эксперт приступил к поиску удалённой информации. Анализ журналов файловой системы и нераспределённых областей носителя выявил наличие остаточных данных, характер которых указывал на то, что ранее на диске существовали файлы, содержащие платёжные поручения и выписки по счёту. Применение методов сигнатурного поиска и анализа метаданных позволило восстановить несколько файлов в формате электронных таблиц, содержащих сведения о переводах денежных средств, в том числе на счета, упоминавшиеся в материалах дела. Временные метки восстановленных файлов коррелировали с периодом, в течение которого, по версии следствия, были совершены хищения.

По результатам исследования эксперт сформулировал следующие выводы: на представленном системном блоке имеются признаки вредоносного программного обеспечения, функционально предназначенного для несанкционированного сбора и передачи аутентификационных данных; в нераспределённой области носителя обнаружены и восстановлены файлы, содержащие сведения о финансовых операциях, соотносимые по времени с исследуемыми событиями. Заключение эксперта было использовано следствием для установления механизма хищения и определения круга лиц, причастных к его совершению. Данный кейс иллюстрирует типичную последовательность действий эксперта при работе с носителями информации по делам о компьютерных хищениях и демонстрирует значение методов восстановления данных для установления обстоятельств дела.

Кейс 2. Исследование мобильного телефона по делу о распространении запрещённой информации

В рамках расследования уголовного дела о распространении информации, запрещённой к обороту на территории Российской Федерации, следователем была назначена ИТ экспертиза. На исследование был представлен мобильный телефон, изъятый у подозреваемого при задержании. Следствие полагало, что с использованием данного устройства осуществлялось распространение материалов, содержащих признаки запрещённой информации, через мессенджеры и социальные сети.

Перед экспертом были поставлены вопросы: какая пользовательская информация содержится в памяти представленного мобильного телефона; имеются ли в памяти устройства файлы, содержащие информацию, запрещённую к обороту, и какова их природа; имеются ли в памяти сведения о переписке пользователя в мессенджерах, и каково её содержание; имеются ли сведения о посещении интернет-ресурсов, и каковы адреса этих ресурсов.

Мобильный телефон был представлен на исследование в выключенном состоянии, в упаковке, обеспечивающей сохранность устройства. При осмотре эксперт зафиксировал марку, модель, серийный номер и внешнее состояние телефона. Для доступа к данным устройства использовался метод извлечения информации, соответствующий модели телефона и версии операционной системы. Эксперт применил специализированное программное обеспечение, обеспечивающее чтение данных из памяти устройства без изменения их содержания.

В результате извлечения данных в памяти телефона были обнаружены контакты, журнал вызовов, SMS-сообщения, файлы мультимедиа (изображения и видеозаписи), а также данные приложений, включая мессенджеры и браузер. Анализ файлов мультимедиа показал наличие изображений и видеозаписей, содержание которых соответствовало описанию запрещённой информации, данному в постановлении о назначении экспертизы. Файлы были созданы и сохранены в памяти устройства в период, предшествующий задержанию подозреваемого.

Исследование данных мессенджеров выявило наличие переписки, в которой обсуждались вопросы распространения указанных материалов, приводились ссылки на ресурсы, содержащие аналогичную информацию. Эксперт зафиксировал содержание переписки, идентификаторы собеседников и временные метки сообщений. Анализ данных браузера показал, что с устройства осуществлялись посещения интернет-ресурсов, тематика которых соответствовала предмету расследования. История посещений содержала адреса и время доступа.

По результатам исследования эксперт сформулировал выводы: в памяти представленного мобильного телефона содержится пользовательская информация, включая контакты, сообщения, файлы мультимедиа и данные приложений; среди обнаруженных файлов имеются изображения и видеозаписи, содержание которых соответствует описанию запрещённой информации; в памяти устройства имеются сведения о переписке в мессенджерах, содержащей обсуждение распространения указанных материалов; в памяти устройства имеются сведения о посещении интернет-ресурсов соответствующей тематики. Заключение эксперта было использовано для доказывания факта распространения запрещённой информации и определения роли подозреваемого в совершении деяния. Кейс демонстрирует возможности ИТ экспертизы при исследовании мобильных устройств, которые в современной практике становятся одним из наиболее востребованных объектов экспертного исследования.

Кейс 3. Анализ вредоносного программного обеспечения по делу о неправомерном доступе к компьютерной информации

По уголовному делу о неправомерном доступе к охраняемой законом компьютерной информации, повлёкшем уничтожение и модификацию данных, была назначена ИТ экспертиза. На исследование был представлен сервер коммерческой организации, подвергшийся атаке, а также изъятый у подозреваемого ноутбук. Следствие полагало, что подозреваемый, используя уязвимость в программном обеспечении сервера, получил несанкционированный доступ к системе и запустил вредоносную программу, приведшую к уничтожению данных.

Перед экспертом были поставлены вопросы: имеются ли на представленном сервере следы несанкционированного доступа; содержится ли на сервере или на ноутбуке вредоносное программное обеспечение, и каково его функциональное назначение; имеется ли связь между действиями, зафиксированными на ноутбуке, и инцидентом на сервере.

Исследование сервера началось с создания образа его жёстких дисков. Анализ журналов операционной системы и веб-сервера выявил записи об обращениях к уязвимому компоненту приложения, поступивших из внешней сети. Временные метки этих обращений коррелировали с моментом возникновения сбоя в работе сервера. В журналах также были обнаружены записи о запуске подозрительного процесса, инициированного из веб-приложения, и о последующем удалении файлов в каталоге с данными.

На ноутбуке подозреваемого был обнаружен файл, содержащий исходный код программы, функционально предназначенной для эксплуатации уязвимости, выявленной на сервере. Программа содержала код, обеспечивающий удалённое выполнение команд, загрузку дополнительных модулей и удаление файлов. Сравнительный анализ кода, обнаруженного на ноутбуке, с фрагментами кода, зафиксированными в журналах сервера, показал их структурное сходство, что позволило эксперту сделать вывод о том, что обнаруженная на ноутбуке программа является инструментом, использованным для атаки.

Кроме того, в памяти ноутбука были обнаружены сведения о подключениях к сети Интернет, в том числе к IP-адресу, соответствующему серверу организации, в период, предшествующий инциденту. История браузера содержала посещения ресурсов, на которых публикуется информация об уязвимостях и методах их эксплуатации. Совокупность выявленных данных позволила эксперту сформулировать вывод о наличии связи между действиями, зафиксированными на ноутбуке, и инцидентом на сервере.

Выводы эксперта включали: на сервере имеются следы несанкционированного доступа, осуществлённого через уязвимость в веб-приложении; на ноутбуке обнаружена программа, функционально предназначенная для эксплуатации данной уязвимости и удалённого выполнения команд; обнаруженная программа структурно соотносится с кодом, зафиксированным в журналах сервера, и с высокой степенью вероятности является инструментом атаки; в памяти ноутбука имеются сведения о подключениях к серверу организации в релевантный период. Заключение эксперта сыграло ключевую роль в установлении механизма совершения преступления и доказывании причастности подозреваемого. Кейс иллюстрирует комплексный подход к исследованию распределённых инцидентов, требующий анализа как атакованной системы, так и средств, использованных для атаки.

Кейс 4. Установление времени создания и модификации электронных документов по гражданскому делу

В производстве суда находилось гражданское дело по спору между двумя коммерческими организациями о взыскании задолженности по договору поставки. Истец представил в качестве доказательства выполнения работ акты сдачи-приёмки, подписанные, по его утверждению, ответчиком в электронной форме. Ответчик оспаривал подлинность актов, утверждая, что они были созданы иначе и в иное время, чем указано в документах. Судом была назначена ИТ экспертиза для установления обстоятельств создания и модификации электронных документов.

Перед экспертом были поставлены вопросы: соответствуют ли временные метки представленных электронных документов датам, указанным в самих документах; имеются ли признаки изменения содержимого документов после их создания; каково программное обеспечение, использованное для создания документов.

На исследование были представлены электронные копии актов в формате текстовых документов, записанные на оптический диск, а также компьютер истца, на котором, по его утверждению, создавались эти документы. Эксперт создал образ жёсткого диска компьютера и приступил к анализу файловой системы и метаданных.

Изучение метаданных представленных документов показало, что даты создания, указанные в свойствах файлов, соответствуют датам, проставленным в самих актах. Однако более детальный анализ выявил несоответствия в метаданных: программа, указанная как средство создания документов, имела версию, выпущенную позже даты, проставленной в документе. Кроме того, в метаданных присутствовали следы редактирования, относящиеся к более позднему периоду, чем дата создания. Анализ журналов операционной системы компьютера истца показал, что файлы с соответствующими именами действительно существовали в указанные даты, однако их размер и контрольные суммы в тот период отличались от представленных в суд.

Сравнение содержимого представленных документов с версиями, восстановленными из резервных копий и временных файлов на компьютере истца, выявило различия в текстовой части и в форматировании. Восстановленные версии содержали иные суммы и иные формулировки условий, чем документы, представленные в суд. Временные метки восстановленных версий соответствовали датам, указанным в актах, тогда как представленные документы имели более поздние метаданные.

По результатам исследования эксперт пришёл к выводу, что представленные электронные документы были созданы в более поздний период, чем указанные в них даты, и подвергались модификации после первоначального создания. Содержимое документов не соответствует версиям, существовавшим на компьютере истца в заявленные даты. Выводы эксперта были положены судом в основу решения об отказе в удовлетворении исковых требований в части, основанной на представленных документах. Кейс демонстрирует значение анализа метаданных и восстановления предыдущих версий файлов для установления фактов фальсификации электронных доказательств.

Кейс 5. Исследование сетевого оборудования по делу о нарушении авторских прав

Арбитражным судом рассматривалось дело о нарушении исключительных прав на программное обеспечение. Истец утверждал, что ответчик, являясь индивидуальным предпринимателем, неправомерно использовал принадлежащее истцу программное обеспечение в коммерческой деятельности, в том числе предоставлял доступ к нему через сеть Интернет. Ответчик отрицал использование программного обеспечения, утверждая, что его деятельность не связана с соответствующими программами. Судом была назначена ИТ экспертиза.

Перед экспертом были поставлены вопросы: используется ли на представленном оборудовании программное обеспечение, права на которое принадлежат истцу; каким образом организован доступ к данному программному обеспечению; имеются ли следы его установки и использования.

На исследование был представлен сервер, принадлежащий ответчику, а также материалы дела, содержащие сведения о характеристиках программного обеспечения истца. Эксперт создал образ серверного носителя и провёл анализ установленного программного обеспечения и конфигурации сервера.

В ходе исследования на сервере были обнаружены файлы, идентичные по структуре и содержимому файлам программного обеспечения истца. Сравнение контрольных сумм и характерных фрагментов кода подтвердило их совпадение с дистрибутивом, права на который принадлежат истцу. Анализ конфигурации веб-сервера показал, что на сервере организован доступ к веб-приложению, функционально соответствующему программному продукту истца. Журналы веб-сервера содержали записи об обращениях к приложению с различных IP-адресов, что свидетельствовало о его использовании неограниченным кругом лиц.

Эксперт также установил, что на сервере отсутствуют документы, подтверждающие правомерность использования программного обеспечения (лицензионные соглашения, договоры с правообладателем). В журналах установки программного обеспечения не было обнаружено сведений о приобретении лицензии. Совокупность выявленных обстоятельств позволила эксперту сделать вывод об использовании программного обеспечения истца на сервере ответчика без разрешения правообладателя.

Выводы эксперта были использованы судом для удовлетворения исковых требований. Кейс демонстрирует возможности ИТ экспертизы при исследовании вопросов, связанных с использованием программного обеспечения в сети, и значение анализа серверной конфигурации и журналов для установления фактов неправомерного использования объектов интеллектуальной собственности.

Кейс 6. Восстановление истории действий пользователя по делу о служебном подлоге

По уголовному делу о служебном подлоге, совершённом сотрудником государственного учреждения, была назначена ИТ экспертиза. Следствие полагало, что обвиняемый внёс недостоверные сведения в электронные документы, хранившиеся на рабочем компьютере, с целью сокрытия фактов хищения. На исследование был представлен системный блок, изъятый с рабочего места обвиняемого.

Перед экспертом были поставлены вопросы: имеются ли на представленном компьютере следы изменения электронных документов; каково время внесения изменений; каким образом осуществлялся доступ к документам.

Эксперт создал образ жёсткого диска и провёл анализ журналов операционной системы, журналов приложений и теневых копий (shadow copies) файлов. Теневые копии, автоматически создаваемые операционной системой, позволили получить доступ к предыдущим версиям документов, существовавшим на определённые даты.

Сравнение текущих версий документов с их предыдущими версиями, сохранёнными в теневых копиях, выявило расхождения в числовых значениях и текстовых формулировках. Изменения затрагивали суммы, даты и наименования контрагентов. Анализ журналов показал, что вход в систему с учётной записью обвиняемого осуществлялся в период, когда, по версии следствия, были внесены изменения. Временные метки модификации файлов соответствовали этому периоду.

Эксперт также проанализировал журналы доступа к сетевым ресурсам и выявил, что в интересующий период с компьютера обвиняемого осуществлялся доступ к папке, в которой хранились документы, с правами на запись. Другие учётные записи в этот период к данным документам не обращались. Совокупность выявленных данных позволила эксперту сформулировать вывод о том, что изменения в документы были внесены с компьютера обвиняемого с использованием его учётной записи в период, соответствующий интересующим следствие событиям.

Выводы эксперта были использованы для доказывания факта подлога и причастности обвиняемого к его совершению. Кейс иллюстрирует значение теневых копий и журналов операционной системы для восстановления хронологии действий пользователя и установления лиц, имевших доступ к документам.

Кейс 7. Анализ электронной переписки по делу о разглашении коммерческой тайны

В рамках рассмотрения гражданского дела о разглашении коммерческой тайны судом была назначена ИТ экспертиза. Истец утверждал, что ответчик, являвшийся его бывшим сотрудником, скопировал конфиденциальную информацию и передал её третьим лицам. В качестве доказательства истец представил распечатки электронной переписки, подлинность которых ответчик оспаривал.

Перед экспертом были поставлены вопросы: имеется ли на представленном компьютере ответчика переписка, соответствующая представленным распечаткам; каково её содержание и участники; имеются ли следы копирования файлов, содержащих конфиденциальную информацию.

На исследование был представлен ноутбук ответчика. Эксперт создал образ носителя и провёл поиск почтовых сообщений и сообщений мессенджеров. В почтовом клиенте были обнаружены сообщения, по содержанию и участникам соответствующие представленным распечаткам. Сравнение показало, что распечатки отражают содержание обнаруженных сообщений, хотя и не полностью: некоторые фрагменты были опущены, а отдельные сообщения отсутствовали.

Анализ журналов почтового клиента и операционной системы позволил установить, что обнаруженные сообщения были отправлены и получены в период, указанный истцом. Вложения к сообщениям содержали файлы, наименования которых соответствовали документам, отнесённым истцом к коммерческой тайне. Эксперт также обнаружил на носителе следы копирования этих файлов на внешний носитель (USB-устройство) в период, предшествующий увольнению ответчика. Журналы операционной системы содержали записи о подключении USB-устройств и копировании файлов.

Выводы эксперта подтвердили наличие на компьютере ответчика переписки, содержание которой соответствует представленным распечаткам, а также факт копирования файлов с конфиденциальной информацией на внешний носитель. Заключение эксперта было использовано судом при оценке доказательств по делу. Кейс демонстрирует возможности ИТ экспертизы при исследовании электронной переписки и установлении фактов копирования информации, имеющей конфиденциальный характер.

Кейс 8. Исследование видеорегистратора по делу о дорожно-транспортном происшествии

По делу о дорожно-транспортном происшествии, повлёкшем тяжкие последствия, следователем была назначена ИТ экспертиза для исследования цифрового видеорегистратора, изъятого из автомобиля одного из участников ДТП. Следствие полагало, что запись с регистратора может содержать сведения о механизме столкновения, однако часть записей была утрачена в результате перезаписи.

Перед экспертом были поставлены вопросы: имеются ли на карте памяти видеорегистратора видеозаписи, относящиеся к моменту ДТП; возможно ли восстановление удалённых или перезаписанных фрагментов; каково содержание восстановленных записей.

Эксперт извлёк карту флеш-памяти из регистратора и создал её образ. Анализ файловой системы показал, что карта содержит циклический буфер, в котором новые записи постепенно замещают старые. Файлы, соответствующие моменту ДТП, в видимом каталоге отсутствовали, однако в нераспределённых областях и в секторах, помеченных как свободные, были обнаружены фрагменты видеофайлов.

Применение методов сигнатурного поиска и восстановления фрагментированных файлов позволило восстановить несколько видеофрагментов, содержащих изображение дорожной обстановки, характерной для места ДТП. Временные метки восстановленных фрагментов соответствовали времени, указанному в материалах дела. Один из фрагментов содержал изображение момента столкновения, позволяющее оценить взаимное расположение транспортных средств и направление их движения.

Эксперт экспортировал восстановленные фрагменты в отдельные файлы, записал их на оптический диск и приложил к заключению. В выводах эксперт указал, что на карте памяти имеются восстановленные фрагменты видеозаписи, относящиеся к моменту ДТП, и что содержание этих фрагментов соответствует обстоятельствам происшествия, зафиксированным в материалах дела. Заключение эксперта было использовано при установлении механизма ДТП и определении виновного лица. Кейс демонстрирует возможности восстановления видеоинформации с циклических носителей и значение ИТ экспертизы для расследования дорожно-транспортных происшествий.

Кейс 9. Установление факта удалённого доступа по делу о неправомерном использовании компьютерной информации

По уголовному делу о неправомерном использовании компьютерной информации, повлёкшем причинение крупного ущерба, была назначена ИТ экспертиза. Следствие полагало, что обвиняемый, являясь сотрудником организации, использовал своё служебное положение для несанкционированного доступа к базе данных и копирования сведений, составляющих коммерческую тайну. Обвиняемый отрицал доступ к базе данных за пределами рабочего времени и утверждал, что его учётная запись могла быть использована другими лицами.

Перед экспертом были поставлены вопросы: имеются ли в журналах сервера базы данных записи о доступе с учётной записью обвиняемого; каково время и место осуществления доступа; имеются ли признаки использования удалённого подключения.

Эксперт проанализировал журналы сервера базы данных, журналы контроллера домена и журналы межсетевого экрана. В журналах базы данных были обнаружены записи об аутентификации и выполнении запросов с учётной записью обвиняемого в нерабочее время, в том числе в ночные часы и выходные дни. Запросы носили характер выгрузки значительных массивов данных.

Анализ журналов контроллера домена показал, что аутентификация осуществлялась с IP-адреса, не входящего в диапазон адресов, используемых организацией. Журналы межсетевого экрана содержали записи о входящих соединениях на сервер с внешнего IP-адреса, соответствующие по времени записям в журналах базы данных. Эксперт установил, что данный IP-адрес принадлежит интернет-провайдеру, предоставляющему услуги физическим лицам в жилом секторе. Дальнейшая проверка, проведённая следствием, показала, что адрес соответствует квартире, в которой проживал обвиняемый.

Эксперт также обнаружил в журналах записи о том, что сеансы доступа с внешнего IP-адреса осуществлялись с использованием протокола удалённого рабочего стола, и что перед каждым сеансом выполнялось подключение через VPN-сервис, маскирующий истинный IP-адрес. Однако в одном из сеансов маскировка не сработала, и в журналах сохранился исходный IP-адрес, совпадающий с адресом квартиры обвиняемого.

Выводы эксперта включали: в журналах сервера имеются записи о доступе к базе данных с учётной записью обвиняемого в нерабочее время; доступ осуществлялся с внешнего IP-адреса, соответствующего месту жительства обвиняемого; доступ производился с использованием удалённого подключения и VPN-сервиса, в одном из сеансов VPN-маскировка не сработала, что позволило установить исходный адрес. Заключение эксперта опровергло версию обвиняемого о непричастности к доступу и было использовано для вынесения обвинительного приговора. Кейс демонстрирует значение анализа журналов для установления фактов удалённого доступа и идентификации лица, осуществившего доступ.

Кейс 10. Исследование программного обеспечения для целей определения его стоимости по арбитражному спору

В арбитражном суде рассматривался спор между заказчиком и исполнителем по договору на разработку программного обеспечения. Заказчик утверждал, что исполнитель выполнил работы не в полном объёме и ненадлежащего качества, и требовал соразмерного уменьшения цены договора. Исполнитель настаивал на том, что работы выполнены в полном объёме и соответствуют условиям договора. Судом была назначена ИТ экспертиза для определения объёма и качества фактически выполненных работ.

Перед экспертом были поставлены вопросы: каков объём фактически выполненных работ по разработке программного обеспечения; соответствует ли результат работ условиям договора и техническому заданию; имеются ли в программном обеспечении недостатки, и какова их причина.

На исследование были представлены исходные коды программного обеспечения, документация, материалы дела, содержащие договор и техническое задание, а также доступ к серверу, на котором размещалось разработанное приложение. Эксперт провёл анализ исходного кода, сопоставив его с требованиями технического задания, и проанализировал функционирование приложения на сервере.

Сравнение исходного кода с техническим заданием показало, что часть функциональных модулей, предусмотренных заданием, отсутствует или реализована не в полном объёме. В частности, не были реализованы модули интеграции с внешними системами и модуль формирования отчётности. Эксперт зафиксировал перечень отсутствующих функций и оценил трудозатраты, необходимые для их реализации, на основе анализа структуры кода и документации.

Анализ функционирования приложения на сервере выявил ошибки, приводящие к некорректной работе отдельных функций. Эксперт воспроизвёл ошибки в тестовой среде и описал условия их возникновения. Причины ошибок были связаны с недостаточной проработкой логики и отсутствием обработки исключительных ситуаций.

Выводы эксперта включали: объём фактически выполненных работ не соответствует в полном объёме техническому заданию, часть функций отсутствует; в реализованных функциях имеются недостатки, вызванные ошибками программирования; выявленные недостатки являются устранимыми, стоимость их устранения может быть оценена на основе трудозатрат, определённых экспертом. Заключение эксперта было использовано судом для определения соразмерного уменьшения цены договора. Кейс демонстрирует возможности ИТ экспертизы при оценке результатов разработки программного обеспечения и определении объёма и качества выполненных работ.

Заключение

Проведённое исследование позволяет сформулировать ряд выводов, имеющих значение для понимания современного состояния и перспектив развития ИТ экспертизы. Прежде всего, следует констатировать, что ИТ экспертиза представляет собой сформировавшийся род судебной экспертизы, обладающий собственным предметом, объектами и методологическим аппаратом. Несмотря на то, что методическая база рассматриваемого вида экспертизы продолжает развиваться и в ряде случаев требует разработки специальных методик для каждого конкретного случая, общие принципы экспертного исследования цифровых объектов получили достаточное теоретическое обоснование и апробацию в экспертной практике.

Объекты ИТ экспертизы отличаются значительным разнообразием и включают аппаратные средства, носители информации, программное обеспечение и информационные объекты. Такое разнообразие обусловливает необходимость дифференцированного подхода к выбору методов исследования и требует от эксперта широкой профессиональной подготовки, охватывающей различные области информационных технологий. Вместе с тем, объединяющим началом для всех объектов выступает их цифровая природа, определяющая общие требования к обеспечению сохранности исходных данных и верификации получаемых результатов.

Методологический аппарат ИТ экспертизы формируется на основе общенаучных методов познания и специальных методов, разработанных в информатике и криминалистике. К числу наиболее востребованных специальных методов относятся создание посекторных образов носителей, восстановление удалённой информации, статический и динамический анализ программного обеспечения, анализ журналов операционной системы и сетевого взаимодействия. Применение этих методов позволяет решать широкий круг задач, связанных с установлением содержания цифровой информации, механизмов её создания и модификации, а также фактов доступа к ней.

Процессуальные и организационные аспекты ИТ экспертизы имеют существенное значение для обеспечения допустимости и доказательственной силы заключения эксперта. Соблюдение требований к изъятию, упаковке и хранению цифровых объектов, корректное формулирование вопросов, обеспечение неизменности исходных данных в процессе исследования — эти и другие условия являются необходимыми предпосылками для получения объективного и обоснованного экспертного заключения. Нарушение процессуальных требований может привести к утрате доказательственного значения результатов экспертизы, даже если само исследование было проведено на высоком техническом уровне.

Практические кейсы, рассмотренные в настоящей монографии, демонстрируют широкие возможности ИТ экспертизы при разрешении различных категорий дел. Экспертные исследования позволяют устанавливать факты хищения денежных средств с использованием вредоносного программного обеспечения, распространять запрещённую информацию через мобильные устройства, осуществлять несанкционированный доступ к компьютерной информации, фальсифицировать электронные документы, неправомерно использовать программное обеспечение, разглашать коммерческую тайну, устанавливать обстоятельства дорожно-транспортных происшествий, определять объём и качество выполненных работ по разработке программного обеспечения. Во всех этих случаях заключение эксперта выступает важным, а нередко и решающим доказательством, позволяющим суду и следствию установить обстоятельства, входящие в предмет доказывания.

Вместе с тем, анализ экспертной практики выявляет и определённые проблемы, требующие внимания. К их числу относится, прежде всего, необходимость дальнейшего развития методического обеспечения ИТ экспертизы, особенно в части исследования новых технологий — облачных вычислений, интернета вещей, искусственного интеллекта, блокчейн-систем. Эти технологии создают новые объекты экспертного исследования и новые вызовы, связанные с распределённым хранением данных, их шифрованием и анонимизацией. Разработка методик исследования таких объектов представляет собой актуальную задачу для экспертного сообщества.

Другой проблемой является обеспечение единообразия экспертной практики. Разнообразие применяемых методов и инструментов, отсутствие унифицированных требований к оформлению результатов исследования создают трудности для оценки заключений экспертов и их сопоставления. В определённой мере решение этой проблемы связано с развитием системы добровольной сертификации экспертов и экспертных методик, а также с повышением требований к квалификации экспертов в области ИТ экспертизы.

Наконец, следует отметить важность взаимодействия экспертного сообщества с правоохранительными органами и судами. Понимание судьями, следователями и дознавателями возможностей и ограничений ИТ экспертизы, правильное формулирование вопросов и надлежащая подготовка материалов способствуют повышению эффективности экспертных исследований и их доказательственной ценности. В этом контексте деятельность профессиональных объединений экспертов, таких как Союз «Федерация судебных экспертов», приобретает особое значение, поскольку обеспечивает не только производство экспертиз, но и распространение знаний об экспертной деятельности среди участников судопроизводства.

Подводя итог, можно констатировать, что ИТ экспертиза занимает важное место в системе судебных экспертиз и играет возрастающую роль в обеспечении правосудия в условиях цифровой экономики. Дальнейшее развитие этого рода экспертизы связано с совершенствованием методического аппарата, повышением квалификации экспертов и укреплением взаимодействия экспертного сообщества с органами, назначающими экспертизы. Союз «Федерация судебных экспертов» открыт для сотрудничества со всеми заинтересованными лицами и готов обеспечить квалифицированное экспертное сопровождение по вопросам, связанным с исследованием компьютерной техники и цифровой информации.