Раздел I. Концептуальные основы судебной компьютерной технической экспертизы

Понятие и сущность судебной компьютерной технической экспертизы

Проведение судебной компьютерной технической экспертизы представляет собой процессуальное действие, осуществляемое сведущим лицом на основании определения суда или постановления следователя (дознавателя) с целью установления фактических данных, имеющих доказательственное значение, путем исследования компьютерных средств, информационных систем и цифровых носителей информации с применением специальных знаний в области компьютерных технологий. Сущность данного вида экспертизы состоит в том, что эксперт, используя методики и инструментарий компьютерно-технического исследования, преобразует недоступную для непосредственного восприятия судом цифровую информацию в форму, пригодную для оценки и использования в процессе доказывания. Проведение судебной компьютерной технической экспертизы требует не только глубоких познаний в области программного обеспечения, аппаратного устройства и сетевых технологий, но и строгого соблюдения процессуальных норм, гарантирующих допустимость полученного заключения как доказательства.

В структуре судебно-экспертной деятельности компьютерно-техническая экспертиза занимает особое положение в силу специфики своего объекта. В отличие от традиционных криминалистических экспертиз, где объект исследования имеет материальную природу и относительно стабильные свойства, объект компьютерно-технической экспертизы представляет собой динамическую информационную среду, состояние которой может изменяться под воздействием множества факторов, включая действия пользователя, работу программного обеспечения и даже течение времени. Именно поэтому проведение судебной компьютерной технической экспертизы всегда сопряжено с необходимостью обеспечения сохранности исходной информации, что требует применения специальных процедур фиксации и копирования данных до начала активного исследования.

Содержательная сторона судебной компьютерной технической экспертизы раскрывается через ее предмет, который составляют фактические обстоятельства, устанавливаемые на основе специальных знаний в области компьютерных технологий. К числу типовых задач, разрешаемых в рамках проведения судебной компьютерной технической экспертизы, относятся: установление наличия и содержания информации на носителе; определение времени создания, изменения или удаления файлов; установление факта работы конкретного программного обеспечения; выявление признаков вредоносного воздействия; определение конфигурации аппаратного средства и его технического состояния. Каждая из этих задач требует от эксперта не только владения инструментальными средствами, но и понимания того, каким образом результаты исследования будут интерпретированы судом в контексте конкретного дела.

Место компьютерно-технической экспертизы в системе судебных экспертиз

Судебная компьютерно-техническая экспертиза не является изолированным видом экспертной деятельности. Она тесно взаимодействует с иными родами и видами судебных экспертиз, образуя вместе с ними единую систему доказательственного обеспечения. В частности, проведение судебной компьютерной технической экспертизы может предшествовать или сопутствовать проведению фоноскопической экспертизы, когда требуется установить подлинность аудиозаписи, хранящейся в цифровом формате; видео-технической экспертизы, если объектом исследования выступает цифровая видеозапись; а также технико-криминалистической экспертизы документов, когда электронный документ имеет материальный носитель или связан с реквизитами, выполненными традиционными способами.

Классификация компьютерно-технических экспертиз может проводиться по различным основаниям. По объекту исследования выделяются экспертизы аппаратных средств, программного обеспечения, информационных массивов (баз данных, файловых хранилищ), а также сетевых компонентов. По процессуальной форме различают экспертизы, проводимые в государственных судебно-экспертных учреждениях, и экспертизы, выполняемые негосударственными экспертными организациями, к числу которых относится Союз «Федерация судебных экспертов». Независимо от организационной формы, проведение судебной компьютерной технической экспертизы подчиняется единым требованиям, устанавливаемым процессуальным законодательством и нормативными актами о судебно-экспертной деятельности.

Правовые основы проведения судебной компьютерной технической экспертизы

Правовую базу проведения судебной компьютерной технической экспертизы составляют нормы уголовно-процессуального, гражданского процессуального, арбитражного процессуального и административного процессуального законодательства, а также Федеральный закон «О государственной судебно-экспертной деятельности в Российской Федерации». Указанные нормативные акты определяют основания назначения экспертизы, права и обязанности эксперта, порядок оформления заключения и пределы его использования в доказывании. Специфика компьютерно-технической экспертизы состоит в том, что ее проведение часто связано с исследованием объектов, содержащих охраняемую законом тайну или персональные данные, что требует особого внимания к соблюдению режима конфиденциальности и процессуальных гарантий.

Отдельного внимания заслуживает вопрос о разграничении компетенции эксперта и пределов его вторжения в правовую оценку обстоятельств дела. Проведение судебной компьютерной технической экспертизы не предполагает установления виновности или невиновности лиц, а также квалификации их действий. Эксперт устанавливает технические факты: работала ли программа, был ли осуществлен доступ, соответствует ли оборудование заявленным характеристикам. Однако из этих технических фактов суд впоследствии делает выводы правового характера. Смешение технической и правовой сторон недопустимо, поскольку влечет за собой выход эксперта за пределы своей компетенции и ставит под сомнение доказательственное значение заключения.

Раздел II. Объекты и субъекты судебной компьютерной технической экспертизы

Характеристика объектов исследования

Объектами судебной компьютерной технической экспертизы выступают материальные носители информации и информационные системы, представленные эксперту в установленном процессуальном порядке. К их числу относятся накопители на жестких магнитных дисках, твердотельные накопители, оптические диски, карты флеш-памяти, мобильные устройства (смартфоны, планшеты), серверное оборудование, а также встроенные системы управления и электронные блоки различных устройств. Каждый из перечисленных объектов обладает специфическими свойствами, определяющими методику его исследования и перечень решаемых задач.

• Накопители на жестких магнитных дисках традиционно являются наиболее распространенным объектом компьютерно-технического исследования. Они содержат файловую систему, служебные области и нераспределенное пространство, в котором могут сохраняться фрагменты удаленных файлов.
• Твердотельные накопители, получившие широкое распространение в портативных устройствах, имеют иную архитектуру хранения данных и требуют особых методов анализа, поскольку механизм выравнивания износа и сборки мусора может приводить к безвозвратному удалению информации.
• Мобильные устройства представляют собой наиболее сложный объект, поскольку сочетают в себе аппаратную платформу, операционную систему с закрытой архитектурой и персонализированные пользовательские данные. Проведение судебной компьютерной технической экспертизы в отношении мобильных устройств часто требует применения специализированных программно-аппаратных комплексов.

Отдельную категорию объектов составляют так называемые «виртуальные» носители: образы дисков, снимки виртуальных машин, контейнеры баз данных. Работа с такими объектами предполагает создание копии, идентичной оригиналу по информационному содержимому, и исследование именно копии, что minimizes риск утраты или модификации исходных данных.

Субъекты проведения судебной компьютерной технической экспертизы

Субъектом проведения судебной компьютерной технической экспертизы является эксперт — лицо, обладающее специальными знаниями в области компьютерных технологий и назначенное в установленном порядке для производства исследования. Требования к эксперту включают наличие высшего профессионального образования по соответствующей специальности, стажа работы по экспертной специальности, а также отсутствие обстоятельств, исключающих его участие в деле. В негосударственных экспертных организациях, таких как Союз «Федерация судебных экспертов», дополнительно применяются процедуры добровольной сертификации, подтверждающие компетентность эксперта по конкретной экспертной специальности.

Помимо эксперта, в процессе проведения судебной компьютерной технической экспертизы участвуют иные субъекты, каждый из которых выполняет свою процессуальную функцию. Следователь или суд назначают экспертизу, формулируют вопросы и оценивают заключение. Специалист может привлекаться для консультации по отдельным техническим вопросам или для оказания помощи в формулировании вопросов. Понятые участвуют в следственных действиях, связанных с изъятием и осмотром компьютерных носителей. Каждый из этих субъектов действует в пределах своей компетенции, и их взаимодействие обеспечивает законность и обоснованность проводимого исследования.

Раздел III. Методология и методическое обеспечение

Общие методы исследования компьютерных средств

Методологическую основу проведения судебной компьютерной технической экспертизы составляет совокупность общенаучных и специальных методов, адаптированных к особенностям цифровых объектов. К общенаучным методам относятся анализ, синтез, сравнение, моделирование и эксперимент. Специальные методы включают криминалистическое копирование, файловый анализ, поиск сигнатур, восстановление удаленных данных, анализ журналов событий и метаданных, а также инструментальный анализ исполняемого кода.

Важнейшим принципом проведения судебной компьютерной технической экспертизы является обеспечение неизменности исходного объекта. До начала активных исследовательских действий эксперт обязан создать криминалистическую копию носителя, которая впоследствии используется для всех манипуляций. Оригинал при этом сохраняется в неизменном виде и может быть повторно исследован в случае необходимости. Данное требование вытекает из необходимости обеспечения воспроизводимости результатов и возможности их проверки другими экспертами или участниками процесса.

• Метод побитового копирования обеспечивает создание точной копии носителя, включая служебные области и нераспределенное пространство.
• Метод поиска сигнатур позволяет обнаруживать файлы определенных типов независимо от состояния файловой системы, что особенно важно при восстановлении удаленных данных.
• Метод анализа временных меток дает возможность установить хронологию событий, связанных с созданием, изменением и доступом к файлам.
• Метод сравнения эталонных значений (хеш-сумм) применяется для подтверждения идентичности копии и оригинала, а также для установления факта модификации файла.

Инструментальные средства компьютерно-технической экспертизы

Выбор инструментальных средств проведения судебной компьютерной технической экспертизы определяется характером объекта и задачами исследования. В распоряжении современного эксперта находится широкий спектр программных продуктов как коммерческого, так и открытого происхождения. К числу наиболее распространенных относятся программные комплексы для создания образов носителей и работы с файловыми системами, средства восстановления данных, утилиты анализа журналов операционной системы, а также специализированные платформы для исследования мобильных устройств.

Применение того или иного инструмента должно быть обосновано экспертом в заключении. Недопустимо использование программ, не прошедших проверку на достоверность результатов или содержащих недекларированные возможности. Проведение судебной компьютерной технической экспертизы с применением непроверенного инструментария создает риск получения ошибочных выводов и ставит под сомнение доказательственное значение заключения. Эксперт обязан документировать последовательность своих действий и параметры использованного программного обеспечения, чтобы обеспечить возможность верификации полученных результатов.

Раздел IV. Процессуальные аспекты назначения и производства

Порядок назначения экспертизы

Назначение судебной компьютерной технической экспертизы осуществляется по инициативе суда, следователя, дознавателя либо по ходатайству участников процесса. В постановлении (определении) о назначении экспертизы должны быть указаны основания для ее производства, объекты, представленные на исследование, вопросы, поставленные перед экспертом, и материалы, предоставляемые в распоряжение эксперта. Формулировка вопросов имеет принципиальное значение, поскольку именно они определяют предмет и границы исследования. Некорректно поставленный вопрос может привести к выходу эксперта за пределы своей компетенции или к получению вывода, не имеющего доказательственного значения.

При подготовке к проведению судебной компьютерной технической экспертизы необходимо обеспечить надлежащее изъятие и упаковку объектов. Компьютерные носители и устройства изымаются с соблюдением процессуальных требований, фиксируются в протоколе следственного действия с указанием индивидуальных признаков (модель, серийный номер, состояние, наличие повреждений). Нарушение процедуры изъятия может повлечь за собой признание заключения эксперта недопустимым доказательством, как это следует из анализа судебной практики.

Права и обязанности эксперта при производстве

Эксперт, осуществляющий проведение судебной компьютерной технической экспертизы, наделен комплексом процессуальных прав и обязанностей. Он вправе знакомиться с материалами дела, относящимися к предмету экспертизы, заявлять ходатайства о предоставлении дополнительных материалов, отказаться от дачи заключения, если поставленные вопросы выходят за пределы его специальных знаний. В то же время эксперт обязан провести исследование объективно, всесторонне и в полном объеме, дать обоснованное заключение по поставленным вопросам, а также не разглашать сведения, ставшие ему известными в связи с производством экспертизы.

Заключение эксперта по результатам проведения судебной компьютерной технической экспертизы должно соответствовать требованиям, предъявляемым процессуальным законодательством. Оно включает вводную часть с указанием сведений об эксперте и основаниях назначения экспертизы, исследовательскую часть с описанием объектов, методов и хода исследования, а также выводы в форме ответов на поставленные вопросы. Выводы должны быть сформулированы четко и недвусмысленно, чтобы суд мог их однозначно интерпретировать.

Раздел V. Особенности исследования отдельных категорий объектов

Экспертиза накопителей и файловых систем

Исследование накопителей составляет наиболее часто встречающийся вид проведения судебной компьютерной технической экспертизы. В рамках данного направления решаются задачи установления структуры файловой системы, обнаружения файлов определенного типа, восстановления удаленных данных, определения времени последнего доступа к файлам и выявления следов использования программных средств. Файловая система рассматривается экспертом не только как способ организации хранения данных, но и как источник метаинформации, отражающей действия пользователя.

Значительный объем доказательственной информации может быть извлечен из служебных областей файловой системы. Журналы транзакций (например, $LogFile в файловой системе NTFS) содержат записи обо всех изменениях, вносимых в файловую систему. Мастер-файловая таблица (MFT) хранит атрибуты файлов, включая временные метки и размеры. Изучение этих структур позволяет эксперту реконструировать последовательность событий даже в тех случаях, когда сами файлы были удалены. Проведение судебной компьютерной технической экспертизы накопителей требует от эксперта понимания архитектуры файловых систем и умения работать с низкоуровневыми структурами данных.

Экспертиза программного обеспечения

Исследование программного обеспечения направлено на установление факта работы конкретной программы, ее функциональных характеристик, а также выявление признаков вредоносного поведения. В рамках данного направления проводится анализ исполняемых файлов, изучение журналов установки и обновления программ, исследование конфигурационных файлов и записей реестра. Проведение судебной компьютерной технической экспертизы программного обеспечения может включать статический анализ кода (без его запуска) и динамический анализ (с наблюдением за поведением программы в контролируемой среде).

Особую сложность представляет исследование вредоносного программного обеспечения. Эксперт должен установить, обладает ли исследуемая программа признаками, характерными для вредоносных программ (несанкционированный доступ, модификация данных, нейтрализация средств защиты), не запуская при этом потенциально опасный код на рабочей системе. Для этих целей применяются изолированные среды (песочницы), эмуляторы и средства статического анализа. Результаты исследования должны быть документированы таким образом, чтобы выводы эксперта могли быть проверены независимо от использованного инструментария.

Экспертиза мобильных устройств

Мобильные устройства занимают особое место среди объектов компьютерно-технической экспертизы в силу их повсеместного распространения и объема содержащейся в них персональной информации. Проведение судебной компьютерной технической экспертизы мобильного устройства включает извлечение данных трех уровней: логическое (доступ к данным через штатные интерфейсы), файловое (копирование файловой системы) и физическое (побитовое копирование всего содержимого памяти). Выбор уровня извлечения зависит от модели устройства, версии операционной системы и задач исследования.

• Логическое извлечение применяется в тех случаях, когда требуется получить доступ к пользовательским данным (контактам, сообщениям, журналам вызовов) без нарушения целостности системы.
• Файловое извлечение позволяет получить доступ к системным файлам и базам данных приложений, однако требует наличия прав root или использования уязвимостей операционной системы.
• Физическое извлечение обеспечивает наиболее полный доступ к данным, включая удаленную информацию, но применимо не ко всем моделям устройств и требует специального оборудования.

Раздел VI. Кейсы из практики проведения судебной компьютерной технической экспертизы

Кейс 1. Установление факта подписания электронного документа

В производстве Октябрьского районного суда города Екатеринбурга находилось гражданское дело по иску банка к заемщику о взыскании задолженности по кредитному договору. Заемщик оспаривал факт подписания договора электронной подписью, утверждая, что документ был подписан не им, а иным лицом. Для разрешения спора была назначена судебная компьютерно-техническая экспертиза, проведение которой было поручено экспертам Союза «Федерация судебных экспертов».

На исследование были представлены кредитный договор в электронной форме, детализация соединений по номеру телефона заемщика, сведения об IP-адресах, с которых осуществлялся вход в систему дистанционного банковского обслуживания, и ответ оператора сотовой связи о переадресации вызовов. Перед экспертом был поставлен вопрос: кем — заемщиком или иным лицом — была сформирована электронная подпись на кредитном договоре.

В ходе проведения судебной компьютерной технической экспертизы эксперт сопоставил временные метки подписания договора с данными о соединениях мобильного устройства заемщика. Было установлено, что в момент формирования электронной подписи номер заемщика находился в состоянии переадресации на другой номер, а IP-адрес, с которого производилось подписание, географически не соответствовал месту нахождения заемщика, подтвержденному данными о транзакциях по банковской карте. Кроме того, анализ детализации выявил аномально высокую активность отправки SMS-сообщений в период, предшествующий подписанию, что могло свидетельствовать о перехвате одноразовых паролей.

Эксперт пришел к выводу, что совокупность технических данных не подтверждает формирование электронной подписи самим заемщиком с использованием принадлежащего ему устройства и в месте его фактического нахождения. Заключение было принято судом в качестве доказательства и положено в основу решения об отказе в удовлетворении исковых требований в части, касающейся оспариваемого договора. Данный кейс демонстрирует, каким образом проведение судебной компьютерной технической экспертизы позволяет установить обстоятельства, недоступные для непосредственного восприятия, на основе анализа разрозненных цифровых следов.

Кейс 2. Восстановление удаленных файлов при расследовании хищения

В ходе предварительного следствия по уголовному делу о хищении денежных средств путем мошенничества у подозреваемого был изъят ноутбук. Следствие полагало, что на данном устройстве хранились файлы, содержащие сведения о финансовых операциях и контактах соучастников, однако при первоначальном осмотре информация не была обнаружена. Была назначена судебная компьютерно-техническая экспертиза, производство которой поручено эксперту Союза «Федерация судебных экспертов».

Объектом исследования являлся накопитель на жестких магнитных дисках ноутбука. Эксперт создал побитовую копию носителя и приступил к анализу файловой системы. Штатными средствами операционной системы файлы, имеющие отношение к делу, обнаружены не были. Тогда эксперт применил методы поиска сигнатур и анализа нераспределенного пространства. В результате из служебных областей файловой системы и неразмеченной области диска были извлечены фрагменты документов, содержащих таблицы с суммами денежных переводов, а также восстановлены записи журнала обмена сообщениями одного из мессенджеров.

Анализ временных меток восстановленных файлов показал, что они были созданы и изменены в период, совпадающий с датами совершения хищений, а удалены — за несколько часов до изъятия ноутбука. Кроме того, в журнале событий операционной системы сохранились записи о запуске программы-шреддера, предназначенной для безвозвратного удаления файлов. Однако поскольку программа была запущена в спешке и не завершила работу корректно, значительная часть данных сохранилась в теневых копиях и резервных областях.

Проведение судебной компьютерной технической экспертизы позволило восстановить информацию, которую подозреваемый считал уничтоженной, и использовать ее в качестве доказательства по делу. Эксперт отметил в заключении, что восстановленные файлы содержат метаданные, указывающие на устройство, на котором они создавались, что позволило связать их с конкретным ноутбуком. Кейс иллюстрирует значимость методов восстановления данных и важность создания полной копии носителя до начала любых манипуляций.

Кейс 3. Исследование серверного оборудования в арбитражном споре

Арбитражный суд рассматривал спор между заказчиком и исполнителем по договору на поставку серверного оборудования. Заказчик утверждал, что поставленное оборудование не соответствует техническому заданию по производительности и комплектации, и требовал расторжения договора и возврата уплаченных средств. Исполнитель настаивал на том, что оборудование соответствует условиям договора. Для разрешения разногласий была назначена судебная компьютерно-техническая экспертиза, проведение которой было поручено экспертам Союза «Федерация судебных экспертов».

На исследование были представлены серверные блоки, техническая документация, договор с приложением технического задания, а также акты приемки-передачи. Перед экспертом были поставлены вопросы о соответствии фактических характеристик оборудования заявленным в техническом задании и о причинах выявленных расхождений в производительности.

Эксперт провел натурный осмотр оборудования, зафиксировал серийные номера и идентификаторы компонентов. С использованием диагностических утилит были получены данные о конфигурации процессоров, объеме и типе оперативной памяти, характеристиках дисковых массивов. Сравнение с техническим заданием показало, что часть компонентов имеет более низкие характеристики, чем предусмотрено договором: в частности, объем кэш-памяти процессоров и скорость дисковых операций не соответствовали заявленным параметрам.

Отдельно эксперт исследовал журналы системы управления сервером, которые сохранили записи о конфигурационных изменениях. Было установлено, что часть компонентов была заменена после первичной установки, причем замена производилась без надлежащего документального оформления. Проведение судебной компьютерной технической экспертизы позволило установить не только факт несоответствия, но и момент, когда это несоответствие возникло, что имело значение для определения ответственности сторон. Суд принял заключение в качестве доказательства и удовлетворил требования заказчика в части, касающейся замены оборудования.

Кейс 4. Анализ вредоносного программного обеспечения

В рамках уголовного дела о неправомерном доступе к компьютерной информации было установлено, что на сервере организации, занимающейся обработкой платежей, обнаружены следы несанкционированного вмешательства. Следствие располагало подозрением, что на сервер было внедрено вредоносное программное обеспечение, однако обнаружить его стандартными антивирусными средствами не удавалось. Назначенная судебная компьютерно-техническая экспертиза была поручена эксперту Союза «Федерация судебных экспертов».

Объектом исследования являлся образ диска сервера, созданный сразу после обнаружения инцидента. Эксперт начал с анализа журналов операционной системы и сетевых соединений. Были выявлены необычные записи о запуске процессов в нерабочее время, а также исходящие соединения на IP-адрес, не относящийся к инфраструктуре организации. Дальнейший анализ привел к обнаружению исполняемого файла, замаскированного под системную библиотеку и размещенного в директории, обычно не используемой для хранения исполняемых файлов.

Статический анализ кода выявил функции, характерные для вредоносных программ: перехват нажатий клавиш, создание скрытых сетевых соединений и шифрование передаваемых данных. Динамический анализ в изолированной среде подтвердил, что программа устанавливает соединение с внешним сервером управления и передает ему данные, собираемые с зараженной системы. Эксперт также установил, что внедрение программы произошло через уязвимость в веб-приложении, журналы которого сохранили подозрительные HTTP-запросы за несколько дней до обнаружения инцидента.

Проведение судебной компьютерной технической экспертизы позволило не только идентифицировать вредоносную программу, но и восстановить хронологию событий: время внедрения, период активности и объем скомпрометированных данных. Заключение эксперта было использовано для квалификации действий подозреваемого и определения размера ущерба.

Кейс 5. Установление авторства исходного кода

Между двумя организациями возник спор о правах на программное обеспечение, разработанное по договору подряда. Заказчик утверждал, что исполнитель передал ему неполный исходный код, содержащий заимствования из сторонней библиотеки, что нарушает условия договора о передаче исключительных прав. Исполнитель возражал, утверждая, что переданный код является оригинальным и полным. Арбитражный суд назначил судебную компьютерно-техническую экспертизу, поручив ее проведение экспертам Союза «Федерация судебных экспертов».

На исследование были представлены архивы с исходным кодом, документация по разработке, а также скомпилированные бинарные файлы программы. Перед экспертом были поставлены вопросы о соответствии исходного кода и бинарного файла, о наличии в коде фрагментов, совпадающих с известными сторонними библиотеками, и о полноте переданного кода.

Эксперт провел сравнительный анализ структуры проекта, файлов сборки и зависимостей. Было установлено, что часть модулей, присутствующих в бинарном файле, отсутствует в переданном исходном коде, что делало невозможной самостоятельную сборку программы заказчиком. Далее был проведен поиск совпадений с открытыми библиотеками. В нескольких модулях были обнаружены фрагменты, текстуально совпадающие с кодом библиотеки, распространяемой под лицензией, требующей указания авторства, однако соответствующие уведомления в переданных файлах отсутствовали.

Проведение судебной компьютерной технической экспертизы позволило установить, что переданный исходный код является неполным и содержит неатрибутированные заимствования. Эксперт отметил, что выявленные совпадения не могут быть объяснены общими алгоритмическими подходами, поскольку включали характерные комментарии и оригинальные наименования переменных. Суд учел заключение при вынесении решения о частичном удовлетворении требований заказчика.

Кейс 6. Экспертиза мобильного устройства по делу о распространении запрещенной информации

В производстве районного суда находилось уголовное дело, связанное с распространением информации, запрещенной к обороту на территории Российской Федерации. У обвиняемого был изъят смартфон, который, по версии следствия, использовался для доступа к соответствующим ресурсам и обмена файлами. Защита утверждала, что устройство не принадлежало обвиняемому и что доступ к нему имели третьи лица. Для проверки этих доводов была назначена судебная компьютерно-техническая экспертиза, проведение которой поручено эксперту Союза «Федерация судебных экспертов».

Объектом исследования являлся смартфон под управлением операционной системы с закрытой архитектурой. Эксперт применил специализированный программно-аппаратный комплекс для извлечения данных. Были получены журналы вызовов, список контактов, история посещений браузера, а также данные приложений, включая мессенджеры и файловые менеджеры. Отдельное внимание было уделено учетным записям, настроенным на устройстве.

Анализ показал, что на устройстве активна учетная запись, зарегистрированная на имя, совпадающее с именем обвиняемого, однако в качестве резервного адреса электронной почты указан адрес, не принадлежащий ему. Журнал браузера содержал записи о посещении ресурсов, указанных в обвинении, в период, когда, по данным геолокации устройства, оно находилось в районе места жительства обвиняемого. В то же время были обнаружены свидетельства использования устройства иным лицом: в приложении для обмена сообщениями сохранилась переписка, в которой обсуждались действия, не имеющие отношения к обвиняемому.

Эксперт пришел к выводу, что устройство использовалось как минимум двумя различными лицами, при этом идентифицировать конкретного пользователя, осуществившего доступ к запрещенным ресурсам, на основе только технических данных не представляется возможным. Проведение судебной компьютерной технической экспертизы в данном случае не дало прямого ответа на вопрос о виновности, однако позволило скорректировать обвинение и обратить внимание суда на необходимость проверки версии защиты.

Кейс 7. Анализ сетевых журналов при расследовании распределенной атаки

Организация, предоставляющая услуги хостинга, подверглась распределенной атаке типа «отказ в обслуживании», в результате которой работа клиентских ресурсов была нарушена на несколько часов. Служба безопасности организации зафиксировала аномальную активность, но не смогла установить источник атакующих запросов. По заявлению организации было возбуждено уголовное дело, в рамках которого назначена судебная компьютерно-техническая экспертиза. Проведение экспертизы было поручено экспертам Союза «Федерация судебных экспертов».

На исследование были представлены журналы веб-сервера, маршрутизаторов и систем обнаружения вторжений за период, охватывающий время атаки. Перед экспертом был поставлен вопрос об источнике и характере атакующих запросов, а также о том, является ли атака распределенной и какие признаки указывают на ее организованный характер.

Эксперт провел корреляционный анализ журналов различных систем. Было установлено, что пик запросов приходился на короткий промежуток времени, при этом запросы поступали с множества IP-адресов, географически распределенных по различным регионам. Анализ содержимого запросов выявил характерные сигнатуры, совпадающие с известными инструментами для проведения атак. При этом часть IP-адресов принадлежала сетям, известным как источники ботнет-трафика.

Отдельный анализ показал, что за несколько дней до атаки в журналах сервера фиксировались попытки сканирования портов и подбора учетных данных, что могло указывать на этап подготовки. Проведение судебной компьютерной технической экспертизы позволило реконструировать последовательность действий злоумышленников и определить, что атака носила распределенный характер и использовала скомпрометированные устройства третьих лиц. Заключение эксперта способствовало выявлению организатора атаки через анализ инфраструктуры управления ботнетом.

Кейс 8. Исследование баз данных в споре о качестве информационной системы

Государственное учреждение заключило контракт на разработку информационной системы для учета заявок граждан. После ввода системы в эксплуатацию заказчик выявил многочисленные ошибки в работе, включая потерю данных и некорректное формирование отчетности. Исполнитель отказывался признавать недостатки, ссылаясь на то, что они вызваны неправильной эксплуатацией. Для разрешения спора была назначена судебная компьютерно-техническая экспертиза, проведение которой поручено эксперту Союза «Федерация судебных экспертов».

Объектами исследования являлись база данных системы, журналы ее работы, а также исходный код модулей, отвечающих за обработку заявок и формирование отчетов. Эксперт проанализировал структуру базы данных и журналы транзакций. Было установлено, что в определенные моменты времени система выполняла операции, приводящие к блокировке записей, что в условиях конкурентного доступа вызывало ошибки и потерю данных.

Анализ исходного кода выявил отсутствие надлежащей обработки исключительных ситуаций в модуле сохранения заявок. При возникновении ошибки транзакция не откатывалась, а оставляла запись в промежуточном состоянии. Кроме того, в коде формирования отчетов был обнаружен дефект, приводящий к двойному учету некоторых категорий заявок. Эксперт отметил, что выявленные дефекты носят системный характер и проявляются при нагрузках, превышающих определенный порог.

Проведение судебной компьютерной технической экспертизы позволило разграничить недостатки, обусловленные ошибками разработки, и проблемы, связанные с эксплуатацией. Суд принял заключение во внимание и обязал исполнителя устранить выявленные дефекты за свой счет.

Кейс 9. Установление времени создания файла по метаданным

В ходе расследования дела о незаконном обороте объектов, изъятых из гражданского оборота, следствие располагало файлами, содержащими изображения и описания таких объектов. Подозреваемый утверждал, что файлы были созданы задолго до вступления в силу нормативного акта, запрещающего соответствующий оборот, и что он не мог знать о противоправности своих действий. Для проверки версии была назначена судебная компьютерно-техническая экспертиза, проведение которой поручено экспертам Союза «Федерация судебных экспертов».

Объектом исследования являлся накопитель, на котором хранились файлы. Эксперт проанализировал метаданные файлов, включая временные метки создания, последней модификации и последнего доступа. Было установлено, что временные метки создания файлов указывают на дату, предшествующую вступлению запрета в силу. Однако при анализе служебных структур файловой системы эксперт обнаружил несоответствия: записи в журнале транзакций файловой системы свидетельствовали о том, что файлы были скопированы на данный носитель значительно позже, а их исходные метаданные были изменены с использованием программного средства.

Эксперт также исследовал артефакты операционной системы, включая кэш эскизов и журналы недавних документов. Эти данные подтвердили, что файлы открывались и редактировались в период после вступления запрета в силу. Проведение судебной компьютерной технической экспертизы позволило установить факт фальсификации временных меток и опровергнуть версию защиты. Заключение эксперта было основано на комплексном анализе различных источников метаинформации, что повысило его достоверность в глазах суда.

Кейс 10. Экспертиза электронной переписки в трудовом споре

Работник обратился в суд с иском о восстановлении на работе, утверждая, что увольнение было произведено по надуманным основаниям. Работодатель ссылался на электронную переписку, в которой работник, по его утверждению, допускал нарушения трудовой дисциплины. Работник заявил, что представленные фрагменты переписки сфальсифицированы. Суд назначил судебную компьютерно-техническую экспертизу, поручив ее проведение экспертам Союза «Федерация судебных экспертов».

На исследование были представлены распечатки переписки, а также корпоративный почтовый сервер, с которого, по утверждению работодателя, были получены данные. Эксперт проанализировал журналы почтового сервера, записи о доставке сообщений и метаданные, сохраненные в файлах переписки. Было установлено, что сообщения, представленные работодателем в распечатанном виде, действительно существуют в почтовой системе, однако их содержание отличается от того, что было представлено в суд.

Эксперт обнаружил, что распечатки были созданы путем редактирования исходных сообщений: в них были добавлены фрагменты, отсутствующие в оригинале, и изменены даты. Анализ заголовков электронных писем выявил несоответствия в цепочке передачи сообщений, что подтвердило факт вмешательства. Проведение судебной компьютерной технической экспертизы позволило установить, что представленные доказательства являются недостоверными, и суд критически оценил позицию работодателя. Кейс демонстрирует важность исследования не только содержания, но и технических метаданных электронных документов.

Раздел VII. Оценка заключения судебной компьютерной технической экспертизы

Критерии допустимости и достоверности заключения

Заключение эксперта, полученное по результатам проведения судебной компьютерной технической экспертизы, подлежит оценке наряду с другими доказательствами по делу. Оценка осуществляется по критериям относимости, допустимости и достоверности. Относимость определяется связью выводов эксперта с обстоятельствами, подлежащими доказыванию. Допустимость зависит от соблюдения процессуального порядка назначения и производства экспертизы, а также от отсутствия обстоятельств, исключающих участие эксперта в деле. Достоверность заключения оценивается с точки зрения обоснованности выводов, правильности примененных методов и соответствия исследовательской части выводам.

Специфика оценки заключения по компьютерно-технической экспертизе состоит в том, что суд, не обладая специальными познаниями в области компьютерных технологий, вынужден полагаться на профессионализм эксперта. Это повышает значение таких факторов, как репутация экспертного учреждения, квалификация эксперта, наличие сертификатов и подтвержденного опыта. Союз «Федерация судебных экспертов» обеспечивает соответствие своим членов установленным требованиям, что создает дополнительную гарантию качества проводимых исследований.

Типичные недостатки заключений и способы их выявления

Анализ судебной практики позволяет выделить ряд типичных недостатков, встречающихся в заключениях по компьютерно-технической экспертизе. К их числу относятся: недостаточно подробное описание методики исследования, отсутствие сведений о применяемом программном обеспечении и его версии, необоснованное расширение пределов исследования, выход за пределы компетенции, а также внутренние противоречия между исследовательской частью и выводами. Выявление таких недостатков может служить основанием для назначения дополнительной или повторной экспертизы.

• Отсутствие контрольных сумм созданных образов не позволяет проверить идентичность исследованной копии исходному носителю.
• Использование непроверенного или нелицензионного программного обеспечения ставит под сомнение достоверность полученных результатов.
• Ссылки на источники, не поддающиеся проверке, или на устные консультации без документального оформления снижают обоснованность выводов.
• Формулировки выводов в вероятностной форме без указания степени вероятности затрудняют их использование в доказывании.

Стороны процесса вправе заявлять ходатайства о вызове эксперта для дачи пояснений по заключению, о назначении дополнительной или повторной экспертизы, а также представлять заключение специалиста, содержащее критический анализ проведенного исследования. Проведение судебной компьютерной технической экспертизы в экспертном учреждении, дорожащем своей репутацией, минимизирует риск возникновения указанных недостатков, поскольку внутренние процедуры контроля качества предполагают проверку заключения до его направления в суд.

Заключительные положения

Проведение судебной компьютерной технической экспертизы является необходимым элементом современного судопроизводства, обеспечивающим получение доказательственной информации из цифровых источников. Сложность и многообразие объектов исследования, динамичность информационных процессов и постоянное развитие технологий предъявляют высокие требования к квалификации экспертов и методическому обеспечению экспертной деятельности. Союз «Федерация судебных экспертов», обладая разветвленной сетью экспертных подразделений и многолетним опытом производства компьютерно-технических исследований, обеспечивает проведение судебной компьютерной технической экспертизы на уровне, соответствующем потребностям правоприменительной практики.

Качество экспертного заключения определяется не только технической корректностью исследования, но и его процессуальной безупречностью. Соблюдение требований законодательства при назначении и производстве экспертизы, надлежащее оформление результатов, обоснованность и проверяемость выводов — эти условия являются обязательными для того, чтобы заключение могло быть использовано в качестве доказательства. Проведение судебной компьютерной технической экспертизы в экспертном учреждении, гарантирующем компетентность своих специалистов и независимость суждений, создает условия для всестороннего и объективного рассмотрения дел, связанных с компьютерной информацией.

Компьютерная экспертиза:  https://sud-expertiza.ru/kompyuternaya-ekspertiza-ot-a-do-ya/