Компьютерно-техническая экспертиза

Производство судебных экспертиз и предварительных исследований технических (аппаратных) средств компьютерной системы

Состав и содержание экспертных методов САКЭ определяются прежде всего целями и задачами рассматриваемого вида СКТЭ. Ранее было установлено, что ее целями в общем случае являются: определение статуса объекта как компьютерного средства, выявление и изучение его следовой картины в расследуемом преступлении, а также получение доступа к информации на носителях данных с последующим ее исследованием. В зависимости от классификации задачи, поставленной перед экспертом, системы объектов, им будет осуществлен и выбор метода исследования.

Представленный перечень задач и объектов САКЭ объективно обусловливает широкий круг экспертных методов и средств, а также наличие узких специализаций для решения частных вопросов экспертизы. Известно, что определяющая роль в последующей положительной оценке результатов экспертного исследования принадлежит правильному выбору экспертного (сертифицированного) инструментария. В настоящее время практические методы и приемы экспертного исследования, как и научные способы производст-ва САКЭ, находятся в процессе своего становления.

Методологическим базисом исследования аппаратных средств являются основные положения общей теории криминалистики и общей теории судебной экспертизы, ориентированные на судебно-экспертную сущность методологического инструментария1. Экспертное исследование САКЭ может проводиться с применением методов диалектической и формальной логики, общенаучных и специальных методов.

Методы диалектики и формальной логики включают: анализ и синтез, индукцию и дедукцию, гипотезу, аналогию.

Общенаучные методы, используемые при проведении САКЭ, включают в себя: чувственно-рациональные методы (наблюдение, сравнение, описание, эксперимент); математические и кибернетические.

Под специальными методами САКЭ понимают такие методы, сфера применения которых ограничена одной или несколькими науками. К специальным методам относятся также общеэкспертные и частноэкспертные.

При диагностическом экспертном исследовании аппаратных средств важное место занимают методы морфологического анализа, изучающие внешнее строение объекта (например, в системном блоке компьютера, отдельных плат, микросхем), а также топографию образующих его структурных элементов (сумма электронных блоков, неоднородностей, деформаций, дефектов и т.п.), возникающих при изготовлении, функционировании и взаимодействии объектов. Например, для морфологического анализа при исследованиях аппаратных объектов в некоторых случаях может использоваться рентгенография

При экспертизе интеллектуальных смарт-карт может производиться ее рентгенография для диагностики внутренних соединений встроенной виртуальной машины, взаиморасположения контактов, скрытых от визуального наблюдения верхним покрытием карты.

Применяемые общеэкспертные методы могут в дальнейшем найти свое развитие благодаря качественному улучшению аппаратных характеристик — объектов САКЭ, а также специфики решаемых экспертных задач. Это обусловлено проникновением современных информационных технологий и компьютерных средств во все области научной и практической деятельности.

К частноэкспертным методам САКЭ можно отнести используемые специальные методы следующих научных направлений: электронику, электротехнику, радиотехнику, связь, ИТКС технологии и системы, вычислительную технику и программирование и др. Частноэкспертные методы могут быть представлены по условиям их использования, по стадиям процесса экспертного исследования, по воздействию на объект экспертизы (например, разрушающие и неразрушающие методы). Например, при проведении практических исследований аппарата, находящегося в нештатном состоянии, актуальной является классификация методов экспертного исследования, разработанная Е.Р. Российской и адаптированная нами в процессе исследований, проведенных в ГУ ЭКЦ МВД России1. Данная классификация взята в качестве основы для разработки и классификации методов исследования КЭС в за-висимости от степени сохранности объекта .

Судебная информационно-компьютерная экспертиза (данных) делается для разрешения последующих вопросов:

1) Как отформатирован обладатель инфы и в каком виде на него записанны данные?

2) Каковы свойства физиологического размещения данных на носителе инфы?

3) Каковы свойства логического размещения данных на носителе инфы?

4) Какие характеристики, свойства и параметры (размеры, даты создания-конфигураций, атрибуты и др.) имеют данные на носителе инфы?

5) Какого вида (явный, сокрытый, удаленный, картотека) информация имеется на носителе?

6) К какому виду относятся обнаруженные (конкретные) данные (текстовые, графические, база данных, электронная таблица, мультимедиа, запись пластмассовой карты, данные ПЗУ и др.) и какими программными средствами они поддерживаются?

7) Каким образом санкционирован доступ (свободный, ограниченный и проч.) к данным на носителе инфы и каковы его свойства?

8) Какие характеристики, свойства имеют обнаруженные средства охраны данных и какие пути ее преодоления вероятны?

9) Какие симптомы преодоления защиты (или попыток несанкционированного доступа) есть на носителе инфы?

10) Каково оглавление защищенных данных?

11) Каково практическое состояние обнаруженных данных и подходит ли оно типовому состоянию на соответственных носителях данных?

12) Какие несоответствия типовому представлению есть в обнаруженных данных (нарушение целостности, несоответствие формата, вредные включения и проч.)?

13) Каковы пользовательские (потребительские) характеристики и назначение данных на носителе инфы?

14) Какие данные для решения конкретной многофункциональной (потребительской) задачи имеются на носителе инфы?

15) Какие данные с прецедентами и обстоятельствами определенного дела пребывают на представленном носителе инфы?

16) Какие данные о владельце (юзере) компьютерной системы (в том числе фамилии, пароли, права доступа и проч.) есть на носителях инфы?

17) Какие данные с представленных на экспертизу документов (образцов) и в каком облике (целостном, фрагментарном) пребывают на носителе инфы?

18) Каково начальное положение данных на носителе (в каком облике, какого содержания и с какими характеристиками, атрибутами находились конкретные данные до их удаления либо трансформации)?

19) Каким методом и при каких обстоятельствах сделаны деяния либо операции (блокирование, трансформация, копирование, удаление) конкретных данных на носителе инфы?

20) Какой механизм (очередность действий) по решению определенной задачи отражен в конкретных данных на носителе инфы?

21) Какая хронологическая очередность деяний (операций) с раскрытыми данными имела место при решении определенной задачки (к примеру, подготовки изображений валютных символов, ценных бумаг, оттисков печатей т.п.)?

22) Какая причинная связь наличествует меж действиями (вводом, трансформацией, удалением и проч.) с данными и имевшим место событием (к примеру, нарушением в работе компьютерной системы, в том числе перебои в программном и аппаратном обеспечении)?

23) Какова ступень соответствия (либо несоответствия) деяний с определенной информацией специальному распорядку либо правилам эксплуатации конкретной компьютерной системы?

Судебная компьютерно-сетевая экспертиза в отличие от прошлых, базируется прежде только на многофункциональном предназначении компьютерных средств реализующих какую-либо сетевую информационную технологию. Она выделена в отдельный разряд в связи с тем, что только внедрение особых познаний в области сетевых технологий дозволяет объединить воедино полученные объекты, сведения о них и эффективно решить установленные экспертные задачки. Особое пространство в компьютерно-сетевой экспертизе занимают экспертные изучения, связанные с веб-технологиями

Судебная экспертиза данного семейства производится для решения последующих задач:

1) Определение параметров и характеристик аппаратного средства и программного снабжения, установление места, роли и многофункционального предназначения исследуемого объекта в сети (к примеру, для программного средства в отношении к сетевой операционной системе, для аппаратного средства — отношение к серверу, рабочей станции, функционального оснащения и т.д.)

2) Обнаружение параметров и характеристик вычислительной сети, установление ее архитектуры, конфигурации, обнаружение поставленных сетевых составляющих, организации доступа к данным

3) Определение соотношения обнаруженных характеристик стандартным для определенного класса средств сетевой технологии, определение принадлежности средства к серверной либо клиентской части приложений

4) Определение фактического состояния и исправности сетевого средства, присутствия физических недостатков, состояния системного журнала, компонент управления доступа

5) Установления начального состояния вычислительной сети в целом и всякого сетевого средства в отдельности, вероятного места приобретения (покупки), уточнение конфигураций, внесенных в начальную конфигурацию (к примеру, прибавление доп сетевых приборов, приборов расширения на сервере или рабочих станциях и проч.)

6) Определение обстоятельств конфигурации свойств вычислительной сети (к примеру, по организации значений управления доступом), установления факта нарушение режимов эксплуатации сети, фактов (отпечатков) применение наружных (посторонних) программ и т.п.

7) определение параметров и состояния вычислительной сети по ее отображению в инфо носителей данных (к примеру, RAID-массивы, жесткие диски, флоппи-диски, CD-ROM, ZIP-накопители и т.п.)

8) Определение структуры механизма и обстоятельства действия в сети по его итогам (к примеру, сценария несанкционированного доступа, преспособления распространения в сети вредных функций и т.д.)

9) Установление причинной взаимосвязи меж использованием определенных аппаратно-программных средств вычислительной сети и плодами их применения

Как видно задачки судебной компьютерно-сетевой экспертизы обхватывают фактически все главные задачи основных родов СКТЭ, т.е. заключение аппаратных , программных и информационных аспектов при установлении прецедентов и событий дела.

На разрешение судебных экспертиз данного смейства ставятся последующие вопросы:

1) Какова общая характеристика представленного программного обеспечения, из каких составляющих (программных средств) оно состоит?

2) Какую классификацию имеют определенные программные средства (системные либо прикладные) представленного программного обеспечения? Обладают ли они показателями контрафактности?

3) Каково название, тип, версия, разряд представления (очевидный, сокрытый, удаленный) программного средства?

4) Каковы реквизиты разработчика и собственника предоставленного программного средства?

5) Каков состав соответственных файлов программного обеспечения, каковы их характеристики (размеры, даты создания, атрибуты)?

6) Какое сплошное функциональное назначение имеет программное средство?

7) Есть ли на носителях инфы программные средства для реализации конкретной многофункциональной задачи?

8) Какие запросы предъявляет это программное средство к аппаратным средствам компьютерной системы?

9) Какова совместимость определенного программного средства с программным и аппаратным обеспечением компьютерной системы?

10) Употребляется ли это программное средство для решения конкретной функциональной задачи?

11) Каково практическое положение программного средства, его трудоспособность по реализации отдельных (определенных) функций?

12) Каким образом санкционирован ввод и вывод данных в предоставленном программном средстве?

13) Есть ли в программном средстве отличия от обычных характеристик типовых программных товаров (к примеру, характеристики заражения, недокументированных функций)?

14) Имеет ли программное средство защитные способности (программные, аппаратно-программные) от несанкционированного доступа и копирования?

15) Каким образом организованны защитные способности программного средства?

16) Каков совместный алгоритм предоставленного программного средства?

17) Какие программные инструментальные средства (языки программирования, компиляторы, обычные библиотеки) применялись при разработке предоставленного программного средства?

18) Есть ли на носителях инфы слова (коды) с начальным состоянием программы?

19) Подвергался ли алгоритм программного средства трансформации по сопоставлению с начальным состоянием? В чем это нашло отображение?

20) Какой вид имело программное средство по его последней трансформации?

21) Применены ли в алгоритме программки и ее тексте какие-либо специальные (неординарные) приемы алгоритмизации и программирования?

22) С какой целью было совершено модифицирование каких-либо функций в программном средстве?

23) Ориентированы ли внесенные конфигурации в программное средство на преодоление его защиты?

24) Достигается ли заключение конкретных задач после внесения конфигураций в программное средство?

25) Каким методом были сделаны конфигурации в программе (умышленно, действием вредной программы, оплошностями программной среды, аппаратным сбоем и др.)?

26) Какова хронология внесения конфигураций в программном средстве?

27) Какова хронология применения программного средства (начиная с ее установки)?

28) Есть ли в программном средстве недоброжелательные функции, которые влекут ликвидирование, блокирование, трансформацию или копировальные инфы, повреждение работы компьютерной системы?

29) Каковы результаты предстоящей эксплуатации конкретного программного средства?

Судебная информационно-компьютерная экспертиза (данных) считаются главным видом компьютерно-тех. экспертиз, так как дозволяет окончить целостное построение доказательственной базы путем конечного разрешения основной массы вопросов, связанных с компьютерной информацией. Целью данного вида считается поиск, обнаружение, анализ и оценка инфы, подготовленной юзером либо порожденной (сделанной) программками для организации информационных действий в компьютерной системе.

Объектами судебной информационно-компьютерной экспертизы (данных) считаются файлы, подготовленные с внедрением отмеченных выше и остальных программных средств — с расширениями текстовых форматов (.txt, .doc…) графических форматов (.bmp, .jpg, .tif, .cdr…) форматов баз данных (. dbf, . mdb…) электронных таблиц (.xls, .cal…) и.т.д.

Кто проводит исследования компьютерно-технической экспертизы — обзор ТОП-3 экспертных компаний

Давайте более детально рассмотрим несколько фирм, предлагающих свои услуги на рынке технических экспертиз компьютеров.

1) Лаборатория цифровых исследований

Независимая организация экспертов, оказывающая услуги по консультации, экспертизе и рецензиям на экспертные заключения как государственных, так и частных специалистов в области высоких технологий.

Ставит своей целью максимально оптимизировать судебную систему для работы в сфере криминалистической экспертизы электронной техники. Содействует всем участникам судебных процессов и оказывает качественные услуги в области компьютерных технологий.

Компания гордится своими сотрудниками, имеющими разнообразные дипломы в области информационных технологий.

2) Лаборатория Цифровой Форензики

Организация имеет собственную научно-техническую базу данных и разрабатывает уникальные программные комплексы для применения в технической экспертизе компьютерных систем.

Специалисты фирмы постоянно совершенствуют свои знания и проходят курсы повышения квалификации. Работают сотрудники на всех уровнях с партнерами государственного сектора, а также взаимодействуют с бизнес проектами любых масштабов.

Специализация предприятия — информационная безопасность бизнеса. Компания выстраивает качественные, надежные и комплексные системы защиты в соответствии с запросами клиентов.

3) ЦСЭ “Специалист”

Центр судебной экспертизы проводит все виды КТЭ. В собственной лаборатории компании определяются и диагностируются все виды электронных комплексов и их комплектующие.

Можно подать заявку на проведение предварительной консультации. Заранее определить цели, способы и методы изучения устройств, узнать цену экспертизы.

ЦСЭ “Специалист” успешно решает задачи по информационной поддержке и обучению юридических и физических лиц на территории РФ. Сотрудники компании постоянно улучшают свою квалификацию путем применения современных научно-технических инноваций.

В каких случаях нужна компьютерно-техническая экспертиза?

Ошибочно считается, что данный вид экспертизы сможет установить лиц, которые совершили противоправные действия в сети. Например, на форум выложили неприятную фотографию с нежелательным, оскорбительным содержанием. Пострадавший обращается к эксперту определить, кто это сделал. Чтобы удовлетворить его требования, привлекаются разные специалисты, а именно:

1. Эксперт может закрепить сам факт размещения порочащей информации;
2. Лингвист и культуролог могут дать оценку, чтобы эту информацию использовать для обращения в правоохранительные органы и суд;
3. Полиция, следственные органы устанавливают лицо, разместившее эту информацию;
4. Суд определяет степень его вины и наказание за него.

Для справки! Если качество фотографии хорошее, эксперт может провести исследование на предмет подделки этого изображения. Часто путают с фототехнической экспертизой.

Таким образом, судебная компьютерно-техническая экспертиза – это один из элементов всей процедуры, направленной на установление виновного, привлечение его к ответственности. Но без нее весь процесс не имеет смысла. В расследовании не будет фактического материала, на основе которого злоумышленника можно привлечь к ответственности.

Еще один пример. В электронном почтовом ящике на компьютере в почтовой программе хранятся письма. Их содержание доказывает некий факт в пользу истца. При этом имеют значения:

• содержание вложенных файлов;
• адрес отправителя;
• дата, когда эти письма пришли.

Чтобы приложить эти сведения в качестве доказательств к судебному иску, например, о защите чести и достоинства, нужно их правильно оформить. В этом сможет помочь компьютерная экспертиза.

Можно обратиться к нотариусу. Но практика сейчас такая, что нотариус сможет обеспечить доказательства в досудебном порядке. С аудиофайлами сложнее, не каждый нотариус возьмется это делать. Тогда действительно специалист-эксперт может помочь в этом – зафиксировать документ, описать сообщение, указать от кого, проверить подлинность, подтвердить в суде.

Особенности назначения судебной аппаратно- компьютерной экспертизы. Подготовка материалов на экспертизу

В соответствии со ст. 19 Закона «О государственной судебно-экспертной деятельности», ст. 195-207, 269, 282, 283 УПК РФ, а также из ст. 78, 288, 74 ГПК, ст. 66 АПК, ст.26.4 КоАП экспертиза назначается, если при производстве следственных или судебных действий возникает необходимость решения вопросов, связанных с областями специальных знаний в науке, технике, искусстве или ремесле. Эти познания могут содержаться, например, в таких отраслях научного знания, как радиотехника, электроника, электротехника, вычислительная техника и т.д.

Необходимость назначения судебной САКЭ (как видовой составляющей -СКТЭ) определяется следователем или судом в соответствии с УПК РФ, однако следует отметить, что данный род судебных экспертиз в соответствии со ст. 196 УПК РФ не относится к числу обязательных экспертиз, предусмотренных процессуальным законодательством Российской Федерации. Порядок назначения экспертизы определяется ст. 195 УПК РФ:

Особо следует отметить, что доказательственная информация, полученная в результате проведения СКТЭ, не может появиться ни из какого другого источника1. Это справедливо в полной мере и для судебных аппаратно-экспертных исследований. Поскольку на этот вид доказательств распространяются требования относимости и допустимости при непосредственном представлении доказательств (образцов) в суде, то эти требования должны быть соблюдены и на этапе подготовки материалов к проведению экспертизы.

Анализ результатов анкетирования более чем 21 ЭКУ, в которых проводились исследования компьютерных и радиоэлектронных компонент, показывает, что практические органы в настоящее время испытывают большие затруднения при назначении и производстве компьютерно-технических экспертиз1. Работники ОВД и ЭКУ, вставая перед проблемой определения класса и рода назначаемых и производимых экспертиз, в 25 случаях из 50 относили их к классу криминалистических экспертиз.

Так, из 50 исследованных экспертных заключений: в 9 отсутствует название экспертизы вообще, в 8 приводится название экспертиз, не существующих в настоящее время, в 25 указаны названия экспертиз, не занимающихся исследованиями в области компьютерной техники.

В экспертных заключениях произвольно варьируются названия основной части компьютерного терминала-системного блока. Так, в 20 случаях из 50 он называется просто компьютер. Отмечен разнобой и в названиях основных аппаратных частей компьютера. Незнание терминологии, функционального назначения составляющих компьютерных систем приводит в итоге к грубым ошибкам при назначении экспертизы, разночтению поставленных задач.

Одной из составляющих, приводящей к подобному роду ошибок при назначении САКЭ, неумению определить другие необходимые видовые экспертные исследования СКТЭ, по нашему мнению, является несоответствующая поставленной задаче квалификация эксперта или специалиста. Практика раскрытия и расследования преступлений и итоги анкетирования ЭКУ показывают, что взаимодействие следователя с экспертом при назначении экспертизы чаще всего осуществляется в форме консультацией следователя по следующим вопросам: -определение вида судебной компьютерно-технической экспертизы; і -выбор экспертного учреждения и эксперта по производству аппаратной экспертизы; -формулирование вопросов по имеющимся аппаратным образцам; -подготовка объектов для производства САКЭ, в том числе и подбор образцов для сравнительного исследования; -назначение дополнительной, повторной, комиссионной, комплексной экспертиз аппаратных образцов.

Экспертные исследования технических (аппаратных) средств в условиях места происшествия и экспертного учреждения

В соответствии со ст. 195, 196, 199 УПК РФ следователь как процессуально — самостоятельное лицо, производя следственное действие и используя информационную поддержку в специальных (аппаратных) познаниях специалиста-эксперта, признает необходимым производство САКЭ, о чем составляет постановление в соответствии с приложением № 62 к УПК РФ — о назначении судебной экспертизы, в котором указываются: — основания назначения экспертизы; — фамилия, имя, отчество эксперта, его образование и квалификация, наименование судебно-экспертного учреждения; — вопросы, на которые должен ответить эксперт (в части, касающейся судебных аппаратно-компьютерных экспертиз, см. приложение к диссертации); — предоставляемые аппаратные образцы (получаемые на основании ст.202 УПК РФ и предоставляемые в распоряжение эксперта для проведения исследования в соответствии с приложениями № 66, 67 к УПК РФ);