Методы и способы получения доказательственной информации с электронных носителей (стр. 8 )

б) «транзитных» машинных носителях, посредством которых преступник осуществлял связь с информационными ресурсами, подвергавшимися нападению;

в) машинных носителях информационной системы, на которую осуществлено преступное воздействие.

Следы таким образом можно разделить на две большие группы: локальные (на ЭВМ преступника и жертвы) и сетевые (на серверах и коммуникационном оборудовании).

Локальные следы могут быть классифицированы по разным основаниям - по местоположению (следы в системных областях файловой системы; в файлах; в кластерах);

- по механизму инициации изменений (следы, инициированные пользователем; следы, инициированные программой);

- по правомочности действий объекта (субъекта), вносящего изменения (следы правомочных действий; следы неправомочных действий);

- по сложности взаимодействия объектов (следы простого взаимодействия; следы комплексного взаимодействия).

Классификации базируются на закономерностях функционирования конкретной файловой системы и программ, имеют иерархический характер.

Следы в системных областях файловой системы подразделяются на:

- следы в каталогах;

- следы в таблице разделов;

- следы в загрузочных записях;

- следы в таблицах размещения файлов.

Следы в файлах подразделяются по статусу файлов в системе на:

- следы в файлах программ;

- следы в файлах данных.

Следы в файлах данных подразделяются по статусу файлов данных на:

- следы в файлах настроек программ;

- следы в файлах документов.

Следы в кластерах подразделяются по статусу кластеров в системе на:

- следы в «свободных» кластерах;

- следы в «потерянных» кластерах;

- следы в «зазорах» кластеров.

Требование допустимости доказательств обусловливает наличие строго определенных способов их собирания и соблюдение установленной процессуальной формы. Способы собирания доказательств - это основанные на закономерностях теории познания, предусмотренные (а в некоторых случаях и урегулированные) уголовно-процессуальным законом познавательные операции, осуществляемые компетентными участниками уголовного судопроизводства и направленные на придание сведениям о фактах, имеющих значение для правильного разрешения уголовного дела, процессуального статуса доказательств. Собирание доказательств осуществляется в ходе уголовного судопроизводства дознавателем, следователем, прокурором и судом путем производства следственных и иных процессуальных действий, предусмотренных уголовно-процессуальным законом.

Компьютерная техника, посредством которой осуществлялось уничтожение, блокирование, копирование или модификация находящейся на ней информации, в процессе расследования приобретает статус вещественного доказательства. Данная компьютерная техника изымается по правилам работы с вещественными доказательствами в процессе производства осмотра места происшествия, обыска или выемки. Обнаружение, осмотр, фиксация и изъятие компьютерно-технических следов преступления, содержащихся на жестких дисках указанной техники, производится с участием специалистов в процессе производства осмотра предметов (системного блока, USB-флеш-накопителей, лазерных дисков и др.), а также компьютерно-технической экспертизы.

Процессуальную форму использования компьютерно-технических следов в процессе доказывания составляют:

а) процессуальный документ, отражающий факт и порядок обнаружения и изъятия предмета (протокол осмотра, обыска, выемки);

б) протокол осмотра предмета (ч. 2 ст. 177 УПК РФ);

в) постановление о признании и приобщении к уголовному делу вещественных доказательств (ч. 2 ст. 81 УПК РФ);

г) сам предмет-носитель следа.

Изъятие следов непосредственного доступа к компьютерной информации может осуществляться как путем изъятия персонального компьютера целиком (в рамках следственного осмотра, обыска или выемки), так и путем дублирования содержимого жесткого диска сертифицированным программным обеспечением, позволяющим осуществить побайтное копирование оригинала. Изъятые носители информации после их осмотра с участием специалиста и вынесения соответствующего постановления приобретают статус вещественного доказательства (ч. 2 ст. 81 УПК РФ).

Если изъятию подлежит электронная почтовая переписка, то необходимо производство наложения ареста на почтово-телеграфные отправления, их осмотра и выемки в порядке ст. 185 УПК РФ.

Для получения иной криминалистически значимой информации у провайдера (время выхода абонента на связь, продолжительность его работы в сети, номер телефона, с которого вышел в сеть пользователь с определенным паролем и именем (логином), и пр.) судебного разрешения не требуется.

Для принятия решения о возбуждении уголовного дела достаточно иметь данные, позволяющие сделать вероятностный вывод о том, что имело место преступление. Установление события преступления представляет собой одно из обстоятельств, входящих в предмет доказывания (ст. 73 УПК РФ). Необходимость доказать событие преступления (время, место, способ и другие обстоятельства совершения преступления) прежде всего означает, что должно быть установлено то событие (изменение в реальной действительности), по поводу которого осуществляется судопроизводство. Доказаны должны быть те признаки деяния, которые позволяют квалифицировать его по конкретной статье уголовного закона. Компьютерно-технические следы преступления против собственности, наличие которых обусловлено использованием средств компьютерной техники, являются средством установления события преступления.

Анализ практики раскрытия и расследования преступлений, совершенных с использованием средств компьютерной техники, а также точек зрения, высказанных в юридической литературе, позволил сгруппировать указанные преступления в зависимости от обстоятельств, подлежащих установлению и доказыванию, в три группы.

Первая группа включает в себя преступления, предметом посягательства при совершении которых выступает компьютерная информация, находящаяся в персональных компьютерах. Способы совершения рассматриваемых преступлений сопряжены с неправомерным доступом к компьютерной информации, находящейся в автономных компьютерах (непосредственный доступ).

Вторая группа включает в себя преступления, предметом посягательства при совершении которых выступает компьютерная информация, находящаяся в компьютерных сетях. Способы совершения рассматриваемых преступлений сопряжены с неправомерным доступом к компьютерной информации, находящейся в удаленных компьютерах (опосредованный доступ).

Третья группа включает в себя преступления, предметом посягательства при совершении которых выступает компьютерная информация, находящаяся во встроенных и интегрированных компьютерных системах.

В решении тактической задачи установления лица, совершившего преступление, большое значение имеют следы преступления.

Направления установления личности преступника на основе сведений, полученных из электронного информационного поля:

1. Установление лица, совершившего преступление, по специально им оставленным следам.

2. Установление лица, совершившего преступление, по данным файлов регистрации системных событий.

3. Установление лица, совершившего преступление, путем комплексного анализа сведений о способе совершения преступления, противодействии расследованию, месте и времени посягательства, мотивах и целях деяния.

Таким образом, в числе розыскных признаков лиц, совершивших преступления с использованием средств компьютерной техники, следует выделять:

1. Общие признаки: пол, возраст, национальность, приметы, место жительства, характер, интересы, профессия, уровень образования, преступный опыт, привычки, особенности взаимоотношений с людьми, состояние здоровья (в том числе и психическое состояние), возможность повторного совершения преступления и пр.

2. Специальные признаки: обладание навыками в программировании и работе с компьютерным оборудованием, иными техническими средствами, которые были использованы при совершении преступления; обладание определенным компьютерным оборудованием, программным обеспечением; данные, которые оставили о себе сами преступники (например, лица, которые стремятся к «известности» среди компьютерной общественности, могут указывать свое имя, прозвище, иногда электронный адрес, пол); данные о месте, откуда совершался неправомерный доступ к компьютерной информации; данные о характере уничтоженной, заблокированной, модифицированной компьютерной информации, возможности ее использования.

На сегодняшний день существует принципиальная возможность розыска компьютерной техники, использованной при совершении преступления. При этом в качестве розыскных признаков могут выступать: конфигурация компьютера, использованного для совершения преступления; мобильность использованного компьютерного оборудования; наличие определенного периферийного или сетевого оборудования; установка на компьютере определенного программного обеспечения.

Определение места нахождения компьютера, с которого атакуется система, может, по известным причинам, оказаться наиболее трудоемкой операцией, так как требует обработки и анализа большого объема информации, касающейся учета как транзитных телефонных соединений, так и прямых подключений к системе.

Самостоятельным объектом розыска по делам о преступлениях в сфере высоких технологий, совершенных с использованием средств компьютерной техники, выступает специальная литература, изъятая в ходе обыска или выемки в квартире подозреваемого.

Перечисленные особенности не являются исчерпывающими, их гораздо больше, но именно знание тех из них, которые здесь перечислены, помогает более эффективному обнаружению электронных следов при совершении компьютерных преступлений.

ТЕМА 5. ИСПОЛЬЗОВАНИЕ СПЕЦИАЛЬНЫХ ПОЗНАНИЙ ПРИ ИССЛЕДОВАНИИ ИНФОРМАЦИИ,

ПОЛУЧЕННОЙ С ЭЛЕКТРОННЫХ НОСИТЕЛЕЙ

Контрольные вопросы

1. Криминалистическое исследование машинных носителей информации. Классификация машинных носителей информации.

2. Криминалистическое исследование электронных реквизитов пластиковых карт и других документов. Классификация документов рассматриваемой категории: штрих-кодовые; индукционно-структурные (магнитные); оптические; документы с магнитной полосой или проволокой.

3. Криминалистическое исследование ЭВМ. Классификация ЭВМ.

Основной формой использования специальных познаний в судопроизводстве является судебная экспертиза. Судебная экспертиза коренным образом отличается от других несудебных видов экспертной деятельности, поскольку производится в строгих процессуальных рамках. Объекты экспертного исследования могут на основании результатов экспертизы стать вещественными доказательствами, причем доказательственная информация, полученная в результате экспертизы, не может появиться из какого-либо иного источника. В связи с этим появление судебных компьютерно-технических экспертиз - нового рода судебных экспертиз, связанных с исследованием компьютеров, программного обеспечения и компьютерной информации, было обусловлено насущными потребностями практики.

1. Предмет, цели, задачи и классификация судебной компьютерно-технической экспертизы

Основной процессуальной формой использования специальных познаний при расследовании и судебном рассмотрении уголовных и гражданских дел, дел об административных правонарушениях, сопряженных с использованием компьютерных технологий, является судебная компьютерно-техническая экспертиза (СКТЭ). Этот род судебных экспертиз начал стихийно формироваться в середине 1990-х гг. путем, как это обычно и бывает, производства отдельных уникальных экспертиз. В тот период не были еще сформулированы предмет и задачи СКТЭ, ее терминологический аппарат, видовое деление. Не было единообразия даже в наименовании экспертизы.

Одной из первых публикаций в России по данному вопросу была статья , и , которые предложили называть эту экспертизу программно-технической, однако такое название было слишком узким и не отвечало всему кругу решаемых этой экспертизой задач. Были и другие наименования судебной экспертизы этого рода: инженерно-компьютерная, судебно-техническая экспертиза информационно-вычислительных систем, судебно-кибернетическая экспертиза и др. В 1996 г. и предложили называть этот род судебных экспертиз компьютерно-технической экспертизой и включить его в класс инженерно-технических экспертиз, поскольку своим рождением вычислительная техника обязана именно инженерно-техническим наукам. В настоящее время этот термин стал практически общепринятым и дискуссию о наименовании данного рода судебных экспертиз можно считать завершенной.

Таким образом, судебная компьютерно-техническая экспертиза - самостоятельный род судебных экспертиз, относящийся к классу инженерно-технических. СКТЭ проводится в целях определения статуса объекта как компьютерного средства, выявления и изучения его роли в расследуемом преступлении, а также получения доступа к информации на носителях данных с последующим всесторонним ее исследованием. Специальные познания СКТЭ составляют электроника, электротехника, информационные системы и процессы, радиотехника и связь, вычислительная техника (в том числе программирование) и автоматизация. Предметом научных основ СКТЭ, по мнению и , являются закономерности формирования и исследования компьютерных систем и движения компьютерной информации. Родовым предметом СКТЭ являются факты и обстоятельства, устанавливаемые на основе исследования закономерностей разработки и эксплуатации компьютерных средств, обеспечивающих реализацию информационных процессов, которые зафиксированы в материалах уголовного, гражданского дела, дела об административном правонарушении.

Классификация судебной компьютерно-технической

экспертизы

В общей теории судебной экспертизы принято подразделять судебные экспертизы на классы, роды и виды. Судебная компьютерно-техническая экспертиза - это новый, формирующийся род судебных экспертиз, причем существуют весомые предпосылки органического вхождения этого рода экспертиз в класс инженерно-технических экспертиз на основе того, что своим рождением сама вычислительная техника обязана именно инженерно-технической мысли. В основе ее деятельности лежат законы и открытия, сделанные именно в этой области научно-технических познаний.

В то же время рассматриваемая область специальных познаний характеризуется высокой динамикой развития, быстрым насыщением новыми направлениями, органическим комплексированием с рядом пограничных областей. Поэтому абсолютно не исключено, что в процессе своего развития в будущем этот род выделится и станет отдельным классом судебных экспертиз. Например, это может быть класс судебной экспертизы в сфере современных информационных технологий, иначе - судебных информационно-технологических экспертиз.

Виды компьютерно-технической экспертизы:

- аппаратно-компьютерная экспертиза;

- программно-компьютерная экспертиза;

- информационно-компьютерная экспертиза;

- компьютерно-сетевая экспертиза.

Такое деление на виды СКТЭ наиболее полно охватывает технологические особенности и эксплуатационные свойства объектов экспертизы, предъявляемых для исследования. Данная классификация позволяет уже на ранних этапах становления экспертизы дифференцированно подойти к разработкам методов и методик экспертного исследования. В то же время такой подход к СКТЭ может быть эффективно использован при назначении комплексных экспертиз и решении большого перечня задач.

Направления возможного развития СКТЭ:

- информационно-технологическая экспертиза;

- экспертиза защиты данных;

- экспертиза телекоммуникаций и связи;

- экспертиза цифровых изображений и распознавания образов.

Однако это, несомненно, потребует достаточно серьезной теоретической и методической проработки и развития направлений, которые могли бы составить родовое наполнение этого класса (например, в области защиты данных и информационной безопасности, цифровых изображений и распознавания образов и т. п.). Кроме того, в отдельные направления, в рамках такого перспективного класса, возможно, сформируются и такие функциональные области, как, например, электронная коммерция, управление производственными процессами и т. п. Обусловленность создания нового судебно-экспертного направления в сфере информационных технологий, которое бы включало изучение как обеспечивающих средств, так и непосредственно функциональную составляющую любой компьютерной системы, должна быть подготовлена следственной и экспертной практикой. В нынешних же условиях решение большинства задач может быть успешно организовано в рамках принятой в настоящее время классификации путем производства комплексных экспертиз.

Кратко рассмотрим каждый из видов СКТЭ.

Сущность судебной аппаратно-компьютерной экспертизы заключается в проведении исследования технических (аппаратных) средств компьютерной системы. Предметом данного вида СКТЭ являются факты и обстоятельства, устанавливаемые на основе исследования закономерностей эксплуатации аппаратных средств компьютерной системы - материальных носителей информации о факте или событии уголовного либо гражданского дела.

Для проведения экспертного исследования программного обеспечения предназначен такой вид СКТЭ, как судебная программно-компьютерная экспертиза. Ее видовым предметом являются закономерности разработки (создания) и применения (использования) программного обеспечения компьютерной системы, представленной на исследование в целях установления всех обстоятельств подлежащих доказыванию по уголовному или гражданскому делу. Целью программно-компьютерной экспертизы является изучение функционального предназначения, характеристик и реализуемых требований, алгоритма и структурных особенностей, текущего состояния представленного на исследование программного обеспечения компьютерной системы.

Судебная информационно-компьютерная экспертиза (данных) является ключевым видом СКТЭ, так как позволяет завершить целостное построение доказательственной базы путем окончательного разрешения большинства диагностических и идентификационных вопросов, связанных с компьютерной информацией. Целью этого вида является поиск, обнаружение, анализ и оценка информации, подготовленной пользователем или порожденной (созданной) программами для организации информационных процессов в компьютерной системе.

Отдельный вид СКТЭ - судебная компьютерно-сетевая экспертиза, в отличие от предыдущих основывается прежде всего на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию. Поэтому исследование фактов и обстоятельств, связанных с использованием сетевых и телекоммуникационных технологий, по заданию следственных и судебных органов в целях установления всех обстоятельств по уголовному или гражданскому делу составляют видовой предмет компьютерно-сетевой экспертизы. Она выделена в отдельный вид в связи с тем, что лишь использование специальных познаний в области сетевых технологий позволяет соединить воедино полученные объекты, сведения о них и эффективно решить поставленные экспертные задачи. Особое место в компьютерно-сетевой экспертизе занимают экспертные исследования по уголовным и гражданским делам, связанным с Интернет-технологиями.

Объект применения специальных познаний этой СКТЭ может быть разным - от компьютеров пользователей, подключенных к Интернету, до различных ресурсов поставщика сетевых услуг (провайдера Internet) и предоставляемых им информационных услуг (электронная почта, служба электронных объявлений, телеконференции, WWW-сервис и пр.). В связи со стремительным развитием современных телекоммуникаций и связи в судебной компьютерно-сетевой экспертизе можно выделить судебную телематическую экспертизу, предметом которой являются фактические данные, устанавливаемые на основе применения специальных познаний при исследовании средств телекоммуникаций и подвижной связи как материальных носителей информации о факте или событии какого-либо уголовного либо гражданского дела.

Практика показывает, что рассмотренные выше основные виды СКТЭ при производстве большинства экспертных исследований применяются комплексно и чаще всего последовательно. Поэтому в постановлении на производство судебной экспертизы целесообразно указывать родовое наименование экспертизы: «произвести судебную компьютерно-техническую экспертизу».

Кроме того, в ходе ряда пограничных исследований иногда возникает потребность привлекать специальные познания и из других научных областей. Так, например, обстоит дело с решением задач снятия парольной защиты, получения доступа к закодированным данным, обнаруженным в ходе проведения экспертного исследования, расшифровки информации с поврежденной структурой данных, всестороннего анализа различных криптографических алгоритмов, программ и аппаратных средств. Это направление экспертной деятельности тесно связано с самостоятельной областью исследований - криптографией и защитой информации.

В рамках представленной классификации рассмотрим задачи соответствующих видов СКТЭ.

Задачи судебной компьютерно-технической экспертизы

Экспертные задачи, которые являются одной из ключевых категорий общей теории судебной экспертизы, принято дифференцированно рассматривать как задачи рода, вида, подвида судебной экспертизы и задачи конкретного экспертного исследования. Применим данный подход к СКТЭ.

Родовые задачи КТЭ обозначены выше в определении целей данного рода судебных экспертиз. Для достижения объективности получения сведений о фактах дела и установления обстоятельств в сфере современных информационных технологий, значимых для расследования и судебного рассмотрения, видовые задачи КТЭ определяются в соответствии с видовыми предметами экспертиз. За основу классификации задач СКТЭ примем конечную цель исследования по решению диагностических и идентификационных вопросов.

Среди основных задач, разрешаемых судебными экспертизами, можно выделить направленные на идентификацию объекта, т. е. отождествление объекта по его отображениям.

Другая группа задач - диагностические, они состоят в выявлении механизма события, времени, способа и последовательности действий, событий, явлений, причинных связей между ними, природы, качественных и количественных характеристик объектов, их свойств и признаков, не поддающихся непосредственному восприятию, и т. д.

При определении диагностических задач исследуются не только свойства и состояние объекта СКТЭ, но и механизм, процессы и действия по результатам применения (использования) компьютерного средства при совершении преступления. А идентификационные задачи КТЭ имеют своей целью установить факт индивидуально-конкретного тождества или общей групповой принадлежности представленных объектов экспертизы. Кратко рассмотрим решаемые задачи каждого из указанных видов КТЭ.

Задачи экспертного исследования компьютерных

аппаратных средств

При производстве судебной аппаратно-компьютерной экспертизы как вида СКТЭ решаются в основном следующие задачи:

- определение вида (типа, марки), свойств аппаратного средства, а также его технических и функциональных характеристик для решения соответствующих рабочих задач (например, обработка графических изображений с высоким разрешением);

- определение фактического состояния и исправности аппаратного средства, наличия физических дефектов;

- определение структуры механизма и обстоятельств события по его результатам за счет использования выявленных аппаратных средств как по отдельности, так и в комплексе, в составе компьютерной системы;

- установление причинной связи между использованием конкретных возможностей аппаратных средств и результатами их применения;

- определение условий (обстановки) применения аппаратных средств, восстановление хронологической последовательности их использования, места действия и функционирования.

В то же время при производстве этого вида экспертизы может осуществляться установление групповой принадлежности и отождествление конкретных аппаратных средств по выделенным признакам - общим и частным (например, серийные номера, емкость и структура накопителя, среднее время доступа к данным, скорость передачи данных, способ и плотность магнитной записи и др.).

Примером аппаратно-компьютерной экспертизы является изучение возможностей применения нетипичных или нештатных (например, в случае удара или внезапного отказа) способов исследования носителей данных (чаще всего жестких дисков) в целях извлечения криминалистически значимой информации, хранящейся на нем.

Другой пример связан с установлением работоспособности системного блока компьютера. Так, по одному из гражданских дел на экспертизу был представлен системный блок персонального компьютера. Вопросы эксперту были сформулированы следующим образом:

1. Находится ли системный блок в рабочем состоянии, если нет, то какие имеются неисправности?

2. Является ли выявленная неисправность заводским браком либо следствием нарушения эксплуатации?

3. Имеется ли причинная связь между выходом из строя видеоконтроллера системного блока и установкой внутреннего модема?

4. Мог ли заряд статического электричества повредить комплектующие элементы системного блока при их самостоятельной установке либо замене?

В результате выявленного комплекса диагностических признаков в ходе экспертного исследования было доказано наличие в материнской плате системного блока компьютера заводского брака, приведшего к аппаратной неисправности всего компьютера.

Задачи судебной программно-компьютерной экспертизы

При проведении СКТЭ программных объектов (программно-компьютерной экспертизы) могут решаться следующие экспертные задачи:

- определение основных характеристик операционной системы;

- выявление и исследование функциональных свойств, а также настроек программного обеспечения, времени его инсталляции;

- определение фактического состояния программного объекта, состава соответствующих ему файлов, их параметров (объемы, даты создания, атрибуты), способов ввода-вывода информации, наличия или отсутствия каких-либо отклонений от типовых параметров (например, недокументированных функций);

- выявление признаков отношения программного обеспечения к системному или прикладному и т. д.;

- диагностирование алгоритма программного продукта, видов использованных при его разработке инструментальных средств, а также типов поддерживаемых аппаратно-программных платформ;

- установление первоначального состояния программы (например, при начальной инсталляции) и выявление возможных последующих изменений;

- определение целей и условий изменения свойств и состояния программного обеспечения (преднамеренное изменение каких-либо функций, конфигурирование на конкретную аппаратную среду и др.), установление способа осуществления изменений в программе (например, воздействием вредоносной программы, ошибками программной среды, путем несанкционированного доступа);

- определение свойств и состояния программы по ее отображению в обрабатываемых данных (по содержанию служебных, системных файлов), соответствия обеспечивающих аппаратных средств;

- выявление структуры механизма события по результатам работы программного обеспечения и в динамике;

- установление причинной связи между действиями пользователя компьютерной системы в отношении программного обеспечения и наступившими последствиями.

Кроме указанных задач, при проведении программно-компьютерной экспертизы могут решаться идентификационные задачи, связанные с индивидуальным отождествлением оригинала программы (инсталляционной версии) и ее копии на носителях данных компьютерной системы, с установлением групповой принадлежности программного обеспечения по общим признакам, с выявлением частных признаков программы, позволяющих впоследствии идентифицировать ее авторство, а также взаимосвязь с информационным обеспечением исследуемой компьютерной системы. Также в рамках экспертного исследования программных средств могут устанавливаться признаки контрафактности представленных на экспертизу информационно-программных продуктов.

Задачи экспертного исследования компьютерных данных

К основным задачам судебной информационно-компьютерной экспертизы (данных) как вида СКТЭ относятся:

- установление свойств и вида представления информации в компьютерной системе при ее непосредственном исследовании;

- определение фактического состояния информации, выяснение наличия или отсутствия в ней отклонений от типового объектов СКТЭ (например, имеются ли вредоносные включения, нарушение его целостности);

- установление первоначального состояния информации на носителе данных;

- определение условий изменения свойств исследуемой информации (например, выяснение условий внесения изменений в содержимое файла, запись на пластиковой карте и т. п.);

- определение механизма и обстоятельств события (дела), установление отдельных этапов (стадий, фрагментов) события по имеющейся информации на носителе данных или ее копиям (например, подготовка нескольких копий делового письма и его рассылка факсимильной программой в разные адреса);

- определение времени (периода), хронологической последовательности воздействия на информацию (например, установление стадий подготовки изображений денежных знаков, оттисков печатей т. п.);

- выявление следов возможных участников события по признакам, характеризующим определенные профессиональные и пользовательские навыки, умения, привычки, установление условий, при которых была создана (модифицирована, удалена, скопирована) информация;