Компьютерная экспертиза баз данных представляет собой исследование цифровой информации, программного обеспечения и электронных носителей. Ее цель заключается в установлении подлинности и целостности данных, восстановлении утраченной информации, выявлении изменений и определении возможных признаков вмешательства.
Такое исследование может проводиться в рамках уголовного или гражданского процесса, корпоративного расследования, проверки инцидента информационной безопасности и иных правовых ситуаций. В Республике Казахстан экспертная деятельность регулируется, в частности, Законом Республики Казахстан «О судебно-экспертной деятельности», а порядок назначения и использования экспертных исследований определяется нормами Уголовно-процессуального кодекса Республики Казахстан и Гражданского процессуального кодекса Республики Казахстан.
Какие задачи решает исследование баз данных
Восстановление утраченной информации
Специалист может исследовать удаленные файлы, документы, электронную переписку и записи в базах данных. Отдельное направление связано с извлечением информации с поврежденных жестких дисков, твердотельных накопителей, карт памяти и других носителей.
- восстановление удаленных файлов и записей;
- извлечение данных с поврежденных носителей;
- анализ действий пользователя перед удалением информации;
- установление возможности восстановления отдельных фрагментов данных.
Результат зависит от особенностей носителя, способа удаления информации, наличия перезаписи и состояния файловой системы. Поэтому эксперт обычно указывает не только восстановленные сведения, но и ограничения примененной методики.
Проверка подлинности и целостности данных
Цифровой файл может содержать сведения о времени создания, изменения, копирования и последующего сохранения. Эти сведения называют метаданными. Их анализ позволяет сопоставить документ с другими материалами и выявить несоответствия.
- сравнение дат и времени операций;
- проверка контрольных хеш-сумм файлов;
- выявление признаков редактирования или подмены;
- установление источника и последовательности появления данных.
При этом одна только дата в свойствах файла не всегда подтверждает факт его создания именно в указанное время. Она оценивается вместе с журналами системы, резервными копиями, сведениями о пользователях и другими цифровыми следами.
Анализ содержимого электронных носителей
Исследование может охватывать документы, базы данных, системные журналы, историю браузера, электронную почту и сообщения в приложениях. В предусмотренных законом случаях изучаются также скрытые, зашифрованные или частично поврежденные данные.
Эксперт может установить, какие программы использовались для удаления, сокрытия или изменения информации, а также обнаружить признаки применения вредоносного программного обеспечения. Однако расшифровка защищенных данных возможна только при наличии технической возможности и законных оснований.
Выявление несанкционированного доступа
Для проверки факта взлома исследуются журналы операционной системы, серверов, сетевого оборудования и прикладных программ. Сопоставление записей помогает определить время входа, использованную учетную запись, адрес подключения и последовательность действий.
- анализ системных и прикладных логов;
- выявление необычных входов и операций;
- поиск признаков установки шпионских программ и клавиатурных перехватчиков;
- проверка действий учетных записей с расширенными правами.
Юридическая оценка обнаруженного события относится к компетенции суда или органа расследования. Эксперт устанавливает технические обстоятельства, но не решает вопрос о виновности конкретного лица.
Исследование переписки и электронных коммуникаций
В рамках исследования могут анализироваться электронные письма, сообщения, вложения, сведения о времени отправки и технические параметры передачи. В отдельных случаях удается восстановить удаленные сообщения или определить, подвергались ли они изменению.
Такие сведения могут иметь значение при расследовании мошенничества, неправомерного доступа к информационным системам, корпоративных конфликтов и споров о распространении недостоверной информации. При работе с перепиской необходимо учитывать требования законодательства о защите персональных данных, включая Закон Республики Казахстан «О персональных данных и их защите».
Как проводится компьютерное исследование
- Получение объектов. Определяются носители, учетные записи, серверы, резервные копии и иные источники информации, имеющие значение для дела.
- Создание цифровой копии. По возможности формируется побитовый образ носителя. Это позволяет исследовать копию, сохраняя исходный объект без изменений.
- Проверка целостности. Для подтверждения неизменности копии рассчитываются контрольные значения и фиксируются условия получения данных.
- Исследование файловой структуры. Изучаются существующие, удаленные, скрытые и поврежденные файлы, а также записи файловой системы.
- Анализ информации. Проверяются содержимое баз данных, журналы событий, метаданные, переписка и следы пользовательских действий.
- Сопоставление результатов. Данные сравниваются между собой и с представленными материалами, чтобы установить последовательность событий и возможные расхождения.
- Подготовка заключения. В документе описываются объекты, примененные методы, обнаруженные факты и выводы по поставленным вопросам.
Качество результата во многом зависит от того, как были обнаружены, изъяты и сохранены цифровые объекты. Нарушение порядка обращения с носителем может затруднить подтверждение того, что исследованные данные не изменялись после их получения.
Где применяются результаты
- в уголовных делах о мошенничестве, неправомерном доступе к информационным системам и компьютерных правонарушениях;
- в гражданских спорах о подделке электронных документов, исполнении договоров и восстановлении информации;
- в корпоративных расследованиях утечек данных и нарушений внутренних правил;
- в конфликтах, связанных с использованием программ, баз данных и объектов интеллектуальной собственности.
При квалификации деяния могут иметь значение положения Уголовного кодекса Республики Казахстан, включая нормы о неправомерном доступе к информационным системам, повреждении или изменении компьютерной информации и иных правонарушениях в цифровой сфере.
Что важно учитывать при оценке заключения
Экспертное заключение должно быть понятным, обоснованным и связанным с поставленными вопросами. В нем должны быть указаны исходные объекты, примененные программные средства, методы исследования, обнаруженные ограничения и логика перехода от фактов к выводам.
Недопустимо подменять техническое исследование юридическими выводами. Например, эксперт может установить факт входа в систему с определенного устройства или наличие изменений в файле, но вопрос о том, какое лицо совершило действие и образует ли оно состав правонарушения, решается с учетом всей совокупности доказательств.
Компьютерная экспертиза баз данных помогает восстановить цифровую информацию, проверить ее достоверность и проследить историю операций. Для студентов и практикующих специалистов особенно важно понимать, что ценность такого исследования определяется не только обнаруженными файлами, но и надежностью их получения, сохранения и интерпретации.
