Компьютерно-сетевая экспертиза в расследовании дел

Компьютерно-сетевая экспертиза изучает аппаратные и программные средства, задействованные в информационных сетях, а также цифровые данные, связанные с их использованием. Ее цель состоит в установлении фактических обстоятельств, которые имеют значение для уголовного, гражданского или административного дела.

В Республике Казахстан проведение судебной экспертизы регулируется Законом Республики Казахстан «О судебно-экспертной деятельности». Процессуальные правила назначения и оценки заключения эксперта определяются, в частности, Уголовно-процессуальным кодексом Республики Казахстан и Гражданским процессуальным кодексом Республики Казахстан.

Какие задачи решает исследование

Специалист исследует не только сам компьютер или сетевое устройство, но и их взаимосвязь, настройки, журналы событий, программное обеспечение и следы передачи информации. На практике могут решаться следующие задачи:

1. Определение характеристик оборудования и программ — устанавливаются модель, технические свойства, назначение устройств, установленное программное обеспечение и его роль в сети.
2. Исследование архитектуры сети — выясняются структура сети, состав ее компонентов, способы подключения, организация доступа к информационным ресурсам и применяемые протоколы.
3. Сопоставление технических признаков — характеристики исследуемых объектов сравниваются с типовыми параметрами сетевых средств, серверного оборудования и клиентских приложений.
4. Проверка состояния устройств — устанавливаются исправность оборудования, наличие физических повреждений, особенности настроек и сохранность системных журналов.
5. Восстановление первоначальных настроек — по доступным данным определяется исходное состояние сети, отдельных устройств и программ, а также зафиксированные изменения конфигурации.
6. Выявление причин изменений — анализируются действия пользователей, работа программ, внешнее подключение и иные обстоятельства, которые могли повлиять на состояние системы.
7. Исследование цифровых носителей — сведения на жестких дисках, флеш-накопителях, серверах и других носителях используются для оценки состояния сети и последовательности событий.
8. Реконструкция событий — по совокупности журналов, файлов, настроек и сетевых следов устанавливается возможная последовательность действий в информационной системе.
9. Установление причинной связи — определяется, могли ли конкретные аппаратные или программные средства привести к выявленному результату.

Таким образом, исследование охватывает техническую, программную и информационную составляющие цифровой системы. Эксперт формулирует выводы только в пределах специальных знаний и представленных материалов, не подменяя суд или орган расследования.

Какие вопросы ставят перед экспертом

В постановлении или определении о назначении экспертизы вопросы должны быть конкретными и связанными с обстоятельствами дела. Например, можно выяснить:

• имеются ли на устройстве признаки его подключения к сети Интернет или локальной сети;
• какие устройства и программные средства использовались для соединения;
• какие сетевые подключения были установлены и какими параметрами они характеризовались;
• содержатся ли в системе настройки программ удаленного доступа;
• сохранились ли протоколы соединений, журналы авторизации и сведения о передаче данных;
• имеются ли признаки использования электронных платежных сервисов или банковских приложений;
• содержатся ли электронные письма и иные сообщения, имеющие отношение к рассматриваемым событиям;
• можно ли определить время, способ и последовательность отдельных действий пользователя или программы.

Вопросы о юридической квалификации действий, виновности лица или достоверности показаний не относятся к компетенции эксперта. Эксперт устанавливает технические факты, а их правовую оценку дает суд или другой уполномоченный орган.

Исследование вредоносных программ

Отдельное направление связано с поиском программных компонентов, способных выполнять действия без ведома пользователя. К ним могут относиться скрытые модули удаленного управления, средства перехвата данных, автоматического запуска или передачи информации на внешний адрес.

В ходе исследования устанавливаются:

• наличие неизвестных или скрытых программных компонентов;
• способ их запуска и закрепления в системе;
• изменения системных настроек и файлов;
• сетевые адреса и каналы, с которыми взаимодействовало программное обеспечение;
• характер передаваемой информации;
• возможность удаленного управления компьютером или сетевым устройством.

Экспериментальное исследование допускается только при соблюдении мер, исключающих распространение вредоносного кода и изменение исходных данных. Для этого может применяться изолированная копия системы или специально подготовленная лабораторная среда.

Исследование телекоммуникационных систем

Развитие мобильной связи, интернет-сервисов и облачных платформ привело к расширению круга объектов исследования. Эксперт может изучать мобильные устройства, маршрутизаторы, сетевые журналы, данные о соединениях и настройки телекоммуникационного оборудования.

Такое исследование помогает установить технические обстоятельства коммуникации: факт соединения, используемое устройство, временные параметры, способ доступа и связь между отдельными цифровыми объектами. При этом сведения, составляющие охраняемую законом тайну, должны получать и исследоваться с соблюдением предусмотренных законом процедур.

Когда требуется комплексное исследование

Компьютерно-сетевая экспертиза нередко проводится совместно с исследованиями в других областях. Например, анализ электронного документа может потребовать одновременной оценки его реквизитов, метаданных, способа создания и экономического содержания операции.

Примеры комплексных вопросов

• является ли представленное оборудование единой компьютерной системой;
• каковы технические характеристики системы и ее отдельных компонентов;
• имеются ли средства защиты информации и как они функционировали;
• могли ли исследуемые устройства обеспечить доступ к конкретному ресурсу;
• сохранились ли признаки изменения файла, настроек или журнала событий;
• соответствуют ли электронные данные сведениям, содержащимся в документах или показаниях участников дела.

Если материалы защищены паролем или зашифрованы, эксперт описывает технические возможности их исследования и примененные методы. Преодоление защиты не должно приводить к бесконтрольному изменению исходной информации.

Как сохранить цифровые данные

Цифровая информация легко изменяется даже при обычном включении устройства. Поэтому до начала работы важно зафиксировать внешний вид оборудования, его соединения, состояние индикаторов и сведения о включенных носителях.

Основные правила обращения с такими объектами включают:

• избегать самостоятельного запуска программ и открытия файлов;
• не подключать носитель к постороннему компьютеру без необходимости;
• фиксировать порядок изъятия, упаковки и передачи объекта;
• создавать рабочую копию данных, сохраняя исходный носитель без изменений;
• применять средства контроля целостности файлов и образов носителей;
• отражать все действия с объектом в процессуальных и экспертных документах.

Соблюдение этих требований помогает подтвердить происхождение данных и показать, что они не были изменены после изъятия. Для суда важны не только содержание цифровой информации, но и способ ее получения, хранения и исследования.

Значение заключения эксперта

Заключение по результатам исследования содержит описание объектов, примененных методов, выявленных признаков и обоснованных выводов. Его доказательственное значение оценивается вместе с другими материалами дела.

Компьютерно-сетевая экспертиза особенно полезна в делах, где необходимо установить факт доступа к системе, последовательность действий, источник изменения данных или использование конкретного оборудования. Ее результаты позволяют перевести сложные технические сведения в форму, понятную участникам процесса, при условии что исследование проведено компетентно, объективно и с соблюдением требований законодательства Республики Казахстан.