Компьютерно-сетевая экспертиза изучает аппаратные и программные средства, задействованные в информационных сетях, а также цифровые данные, связанные с их использованием. Ее цель состоит в установлении фактических обстоятельств, которые имеют значение для уголовного, гражданского или административного дела.
В Республике Казахстан проведение судебной экспертизы регулируется Законом Республики Казахстан «О судебно-экспертной деятельности». Процессуальные правила назначения и оценки заключения эксперта определяются, в частности, Уголовно-процессуальным кодексом Республики Казахстан и Гражданским процессуальным кодексом Республики Казахстан.
Какие задачи решает исследование
Специалист исследует не только сам компьютер или сетевое устройство, но и их взаимосвязь, настройки, журналы событий, программное обеспечение и следы передачи информации. На практике могут решаться следующие задачи:
- Определение характеристик оборудования и программ — устанавливаются модель, технические свойства, назначение устройств, установленное программное обеспечение и его роль в сети.
- Исследование архитектуры сети — выясняются структура сети, состав ее компонентов, способы подключения, организация доступа к информационным ресурсам и применяемые протоколы.
- Сопоставление технических признаков — характеристики исследуемых объектов сравниваются с типовыми параметрами сетевых средств, серверного оборудования и клиентских приложений.
- Проверка состояния устройств — устанавливаются исправность оборудования, наличие физических повреждений, особенности настроек и сохранность системных журналов.
- Восстановление первоначальных настроек — по доступным данным определяется исходное состояние сети, отдельных устройств и программ, а также зафиксированные изменения конфигурации.
- Выявление причин изменений — анализируются действия пользователей, работа программ, внешнее подключение и иные обстоятельства, которые могли повлиять на состояние системы.
- Исследование цифровых носителей — сведения на жестких дисках, флеш-накопителях, серверах и других носителях используются для оценки состояния сети и последовательности событий.
- Реконструкция событий — по совокупности журналов, файлов, настроек и сетевых следов устанавливается возможная последовательность действий в информационной системе.
- Установление причинной связи — определяется, могли ли конкретные аппаратные или программные средства привести к выявленному результату.
Таким образом, исследование охватывает техническую, программную и информационную составляющие цифровой системы. Эксперт формулирует выводы только в пределах специальных знаний и представленных материалов, не подменяя суд или орган расследования.
Какие вопросы ставят перед экспертом
В постановлении или определении о назначении экспертизы вопросы должны быть конкретными и связанными с обстоятельствами дела. Например, можно выяснить:
- имеются ли на устройстве признаки его подключения к сети Интернет или локальной сети;
- какие устройства и программные средства использовались для соединения;
- какие сетевые подключения были установлены и какими параметрами они характеризовались;
- содержатся ли в системе настройки программ удаленного доступа;
- сохранились ли протоколы соединений, журналы авторизации и сведения о передаче данных;
- имеются ли признаки использования электронных платежных сервисов или банковских приложений;
- содержатся ли электронные письма и иные сообщения, имеющие отношение к рассматриваемым событиям;
- можно ли определить время, способ и последовательность отдельных действий пользователя или программы.
Вопросы о юридической квалификации действий, виновности лица или достоверности показаний не относятся к компетенции эксперта. Эксперт устанавливает технические факты, а их правовую оценку дает суд или другой уполномоченный орган.
Исследование вредоносных программ
Отдельное направление связано с поиском программных компонентов, способных выполнять действия без ведома пользователя. К ним могут относиться скрытые модули удаленного управления, средства перехвата данных, автоматического запуска или передачи информации на внешний адрес.
В ходе исследования устанавливаются:
- наличие неизвестных или скрытых программных компонентов;
- способ их запуска и закрепления в системе;
- изменения системных настроек и файлов;
- сетевые адреса и каналы, с которыми взаимодействовало программное обеспечение;
- характер передаваемой информации;
- возможность удаленного управления компьютером или сетевым устройством.
Экспериментальное исследование допускается только при соблюдении мер, исключающих распространение вредоносного кода и изменение исходных данных. Для этого может применяться изолированная копия системы или специально подготовленная лабораторная среда.
Исследование телекоммуникационных систем
Развитие мобильной связи, интернет-сервисов и облачных платформ привело к расширению круга объектов исследования. Эксперт может изучать мобильные устройства, маршрутизаторы, сетевые журналы, данные о соединениях и настройки телекоммуникационного оборудования.
Такое исследование помогает установить технические обстоятельства коммуникации: факт соединения, используемое устройство, временные параметры, способ доступа и связь между отдельными цифровыми объектами. При этом сведения, составляющие охраняемую законом тайну, должны получать и исследоваться с соблюдением предусмотренных законом процедур.
Когда требуется комплексное исследование
Компьютерно-сетевая экспертиза нередко проводится совместно с исследованиями в других областях. Например, анализ электронного документа может потребовать одновременной оценки его реквизитов, метаданных, способа создания и экономического содержания операции.
Примеры комплексных вопросов
- является ли представленное оборудование единой компьютерной системой;
- каковы технические характеристики системы и ее отдельных компонентов;
- имеются ли средства защиты информации и как они функционировали;
- могли ли исследуемые устройства обеспечить доступ к конкретному ресурсу;
- сохранились ли признаки изменения файла, настроек или журнала событий;
- соответствуют ли электронные данные сведениям, содержащимся в документах или показаниях участников дела.
Если материалы защищены паролем или зашифрованы, эксперт описывает технические возможности их исследования и примененные методы. Преодоление защиты не должно приводить к бесконтрольному изменению исходной информации.
Как сохранить цифровые данные
Цифровая информация легко изменяется даже при обычном включении устройства. Поэтому до начала работы важно зафиксировать внешний вид оборудования, его соединения, состояние индикаторов и сведения о включенных носителях.
Основные правила обращения с такими объектами включают:
- избегать самостоятельного запуска программ и открытия файлов;
- не подключать носитель к постороннему компьютеру без необходимости;
- фиксировать порядок изъятия, упаковки и передачи объекта;
- создавать рабочую копию данных, сохраняя исходный носитель без изменений;
- применять средства контроля целостности файлов и образов носителей;
- отражать все действия с объектом в процессуальных и экспертных документах.
Соблюдение этих требований помогает подтвердить происхождение данных и показать, что они не были изменены после изъятия. Для суда важны не только содержание цифровой информации, но и способ ее получения, хранения и исследования.
Значение заключения эксперта
Заключение по результатам исследования содержит описание объектов, примененных методов, выявленных признаков и обоснованных выводов. Его доказательственное значение оценивается вместе с другими материалами дела.
Компьютерно-сетевая экспертиза особенно полезна в делах, где необходимо установить факт доступа к системе, последовательность действий, источник изменения данных или использование конкретного оборудования. Ее результаты позволяют перевести сложные технические сведения в форму, понятную участникам процесса, при условии что исследование проведено компетентно, объективно и с соблюдением требований законодательства Республики Казахстан.
