Аппаратно-компьютерное исследование цифровой техники

Аппаратно-компьютерное исследование представляет собой комплексное изучение компьютерной техники, цифровых носителей, программного обеспечения и связанных с ними данных. Его задача заключается в том, чтобы выявить технические обстоятельства, имеющие значение для дела, и определить, подтверждают ли обнаруженные сведения заявленные факты.

В правоприменительной практике результаты такого исследования могут использоваться при расследовании киберпреступлений, рассмотрении споров о цифровых данных, анализе корпоративных инцидентов и проверке обстоятельств неправомерного доступа к информационным системам.

Правовые основы исследования

Порядок назначения и проведения судебной экспертизы в Республике Казахстан регулируется Законом Республики Казахстан «О судебно-экспертной деятельности». В зависимости от категории дела также применяются нормы Уголовно-процессуального кодекса Республики Казахстан, Гражданского процессуального кодекса Республики Казахстан и Кодекса Республики Казахстан об административных правонарушениях.

Эксперт исследует только те вопросы, которые требуют специальных знаний в области компьютерной техники и информационных технологий. Юридическую оценку события, установление виновности лица и толкование правовых норм эксперт не осуществляет. Эти вопросы относятся к компетенции суда, органа расследования или другого уполномоченного органа.

Что изучает специалист

Аппаратное обеспечение

На первом этапе может исследоваться физическое состояние компьютеров, серверов, мобильных устройств, внешних накопителей и иных элементов цифровой инфраструктуры. Специалист устанавливает их модель, конфигурацию, серийные признаки, наличие повреждений и возможность正常ной работы.

• определяется состав технических компонентов устройства;
• проверяется исправность оборудования и отдельных узлов;
• выявляются следы замены, подключения или отключения компонентов;
• устанавливается возможность хранения и обработки определенного вида данных.

Например, исследование может показать, поддерживало ли устройство работу с конкретным программным обеспечением или могло ли оно физически использоваться для записи, копирования и передачи информации.

Программное обеспечение

При анализе программной части проверяются операционная система, установленные приложения, системные настройки и журналы событий. Особое внимание уделяется признакам изменения программной среды, использованию специальных инструментов и наличию вредоносного программного обеспечения.

Исследование может помочь установить:

• какие программы были установлены на устройстве;
• когда выполнялся запуск отдельных приложений;
• изменялись ли системные настройки и учетные записи;
• имеются ли признаки удаления, сокрытия или подмены файлов;
• могли ли обнаруженные программы выполнять определенные действия.

Само по себе наличие программы еще не доказывает совершение правонарушения. Для вывода необходимо исследовать контекст ее использования, журналы событий, пользовательские действия и другие относящиеся к делу материалы.

Носители и цифровые данные

Отдельное направление связано с изучением жестких дисков, твердотельных накопителей, карт памяти, флеш-накопителей и других носителей. Специалист анализирует файловую систему, структуру каталогов, метаданные и остаточные данные, которые могут сохраняться после удаления файлов.

В ходе работы возможно:

• обнаружение удаленных или скрытых файлов;
• восстановление фрагментов поврежденных данных;
• определение времени создания и изменения файлов;
• сопоставление данных из разных устройств;
• выявление признаков копирования или переноса информации.

При этом восстановление данных не всегда приводит к получению полного файла. Результат зависит от типа носителя, характера удаления, последующей записи новой информации и технического состояния устройства.

Исследование информационной безопасности

Аппаратно-компьютерное исследование может включать анализ обстоятельств несанкционированного доступа к системе. Специалист изучает журналы авторизации, сетевые соединения, настройки защиты, вредоносные файлы и последовательность событий.

Такая работа позволяет определить:

• имелся ли доступ к системе в определенный период;
• какая учетная запись использовалась;
• какие действия выполнялись после входа;
• могли ли обнаруженные инструменты привести к изменению или утрате данных;
• соответствуют ли технические следы описанному механизму инцидента.

Следует учитывать, что цифровой след не всегда позволяет непосредственно установить конкретного человека. Для обоснованного вывода оцениваются совокупность технических данных, сведения о пользователях, сетевой инфраструктуре и обстоятельствах доступа.

Как оформляются результаты

По итогам исследования составляется заключение эксперта. В нем отражаются поставленные вопросы, представленные объекты, примененные методы, ход исследования, выявленные признаки и обоснованные выводы.

Качественное заключение должно быть:

• понятным для участников процесса, не обладающих специальными знаниями;
• основанным на проверяемых данных;
• связанным с поставленными перед экспертом вопросами;
• достаточно подробным для оценки его обоснованности;
• свободным от правовых выводов, не относящихся к компетенции специалиста.

При необходимости эксперт может быть вызван для дачи пояснений. В таком случае он разъясняет использованные методы, значение обнаруженных цифровых следов и пределы достоверности полученных результатов.

В каких ситуациях применяется исследование

• при расследовании неправомерного доступа к информационной системе;
• при проверке обстоятельств распространения вредоносных программ;
• в спорах о принадлежности, изменении или передаче цифровых файлов;
• при анализе утечки служебной или коммерческой информации;
• при установлении технических причин сбоя оборудования или программ;
• при проверке подлинности электронных данных и последовательности их изменения.

Для получения надежного результата важны правильное изъятие, упаковка и хранение устройств. Неосторожное включение компьютера, изменение настроек или самостоятельное открытие файлов может изменить цифровые следы. Поэтому исследование обычно проводится с применением процедур, позволяющих сохранить исходное состояние объектов и зафиксировать каждое действие с ними.

Требования к специалисту

Специалист должен обладать знаниями в области компьютерной техники, операционных систем, сетевых технологий, информационной безопасности и методов анализа цифровых носителей. Кроме технической подготовки, важны навыки документирования и понимание процессуальных требований к работе с доказательствами.

Аппаратно-компьютерное исследование не заменяет правовую оценку обстоятельств дела. Его назначение состоит в том, чтобы предоставить суду или органу расследования объективные сведения о состоянии техники, программной среде и цифровых данных. Именно совокупность экспертных выводов с другими доказательствами позволяет сделать обоснованные процессуальные выводы.