Аппаратно-компьютерное исследование представляет собой комплексное изучение компьютерной техники, цифровых носителей, программного обеспечения и связанных с ними данных. Его задача заключается в том, чтобы выявить технические обстоятельства, имеющие значение для дела, и определить, подтверждают ли обнаруженные сведения заявленные факты.
В правоприменительной практике результаты такого исследования могут использоваться при расследовании киберпреступлений, рассмотрении споров о цифровых данных, анализе корпоративных инцидентов и проверке обстоятельств неправомерного доступа к информационным системам.
Правовые основы исследования
Порядок назначения и проведения судебной экспертизы в Республике Казахстан регулируется Законом Республики Казахстан «О судебно-экспертной деятельности». В зависимости от категории дела также применяются нормы Уголовно-процессуального кодекса Республики Казахстан, Гражданского процессуального кодекса Республики Казахстан и Кодекса Республики Казахстан об административных правонарушениях.
Эксперт исследует только те вопросы, которые требуют специальных знаний в области компьютерной техники и информационных технологий. Юридическую оценку события, установление виновности лица и толкование правовых норм эксперт не осуществляет. Эти вопросы относятся к компетенции суда, органа расследования или другого уполномоченного органа.
Что изучает специалист
Аппаратное обеспечение
На первом этапе может исследоваться физическое состояние компьютеров, серверов, мобильных устройств, внешних накопителей и иных элементов цифровой инфраструктуры. Специалист устанавливает их модель, конфигурацию, серийные признаки, наличие повреждений и возможность正常ной работы.
- определяется состав технических компонентов устройства;
- проверяется исправность оборудования и отдельных узлов;
- выявляются следы замены, подключения или отключения компонентов;
- устанавливается возможность хранения и обработки определенного вида данных.
Например, исследование может показать, поддерживало ли устройство работу с конкретным программным обеспечением или могло ли оно физически использоваться для записи, копирования и передачи информации.
Программное обеспечение
При анализе программной части проверяются операционная система, установленные приложения, системные настройки и журналы событий. Особое внимание уделяется признакам изменения программной среды, использованию специальных инструментов и наличию вредоносного программного обеспечения.
Исследование может помочь установить:
- какие программы были установлены на устройстве;
- когда выполнялся запуск отдельных приложений;
- изменялись ли системные настройки и учетные записи;
- имеются ли признаки удаления, сокрытия или подмены файлов;
- могли ли обнаруженные программы выполнять определенные действия.
Само по себе наличие программы еще не доказывает совершение правонарушения. Для вывода необходимо исследовать контекст ее использования, журналы событий, пользовательские действия и другие относящиеся к делу материалы.
Носители и цифровые данные
Отдельное направление связано с изучением жестких дисков, твердотельных накопителей, карт памяти, флеш-накопителей и других носителей. Специалист анализирует файловую систему, структуру каталогов, метаданные и остаточные данные, которые могут сохраняться после удаления файлов.
В ходе работы возможно:
- обнаружение удаленных или скрытых файлов;
- восстановление фрагментов поврежденных данных;
- определение времени создания и изменения файлов;
- сопоставление данных из разных устройств;
- выявление признаков копирования или переноса информации.
При этом восстановление данных не всегда приводит к получению полного файла. Результат зависит от типа носителя, характера удаления, последующей записи новой информации и технического состояния устройства.
Исследование информационной безопасности
Аппаратно-компьютерное исследование может включать анализ обстоятельств несанкционированного доступа к системе. Специалист изучает журналы авторизации, сетевые соединения, настройки защиты, вредоносные файлы и последовательность событий.
Такая работа позволяет определить:
- имелся ли доступ к системе в определенный период;
- какая учетная запись использовалась;
- какие действия выполнялись после входа;
- могли ли обнаруженные инструменты привести к изменению или утрате данных;
- соответствуют ли технические следы описанному механизму инцидента.
Следует учитывать, что цифровой след не всегда позволяет непосредственно установить конкретного человека. Для обоснованного вывода оцениваются совокупность технических данных, сведения о пользователях, сетевой инфраструктуре и обстоятельствах доступа.
Как оформляются результаты
По итогам исследования составляется заключение эксперта. В нем отражаются поставленные вопросы, представленные объекты, примененные методы, ход исследования, выявленные признаки и обоснованные выводы.
Качественное заключение должно быть:
- понятным для участников процесса, не обладающих специальными знаниями;
- основанным на проверяемых данных;
- связанным с поставленными перед экспертом вопросами;
- достаточно подробным для оценки его обоснованности;
- свободным от правовых выводов, не относящихся к компетенции специалиста.
При необходимости эксперт может быть вызван для дачи пояснений. В таком случае он разъясняет использованные методы, значение обнаруженных цифровых следов и пределы достоверности полученных результатов.
В каких ситуациях применяется исследование
- при расследовании неправомерного доступа к информационной системе;
- при проверке обстоятельств распространения вредоносных программ;
- в спорах о принадлежности, изменении или передаче цифровых файлов;
- при анализе утечки служебной или коммерческой информации;
- при установлении технических причин сбоя оборудования или программ;
- при проверке подлинности электронных данных и последовательности их изменения.
Для получения надежного результата важны правильное изъятие, упаковка и хранение устройств. Неосторожное включение компьютера, изменение настроек или самостоятельное открытие файлов может изменить цифровые следы. Поэтому исследование обычно проводится с применением процедур, позволяющих сохранить исходное состояние объектов и зафиксировать каждое действие с ними.
Требования к специалисту
Специалист должен обладать знаниями в области компьютерной техники, операционных систем, сетевых технологий, информационной безопасности и методов анализа цифровых носителей. Кроме технической подготовки, важны навыки документирования и понимание процессуальных требований к работе с доказательствами.
Аппаратно-компьютерное исследование не заменяет правовую оценку обстоятельств дела. Его назначение состоит в том, чтобы предоставить суду или органу расследования объективные сведения о состоянии техники, программной среде и цифровых данных. Именно совокупность экспертных выводов с другими доказательствами позволяет сделать обоснованные процессуальные выводы.
