Краткие теоретические сведения

Подготовка к обыску

Помимо стандартных действий, которые необходимо выполнить при подготовке к проведению следственных действий связанных с осмотром средств вычислительной техники, следует обязательно выяснить, имеется ли в данном помещении компьютерная техника. При наличии таковой необходимо установить:

• количество компьютерной техники её тип и расположение;

• наличие автономных источников питания;

• используемые электронные носители информации;

• наличие систем экстренного уничтожения данных.

• используемое программное обеспечение;

• количество компьютеров и их распределение по службам и помещениям;

• объединены ли компьютеры в локальную сеть.

Если такое объединение существует, то необходимо установить:

• ответственных за сетевую систему и программное обеспечение, т.е. администраторов системы;

• количество и типы используемых серверов;

• количество и типы рабочих мест;

• типы используемых операционных сетевых систем;

• прикладное программное обеспечение, используемое в сети (например, сетевые базы данных, система документооборота и пр.);

• наличие резервных копий серверных дисков и баз данных и место их хранения;

• наличие выхода в другие, в том числе и глобальные, сети;

• используются ли распределенные сети или почтовые программы для связи с удаленными подразделениями организации или с другими предприятиями;

• используются ли системы шифрования и защиты информации; если да, то какие;

• используются ли другие средства компьютерной связи (например, модемы и радиомодемы, выделенные линии);

• наличие выхода в сеть Интернет.

Определение обстоятельств установки и использования программных продуктов и оборудования.

К данному пункту можно отнести:

- исследование установленного контрафактного обеспечения;

- параметры и регистрационные данные программного обеспечения;

- следы использования программного обеспечения и оборудования.

- наличие систем защиты информации и шифрования, их типы;

Получить ответы на все перечисленные вопросы не всегда представляется возможность, но выяснить расположение компьютеров и серверов необходимо.

Проведение обыска

При проведении обыска основной задачей руководителя следственной группы и специалистов применительно к компьютерным средствам является обеспечение сохранности информации, имеющейся в компьютерах и на компьютерных носителях информации. Для этого, в зависимости от обстоятельств дела, необходимо:

• предотвратить отключение энергоснабжения предприятия, обеспечив охрану распределительного щита;

(в случае выполнения операции или несохранённого файла информация теряется)

• запретить производить какие-либо манипуляции с компьютерами и носителями информации;

• оградить работающие компьютеры от случайных нажатий на клавиши клавиатуры, кнопок системных блоков и устройств;

• предупредить всех сотрудников следственной группы о недопустимости самостоятельной манипуляции с компьютерной техникой и носителями информации;

• обеспечить отключение беспроводных систем передачи данных;

• удалить из помещений, в которых находятся компьютеры и носители информации, все взрывчатые, едкие и легковоспламеняющиеся материалы.

В дальнейшем следует точно определить местоположение компьютеров; при этом помнить, что современные компьютерные средства имеют малые габаритные размеры.

При наличии в осматриваемом помещении локальной сети необходимо точно установить местоположение серверов. Как правило, на крупных предприятиях под серверную выделена специальная комната, вход в которую ограничен. Следует помнить, что серверы требуют наличие систем охлаждения. Однако помимо центральной серверной в отделах могут находиться местные локальные серверы. Определить местоположение компьютеров при наличии локальной сети поможет проводка. Достаточно проследить трассы кабеля или коробов (в случае, когда кабель спрятан в специальный короб), а так же наличия беспроводных сетей.

Следует обратить внимание на содержимое мусорных корзин, надписей и наклеек на мониторе и системных блоках, т.к. там могут содержатся данные о пароле и учетном имени (логине) пользователя.

Особое внимание нужно обратить на места хранения внешних носителей информации, данные о подключении таких носителей содержатся в служебных файлах и реестре операционной системы. Причем в качестве носителей информации могут выступать, например фоторамки, плееры, и другие мультемедийные устройства.

На предприятиях, имеющих развитую локальную сеть, как правило, производится регулярное архивирование информации на какой-либо носитель, поэтому необходимо определить место хранения данных копий.

Обязательно следует выявить администратора системы и провести его опрос, при котором выяснить следующее:

• какие операционные системы установлены на каждом из компьютеров;

• какое программное обеспечение используется;

• какие программы защиты и шифрования используются;

• где хранятся общие файлы данных и резервные копии;

• пароли супервизора и администраторов системы;

• имена и пароли пользователей.

Далее специалист, участвующий в следственных действиях, используя данные, полученные от администратора системы, может произвести копирование информации на заранее приготовленные носители.