Тактика следственных действий, направленных на отыскание, обнаружение, изъятие и исследование электронных носителей и информации на них. Учебное пособ

числе на алгоритмических правилах и разработанных самим экспертом методиках).

Ведущими критериями допустимости использованияметодов СКЭ, как и методов других родов экспертиз, в уголовном процессе являются: законность, обоснованность, достоверность получаемых результатов, безопасность, эффективность, экономичность и этичность.

Говоря о законности, отметим, что законодательство не содержит перечня методов, разрешенных киспользованию в рамках производства судебной экспертизы в целом. Вместе с тем для отдельных видов экспертиз зафиксированы положения, позволяющие очертить границы допустимости. Например, когда речь идет о производстве судебной экспертизы в отношении живых лиц, запрещается применять методы исследований, сопряженные с сильными болевыми ощущениями или способные отрицательно повлиять на здоровье, методы оперативного вмешательства,атакжеметоды,запрещенныекприменениювпрактикездравоохранения законодательством Российской Федерации (ст. 35 Федеральногозакона от 31 мая 2001 г. № 73-ФЗ «О государственной судеб- но-экспертной деятельности в Российской Федерации»15).

Применительно к методам СКЭ можно руководствоваться положениями ст. 10 названного Закона о том, что при проведении исследованийвещественныедоказательства и документысразрешения органаили лица, назначивших судебную экспертизу, могут быть повреждены или использованы только в той мере, в какой это необходимо дляпроведения исследований и дачи заключения.

Кроме того, указанный Закон оговаривает, что организационное и научно-методическое обеспечение судебно-экспертной деятельности, в том числе производства СКЭ, осуществляется соответствующими федеральными органами исполнительной власти (в нашем случае — МВД России и Минюстом России).

При анализе обоснованности отметим, что эксперт, производящий СКЭ, должен аргументировать каждый из сделанных выводов по схеме «вопрос — исследование (как аргумент) — вывод».

Такой критерий, как достоверность получаемых результатов, фактически определяется двумя моментами. Во-первых, характеристикой используемых в ходе СКЭ аппаратных и программных средств (сведениямогут быть полученыпутем изучениядокументации, прилагаемойк этимсредствам;а такжезаимствованывИнтернете). Во-вторых, используемыми методами формальной логики.

15 Рос. газета. 2001. 5 июня.

91

Говоря о безопасности, следует указать, что в силу специфики СКЭ речьидетнестолькоофизической безопасностиэкспертаили иноголица, сколькоопримененииметодов,неприводящих кповреждениюилиуничтожению исследуемой информации(закрепленнойв электронной форме), программного обеспечения и аппаратных средств. Подчеркнем, чтоработаскомпьютернойинформациейипрограммнымобеспечениемоднозначно приводит к внесению изменений (например, реестр операций).

Рассматривая эффективность, отметим, что в процессе проведения СКЭ эксперт должен стремиться к решению поставленной задачи в оптимальные сроки с наибольшей продуктивностью. Вместе с тем специфика производства СКЭ состоит в том, что нередко имеющиеся наработки приходится адаптировать под ситуации, которые ранее не встречались. Для этого необходимо отыскать нужный программный продукт, аппаратный объект. Кроме этого, на эффективность оказывает влияние нехватка экспертов, уполномоченных на проведениеСКЭ. В тесной связи с эффективностью находится требование экономичности, в рамках которого эксперт должен стремиться решить максимальные задачи минимальнымисредствами.

Принимая во внимание этичность, укажем, что в процесс СКЭ эксперт получает доступ к информации, подчас носящей личный характер. Например, если речь идет обисследовании информации по делам о распространении детской порнографии. В связи с этим недопустимо с точки зрения норм морали демонстрацию данных фотографий другим лицам, насмешки в адрес «исполнителей».

Когда речь заходит непосредственно о методах производства СКЭ, следует сделать оговорку. Суть ее в том, что СКЭ задействует как общие методы (являющиесябазовыми:методы формальной логики, общенаучные методы), так и специальные методы (общеэкспертные и частноэкспертные). Дадим краткий обзор общих методов и перейдем кхарактеристике специальных методов.

Анализ — расчленение целостного предмета на составляющие части (стороны, признаки, свойства или отношения) в целях их всестороннего изучения. При этом анализ может быть предметным или мысленным. В первом случае происходит физическое разделение объекта, во втором — мысленное. Специфика СКЭ состоит в преимущественном мысленном расчленении объекта. Например, расчленение механизма несанкционированного доступа к компьютерной информации на этапы (определение наличия информации; определение наличия и состояния программного обеспечения для доступа к информации; определение

92

наличия «санкции» на доступ к информации; установление фактов несанкционированного доступа).

Синтез — соединение ранее выделенных частей (сторон, признаков, свойств или отношений) предмета в единоецелое. Например, получение в ходе СКЭ ответа на вопрос о свойствах представленного на исследование компьютерно-технического средства предполагает анализ каждойегочасти ипоследующийобщийвывод: наличиеподключенияк глобальной сети данных посредством маршрутизатора.

Дедукция — выведение знаний по принципу «от характеристики объекта более высокого уровня к характеристике объекта менее высокого уровня». Например, в ходе экспертного исследования по факту неправомерного доступа к компьютерной информации перед экспертом, среди прочих,была поставленазадача поустановлениювозможностииспользования определенного компьютера для выхода в глобальную сеть Интернет. Эксперт знает, что для выхода в глобальную сеть необходимы специальные объекты (программное обеспечение, сетевой адаптер и др.). В ходе СКЭ на представленном компьютере было установлено наличие этих объектов. Логика эксперта сводится к следующему: для выхода в глобальную сеть необходимы специальные объекты (посылка 1); на исследуемом компьютере имеютсяспециальныеобъекты(посылка 2);следовательно, с определенного компьютера возможен выход в глобальную сеть (заключение).

Аналогия — заключение освойствах объекта на основеего сходства с другим, ранее изученным объектом. Данный метод применяется для исследованияединичного,ранеенеизученногообъекта.Например, входе СКЭбылиустановленыпризнакивредоносности программногопродукта “TeamViewer”. Эксперт для иллюстрации противоправного характера указанного продукта применил алгоритм описания, ранее использованный для иллюстрации другого вредоносного программного продукта.

Наблюдение — целенаправленное и организованное восприятие предметов и явлений окружающего мира. Впроцессе СКЭ используется опосредованное (через программноеобеспечение) и косвенное (восприятие следствий, которые вызывает объект) наблюдение. С наблюдением тесно связано описание, которое можно рассматривать как завершающий этап наблюдения. Подописанием подразумевается процессзакрепления и передачи информации, полученной в ходе наблюдения, с помощью определенных знаковых средств (естественного и (или) искусственного языка). Каждое экспертное исследование содержит в себе описание. Именно описание позволяет следователю в будущем оценить качество СКЭ.

93

Эксперимент — искусственное создание условий, позволяющих оценить проявление свойств исследуемого явления или процесса. Эксперимент очень часто применяется, когда речь идет о компьютерных преступлениях. В СКЭ благодаря эксперименту можно установить возможность,последовательность, механизм,причиныи другиеобстоятельства события, сопряженного с использованием компьютерной информации (аппаратов, программного обеспечения). Например, эксперту представляются компакт-диски с программным продуктом. Непосредственно исполнив программы, находящиеся на диске, эксперт может прийти к выводу о том, что эти программы можно использовать для несанкционированного доступа и вторжения на другие компьютеры.

Сравнение(частосопутствуетнаблюдению и эксперименту) — процедура установлениясходства и различияпредметови явлений действительности. Например, в ходе СКЭ был установлен механизм взаимодействияопределенногофайла слицензионным программным обеспечением. Эксперт соотносит этот файл с объектом-эталоном (лицензионным ключом аппаратной защиты) и делает вывод о том, что файл является элементом механизма изготовления контрафактной продукции.

Измерение — процедура определения численного значения некоторой величины посредством использования эталонных единиц измерения. ПрименительнокСКЭизмеряютсяразличныепараметры:скорость вращения жесткого диска (об/мин), скорость передачи данных по каналу связи (кбит/с), объем памяти электронного носителя или файла с информацией (в байтах).

Приведеннаякраткаяхарактеристика общихметодов,используемых в экспертном исследовании, позволяет перейти к общеэкспертным методам, которые применяются в целом в рамках производства судебных экспертиз (разработаны в общей теории судебных экспертиз), а также в ходе проведения СКЭ.

Методы анализа изображений используются для исследования таких криминалистических объектов, как следы человека, орудий и инструментов, а также документов, фото- и видеоматериалов. При производстве СКЭ основным способом отражения изучаемой компьютерной информации выступает представление ее на экране монитора компьютерной системы, поэтому анализ изображений является базовой компонентой исследования.

Например, при экспертном исследовании информационных графических объектов СКЭ, под анализом изображения понимается как визуальное изучение компьютерной информации в графическом формате

94

(отображенное на мониторе компьютера эксперта), так и его программный анализ (например, на вложенность в графическую среду объекта текстовых сообщений).

Методыморфологическогоанализаизучаютвнешнеестроениеобъекта (например, системного блока компьютера, платы расширения, отдельной микросхемы), а такжетопографию образующих егоструктурных элементов (частей целого, включений, деформаций, дефектов и т. п.),возникающихпри изготовлении,функционированиии взаимодействииобъектов. Здесь же при исследованиях аппаратных объектов СКЭ в некоторых случаях может использоваться рентгенография (например, при экспертизе смарт-карт — для диагностики внутренних соединений, расположения контактов, скрытых от визуального наблюдения верхним слоем покрытия смарт-карты).

Методы анализа структуры позволяют уяснить способ объединения данных,взаимноерасположениенесколькихэлементов данных,рассматриваемых как одно целое (например, файл базы данных). Особый интерестакиеметоды представляютприизучениисистемы организациифайлов и каталогов (анализ структуры каталогов и файлов, а также правила их созданияи манипулирования ими).

Методыисследованияотдельныхсвойствобъектов СКЭспособствуют установлению свойств объекта, имеющих значение для уголовного дела. Например, при определении свойств программных объектов, по возможности, устанавливается алгоритм, определяются исходные данные, промежуточные и конечные результаты работы программы.

Особого внимания заслуживают частноэкспертные методы, как методы, адаптированные непосредственно для производства СКЭ. В ходе проведения СКЭ используются специальные знания по следующим направлениям: электронике, электротехнике, радиотехнике, связи и телекоммуникации,информационным системам и процессам,вычислительной технике и программированию и др. (забегая вперед, заметим, что специалистов именно этих направлений важно привлекать для оценки результатов СКЭ). Самостоятельные же методы СКЭ нуждаются в детальной проработке.

На современном этапе развития СКЭ целесообразно рассматривать систему методов по основным классам объектов экспертизы: методы исследования аппаратных средств, методы исследования программных средств и методы исследования информации (данных).

Частнонаучные методы имеют специфику, выраженную техническим характером. Следователю будет затруднительно разобраться в них,

95

ноэтогои нетребуется.Длятогочтобысложилосьпредставлениеобэтих методах, приведем примеры некоторых из них. Так, одними из методов исследования аппаратных объектов являются методы проектирования и исследования цифровых устройств и микропроцессоров (методы алгебры логики и др.). В качестве методов исследования программных средств могут быть названы методы изучения алгоритмов программ и др. Исследование информации проводится с помощью методов, реализованных в большинствестандартных утилити сервисных программ (методы поиска и доступа к данным и др.). В основе методологии экспертиз сетевых информационных технологий должныбыть положены методы коммутации и маршрутизации и др. В основе методологии исследования компьютерных баз данных находятся: методы доступа к данным, их фиксации; методы анализа алгоритма обработки данных и пр.

Полагаем, что рассмотренныевыше методы являютсялишь определенным инструментарием, которым может пользоваться эксперт при производстве экспертизы. Само же исследование компьютерного средства строится по некоему алгоритму, предписаниям, программе, роль которых выполняет экспертная методика.

Вслучае с СКЭ затруднительно выделить конкретную методику. Опрос в экспертно-криминалистических подразделениях МВД России показал, что с формальной точки зрения (для соблюдения процессуального законодательства) в заключении эксперта в качестве методики эксперты указывают методические рекомендации 2001 г.16, учебные пособия А. И. Усова 2002, 2003 гг.17, учебно-методическое пособие 2007 г.18

Входепроизводства отдельных компьютерных экспертиз используетсяэнциклопедическаялитература,содействующаятерминологическому единообразию и ясности изложения мыслей эксперта19.

Однако фактически единой технологии СКЭ на данный момент не сформировано. Положения названных методических материалов адаптируются под каждую конкретную СКЭ.

16Общие положения по назначению и производству компьютерно-технической экспертизы : метод. рекомендации / В. С. Зубаха [и др.]. М., 2001. 72 с.

17Усов А. И. Методы и средства решения задач компьютерно-технической экспертизы : учеб. пособие. М., 2002. 200 с. ; Его же. Судебно-экспертное исследование компьютерных средств и систем: основы методического обеспечения : учеб. пособие / под ред. Е. Р. Россинской. М., 2003. 368 с.

18Практические основы компьютерно-технической экспертизы : учеб.-метод. пособие / А. Б. Нехорошев [и др.]. Саратов, 2007. 266 с.

19См., напр.: Тушканова О. В. Терминологический справочник судебной компьютерной экспертизы : справ. пособие. М., 2005. 260 с.

96

Рассмотрим данный аспект на примере, предложенном Т. В. Аверьяновой и В. Ф. Статкусом20. Так, в настоящее время востребованными в компьютерной экспертизе являются информационно-поисковые задачи по отношению к компьютерной информации, содержащейся на следующих машинных носителях: накопителях на жестких магнитных дисках; гибкихмагнитныхдисках,zip-иjaz-накопителях;магнитныхлентах;CD-

иDVD-дисках;flash-накопителях;картахпамятиипрочих машинныхносителях, информация на которых представлена в виде файловых систем.

Такие экспертизы, как правило, проводятся в следующем порядке:

—осматривается, описываетсяи фотографируетсяупаковка объектов;

—осматривается, описывается и фотографируется внешний вид объектов;

—при наличии системного блока, ноутбука и т. п. из них извлекаютсямашинныеносители,послечегопросматриваются настройкидаты

ивремени на системной платеспомощью базовой системы ввода-выво- да (BIOS). Данные настройки сопоставляются с текущим временем (с указанием следующих характеристик: часовой пояс, летнее или зимнее время);

—машинные носители и стендовоеоборудование подготавливаются к исследованию (переключатели, заслонки и т. д. на представленных машинных носителях устанавливаются в режим защиты от записи (при наличии такой возможности); выбираются устройства дляподключения машинных носителей, и при необходимости они устанавливаются в режим «только чтение»; подготавливаются дополнительные машинные носители для последующего посекторного копирования на них информации, подлежащей исследованию);

—машинные носители подключаются к аппаратно-программному комплексу, устанавливается структура расположенной на них информации (количество, наименование и размер разделов; серийные номера разделов (опционально); наличие неразмеченного пространства и его размер; наименование файловой системы в каждом разделе; размер занятоговразделе пространства (вбайтахили мегабайтах);значенияхешфункции для машинного носителя (опционально));

—проводится посекторное копирование информации с машинных носителей на дополнительные носители. Для дальнейшего исследования используются посекторные копии;

20Практическое руководство по производству судебных экспертиз для экспертов

испециалистов [Электронный ресурс] : науч.-практ. пособие / под ред. Т. В. Аверьяновой, В. Ф. Статкуса. 2-е изд., перераб. и доп.

97

—восстанавливаетсяудаленная информация;

—при необходимости скопированная и восстановленная информация проверяется антивирусным программным обеспечением.

Дляпоискаинформации,созданнойспомощьюприкладныхпрограмм:

—определяется область поиска. Основу области поиска составляет информация, поиск и просмотр в которой можно осуществить средствами программно-аппаратного комплекса без дополнительных преобразований. Дополнительно в зависимости от задачи в процессе определения области поиска осуществляется поиск зашифрованных областей на машинном носителе и определение возможности их расшифровки; поиск файлов-контейнеров (в том числе проведение стеганоанализа), файловархивов, определение возможностей доступа к информации в этих файлах; поиск файлов, доступ к содержимому которых закрыт паролем; поиск файлов и каталогов, доступ к содержимому которых ограничен операционной системой; сигнатурный анализ (сопоставление сигнатуры файла расширению файла);просмотр (экспериментальный запуск) программного обеспечения, имеющегося на машинном носителе, с целью установления форматов, обрабатываемых этим программным обеспечением файлов и возможностей поиска и просмотра содержимого таких файлов. Производится на аппаратно-программном комплексе (возможно применение технологий виртуальных машин) либо путем экспериментального запуска с использованием копий машинных носителей. Обнаруженнаяинформацияповозможностиприводитсякформату, пригодному для поиска, и добавляется к области поиска. В зависимости от задачи и с учетом возможностей инструментальных средств в область поиска помимофайлов, имеющихся на машинном носителе, включаются восстановленныефайлы, свободные области, «межкластерные» зазоры, загрузочная запись и т. п.; из области поиска исключаются системные файлы, файлы с прикладным программным обеспечением и пр.;

—область поиска сужается до области просмотра, который осуществляется путем проведения поиска по различным критериям: ключевым словам; расширениям, свойствам и метаданным файлов; сигнатурам и пр. В зависимости от поставленной задачи к формулированию критериев поиска могутпривлекаться эксперты других специальностей. Если критерии поиска сформулировать невозможно, область просмотра может быть приравнена к области поиска;

—информация изобласти просмотра читается как с помощью программного обеспечения, имеющегося на аппаратно-программном комплексе, так и с помощью программного обеспечения, имеющегося на ма-

98

шинных носителях. В данном процессе могут принимать участие как эксперты других специальностей (комплексная экспертиза), так и лицо, назначившее экспертизу;

—оформляютсярезультатыпоиска. Искомаяинформацияописывается, распечатывается либо записывается на CDили DVD-диски однократной записи.

Для поиска информации о действиях пользователя:

—определяются установленные операционные системы;

—устанавливается,имеетсялинаданном машинном носителепрограммное обеспечение, с помощью которого могли производиться искомые действия пользователя (выявляются: программное обеспечение, работакотороготребуетрегистрациивоперационной системе;программное обеспечение, работа которого не требует установки в операционной системе; удаленное программное обеспечение либо сведения, оставшиеся в операционной системе от ранее установленного и впоследствии удаленного программного обеспечения; оцениваются возможности данного программного обеспечения по производству искомых действий. Оценка производитсяэкспертом путем использованиясобственных знаний иопыта, изученияописаний,руководств,справочных пособий, проведения экспертных экспериментов и др.);

—если наличие такого программного обеспечения установлено, определяются порядок и особенности его работы в процессе совершения интересующих следствие действий (изучается процесс следообразования). Образование следов происходит путем создания, модификации, удаления информации на машинном носителе и отражается в системных,временных, специализированныхфайлах,свойствах иметаданных файлов данных и т. п. Установить порядок и особенности расположения следовой информации можно путем проведения экспертных экспериментов, в ходе которых производится сопоставление между собой двух иболеесостоянийфайловойсистемы,отслеживаниеобращенийпрограммного обеспечения к различным элементам файловой системы и др. Такжеэтисведениямогутбытьполученыиздокументациинапрограммное обеспечение, показаний лиц, проходящих поделу, справочных и методических пособий и т. п.;

—описывается и просматривается наличие и содержимое возможных мест расположения следовой информации на машинных носителях. При необходимости найденная информация сопоставляется междусобой на предмет ее непротиворечивости и последовательности по времени;

—оформляются результаты поисков.

99

Определенной спецификой обладают задачи по поиску и интерпретации информации, содержащейся в мобильных телефонах, видеорегистраторах, игровыхавтоматах, на платежных картах и т. п.Как правило, порядок исследования и возможности интерпретации информации на объектах, на которых последняя не представлена в виде файловых систем, определяется экспертом после изучения документации, технического описания устройства. Разработка специализированных программ- но-аппаратных комплексов для исследования информации в этих устройствах позволяет упростить доступ к информации и минимизировать время по ее извлечению и интерпретации.

Задачи определения свойств программ и программных продуктов и определениявозможности совершениякаких-либодействий спомощью средств вычислительной техники решаются путем проведения соответствующих экспертных экспериментов.

Остальныезадачи на практикевстречаютсяредкои при ихрешении эксперты пользуютсятрадиционными подходами и методами, используемыми в современной криминалистике и судебной экспертизе.

Для полного пониманияи оценки экспертного заключения следователю необходимо также разбираться в структуре экспертного исследования. Напомним, что процесс экспертного исследования, вне зависимости от рода и вида судебной экспертизы, состоит из нескольких основныхстадий.Каждаястадиявыполняетопределенныефункциииобеспечивает решение промежуточных задач. Можно выделить четыре ос- новныестадиисудебно-экспертногоисследования:1) подготовительную; 2) раздельного исследования объектов экспертизы; 3) сравнительного исследования объектов экспертизы; 4) обобщения, оценки результатов исследования и формулирования выводов21.

Заключение эксперта также должно состоять из отдельных структурных элементов, а именно:

—вводной части: наименование экспертного учреждения, Ф. И. О. эксперта, специальность, экспертный стаж, должность, основания для производства экспертизы,краткоеописаниеобстоятельствдела, сведения

опоступивших материалах, вопросы, поставленные перед экспертом;

—исследовательской части: вид и состояние объектов, методика их сравнительного исследования, результаты сопоставления объектов, совпадения и различия, оценка результатов сравнения;

21 Россинская Е. Р. Судебная экспертиза в гражданском, арбитражном, административном и уголовном процессе. М., 2005. С. 95.

100