Литература

Зинин, А.М. Криминалистическая фотопортретная экспертиза / А.М. Зинин, Л.З. Кирсанов. М., 1991.

Зинин, А.М. Особенности портретной криминалистической идентификации с использованием видеоизображений / А.М. Зинин, Л.Б. Зотов, В.А. Снетков. М., 1995.

Зинин, А.М. Руководство по портретной экспертизе / А.М. Зинин. М., 2006.

Кирсанов, З.И. Экспертное отождествление человека по фотопортретам с применением математических методов исследования / З.И. Кирсанов. М., 1968.

Савушкин, А.В. Выявление и оценка искусственного изменения признаков внешности при проведении портретной криминалистической экспертизы / А.В. Савушкин. М., 1989.

Снетков, В.А. Габитоскопия / В.А. Снетков. Волгоград, 1979.

Снетков, В.А. Методика отождествления по признакам внешности лиц, сфотографированных со значительным разрывом во времени / В.А. Снетков, A.M. Зинин. M., 1971.

Снетков, В.А. Портретная криминалистическая экспертиза по фотокарточкам / В.А. Снетков. M., 1971.

Степин, В.С. Криминалистическое отождествление человека по разноракурсным фотопортретам / В.С. Степин, А.В. Савушкин, А.В. Зотов. M., 1992.

Судебно-портретная экспертиза / под ред. A.M. Зинина. M., 2003.

7.14. Компьютерная экспертиза

У правоохранительных органов серьезная потребность в проведении экспертиз компьютерной информации появилась в конце 90-х гг. XX века. Как правило, такие экспертизы проводились силами сотрудников научных и учебных заведений, компьютерных фирм и имели много различных наименований: информационно-технологические, в сфере высоких технологий, средств вычислительной техники (СВТ), информационно-компьютерные и т.д. В настоящий момент в некоторых государственных экспертных учреждениях они именуются как компьютерно-технические экспертизы. В соответствии с приказом МВД России от 14.01.2005 N 21 "Об аттестации экспертов на право самостоятельного производства судебных экспертиз и о порядке пересмотра уровня их профессиональной подготовки" (в ред. от 28.12.2006)*(76) в перечне экспертных специальностей, по которым в МВД России проводится аттестация на право самостоятельного производства судебных экспертиз, за ними было официально закреплено наименование компьютерные. Специальные знания в области компьютерной информации необходимы при расследовании уголовных дел, в которых данная информация может служить:

- предметом преступного посягательства (например, кража компьютерной информации);

- орудием преступления (например, фальшивомонетничество);

- предметом преступного посягательства и одновременно орудием преступления (преступления в сфере компьютерной информации);

- источником информации о преступном деянии.

Компьютерная экспертиза - род криминалистической экспертизы, проводимой в целях получения доказательств по уголовным и гражданским делам, устанавливаемых на основе изучения закономерностей функционирования информации в СВТ.

Предмет компьютерной экспертизы - установление фактических данных на основе изучения закономерностей функционирования информации в СВТ.

Объектами компьютерной экспертизы являются:

- компьютерная информация, расположенная на машинных носителях;

- отдельные технические средства и функциональные устройства систем обработки информации;

- системы обработки информации в целом.

Бурное развитие СВТ обусловливает постоянное расширение перечня объектов, которые могут быть представлены на компьютерную экспертизу.

Специальные знания компьютерной экспертизы составляют автоматизация и вычислительная техника (в том числе программирование), информационные системы и процессы, электроника, электротехника, радиотехника и связь. Полноценная организация производства компьютерной экспертизы подразумевает наличие специалистов по различным операционным системам, прикладному программному обеспечению, бухгалтерским программам, базам данных, программированию, криптоанализу, мультимедиа, сетевым и интернет-технологиям, аппаратным компонентам компьютера и машинным носителям информации, связи.

Данный род экспертиз сравнительно молод и находится в процессе становления. В настоящее время можно выделить следующие задачи, которые решаются при производстве компьютерной экспертизы:

- поиск информации на машинном носителе (в СВТ), созданной с помощью прикладных программ;

- поиск информации на машинном носителе о действиях пользователя (процессах обработки файлов, ведения баз данных, работе в сетях передачи данных и т.п.);

- определение свойств программ и программных продуктов;

- определение возможности совершения каких-либо действий с помощью СВТ;

- определение принадлежности программ и данных к конкретным классам;

- установление материальных объектов по компьютерной информации (проводится в комплексе с другими видами экспертиз);

- установление фактических обстоятельств совершения преступления (проводится при наличии информации, полученной из различных источников).

Вопросы, выносимые на компьютерную экспертизу, должны удовлетворять определенным требованиям, которые можно разбить на две группы: общие требования (относящиеся к любым вопросам, выносимым на компьютерную экспертизу) и частные требования (относящиеся к вопросам, выносимым на конкретную экспертизу).

1. Общие требования:

а) при постановке вопроса необходимо использовать устоявшийся понятийный аппарат, исключающий жаргонные и полупрофессиональные термины ("винчестер", "логи", "взлом" и т.п.). В случае отсутствия терминов, определенных законодательными или нормативными актами, необходимо использовать те термины, которые употребляют разработчики технических средств, программных продуктов в документации, описаниях, справках и т.п.;

б) вопрос должен быть четким и однозначным;

в) формулировка вопроса не должна касаться этапов исследования информации (описание характеристик носителей информации и особенностей размещения информации на них, восстановление и исследование информации среди удаленных файлов являются обязательным этапом исследования информации);

г) вопросы не должны носить справочный характер;

д) вопросы не должны носить правовой характер и выходить за пределы компетенции эксперта;

е) вопросы должны соответствовать существующей методической и технической базе.

2. Частные требования:

а) вопросы должны быть направлены на установление конкретных обстоятельств расследуемого события;

б) вопросы должны быть поставлены так, чтобы при решении конкретных задач расследования затраты (финансовые, технические, временные и пр.) на проведение исследований были минимальными;

в) вопросы должны соответствовать уровню подготовки и инструментальному оснащению экспертов того экспертного учреждения, которое будет проводить экспертизу;

г) вопросы должны соответствовать представляемым на исследование вещественным доказательствам.

Для производства компьютерных экспертиз должны применяться специализированные программно-аппаратные комплексы, удовлетворяющие следующим требованиям:

- иметь в своем составе устройства для работы с информацией на представленных машинных носителях;

- иметь возможность блокирования записи информации (аппаратно, аппаратно-программно, программно) на исследуемых машинных носителях;

- иметь возможность посекторного копирования информации с представленных машинных носителей на дополнительные машинные носители не меньшей емкости;

- иметь возможность вычисления хеш-функции файлов, каталогов, разделов, диапазона секторов;

- иметь возможность доступа к файловой системе машинных носителей;

- иметь возможность просмотра и интерпретации информации, создаваемой наиболее распространенным программным обеспечением (офисными программами, графическими редакторами, системами управления базами данных, программами, предназначенными для работы в локальных и глобальных сетях, и т.п.);

- иметь возможность восстановления удаленной информации;

- иметь возможность просмотра и интерпретации системной и служебной информации (следовой картины);

- иметь возможность поиска и манипуляции с информацией по различным критериям (контексту, свойствам, хеш-функциям и пр.);

- иметь возможность оформления результатов исследования.

Наиболее востребованными в компьютерной экспертизе являются информационно-поисковые задачи по отношению к компьютерной информации, содержащейся на следующих машинных носителях: накопителях на жестких магнитных дисках; гибких магнитных дисках, zip - и jaz-накопителях; магнитных лентах; CD- и DVD-дисках; flash-накопителях; картах памяти и прочих машинных носителях, информация на которых представлена в виде файловых систем.

Такие экспертизы, как правило, проводятся в следующем порядке:

- осматривается, описывается и фотографируется упаковка объектов;

- осматривается, описывается и фотографируется внешний вид объектов;

- при наличии системного блока, ноутбука и т.п. из них извлекаются машинные носители, после чего просматриваются настройки даты и времени на системной плате с помощью базовой системы ввода-вывода (BIOS). Данные настройки сопоставляются с текущим временем (с указанием следующих характеристик текущего времени: часовой пояс, летнее или зимнее время);

- машинные носители и стендовое оборудование подготавливаются к исследованию (переключатели, заслонки и т.д. на представленных машинных носителях устанавливаются в режим защиты от записи (при наличии такой возможности); выбираются устройства для подключения машинных носителей, и при необходимости они устанавливаются в режим "только чтение"; подготавливаются дополнительные машинные носители для последующего посекторного копирования на них информации, подлежащей исследованию);

- машинные носители подключаются к аппаратно-программному комплексу, и устанавливается структуру расположенной на них информации (количество, наименование и размер разделов; серийные номера разделов (опционально); наличие неразмеченного пространства и его размер; наименование файловой системы в каждом разделе; размер занятого в разделе пространства (в байтах или мегабайтах); значения хеш-функции для машинного носителя (опционально));

- проводится посекторное копирование информации с машинных носителей на дополнительные носители. Для дальнейшего исследования используются посекторные копии;

- восстанавливается удаленная информация;

- при необходимости скопированная и восстановленная информация проверяется антивирусным программным обеспечением.

Для поиска информации, созданной с помощью прикладных программ:

- определяется область поиска. Основу области поиска составляет информация, поиск и просмотр в которой можно осуществить средствами программно-аппаратного комплекса без дополнительных преобразований. Дополнительно в зависимости от задачи в процессе определения области поиска осуществляется поиск зашифрованных областей на машинном носителе и определение возможности их расшифровки; поиск файлов-контейнеров (в том числе проведение стеганоанализа), файлов-архивов, определение возможностей доступа к информации в этих файлах; поиск файлов, доступ к содержимому которых закрыт паролем; поиск файлов и каталогов, доступ к содержимому которых ограничен операционной системой; сигнатурный анализ (сопоставление сигнатуры файла расширению файла); просмотр (экспериментальный запуск) программного обеспечения, имеющегося на машинном носителе, с целью установления форматов, обрабатываемых этим программным обеспечением файлов и возможностей поиска и просмотра содержимого таких файлов. Производится на аппаратно-программном комплексе (возможно применение технологий виртуальных машин) либо путем экспериментального запуска с использованием копий машинных носителей. Обнаруженная информация по возможности приводится к формату, пригодному для поиска, и добавляется к области поиска. В зависимости от задачи и с учетом возможностей инструментальных средств в область поиска помимо файлов, имеющихся на машинном носителе, включаются восстановленные файлы, свободные области, "межкластерные" зазоры, загрузочная запись и т.п.; из области поиска исключаются системные файлы, файлы с прикладным программным обеспечением и пр.;

- область поиска сужается до области просмотра, который осуществляется путем проведения поиска по различным критериям: ключевым словам; расширениям, свойствам и метаданным файлов; сигнатурам и пр. В зависимости от поставленной задачи к формулированию критериев поиска могут привлекаться эксперты других специальностей. Если критерии поиска сформулировать невозможно, область просмотра может быть приравнена к области поиска;

- информация из области просмотра просматривается как с помощью программного обеспечения, имеющегося на аппаратно-программном комплексе, так и с помощью программного обеспечения, имеющегося на машинных носителях. В данном процессе могут принимать участие как эксперты других специальностей (комплексная экспертиза), так и лицо, назначившее экспертизу;

- оформляются результаты поиска. Искомая информация описывается, распечатывается либо записывается на CD- или DVD-диски однократной записи.

Для поиска информации о действиях пользователя:

- определяются установленные операционные системы;

- устанавливается, имеется ли на данном машинном носителе программное обеспечение, с помощью которого могли производиться искомые действия пользователя (выявляется программное обеспечение, работа которого требует регистрации в операционной системе; выявляется программное обеспечение, работа которого не требует установки в операционной системе; выявляется удаленное программное обеспечение либо сведения, оставшиеся в операционной системе от ранее установленного и впоследствии удаленного программного обеспечения; оцениваются возможности данного программного обеспечения по производству искомых действий. Оценка производится экспертом путем использования собственных знаний и опыта, изучения описаний, руководств, справочных пособий, проведения экспертных экспериментов и др.);

- если наличие такого программного обеспечения установлено, определяется порядок и особенности его работы в процессе совершения интересующих следствие действий (изучается процесс следообразования). Образование следов происходит путем создания, модификации, удаления информации на машинном носителе и отражается в системных, временных, специализированных файлах, свойствах и метаданных файлов данных и т.п. Установить порядок и особенности расположения следовой информации можно путем проведения экспертных экспериментов, в ходе которых производится сопоставление между собой двух и более состояний файловой системы, отслеживание обращений программного обеспечения к различным элементам файловой системы и др. Так же эти сведения могут быть получены из документации на программное обеспечение, показаний лиц, проходящих по делу, справочных и методических пособий и т.п.;

- описывается и просматривается наличие и содержимое возможных мест расположения следовой информации на машинных носителях. При необходимости найденная информация сопоставляется между собой на предмет ее непротиворечивости и последовательности по времени;

- оформляются результаты поисков.

Определенной спецификой обладают задачи по поиску и интерпретации информации, содержащейся в мобильных телефонах, видеорегистраторах, игровых автоматах, на платежных картах и т.п. Как правило, порядок исследования и возможности интерпретации информации на объектах, на которых последняя не представлена в виде файловых систем, определяется экспертом после изучения документации, технического описания на устройства. Разработка специализированных программно-аппаратных комплексов для исследования информации в этих устройствах позволяет упростить доступ к информации и минимизировать время по ее извлечению и интерпретации.

Задачи определения свойств программ и программных продуктов и определения возможности совершения каких-либо действий с помощью СВТ решаются путем проведения соответствующих экспертных экспериментов.

Остальные задачи на практике встречаются редко и при их решении эксперты пользуются традиционными подходами и методами, используемыми в современной криминалистике и судебной экспертизе.