Особенности судебной экспертизы компьютерных технологий

Обновлено: 05.05.2024

Формулировка вопроса не должна касаться этапов исследования информации (описание характеристик носителей информации и особенностей размещения информации на них, восстановление и исследование информации среди удаленных файлов являются обязательным этапом исследования информации).

В связи с большим объемом информации, как правило, невозможно распечатать и приложить к заключению все имеющиеся на носителе текстовые и графические файлы, содержимое баз данных с тем, чтобы потом заказчик экспертизы решил, что из найденного относится к делу. Поэтому необходимо определять критерии поиска – ключевые слова, или ограничивать рамки поиска типом файлов.

Имеются ли на носителе представленного на исследование системного блока персонального компьютера файлы, в том числе удаленные, содержащие информацию о . (указать конкретные ключевые слова для поиска – названия организаций, фамилии и др.)?
Имеются ли на носителе представленного на исследование системного блока персонального компьютера графические файлы, в том числе удаленные, содержащие изображения денежных билетов, купюр и др.?

Действия, которые оставляют следы на компьютере или на носителе информации, включают: доступ к информации, ее просмотр, ввод, изменение, удаление, любую другую обработку или хранение, а также удаленное управление этими процессами.

Анализ программ

Анализ программ для ЭВМ с целью определения их функциональности и следов их использования, принципа действия, вероятного их источника, происхождения сведений об авторе, наличия вредоносных признаков, их принадлежности к средствам преодоления технических средств защиты авторского права (ТСЗАП) и др.

Часто при этом необходимо более глубокое исследование программ. То есть исследование не просто их свойств и функциональности, а происхождения, особенностей взаимодействия с другими программами, процесса создания, сопоставление версий. Такое глубокое исследование подразумевает дизассемблирование программы, запуск под отладчиком (пошаговое исполнение), исследование структуры данных. В таком случае рекомендуется заказать проведение двух отдельных экспертиз, первая изучает содержимое компьютерных носителей, а вторая – особенности обнаруженных программ.

Какие программные продукты содержатся на представленных носителях?
Какие сведения о наименовании, разработчике и версии они содержат?
Соответствуют ли они представленному эталонному образцу?
Имеются ли свидетельства использования установленных на диске программ (созданные с помощью программ документы, наличие информации в базах данных, файлы-протоколы работы и др.)?
Имеются ли признаки модификации программного обеспечения для обхода технических средств защиты авторского права?
Каково предположительное время установки и модификации программного обеспечения?
К какой именно информации осуществлялся доступ? (для последующего решения вопроса, является ли она охраняемой законом компьютерной информацией)
Предпринимал ли обладатель информации, к которой был осуществлен доступ, какие-либо меры для ее защиты и ограничения доступа? (для решения вопроса о конфиденциальности этой информации)
Является ли данный способ доступа общепринятым способом для публичных сетевых ресурсов?

Установление временной последовательности

Благодаря наличию у компьютера внутренних энергонезависимых часов и приостановлению в различных местах временных меток, становится возможным определить, когда и в какой последовательности пользователь производил различные действия.

Если внутренние часы компьютера были переведены вперед или назад (в том числе неоднократно), все равно имеются возможности восстановить правильное время и правильную последовательность событий. Перевод часов компьютера сам по себе оставляет следы. А если еще было и сетевое взаимодействие, то есть возможность сопоставить моменты событий, зафиксированных данным компьютером, с событиями по иным источникам и выяснить сдвиг внутренних часов.

Задача выполнима даже в том случае, если системный блок, содержащий внутренние часы, не находится в распоряжении экспертизы. Только по носителю информации можно получить кое-какие сведения о последовательности событий. Чем больше информации на носителе, тем полнее будет восстановлена картина.

Какие действия совершены с использованием объектов, их время и последовательность?

Установление следов контрафактности

Зачастую указанные экспертизы являются комплексными. Для проведения исследования некоторых предметов, входящих в комплект поставки программного продукта, таких как коробка, карточка с текстом лицензионного соглашения, сертификат подлинности, регистрационная карта, компакт-диск с элементами защиты, документация в печатном виде, требуется назначение технико-криминалистической экспертизы документов. А иногда также требуется проведение фоноскопических или трасологических экспертиз.

При проведении экспертизы, касающейся контрафакта, всегда требуется представление эталонного образца программного обеспечения для сравнительного исследования.

Какие программные продукты содержатся на представленных носителях?
Какие сведения о наименовании, разработчике и версии они содержат?
Соответствуют ли они представленному эталонному образцу?
Имеются ли свидетельства использования установленных на диске программ (созданные с помощью программ документы, наличие информации в базах данных, файлы-протоколы работы др.)?
Имеются ли признаки модификации программного обеспечения для обхода технических средств защиты авторского права?
Каково предположительное время установки и модификации программного обеспечения?

Если вы заметили ошибку на сайте, пожалуйста, выделите её и нажмите Ctrl + Enter

При использовании материалов Государственного комитета судебных экспертиз Республики Беларусь ссылка на сайт ОБЯЗАТЕЛЬНА!
© Государственный комитет судебных экспертиз Республики Беларусь

Компьютерно-техническая экспертиза — один из видов инженерно-технических экспертиз, объектом которой является компьютерная техника и/или компьютерные носители информации.

определения статуса компьютерного средства
получения дополнительных доказательств
выявления роли компьютерного средства в рассматриваемом деле
получения доступа к информации на носителях данных и ее последующего исследования

В составе СКТЭ можно выделить следующие виды экспертиз:

аппаратно-компьютерная экспертиза
программно-компьютерная экспертиза
информационно-компьютерная экспертиза (данных)
компьютерно-сетевая экспертиза
нормативно-техническая экспертиза

Данная классификация помогает при назначении комплексных экспертиз и подборе сведущего лица.

Получить дополнительную информацию можно на странице с описанием услуги компьютерной экспертизы.

Аппаратно-компьютерная экспертиза

Судебная аппаратно-компьютерная экспертизы состоит в проведении исследования аппаратных средств компьютерной системы. На основе исследования закономерностей эксплуатации аппаратных средств компьютерной системы, материальных носителей информации о факте или событии гражданского либо уголовного дела устанавливаются факты и обстоятельства. Все это является предметом аппаратно-компьютерной экспертизы.

В ходе судебной аппаратно-компьютерной экспертизы проводится исследование:

персональных компьютеров (настольных, портативных)
серверов
периферийных устройств
сетевых аппаратных средств
мобильных телефонов
встроенных систем на основе микропроцессорных контроллеров
любых комплектующих всех указанных компонентов (аппаратных блоков, плат расширения, микросхем и др.)
микросхем памяти, магнитных и лазерных дисков, магнитооптических дисков, магнитных лент, флэш-карт

Экспертам в ходе проведения аппаратно-компьютерной экспертиза предстоит найти ответы на следующие вопросы:

Относится ли представленное устройство к аппаратным компьютерным средствам?
К какому типу (марке, модели) относится устройство?
Каковы технические характеристики и параметры устройства?
В чем заключается функциональное предназначение аппаратного средства?
Какова роль данного аппаратного средства в компьютерной системе?
Используется ли данное аппаратное средство для решения конкретной функциональной задачи?
Каковы первоначальная конфигурация и характеристики данного аппаратного средства?
Каким образом были изменены функциональные свойства представленного аппаратного средства?
Исправно ли представленное аппаратное средство?
Имеются ли отклонения от типовых параметров устройства?
Имеются ли физические дефекты на устройстве?
Какие эксплуатационные режимы установлены на данном аппаратном средстве?
Является ли неисправность данного средства следствием нарушения правил эксплуатации?
Является ли выявленная неисправность заводским браком либо следствием нарушения эксплуатации?
Является ли представленное аппаратное средство носителем информации?
Какое запоминающее устройство предназначено для работы с данным накопителем информации?
Каковы параметры (форм-фактор, емкость, среднее время доступа к данным, скорость передачи данных и др.) носителя информации?
Доступен ли для чтения представленный носитель информации?
Каковы причины отсутствия доступа к носителю информации?

Типичным примером аппаратно-компьютерной экспертизы является установление факта штатного функционирования компьютерной техники. Так, по одному из гражданских дел на экспертизу было предоставлено серверное оборудование, которое, по мнению истца, имело технические дефекты. Перед экспертом были поставлены вопросы:

1) Находятся ли серверы (модели, номера, характеристики) в исправном техническом состоянии?
2) В случае отрицательного ответа на первый вопрос, установить является ли выявленная неисправность заводским браком либо следствием нарушения правил эксплуатации?

В результате проведенного исследования было установлено, что RAID-контроллеры во всех серверах имели заводской брак.

Программно-компьютерная экспертиза

Программно-компьютерной экспертизой принято называть экспертное исследование программного обеспечения. В данном случае исследуются закономерности разработки и применения программного обеспечения.

В ходе программно-компьютерной экспертизы изучению подвергаются:

операционные системы
утилиты
средства разработки и отладки программ
служебная системная информация
приложения общего назначения: текстовые и графические редакторы, системы управления базами данных, электронные таблицы,
редакторы презентаций и т. д.

В ходе исследования экспертам предстоит дать ответы на следующие вопросы:

Каковы общая характеристика и функционал программного обеспечения?
Из каких компонентов состоит программный продукт?
Обладают ли конкретные программные средства признаками контрафактности?
Каковы реквизиты разработчика и владельца данного программного средства?
Какое функциональные возможности имеет программное средство?
Имеются ли на носителях информации программные средства для реализации определенной функциональной задачи?
Используется ли данное программное средство для решения определенной функциональной задачи?
Каково фактическое состояние программного средства, его работоспособность по реализации отдельных (конкретных) функций?
Каким образом организован ввод и вывод данных в представленном программном средстве?
Имеются ли в программном средстве отклонения от нормальных параметров типовых программных продуктов?
Имеет ли программное средство защитные возможности от несанкционированного доступа и копирования? Как они организованы?
Каков общий алгоритм установки и эксплуатации данного программного средства?
Какие языки программирования, компиляторы, стандартные библиотеки использовались при разработке данного программного средства?
Имеются ли на носителях информации коды с первоначальным состоянием программы?
Подвергался ли алгоритм программного средства модификации по сравнению с исходным состоянием? В чем это нашло отражение?
С какой целью было произведено изменение каких-либо функций в программном средстве?
Направлены ли внесенные изменения в программное средство на преодоление его защиты?
Каким способом были произведены изменения в программе (преднамеренно, воздействием вредоносной программы, ошибками программной среды, аппаратным сбоем и др.)?
Какова хронология внесения изменений в программном средстве?
Имеются ли в программном средстве функции, которые влекут уничтожение, блокирование, модификацию либо копирование информации, нарушение работы компьютерной системы?
Каковы последствия дальнейшей эксплуатации определенного программного средства?

Примером программно-компьютерной экспертизы является экспертное исследование системы Интернет-банкинга (ДБО), позволившее продемонстрировать суду наличие архитектурных уязвимостей в исследуемом программном продукте.

По результатам рассмотрения арбитражного дела банк выплатил клиенту-юридическому лицу полную сумму похищенных злоумышленниками денежных средств, проценты и судебные расходы.

Информационно-компьютерная экспертиза данных

Судебная информационно-компьютерная экспертиза (данных) является одним из самых популярных вариантов судебных компьютерно-технических экспертиз. Цель информационно-компьютерной экспертизы состоит в поиске, обнаружении и анализе информации, подготовленной пользователем или созданной программами. Этот вид экспертизы является ключевым, поскольку дает возможность окончательно разрешить большинство вопросов, связанных с компьютерной информацией.

В ходе экспертизы исследованию подвергаются файлы с расширениями текстовых форматов (.txt, .doc), графических форматов (.bmp, .jpg, .tif, .cdr), форматов баз данных (.dbf, .mdb), электронных таблиц (.xls, .cal) и др.

Для проведения эффективной оценки перед экспертами ставятся следующие вопросы:

Как именно отформатирован носитель информации?
В каком виде записаны данные на носитель информации?
Какие свойства, характеристики и параметры имеют данные на носителе информации?
Какого вида (явный, скрытый, удаленный, архив) информацию содержит носитель?
К какому типу относятся выявленные данные — текстовые, графические, база данных, электронная таблица, мультимедиа и др.?
Свободен или ограничен доступ к данным на носителе информации?
Каковы характеристики выявленных средств защиты данных? Возможно ли их преодолеть?
Имеются ли признаки преодоления защиты либо попыток несанкционированного доступа на носителе информации?
Каково содержание защищенных данных?
Каково фактическое состояние выявленных данных и соответствует ли оно типовому состоянию на соответствующих носителях данных?
Какие данные о пользователе компьютерной системы имеются на носителях информации?
Каково первоначальное состояние данных на носителе?
Каким способом и при каких обстоятельствах произведены действия или операции по изменению данных на носителе информации?
Какая причинная связь имеется между действиями с данными и имевшим место событием (например, нарушением в работе компьютерной системы, в том числе сбои в программном и аппаратном обеспечении)?

Компьютерно-сетевая экспертиза

В отличие от всех предыдущих видов экспертизы, судебная компьютерно-сетевая экспертиза основывается на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию.

Компьютерно-сетевая экспертиза используется для решения таких задач, как:

определение свойств и характеристик аппаратного средства и программного обеспечения, установление роли и функционального предназначения объекта в сети
выявление характеристик вычислительной сети, установление ее архитектуры, конфигурации, выявление установленных сетевых компонент, организации доступа к данным
определение соответствия выявленных характеристик типовым для конкретного класса средств сетевой технологии
определение фактического состояния и исправности сетевого средства, наличия физических дефектов
установление первоначального состояния вычислительной сети в целом и каждого сетевого средства в отдельности
определение причин изменения свойств вычислительной сети; обнаружение следов использования внешних программ и т. п.
определение структуры механизма и обстоятельства события в сети по его результатам
установление причинной связи между использованием конкретных аппаратно-программных средств вычислительной сети и результатами их применения

Как правило, на практике перед экспертами ставятся следующие вопросы:

Нормативно-техническая экспертиза

Судебные нормативно-технические экспертизы (например, Нормативно-технические экспертизы по информационной безопасности) необходимо обособить от компьютерно-технических экспертиз. Дело в том, что объектом исследования в нормативно-технических экспертизах является информация из документов, а также сами документы, например:

Техническая документация на оборудование, системы и ИТ-сервисы
Эксплуатационная документация на систему
Договоры на разработку и Технические задания на разработку систем и сервисов
Проектная документация
Организационно-распорядительная документация
И пр.

Спецификой данного вида экспертиз является узкий профиль решаемой задачи и одновременно глубокие компетенции по одному из направлений информационных технологий. К проведению экспертизы необходимо привлекать профильного эксперта (криптография, управление проектами, создание и проектирование автоматизированных систем и пр.) имеющего не только технические знания, но и знания руководящих документов регуляторов отрасли, понимание механизмов управления в сфере информационных технологий.

Примерами нормативных и нормативно-технических экспертиз по направлению информационной безопасности являются:

Читайте также: