Компьютерно-техническая экспертиза

Необходимо перенести в эту статью содержимое статьи Форензика и поставить оттуда перенаправление. Вы можете помочь проекту, объединив статьи (см. инструкцию по объединению). В случае необходимости обсуждения целесообразности объединения, замените этот шаблон на шаблон {{К объединению}} и добавьте соответствующую запись на странице ВП:КОБ.

Компьютерно-техническая экспертиза (КТЭ) (англ. computer forensics) — одна из разновидностей судебных экспертиз^[1], а также область деятельности специальных служб, объектом которой является: компьютерная техника (среди прочих аппаратное обеспечение), компьютерные носители информации, метаданные, периферийное устройства, программное обеспечение (также компьютерные вирусы), вычислительная сеть, телекоммуникационное устройства напр. смартфон, цифровой фотоаппарат, ИТ-компоненты напр. маршрутизатор, программируемый логический контроллер, встраиваемая система и другие, а целью — поиск и закрепление доказательств и для получения данных, информации, для ознакомления с техническими характеристиками, способом работы и т. д. Причисление к возможным объектам данного вида экспертизы удалённых объектов, не находящихся в полном распоряжении эксперта (прежде всего, компьютерных сетей) пока является спорным вопросом и решается по-разному.

Основная цель КТЭ — поддержать или опровергнуть гипотезу в уголовном или гражданском суде.

Типичный процесс судебной экспертизы включает изъятие, визуализацию (получение) и анализ цифровых носителей, а также составление отчета о собранных доказательствах

Впервые термин «компьютерная преступность» появился в американских СМИ в 1960-х, в связи с выявлением первых преступлений, совершенных с использованием ЭВМ^[2].Так, в 1969 года Альфонсо Конфессоре совершил первое компьютерное преступление, получив незаконно доступ к информации в электронно-вычислительной сети. Ущерб составил 620 000 $. В 1970 году, также путем незаконного доступа к информации, с одного из счетов «Security Pacific Bank» было незаконно похищено 10,2 млн $.

До 1970-х годов преступления, связанные с компьютерами, рассматривались в соответствии с существующими законами. Первые компьютерные преступления были признаны в Законе Флориды от 1978 года о компьютерных преступлениях, который включал законодательный акт против несанкционированного изменения или удаления данных в компьютерной системе.^[3][4] В течение следующих нескольких лет ряд совершаемых преступлений, и были приняты законы, касающиеся вопросов авторского права, конфиденциальности / преследования (интернет-травля, «радостное избиение», киберсталкинг) и детской порнографией^[5][6]. Только в 1983 году компьютерные преступления были включены в федеральный закон Канады. За этим последовали Федеральный закон США о компьютерном мошенничестве и злоупотреблении в 1986 году, британский Закон о неправомерном использовании компьютеров в 1990 году и Закон об ответственности за правонарушения при работе с информацией РСФСР в 1991.^[3][6][7]

Рост информационной преступности в 1980-х и 1990-х годах заставил правоохранительные органы начать создавать специализированные группы, обычно на национальном уровне, для решения технических аспектов расследований. Например, в 1984 году ФБР создало группу компьютерного анализа и реагирования, а в следующем году был создан отдел компьютерных преступлений в составе отдела мошенничества британской столичной полиции. Многие из первых членов этих групп были не только профессионалами в правоохранительных органах, но также любителями в области компьютерной техники и стали ответственными за первоначальные исследования и направление в этой области.^[8][9]

Одним из первых практических (или, по крайней мере, обнародованных) примеров цифрового расследования было преследование Клиффом Столлом хакера Маркуса Хесса в 1986 году. Столл, в расследовании которого использовались компьютерные и сетевые методы судебной экспертизы, не был специализированным экспертом. То же самое можно сказать о многих из самых ранних компьютерно-технических экспертизах.^[10]

На протяжении 1990-х годов был высокий спрос на эти новые базовые ресурсы для расследования. Нагрузка на центральные подразделения привела к созданию групп регионального и даже местного уровня, которые помогают справиться с нагрузкой. Например, в 2001 году был создан Британский национальный отдел по борьбе с преступлениями в сфере высоких технологий для обеспечения национальной инфраструктуры для компьютерных преступлений; с личным составом, расположенным как в центре Лондона, так и в различных региональных полицейских подразделениях (в 2006 году этот отдел был преобразован в Агентство по борьбе с серьёзной организованной преступностью (SOCA)).^[9]

Начиная с 2000 года, в ответ на потребность в стандартизации, различные органы и агентства опубликовали руководящие принципы по цифровой криминалистике. В 2002 году научная рабочая группа по цифровым доказательствам (Scientific Working Group on Digital Evidence) подготовила документ «Лучшие методы компьютерной криминалистики», за которым в 2005 году последовала публикация стандарта ISO/IEC 17025:2005 «General requirements for the competence of testing and calibration laboratories».^[3][11][12] Европейские государства ввели международное соглашение, Конвенция о киберпреступности, которое вступило в силу в 2004 году с целью согласования национальных законов о компьютерных преступлениях, методов расследования и международного сотрудничества. Договор подписали 43 страны (включая США, Канаду, Японию, Южную Африку, Великобританию и другие европейские страны) и утвердили 16.

Коммерческие компании (часто разработчики программного обеспечения для судебной экспертизы) начали предлагать сертифицированные программы, и цифровой криминалистический анализ был включен в качестве британский центр подготовки следователей Centrex.^[3][9]

С конца 1990-х годов мобильные устройства стали более доступными, превзойдя простые устройства связи, и оказались богатыми формами информации, даже в отношении преступлений, традиционно не связанных с цифровой криминалистикой^[13]. Несмотря на это, криминалистический анализ телефонов отставал от традиционных компьютеров, в основном из-за проблем, связанных с частным характером устройств.^[14]

Акцент также сместился на преступность в Интернете, особенно на риск кибервойны и кибертерроризма. В отчете Командования объединённых сил США за февраль 2010 г. делается вывод:

Через киберпространство враги будут ориентироваться на промышленность, научные круги, правительство, а также на вооруженные силы в воздухе, на суше, на море и в космосе. Во многом так же, как авиация изменила поле битвы Второй мировой войны, киберпространство разрушило физические барьеры, которые защищают страну от атак на её коммерческую и коммуникационную деятельность.^[15]

В области цифровой криминалистики по-прежнему существуют нерешенные проблемы. В докладе Петерсона и Шеноя 2009 г. «Цифровые судебные исследования: хорошее, плохое и безрезультатное» в исследованиях цифровой криминалистики выявлено предвзятое отношение к операционным системам Windows^[16]. В 2010 году Симсон Гарфинкель выявил проблемы, с которыми предстоит столкнуться цифровым расследованиям в будущем, в том числе увеличение размера цифровых носителей, широкая доступность шифрования для потребителей, растущее разнообразие операционных систем и форматов файлов, увеличение числа лиц, владеющих несколькими устройствами и правовые ограничения в отношении следователей.^[8]

Первый случай злоупотребления при помощи компьютерного средства зарегистрирован в 1958 году. Первое компьютерное преступление с использованием ЭВМ было совершено в СССР в конце 1970-х. В 1979 году в Вильнюсе было похищено 78584 рублей. Данный факт был занесен в международный реестр подобных правонарушений и явился своеобразной отправной точкой в развитии нового данного преступности в нашей стране.^[17]

Первоначально, столкнувшись с компьютерной преступностью, органы уголовной юстиции государства боролись с ней при помощи традиционных норм о краже, присвоении, мошенничестве, злоупотреблении доверием и др. Однако такой подход оказался совершенно не удачным, поскольку многие компьютерные преступления не охватываются составами традиционных преступлений (например, воровство из квартиры — это одно, а копирование секретной компьютерной информации — это другое).

Попытки регламентации ответственности за совершение компьютерных преступлений имели место в РСФСР после того, как было зафиксировано первое подобное преступление с использованием компьютера. В 1991 году, во Внешэкономбанке СССР были похищены 125 500 $^[18]. 06 декабря 1991 года был представлен проект Закона РСФСР «Об ответственности за правонарушения при работе с информацией», который предусматривал введение в действующий УК РСФСР норм, устанавливающих ответственность за совершение компьютерных преступлений^[7]. Затем последовало Постановление Верховного Совета Российской Федерации "О порядке введения в действие Закона Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных», связанные с вопросами внесения в Гражданский и Уголовный кодекс РСФСР законодательных актов, связанных с вопросами правовой охраны программ для электронных вычислительных машин и баз данных.^[19]

Видовая классификация КТЭ экспертизы организуется на основе обеспечивающих компонент любого компьютерного средства, что позволяет наиболее полно охватить технологические особенности и эксплуатационные свойства объектов экспертизы, предъявляемых для исследования. Данная классификация позволяет уже на ранних этапах становления экспертизы дифференцированно подойти к разработкам методов и методик экспертного исследования.^[20]

Объекты исследования: электрические, электронные и механические схемы, блоки, приборы и устройства, составляющие материальную часть компьютерной системы.

Предметы исследования: становление факта или обстоятельства, связанного с эксплуатацией технических средств.

Задачи исследования: определение классификационной принадлежности объекта — его марка, модель или тип; установление технических параметров и характеристик компьютеров, представленных для проведения экспертизы; установление функциональной природы исследуемого аппаратного средства.

Данное исследование заключается в проведении анализа технических или, как их ещё называют, аппаратных средств компьютерных систем.

Сущность аппаратно-компьютерной экспертизы заключается в проведении диагностического исследования аппаратных средств компьютерной системы.

Объекты исследования: операционные системы (системное программное обеспечение), утилиты (вспомогательные программы), программные средства для разработки программного обеспечения, а также для его отладки.

Предметы исследования: особенности разработки и применения программных средств компьютерной системы

Задачи исследования: изучение функционального предназначения и характеристик реализуемого алгоритма, структурных особенностей и текущего состояния системного и прикладного программного обеспечения компьютерной системы.

Программно-компьютерная экспертиза предназначена для проведения экспертного исследования программного обеспечения. В процессе осуществления этой экспертизы специалист ставит перед собой цели поиска, сбора, исследования и экспертной оценки обнаруженной информации.

Объекты исследования: все файлы компьютерной системы, не являющиеся исполняемыми модулями и подготовленные пользователем или самой системой с точки зрения их информативности.

Предметы исследовани: цифровые данные, то есть информация, содержащаяся в компьютерной системе.

Задачи исследования: поиск, обнаружение, анализ и оценка информации, подготовленной пользователем или порожденной программами

Данный вид компьютерно-технической экспертизы является ключевым, так как он позволяет завершить целостное построение доказательственной базы путем окончательного разрешения большинства диагностических и идентификационных вопросов, связанных с компьютерной информацией.

Объекты исследования: компьютерные средства, реализующие какую-либо сетевую информационную технологию.

Предметы исследования: фактические данные, устанавливаемые на основе применения специальных научных познаний при исследовании средств телекоммуникаций и подвижной связи как материальных носителей информации о факте или событии какого-либо уголовного либо гражданского дела.

Задачи исследования: исследование программных сетевых средств, персональных компьютеров, имеющих выход во всемирную сеть интернет, больших компьютерных систем, организованных сетевым образом с доступом в интернет.

В отличие от предыдущих основывается прежде всего на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию.

Она выделена в отдельный вид в связи с тем, что лишь использование специальных познаний в области сетевых технологий позволяет соединить воедино полученные объекты, сведения о них и эффективно решить поставленные экспертные задачи.

Компьютерно-техническую экспертизу принято делить на четыре этапа:

• Сбор — на данном этапе эксперт ищет и собирает данные и всевозможные носители информации, относящиеся к делу, помечая источники происхождения данных и объектов. Иногда при сборе информации требуется применять специальные меры, для фиксации недолговечной информации, такой как сетевые соединения, оперативная память.
• Исследование — данный этап заключается в изучении собранной информации. Информация считывается с носителей, при необходимости декодируется и фильтруется (экспертом вычисляется информация непосредственно относящаяся к делу). Обработка информации может быть частично автоматизирована, с помощью искусственного интеллекта, но несмотря на это основную работу выполняет эксперт.
• Анализ — на этом этапе информация анализируется. При анализе эксперт ищет ответы на поставленные в деле вопросы, используя только научные методы, правильность и аккуратность которых ранее подтверждена.
• Представление — финальный этап на котором эксперт оформляет результаты экспертизы и представляет их в установленной законом и понятной неспециалистам форме.

На каждом этапе эксперт должен обеспечить сохранность, неизменность информации, а при необходимости и конфиденциальность информации.^[21]

Обычно перед экспертом ставятся вопросы:

• о наличии на исследуемых объектах информации, относящейся к делу (в том числе, в неявном, удалённом, скрытом или зашифрованном виде);
• о возможности (пригодности) использования исследуемых объектов для определённых целей (например, для доступа в сеть);
• о действиях, совершённых с использованием объектов;
• о функциях программ для ЭВМ, в частности, предназначенных для уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации;
• об идентификации найденных электронных документов, программ для ЭВМ, пользователей компьютера.

Следующие вопросы не должны относиться к данному виду экспертизы, их включение в постановление представляется ошибочным:

• о принадлежности программ к вредоносным, (определение вредоносности — уголовно-правовая оценка, находящаяся в компетенции правоприменителя);
• о лицензионности /контрафактности экземпляров программ, записанных на исследуемых объектах;
• о правомерности действий, произведённых с использованием исследуемых объектов;
• о стоимости компьютеров, носителей, лицензий на содержащиеся там программы;
• о переводах найденных текстов, интерфейсов программ, переписки и т. п.

Помимо выявления прямых доказательств преступления, экспертиза может использоваться для приписывания доказательств конкретным подозреваемым, подтверждения алиби, определения намерений, выявления источников (например, в делах об авторском праве) или аутентификации документов. Расследования намного шире по охвату, чем другие области судебной экспертизы, часто с участием сложных временных рамок или гипотез.

Объекты КТЭ обычно разделяются на 3 класса, в соответствии с их видом:

• аппаратные объекты: персональные компьютеры (настольные, портативные), периферийные устройства (принтеры, модемы и т. п.), сетевые аппаратные средства (серверы, рабочие станции, активное оборудование, сетевые кабели), интегрированные системы (пейджеры, мобильные телефоны и т. п.), встроенные системы на основе микропроцессорных контроллеров, любые комплектующие всех указанных компонент (аппаратные блоки, платы расширения, микросхемы и т. п.).
• программные объекты: системное программное обеспечение (операционная система, вспомогательные программы-утилиты, служебная системная информации); прикладное программное обеспечение [подвид приложения общего назначения (текстовые и графические редакторы, системы управления базами данных, электронные таблицы, редакторы презентаций и т. д.) и подвид приложения специального назначения (для решения задач в определённой области науки, техники, экономики и т. д.)].
• информационные объекты: текстовые и графические документы, изготовленные с использованием компьютерных средств; данные в форматах мультимедиа; информация в форматах баз данных и других приложений, имеющая прикладной характер, оцифрованные данные (архивные документы).

Проведение компьютерно-технической экспертизы необходимо в тех случаях, когда преступление или правонарушение было осуществлено с использованием компьютерных средств или данных, и для установления следов преступления, подтверждения улик и иной криминалистически значимой информации, требуемой специальные знания в области компьютерной техники.

Уголовные дела связаны с предполагаемым нарушением законов установленных законодательством, которые преследуются полицией и преследуются государством, например, убийства, кражи и нападения на человека. В подобном случае экспертиза может быть назначена следователем (в рамках досудебного следствия) или судом и поручается конкретному эксперту или экспертному учреждению. Результатом экспертизы является заключение эксперта, которое служит доказательством по делу.

С другой стороны, гражданские дела часто связанны с бытовыми спорами и имеют дело с защитой прав и собственности физических лиц. Они также могут касаться споров по контрактам между коммерческими организациями, в которых может быть задействована форма цифровой судебной экспертизы, называемая e-Discovery (поиск электронной информации). По гражданским делам экспертиза может быть назначена судом, заказана одной из сторон или назначена нотариусом по инициативе стороны.

Судебная экспертиза может также применяться в частном секторе; например, во время внутренних корпоративных расследований или экспертиз несанкционированного сетевого вторжения.

Компьютерно-техническая экспертиза обеспечивает решение следующих экспертных задач:

1. Выявление свойств, качеств, особенностей использования и статуса технических компьютерных систем.
2. Установление особенностей разработки, отладки и использования программных продуктов.
3. Установление фактов применения того или иного оборудования при создании, редактировании документов или совершении иных действий, имеющих возможное отношение к преступлению.
4. Получение доступа к информации на компьютерных носителях данных.
5. Исследование информации, созданной пользователем или программой для реализации информационных процессов, относящихся к преступлению.
6. Установление особенностей компьютерных средств, реализующих сетевые информационные технологии.

Приемлемость цифровых доказательств зависит от инструментов, используемых для их получения. В США инструменты судебной экспертизы подчиняются стандарту Даубера, согласно которому судья несет ответственность за обеспечение допустимость используемых процессов и программного обеспечения. В статье 2003 года Брайан Кэрриер утверждал, что руководящие принципы Даубера требуют публикации и рецензирования кода инструментов судебной экспертизы. Он пришел к выводу, что «инструменты с открытым исходным кодом могут более четко и полно соответствуют требованиям руководства, чем инструменты с закрытым исходным кодом»^[22]. Джош Бранти утверждал, что «наука о цифровой криминалистике основана на принципах повторяемости методик расследования и качественных доказательств, поэтому знание того, как разработать и правильно поддерживать хорошую методику расследования, является ключевым требованием для любого эксперта цифровой судебной экспертизы для защиты своих методов в суде».

Этот раздел не завершён. Вы поможете проекту, исправив и дополнив его.

• Криптоанализ
• Стеганоанализ
• Обратная разработка
• Восстановление данных

• Scientific Working Group on Digital Evidence
• Digital Forensics Case Studies