Информационно-компьютерная экспертиза: анализ, восстановление и защита цифровых данных

Как проводится исследование

Порядок работы с цифровыми доказательствами строже, чем в большинстве других направлений, потому что любое неаккуратное действие с носителем меняет данные необратимо и делает заключение уязвимым.

1. Фиксация и копирование. Объект принимается, осматривается и фотографируется, состояние пломб и маркировки описывается в заключении. Далее снимается побитовая копия с использованием аппаратного блокиратора записи, то есть устройства, физически исключающего запись на оригинал. Для копии и оригинала рассчитываются хэш-суммы, их совпадение подтверждает идентичность копии источнику. Все дальнейшее исследование ведется только с копией.

2. Анализ файловой системы и метаданных. Исследуются записи файловой системы, атрибуты файлов, временные метки создания, изменения и доступа, следы переименования и перемещения. По ним восстанавливается хронология операций.

3. Исследование журналов событий. Журналы операционной системы, приложений, служб удаленного доступа и сетевого оборудования сопоставляются между собой. Это основной источник данных о том, кто и когда входил в систему и какие действия совершал.

4. Восстановление удаленных данных. Анализируется неразмеченное пространство носителя, применяется поиск по сигнатурам, исследуются теневые копии томов, временные файлы и резервные копии.

5. Работа с учетными системами. Исследуется структура и целостность базы, журнал регистрации, восстанавливаются удаленные записи, выявляются следы модификации и аномалии в журналах транзакций.

6. Проверка электронной подписи. Проверяется математическая корректность подписи, целостность подписанного документа, статус и срок действия сертификата на момент подписания.

7. Извлечение данных с мобильных устройств. Применяются логическое и физическое извлечение, включая доступ к защищенным областям памяти, с последующим разбором баз данных приложений и мессенджеров.

8. Документирование. Каждое действие эксперта, каждый использованный инструмент и каждая полученная хэш-сумма фиксируются в заключении. Это делает исследование воспроизводимым и защищает выводы от оспаривания.

Инструменты

• Аппаратные блокираторы записи и дубликаторы носителей.
• Программно-аппаратные комплексы для восстановления данных с неисправных накопителей (PC-3000 производства ACE Lab).
• Комплексы криминалистического анализа: Belkasoft X, Autopsy и The Sleuth Kit.
• Средства извлечения и анализа данных мобильных устройств: «Мобильный Криминалист».
• Средства восстановления данных: R-Studio, DMDE.
• Средства анализа сетевого трафика: Wireshark.
• Средства проверки электронной подписи: «КриптоПро CSP» и совместимые.
• Средства расчета и верификации хэш-сумм (MD5, SHA-1, SHA-256).
• Изолированная среда для безопасного запуска и наблюдения за работой исследуемого ПО.

Как назначить экспертизу по цифровому спору

Почему здесь стоит начинать с досудебного исследования

В большинстве споров выбор между досудебным исследованием и судебной экспертизой это вопрос тактики и денег. В цифровых делах добавляется фактор, которого нет в других направлениях: доказательство разрушается само, без чьего-либо участия.

Между обнаружением проблемы и определением суда о назначении экспертизы проходит несколько месяцев. За это время журналы событий успевают несколько раз ротироваться, резервные копии перезаписываются по расписанию, а свободное пространство диска со следами удаленных файлов затирается обычной работой системы. Когда экспертиза наконец назначена, исследовать зачастую уже нечего, и эксперт вынужден писать «установить не представляется возможным».

Досудебное исследование снимает этот риск: состояние систем фиксируется сразу, а дальше спор идет вокруг зафиксированных данных, а не вокруг того, что от них осталось. Даже если суд впоследствии назначит собственную экспертизу, у нее будет предмет исследования.

Второй практический эффект: на переговорах оппоненту предъявляется не утверждение стороны, а зафиксированный технический факт с датами и хэш-суммами. Значительная часть таких споров до суда не доходит.

В уголовном процессе есть нюанс, о котором лучше знать заранее. По пункту 6 Постановления Пленума ВС РФ № 28 справки, акты и заключения ведомственных или иных исследований, полученных по запросу следствия или суда, заключением эксперта не считаются. Но и отказать в назначении судебной экспертизы на этом основании нельзя, а приобщить документ к делу как заключение специалиста по части 3 статьи 80 УПК РФ можно. Досудебное исследование здесь не заменяет экспертизу, но помогает добиться ее назначения и правильно поставить вопросы.

Что указать в ходатайстве по цифровым объектам

Общие требования к ходатайству известны любому процессуалисту: обосновать невозможность установить обстоятельства без специальных знаний, привести перечень вопросов, назвать объекты и кандидатуру экспертной организации. По цифровым делам добавляются пять пунктов, отсутствие которых потом дорого обходится.

Идентифицировать объекты однозначно

Не «рабочий компьютер ответчика», а марка и модель устройства, серийный номер накопителя, инвентарный номер, местонахождение и лицо, у которого объект находится. Расплывчатая формулировка позволяет предоставить эксперту не тот системный блок, и оспорить это будет нечем.

Указать период исследования

Журналы событий и логи хранятся ограниченное время. Если период не назван, к моменту исследования нужных записей может уже не быть, а эксперт не обязан догадываться, какой интервал вам важен.

Заявить о риске утраты данных и просить обязать сторону сохранить состояние систем

Прямо указать суду, что дальнейшая эксплуатация оборудования приведет к необратимой утрате сведений, и просить обязать владельца вывести объект из эксплуатации либо обеспечить сохранность журналов. Без такой оговорки сторона продолжит пользоваться техникой на законных основаниях.

Оговорить работу с побитовой копией

Указать, что исследование проводится по образу носителя, снятому с фиксацией хэш-сумм. Это защищает и от повреждения оригинала, и от последующих претензий к порядку работы эксперта.

Написать родовое наименование

В просительной части указывать «компьютерно-техническая экспертиза», как рекомендует РФЦСЭ при Минюсте. Это лишает оппонента возможности заявить, что эксперт вышел за рамки назначенного вида.

Если техника находится у оппонента, ходатайство о назначении экспертизы имеет смысл подавать одновременно с ходатайством об истребовании доказательств.

Сведения об экспертном учреждении для приложения к ходатайству (устав, свидетельства, документы о квалификации экспертов, сроки и стоимость) мы готовим по запросу в течение одного рабочего дня.

Когда нужен эксперт, а когда специалист

Эксперт проводит исследование по определению суда или постановлению следователя, предупреждается об ответственности по статье 307 УК РФ и отвечает на поставленные вопросы. Специалист исследование не проводит: по пункту 20 Постановления Пленума ВС РФ № 28 он не исследует вещественные доказательства и не формулирует выводы, а высказывает суждение по заданным ему вопросам.

Для цифровых споров это различие имеет конкретное применение. Слабое место чужого заключения по компьютерной технике почти всегда лежит в методике: чем снимался образ, подтверждена ли целостность хэш-суммами, почему выбран именно этот способ извлечения данных, воспроизводим ли результат. Сформулировать такие вопросы к эксперту в заседании представитель без технической подготовки не сможет, а именно они разваливают некачественное исследование.

Пункт 19 того же постановления прямо позволяет привлечь специалиста для помощи в оценке заключения и при допросе эксперта, по ходатайству стороны или по инициативе суда. Рабочая связка выглядит так: рецензия фиксирует дефекты на бумаге, специалист доносит их до суда в заседании, суд назначает повторную экспертизу.

Кто вправе проводить информационно-компьютерную экспертизу

По части 2 статьи 195 УПК РФ судебная экспертиза производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями. Пленум Верховного Суда РФ в постановлении от 21.12.2010 № 28 разъяснил, кто входит во вторую группу, и здесь есть важное для практики разграничение.

Негосударственным судебно-экспертным учреждением Пленум признает только некоммерческую организацию: некоммерческое партнерство, частное учреждение или автономную некоммерческую организацию, созданную по Гражданскому кодексу и закону о некоммерческих организациях и ведущую судебно-экспертную деятельность по своему уставу. Общество с ограниченной ответственностью или индивидуальный предприниматель под это определение не подпадают, поэтому поручить экспертизу такой организации как учреждению нельзя.

При этом Пленум допускает поручение экспертизы конкретному лицу, которое вообще не работает в судебно-экспертном учреждении, в том числе сотруднику вуза, научно-исследовательского института или иной организации, если он обладает специальными знаниями и располагает нужным оборудованием (пункты 2 и 5 постановления). То есть эксперт из коммерческой компании может провести экспертизу по уголовному делу, но как физическое лицо, персонально, а не от имени работодателя. Суд в этом случае обязан заранее запросить сведения о его образовании, специальности и стаже, а разъяснение прав по статье 57 УПК РФ ложится на сам суд.

Что это дает заказчику на практике. Поручение экспертизы АНО означает, что процессуальный статус учреждения не придется отдельно обосновывать перед судом и он не станет поводом для возражений оппонента. АНО ЭКЦ «Судтехэксперт» это автономная некоммерческая организация, и проведение судебных экспертиз записано в устав как ее основная деятельность.

Что делает заключение допустимым доказательством

Заключение отклоняют не потому, что эксперт ошибся в выводах. Отклоняют из-за дефектов формы и процедуры, потому что их видно без специальных знаний, и именно на них строится большинство успешных возражений.

Обязательное содержание заключения (статья 25 Федерального закона № 73-ФЗ)

Сразу снимем частое возражение. Статья 25 находится в главе о производстве экспертизы в государственных учреждениях, и оппоненты иногда заявляют, что к негосударственному эксперту она неприменима. Это не так: статья 41 того же закона прямо распространяет действие статьи 25 на судебно-экспертную деятельность лиц, не являющихся государственными судебными экспертами. Требования к содержанию заключения одинаковы для всех.

Проверьте по этому перечню любое заключение, свое или полученное от оппонента. Отсутствие любого пункта дает основание для возражений.

1. Время и место производства экспертизы.
2. Основания производства экспертизы: реквизиты определения суда или постановления.
3. Сведения об органе или лице, назначившем экспертизу.
4. Сведения об экспертном учреждении и об эксперте: фамилия, имя, отчество, образование, специальность, стаж работы, ученая степень и звание, занимаемая должность.
5. Запись о предупреждении эксперта об ответственности за дачу заведомо ложного заключения.
6. Вопросы, поставленные перед экспертом, в точной формулировке, без самовольного изменения.
7. Объекты исследования и материалы дела, представленные эксперту.
8. Сведения об участниках процесса, присутствовавших при производстве экспертизы.
9. Содержание и результаты исследований с указанием примененных методов.
10. Оценка результатов, обоснование и формулировка выводов по каждому поставленному вопросу.

Иллюстративные материалы (фотографии, распечатки, таблицы) прилагаются к заключению и входят в его состав. Документы, фиксирующие ход и условия исследования, хранятся в экспертном учреждении и могут быть истребованы судом.

Типовые дефекты, из-за которых заключение оспаривают

• Не указаны примененные методы либо названы общими словами вроде «использовалось специализированное ПО». Проверить воспроизводимость в этом случае невозможно, а это прямое требование закона.
• Эксперт вышел за пределы компетенции: дал правовую оценку, установил вину или личность.
• Эксперт изменил формулировку вопроса и ответил на удобный ему, а не на поставленный судом.
• Выводы не следуют из исследовательской части: в тексте описано одно, в выводах утверждается другое.
• Не подтверждена целостность объектов: нет хэш-сумм, нет описания состояния упаковки и пломб при приеме, непонятно, что именно исследовалось.
• Работа велась с оригиналом носителя без обоснования, почему нельзя было работать с копией.
• Нет документов о квалификации эксперта по заявленной экспертной специальности.
• Экспертиза по уголовному делу поручена коммерческой организации или индивидуальному предпринимателю как учреждению.

Как оспорить слабое заключение

1. Заказать рецензию. Специалист фиксирует методические и процессуальные дефекты в виде документа, на который можно ссылаться. Устные возражения суд, как правило, не убеждают.
2. Вызвать эксперта в заседание и задать вопросы по методике: какими средствами проводилось исследование, почему выбран именно этот метод, как подтверждена целостность объектов, воспроизводим ли результат.
3. Привлечь специалиста для пояснений, чтобы техническая аргументация прозвучала в заседании профессионально, а не в пересказе представителя.
4. Заявить ходатайство о повторной или дополнительной экспертизе, опираясь на рецензию и протокол допроса эксперта.

Основания для этих двух видов разные, и подменять одно другим не стоит. Пленум ВС РФ расшифровал их так.

Дополнительная

назначается при недостаточной ясности заключения, его неполноте либо появлении новых вопросов по уже исследованным обстоятельствам, и может быть поручена тому же эксперту. Недостаточная ясность это невозможность понять терминологию эксперта, примененную методику, смысл выявленных признаков и критерии их оценки, причем такая, которую не удалось снять допросом эксперта в заседании. Неполным считается заключение, где нет ответов на все поставленные вопросы или не учтены значимые обстоятельства.

Повторная

назначается при сомнениях в обоснованности заключения или при противоречиях в выводах экспертов и поручается уже другому эксперту. Необоснованным Пленум называет заключение, в котором недостаточно аргументированы выводы либо не применены или неверно применены нужные методы и методики. Суд вправе назначить повторную экспертизу и тогда, когда при назначении или производстве первой были нарушены процессуальные права участников и это могло повлиять на выводы.

Практический вывод для цифровых дел: если в заключении не описаны средства извлечения данных и не подтверждена целостность объектов, это прямое попадание в формулировку «не применены или неверно применены необходимые методы и методики», то есть основание для повторной, а не для дополнительной экспертизы.

Нормативно-правовая основа

Основной закон: Федеральный закон от 31.05.2001 № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», устанавливающий правовые основы, принципы и требования к заключению эксперта.

Процессуальные кодексы в части назначения и проведения экспертизы, прав и обязанностей эксперта и сторон: Уголовно-процессуальный, Гражданский процессуальный, Арбитражный процессуальный кодексы РФ и Кодекс административного судопроизводства РФ.

Профильное законодательство:

• Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи».
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» в части обращения эксперта с персональными данными, содержащимися в объектах исследования.
• Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне» в части режима, установленного заказчиком в отношении передаваемых сведений.

Уголовный кодекс РФ: статья 272 о неправомерном доступе к компьютерной информации; статья 273 о создании, использовании и распространении вредоносных компьютерных программ; статья 274 о нарушении правил эксплуатации средств хранения, обработки или передачи компьютерной информации; статья 307 о заведомо ложном заключении эксперта.

Отдельно стоит отметить статью 41 закона № 73-ФЗ. Она распространяет действие статей 2, 3, 4, 6–8, 16, 17, части второй статьи 18, а также статей 24 и 25 на экспертов, не являющихся государственными. Именно поэтому требования к содержанию заключения одинаковы для государственных и негосударственных экспертов.

Разъяснения высших судов: Постановление Пленума Верховного Суда РФ от 21.12.2010 № 28 «О судебной экспертизе по уголовным делам».

Какие материалы нужны для экспертизы

Объекты исследования

• носитель информации либо его побитовая копия, образ виртуальной машины, выгрузка базы данных вместе с журналом регистрации;
• электронные документы с указанием точного местонахождения: пути к файлу, адреса, хэш-суммы;
• сертификаты и ключи проверки электронной подписи, документы об их выдаче, если проверяется подпись;
• доступы к облачным сервисам, почтовым ящикам и корпоративным системам, если данные размещены удаленно, с соблюдением необходимых юридических процедур.

Процессуальные документы

• определение суда или постановление следователя с перечнем вопросов для судебной экспертизы;
• техническое задание и описание спорной ситуации для внесудебного исследования;
• документы, подтверждающие правомочность передачи материалов на исследование.

Документы компании, без которых результат теряет смысл

Это тот пункт, который чаще всего упускают. Эксперт установит, что сотрудник скопировал базу на флешку. Но правовые последствия этот факт получит только при наличии документов, подтверждающих, что сведения охранялись, а сотрудник об этом знал. Поэтому вместе с носителями стоит подготовить:

• положение о коммерческой тайне и перечень сведений, отнесенных к ней;
• расписку сотрудника об ознакомлении с этим перечнем;
• трудовой договор, соглашение о неразглашении, должностную инструкцию;
• приказ о проведении служебного расследования, объяснительные, акты доступа;
• внутренний регламент о персональном характере учетных записей и расписку о получении доступа;
• журналы системы контроля доступа и учета выдачи техники за исследуемый период.

Эти документы экспертизу не заменяют и в предмет исследования не входят, но именно они превращают технический факт в доказательство по делу. Часть из них помогает и самому эксперту: приказ о расследовании и объяснительные позволяют правильно очертить период и круг объектов.

Конфиденциальность

Компания передает нам образ рабочего сервера или базу с персональными данными сотрудников и коммерческой информацией, поэтому вопрос конфиденциальности решается до обсуждения цены.

Соглашение о неразглашении подписываем до передачи материалов, отдельным документом. Доступ к материалам дела имеет только эксперт, ведущий исследование. Персональные данные, содержащиеся в объектах, обрабатываются в рамках требований 152-ФЗ. Если у заказчика введен режим коммерческой тайны, работаем в его рамках и принимаем материалы с соответствующим грифом. Образы носителей и рабочие копии хранятся до истечения срока обжалования по делу, после чего уничтожаются по акту, экземпляр которого передается заказчику.

Как правильно передать носитель

Передать оригинал можно, но это риск: любое подключение носителя к работающему компьютеру меняет его содержимое, а значит, дает оппоненту повод усомниться в достоверности результата. Лучше передать копию, снятую через аппаратный блокиратор записи.

Несколько правил заметно повышают шансы на пригодное заключение. Стоит довести их до ИТ-службы сразу, потому что решения, которые убивают доказательство, принимаются в первые часы и из лучших побуждений.

1. Вывести оборудование из эксплуатации и обесточить, как только стало понятно, что предстоит спор. Не переустанавливать систему, не передавать рабочее место другому сотруднику, не возвращать технику в оборот.
2. Для серверов и информационных систем как минимум прекратить ротацию журналов и сохранить текущие логи отдельно. Для виртуальных машин сохранить снапшот на момент инцидента и не пересоздавать машину.
3. Не поручать системному администратору «собрать все нужное». Копирование папок, выгрузка в Excel и пересылка файлов по почте уничтожают ровно те данные, которые потом придется доказывать. Если снять образ своими силами все же необходимо, делать это через блокиратор записи и фиксировать хэш-суммы.
4. Опечатать носитель с составлением акта: кто, когда и при ком изъял, какие серийные номера у оборудования и накопителей, кто расписался. Акт прикладывается к материалам и закрывает вопрос о цепочке владения.
5. Не обращаться в сервисы по восстановлению данных до экспертизы. Они работают на результат, а не на сохранность доказательства, и после их вмешательства исходное состояние носителя не восстановить.

Если техника находится у оппонента, у бывшего сотрудника или у третьих лиц, доступ обеспечивается через суд: ходатайством об истребовании доказательств либо указанием в определении о назначении экспертизы на обязанность предоставить объект.

Этапы работы

1. Консультация. Вы описываете ситуацию, мы оцениваем, что технически возможно установить по имеющимся материалам, и помогаем сформулировать вопросы. Бесплатно.

2. Соглашение о неразглашении и договор. Фиксируются перечень вопросов, объекты, сроки, стоимость и условия конфиденциальности.

3. Прием объектов. Осмотр, описание состояния, фотофиксация, снятие побитовой копии, расчет хэш-сумм. При необходимости выезжаем на площадку заказчика.

4. Исследование. Работа по выбранным методикам с документированием каждого действия.

5. Заключение. Оформляется по требованиям 73-ФЗ: сведения об эксперте, объекты, методики и примененные средства, исследовательская часть, иллюстрации, ответы на поставленные вопросы, выводы.

6. Передача результата и закрывающих документов. Заключение передается заказчику или направляется в суд, объекты возвращаются. При необходимости эксперт участвует в судебном заседании и дает пояснения по заключению.