Компьютерная экспертиза: методика исследования компьютерной информации

Оборудование

Специализированные программно-аппаратные комплексы, имеющие в своем составе устройства для работы с информацией на представленных машинных носителях, а также имеющие возможность:

• блокирования записи информации (аппаратно, аппаратно-программно, программно) на исследуемых машинных носителях;

• посекторного копирования информации с представленных машинных носителей на дополнительные машинные носители не меньшей емкости;

• вычисления хеш-функции файлов, каталогов, разделов, диапазона секторов;

• доступа к файловой системе машинных носителей;

• просмотра и интерпретации информации, создаваемой наиболее распространенным программным обеспечением (офисными программами, графическими редакторами, системами управления базами данных, программами, предназначенными для работы в локальных и глобальных сетях, и т.п.);

• восстановления удаленной информации;

• просмотра и интерпретации системной и служебной информации (следовой картины);

• поиска и манипуляции с информацией по различным критериям (контексту, свойствам, хеш-функциям и пр.);

• оформления результатов исследования.

Последовательность действий эксперта

1. Осмотреть и описать упаковку объектов, представленных на экспертизу. Опционально – сфотографировать упаковку.

2. Извлечь объекты из упаковки, сфотографировать (с линейкой) и описать.

3. При описании системного блока привести:

• габаритные размеры (высота × ширина × глубина в мм);

• цвет корпуса;

• расположение и описание устройств, кнопок, индикаторов, разъемов, наклеек на передней панели (лицевой стороне) системного блока;

• описание разъемов, наклеек и т.п. на задней панели (тыльной стороне) системного блока;

• описание боковых панелей системного блока (при наличии на них кнопок, разъемов и т.п.);

• описание индивидуализирующих особенностей (надписей, наклеек, повреждений и т.п.);

• опционально – описание основных компонентов системного блока (маркировочных обозначений на системной плате, платах расширения и пр.); сфотографировать системный блок со снятой боковой крышкой.

После чего извлечь из системного блока машинные носители и описать их.

4. При описании НЖМД указать:

• размерные характеристики (форм-фактор);

• основные маркировочные обозначения на НЖМД (марка, модель, емкость, серийный номер).

5. При описании CD- и DVD-дисков (частично словесное описание можно заменить фотографией) указать:

• диаметр;

• цвет рабочей и нерабочей поверхностей;

• индивидуализирующие особенности;

• номер вокруг посадочного отверстия.

6. При описании ГМД, zip- и jaz-дисков (частично словесное описание можно заменить фотографией) указать:

• размерные характеристики (форм-фактор);

• цвет;

• маркировочные обозначения;

• индивидуализирующие особенности.

7. При описании flash-накопителей указать:

• форму и размерные характеристики (длина × ширина × толщина в мм);

• цвет;

• маркировочные обозначения.

8. При описании карт памяти указать:

• размерные характеристики (длина × ширина в мм);

• цвет;

• маркировочные обозначения.

9. При наличии системного блока, ноутбука и т.п. извлечь из него машинные носители, просмотреть настройки даты и времени на системной плате с помощью базовой системы ввода-вывода (BIOS) и сопоставить их с текущими (с указанием следующих характеристик текущего времени: часовой пояс, летнее или зимнее время).

10. Подготовить стендовое оборудование и машинные носители к проведению исследования:

• установить переключатели, заслонки и т.п. на машинных носителях в режим защиты от записи (при наличии такой возможности);

• выбрать устройства для подключения машинных носителей и при необходимости настроить стендовое оборудование на доступ к ним в режиме «только чтение»;

• подготовить дополнительные машинные носители для последующего посекторного копирования на них информации, подлежащей исследованию.

11. Подключить машинные носители к аппаратно-программному комплексу и установить структуру расположенной на них информации:

• количество, наименование и размер разделов;

• серийные номера разделов (опционально);

• наличие неразмеченного пространства и его размер;

• наименование файловой системы в каждом разделе;

• размер занятого в разделе пространства (в байтах или мегабайтах);

• значения хеш-функции для машинного носителя (опционально).

Данные сведения целесообразно представлять в табличной форме:

12. Провести посекторное копирование информации с машинных носителей на дополнительные носители. Отключить скопированные машинные носители. Для дальнейшего исследования использовать посекторные копии. Допускается исследование информации на машинных носителях с использованием блокирования записи. В случае отсутствия возможности у эксперта скопировать (либо заблокировать) информацию с машинного носителя и необходимо получить разрешение следователя на изменение компьютерной информации в процессе исследования.

13. Восстановить удаленную информацию. Необходимость восстановления информации, выбор конкретных инструментальных средств и режимов восстановления информации (после удаления, после форматирования, advanced и пр.) определяются экспертом в зависимости от решаемой задачи и изучения структуры информации на машинном носителе. В некоторых случаях может оказаться целесообразным проводить восстановление информации в различных режимах и различными инструментальными средствами.

14. Опционально – проверить скопированную и восстановленную информацию антивирусным программным обеспечением.

Подзадачи

Поиск информации, созданной с помощью прикладных программ

1. Определить область поиска.

Основу области поиска составляет информация, поиск и просмотр в которой можно осуществлять средствами программно-аппаратного комплекса без дополнительных преобразований.

Дополнительно в зависимости от задачи в процессе определения области поиска осуществляются:

• поиск зашифрованных областей на машинном носителе и определение возможности их расшифровки;

• поиск файлов-контейнеров (в том числе проведение стеганоанализа), файлов-архивов; определение возможностей доступа к информации в этих файлах;

• поиск файлов, доступ к содержимому которых закрыт паролем;

• поиск файлов и каталогов, доступ к содержимому которых ограничен операционной системой;

• сигнатурный анализ (сопоставление сигнатуры файла расширению файла);

• просмотр (в том числе информационных источников) либо экспериментальный запуск программного обеспечения, имеющегося на машинном носителе, в целях установления форматов, обрабатываемых этим программным обеспечением файлов и возможностей поиска и просмотра содержимого таких файлов. Экспериментальный запуск производится на аппаратно-программном комплексе эксперта (возможно применение различных технологий, в том числе виртуальных машин) либо с использованием представленных устройств (при наличии) и копий машинных носителей.

Обнаруженная информация по возможности приводится к формату, пригодному для поиска, и добавляется к области поиска.

В зависимости от задачи и с учетом возможностей инструментальных средств:

• в область поиска помимо файлов, имеющихся на машинном носителе, включаются восстановленные файлы, свободные области, «межкластерные» зазоры, загрузочная запись и т.п.;

• из области поиска исключаются системные файлы, файлы с прикладным программным обеспечением и пр.

2. Сузить область поиска до области просмотра.

Сужение осуществляется путем проведения поиска по различным критериям:

• ключевым словам;

• расширениям, свойствам и метаданным файлов;

• сигнатурам и пр.

В зависимости от поставленной задачи к формулированию критериев поиска могут привлекаться эксперты других специальностей.

Если критерии поиска сформулировать невозможно, то область просмотра может быть приравнена к области поиска.

3. Просмотреть информацию из области просмотра.

Просмотр можно осуществлять как с помощью программного обеспечения, имеющегося на аппаратно-программном комплексе, так и с помощью программного обеспечения, имеющегося на машинных носителях. В данном процессе могут принимать участие как эксперты других специальностей (комплексная экспертиза), так и лицо, назначившее экспертизу.

4. Оформить результаты поисков.

Если в результате поиска найден небольшой объем информации, удовлетворяющий заданным критериям, то его необходимо описать в тексте заключения эксперта, а саму информацию по возможности распечатать в приложении(ях) к заключению эксперта.

Описание найденной информации целесообразно представлять в табличной форме:

Если объем найденной информации не позволяет сформировать приложения на бумажном носителе, то информация может быть распечатана частично (отдельные файлы) или выборочно (часть файла). После чего производится копирование информации на CD- и DVD- диски однократной записи (с указанием места расположения этой информации). Об этом делается запись в заключении эксперта (исследовательской части и выводах) с указанием номера вокруг посадочного отверстия, имеющегося на таких дисках. Запись информации на диск должна производиться без изменения формата, свойств и метаданных. Дополнительно эксперт может записать эту информацию в формате, удобном для ее последующего просмотра лицами, не обладающими специальными познаниями в области судебной компьютерной экспертизы. После записи информации на нерабочей поверхности CD- или DVD-диска с помощью специального маркера должна быть сделана пояснительная надпись с указанием номера и даты экспертизы, номера приложения. Надпись должна быть заверена подписью эксперта.

Допускается вынесение описания обнаруженной информации в приложение (CD- и DVD-диски однократной записи) в случае его большого объема. Запись производится в формате, пригодном для чтения программами из пакета прикладных программ Microsoft Office. Об этом делается соответствующая запись в заключении эксперта (исследовательской части и выводах).

Поиск информации о действиях пользователя

1. Определить установленные операционные системы.

Определение производится для каждого раздела в следующей последовательности:

• определить файловую систему (FAT, FAT32, NTFS, Ext2, Ext3, Re- iserFS, UFS и пр.);

• просмотреть каталоги и файлы; установить наличие каталогов и файлов, характерных для различных семейств операционных систем, и просмотреть в соответствующих файлах сведения о наименовании и версии операционной системы;

• при наличии провести сопоставление системных каталогов с образцами операционных систем по наименованию, структуре и содержанию подкаталогов, наименованию и содержанию файлов (образцы могут быть представлены как в явном виде, так и в виде библиотек хешфункций). Если при проведении сопоставления наряду со сходством выявляются различия (в наименованиях каталогов, наименовании, наличии и содержании файлов), не влияющие на окончательный вывод о наименовании операционной системы, то они должны быть объяснены (особенностями установки, различиями в версиях и сборках, установкой обновлений и пр.). После установления соответствия сделать вывод о наименовании установленной операционной системы;

• в зависимости от операционной системы и решаемой задачи определить особенности ее установки и функционирования (сведения о версии, дате и времени установки, зарегистрированных пользователях и т.п.).

2. Установить, имеется ли на данном машинном носителе программное обеспечение, с помощью которого могли производиться искомые действия пользователя:

• выявить программное обеспечение, работа которого требует регистрации в операционной системе;

• выявить программное обеспечение, работа которого не требует установки в операционной системе;

• выявить удаленное программное обеспечение либо сведения, оставшиеся в операционной системе от ранее установленного и впоследствии удаленного программного обеспечения;

• оценить возможности данного программного обеспечения по производству искомых действий. Оценка производится экспертом путем использования собственных знаний и опыта, изучения описаний, руководств, справочных пособий, проведения экспертных экспериментов и т.п.

3. Если наличие такого программного обеспечения установлено, то необходимо определить порядок и особенности его работы в процессе совершения интересующих следствие действий (изучить процесс следообразования). Образование следов происходит путем создания, модификации, удаления информации на машинном носителе и отражается в системных, временных, специализированных файлах, свойствах и метаданных файлов данных и т.п. Установить порядок и особенности расположения следовой информации можно путем проведения экспертных экспериментов, в ходе которых производятся сопоставление между собой двух и более состояний файловой системы, отслеживание обращений программного обеспечения к различным элементам файловой системы и др. Также эти сведения могут быть получены из документации на программное обеспечение, показаний лиц, проходящих по делу, справочных и методических пособий и т.п.

В качестве примера приведены места расположения информации о работе пользователя в сети Интернет в операционной системе Microsoft Windows ХР (см. Приложение 2).

4. Описать и просмотреть наличие и содержимое возможных мест расположения следовой информации на машинных носителях. При необходимости сопоставить найденную информацию между собой на предмет ее непротиворечивости и последовательности по времени.

5. Оформить результаты поисков.

Описание возможных мест расположения следовой информации и способов доступа к ней включается в исследовательскую часть заключения эксперта. В зависимости от объема интерпретированное содержимое этой информации может быть приведено в исследовательской части заключения эксперта или в приложении(ях) к заключению эксперта. Приложения к заключению эксперта могут быть представлены как в бумажном виде, так и на CD- или DVD-дисках однократной записи. Об этом делается запись в заключении эксперта (исследовательской части и выводах) с указанием номера вокруг посадочного отверстия, имеющегося на таких дисках. После записи информации на нерабочей поверхности CD- или DVD-диска с помощью специального маркера должна быть сделана пояснительная надпись с указанием номера и даты экспертизы, номера приложения. Надпись должна быть заверена подписью эксперта.