Файл: Forensics-06.pdf

адекватными, но более привычными для простого человека аналогами:
«документ» вместо «файл», «папка» вместо «каталог», «отправка сообще
ния» вместо «установление SMTPсессии» и так далее. Многие операции
автоматизированы за счет снижения функциональности. Многие другие
операции просто скрыты от пользователя. Все это стало возможным бла
годаря развитию программного обеспечения. Биты в современных
компьютерах точно такие же, как и 40 лет назад. И набор арифметическо
логических операций процессора мало изменился. Кажущаяся простота
– это не более чем поднятие пользователя на более высокий уровень
абстрагирования от технической реализации операций. Такое поднятие
вовсе не означает понимания. Напротив, простота управления достигает
ся за счет снижения понимания сути производимых действий.

Приведем простую аналогию. В начале XX века управление автомоби

лем было неразрывно связано с его техобслуживанием (довольно трудо
емким) и починкой. В течение нескольких десятилетий вождение авто
мобиля оставалось профессией, которой положено было учиться. По ме
ре развития техники автомобиль превратился в потребительский товар,
доступный самому широкому кругу. Ездить на машине перестало озна
чать ее обслуживать. У некоторых современных моделей даже не откры
вается капот, поскольку пользователю это не нужно. В автошколах уже
перестали учить устройство двигателя. Нужны ли специальные знания
для современного автолюбителя? Почти нет. А для проведения эксперти
зы автотехники?

Для пользования современным компьютером специальные знания

действительно не требуются. Это происходит благодаря высокой степени
отчуждения пользователя от технической реализации обработки инфор
мации. Между «верхним слоем», то есть графическим интерфейсом поль
зователя, и «нижним слоем», то есть битовыми массивами данных, лежит
много промежуточных «слоев» из форматов, протоколов, драйверов, API,
системных функций и прикладных программ. На каждом из них остают
ся следы. Каждый «слой» вносит свою лепту в изменение компьютерной
информации, в образование цифровых следов. Для поиска и изучения
этих следов специальные знания нужны. Изза отчуждения пользователя
от реализации б

ó

льшая часть информации от него скрыта. Почти все про

цессы происходят не так, как они представляются пользователю.

Кто может быть экспертом?

Неоднократно автору приходилось сталкиваться с вопросами на эту

тему. Причем вопросы задавали следователи. А у вас есть лицензия на
производство экспертизы? А ваше предприятие имеет сертификат экспе
ртного учреждения? А у вас есть допуск на ознакомление с материалами
уголовных дел?

251

Компьютернотехническая экспертиза

5. Компьютернотехническая экспертиза

Место и роль КТЭ

Общее

С точки зрения места в раскрытии и расследовании уголовного дела

компьютернотехническая экспертиза (КТЭ) ничем не отличается от
других видов экспертиз.

Компьютерная информация, являющаяся объектом или средством

совершения компьютерного преступления, хотя и может быть предназ
начена для обычных людей, но исследовать ее могут только специалисты.
Практически любое обращение с компьютерной информацией требует
специальных знаний. А источником таких знаний, согласно закону, мо
жет быть только специалист или эксперт. Устанавливать факты, касаю
щиеся компьютерной информации, можно только на основании экспер
тизы. Отсюда и особая роль КТЭ при расследовании.

Несведущим людям может показаться, что многие действия над

компьютерной информацией не требуют специальных знаний. Действи
тельно, современные компьютеры и ПО предназначены для широкого
круга пользователей. И пользователи (в том числе малоквалифицирован
ные) успешно выполняют на них обычные задачи, такие как редактиро
вание текстов, отправка и получение электронной почты, создание и рас
печатка рисунков. Зачем же тут специальные знания?

Чтобы найти ответ, давайте немного вспомним историю развития вы

числительной техники. В 1960х годах для работы на ЭВМ следовало не
просто иметь специальные знания, но и быть программистом. Затем бы
ли созданы программы для решения некоторых типовых задач, и навык
программиста перестал быть обязательным. Но управление работой ЭВМ
попрежнему было недоступно для неспециалиста. В 1980х годах появи
лись первые персональные компьютеры, научиться работать с которыми
мог обычный человек. Обучение тем не менее все же требовалось. И это
ограничивало рынок сбыта персональных компьютеров. Но ПО стреми
тельно развивалось. И одним из главных направлений его развития явля
лось обеспечение простого, наглядного и относительно привычного ин
терфейса для неквалифицированного пользователя. Ориентация на мас
сового покупателя – залог успеха для коммерческого ПО. Некоторые
современные ОС делают освоение персонального компьютера довольно
простой задачей, поскольку сводят «многомерное» управление к выбору
из списка действий, а вместо технических терминов оперируют менее

250

Н.Н. Федотов

Форензика – компьютерная криминалистика

роваться только из бюджета).

Таким образом, следователь может выбрать в качестве эксперта любое

лицо, в чьей компетентности он уверен. Никаких обязательных «серти
фикатов эксперта», лицензий и допусков не требуется. Разумеется, для
оценки квалификации кандидата следователь может навести справки об
образовании, опыте работы в сфере ИТ, должности. Опыт является опре
деляющей величиной. 

Когда есть выбор, автор рекомендует отдавать предпочтение граж

данскому эксперту. В государственных экспертных учреждениях систе
мы МВД (ЭКЦ, ЭКУ, ЭКО) если и имеются штатные эксперты по
КТЭ, то лишь низкой квалификации, как правило, «крепостные», то
есть работающие там, чтобы избежать призыва в армию. Кроме того,
нагрузка на штатных экспертов МВД никак не позволяет им затрачи
вать на экспертизу более двух дней (обычная норма две экспертизы в
день), что автор полагает неприемлемо коротким сроком для полно
ценного исследования.

Проблемы с пониманием

Эксперт призван дать заключение (ч. 1 ст. 57 УПК), а специалист –

разъяснить вопросы (ч. 1 ст. 58). То и другое подразумевает объяснение
неспециалистам фактов и обстоятельств из области специальных знаний.
Но всегда ли возможно такое объяснение?

Оно возможно лишь тогда, когда некий процесс непонятен без специ

альных знаний, но его следствия или выводы целиком лежат в знакомой
области. Например, неспециалист может не понимать, что такое отпечат
ки пальцев и как их снимают. Но вывод – человек касался пальцами
предмета – понятен любому. Неспециалист может совершенно не разби
раться в авиационной технике. Но «причиной аварии явилась ошибка
пилота» – это каждому понятно. Неспециалист не может себе вообра
зить, как работает транзистор. Но как пользоваться радиовзрывателем –
здесь нажал, там взорвалось – это понятно.

В отрасли ИТ встречаются ситуации, когда не только механизм и про

цесс лежат в области специальных познаний, но там же находятся след
ствия и выводы. Поэтому бывает так, что специалист затрудняется объяс
нить простыми словами не только почему, но и что, собственно, прои
зошло.

Например, возьмем такое злодеяние, как вмешательство в процесс по

каза рекламных баннеров*. Специалист вряд ли сможет разъяснить суду
механизм подмены адреса баннерного сервера через DNSзаписи. Но и
следствия этого деяния – пользователи увидят на вебстраницах рекламу,
помещенную туда помимо их желания и без прямой санкции владельца
вебстраницы вместо другой рекламы, которая тоже была помещена туда

253

Компьютернотехническая экспертиза

Ответы на все подобные вопросы содержатся в Уголовнопроцессу

альном кодексе. «Эксперт – лицо, обладающее специальными знаниями
и назначенное в порядке, установленном настоящим Кодексом, для про
изводства судебной экспертизы и дачи заключения» (ст. 57 УПК). Как
видно из этого определения, в законе отсутствуют требования о наличии
определенного образования, опыта работы, какойлибо сертификации
или лицензировании. Это, конечно же, не означает, что экспертом может
быть любой. Специальные знания необходимы, но их наличие определя
ется следователем самостоятельно. Если следователь признал какоелибо
лицо экспертом, поручив ему проведение экспертизы, то подозреваемый
или потерпевший может лишь заявить отвод эксперту (ст. 198 УПК) и не
более.

Когда эксперт или экспертное учреждение являются государственны

ми, то они руководствуются также законом «О государственной судебно
экспертной деятельности в Российской Федерации» (№73ФЗ). В нем
предусматривается аттестация экспертов из государственных экспертных
учреждений. 

На деятельность иных, то есть негосударственных экспертов и экспе

ртных учреждений действие этого закона распространяется частично.
Какоголибо лицензирования, обязательной сертификации или аттеста
ции для негосударственных экспертов не предусмотрено.

Какое же учреждение является экспертным, а какое – нет? Кодекс го

ворит, что «экспертное учреждение – государственное судебноэксперт
ное или иное учреждение, которому поручено производство судебной
экспертизы в порядке, установленном настоящим Кодексом» (ст. 5
УПК). То есть любое негосударственное учреждение, которому следова
тель или суд счел возможным поручить проведение экспертизы (поручить
на законных основаниях, естественно), автоматически становится экспе
ртным.

Ни в УПК, ни в упомянутом законе, не содержится никаких отдель

ных упоминаний компьютернотехнической экспертизы, поэтому КТЭ
производится по общим принципам.

По традиционным видам судебной экспертизы авторитет государ

ственных экспертных учреждений и квалификация их экспертов редко
подвергаются сомнению. Но по новому, всего 57 лет назад возникшему
виду экспертизы – КТЭ – эти экспертные учреждения либо вообще экс
пертиз не проводят, либо способны проводить лишь простейшие их ви
ды. Причина известна. Специалисты в области ИТ (а тем более, квалифи
цированные) пока еще не подготавливаются в массовом порядке. Сред
няя рыночная зарплата такого специалиста намного превышает ставки,
которые в состоянии предложить любое из бюджетных учреждений (а го
сударственное экспертное учреждение, согласно закону, может финанси

252

Н.Н. Федотов

Форензика – компьютерная криминалистика

На памяти автора следователь ни разу не поставил вопросы для КТЭ

корректно. Оно и неудивительно. Чтобы правильно сформулировать
вопрос, нужно знать большую часть ответа. И разбираться в терминоло
гии. А чтобы знать специальные термины, нужно представлять, что они
означают. Короче, нужно самому обладать специальными знаниями в
области ИТ.

Была издана работа, содержащая перечень возможных вопросов для

КТЭ [42]. Формулировки всех вопросов там заранее выверены и должны
быть понятны эксперту. Следователю оставалось лишь выбрать нужный.
Разумеется, ни к чему хорошему это не привело. Раньше, не имея подоб
ной подсказки, следователь формулировал вопросы некорректно. Это
приводило к объяснению между ним и экспертом. В ходе разговора воп
росы уточнялись, следователь переписывал свое постановление в соотве
тствии с рекомендациями эксперта. А пользуясь шпаргалкой, но по
прежнему не понимая значения терминов, следователь попросту выбира
ет из списка не те вопросы. В результате вместо плодотворного диалога
получается, что эксперт просто выполняет ненужную работу. А нужную –
не выполняет.

Автор полагает, что для формулировки вопросов для КТЭ всегда сле

дует привлекать специалиста. Это может быть специально приглашен
ный специалист. Это может быть неофициальная консультация. В край
нем случае, сам эксперт, которому предстоит проводить КТЭ, поможет
следователю верно поставить вопросы.

Автор, не желая повторять чужих ошибок, не станет приводить здесь

списка возможных вопросов для КТЭ. Вместо перечня вопросов автор
предпочитает дать перечень решаемых экспертизой задач с необходимы
ми разъяснениями.

Поиск информации

Поиск на компьютерном носителе документов, изображений, сооб

щений и иной информации, относящейся к делу, в том числе в неявном
(удаленном, скрытом, зашифрованном) виде.

Автор рекомендует не конкретизировать вид и содержание искомой ин

формации. Эксперт вполне может самостоятельно решить, относится ли
тот или иной текст, изображение или программа к делу. В ходе поиска ин
формации эксперту приходится просматривать глазами тысячи текстов и
изображений. Понятно, что невозможно распечатать и приложить к зак
лючению их все – с тем, чтобы потом следователь решил, что из найденно
го относится к делу. Эксперт в любом случае вынужден проводить первич
ную селекцию и принимать решение, что именно из найденного приоб
щать. Вынужден в силу объемов информации. Типичный объем архива
электронной почты среднего пользователя – мегабайты. Для более актив

255

Компьютернотехническая экспертиза

помимо желания пользователей и без прямой санкции владельца веб
страницы – все целиком находятся в виртуальном мире и не могут быть
разъяснены без предварительного разъяснения всех сложных взаимоот
ношений между участниками информационного обмена.

Разъясняя вопросы, требующие специальных знаний, специалист

фактически занимается переводом с одного языка на другой. Для этого
он не только должен в совершенстве владеть обоими языками. Попытки
перевести с технического на юридический часто наталкиваются на такое
препятствие: в другом языке просто не существует соответствующего тер
мина. Да что там термина! Соответствующего понятия не существует.

Например, нетрудно перевести с технического термин «провайдер».

На юридическом это означает «оператор связи». А вот как перевести тер
мин «доменное имя»? Это совершено новый объект, возникший в Сети и
не имеющий аналогов в офлайне*. Средство индивидуализации? Нет,
под определение не подпадает. Ресурс нумерации? Тоже нет, фактически
не соответствует. Приходится обходиться без перевода и вводить этот
термин в юридический оборот. Но как объяснить его значение неспециа
листу, если даже специалист учился несколько лет, прежде чем пол
ностью понял, что такое доменное имя?

Еще пример. В ходе процесса судья поставил перед специалистом воп

рос: идентифицирует ли IPадрес компьютер в сети Интернет однознач
ным образом? Специалист ответил утвердительно. Тот же вопрос был
поставлен перед экспертом. Эксперт ответил отрицательно. Оба они бы
ли правы, о чем и согласились, поговорив между собой. Дело в том, что
эксперт отвечал на вопрос «теоретически», имея в виду абстрактный
компьютер и любой IPадрес. Разумеется, любой IPадрес однозначным
идентификатором не является. Специалист же был ознакомлен с матери
алами дела и отвечал на вопрос применительно к конкретному компью
теру и конкретному адресу. Фигурировавший в деле IPадрес идентифи
цировал компьютер обвиняемого однозначно, о чем специалист и сказал.

Итак, следует признать, что для области ИТ сформулированная в УПК

задача специалиста и эксперта не всегда является выполнимой. Но вы
полнять ее надо. Как следствие, эксперты и специалисты иногда превы
шают свои полномочия и не только «разъясняют вопросы», но и делают
выводы.

Приемлемые вопросы

Для следователя и оперуполномоченного важно представлять, что

именно может компьютернотехническая экспертиза (КТЭ) и чего она
не может. Также важно уметь верно формулировать вопросы для экс
пертизы.

254

Н.Н. Федотов

Форензика – компьютерная криминалистика

Такое более глубокое исследование программ необходимо далеко не

всегда. Например, вредоносность программы – это совокупность ее
функций [81, 70]. Вредоносность может установить экспертспециалист
по ИТ. А вот для сопоставления объектного* кода программы с фрагмен
том исходного* кода необходимо участие экспертапрограммиста.

Время

Установление времени и последовательности совершения пользовате

лем различных действий.

Благодаря наличию у компьютера внутренних энергонезависимых ча

сов и простановке в различных местах временных меток становится воз
можным определить, когда и в какой последовательности пользователь
производил различные действия.

Если внутренние часы компьютера были переведены вперед или назад

(в том числе неоднократно), все равно имеются возможности восстано
вить правильное время и правильную последовательность событий. Пе
ревод часов компьютера сам по себе оставляет следы. А если еще было и
сетевое взаимодействие, то есть возможность сопоставить моменты со
бытий, зафиксированные данным компьютером, с событиями по иным
источникам и выяснить сдвиг внутренних часов.

Задача выполнима даже в том случае, если системный блок, содержа

щий внутренние часы, не находится в распоряжении экспертизы. Только
по носителю информации (например, НЖМД*) можно получить коека
кие сведения о последовательности событий. Чем больше информации
на носителе, тем полнее будет восстановлена картина.

Отмечена даже такая экзотическая задача, как подтверждение/опро

вержение алиби подозреваемого, который утверждает, что в определен
ное время работал за компьютером [43]. В этом случае, хотя речь не идет
о компьютерном преступлении, для проверки алиби потребуется КТЭ.

Пользователь

Оценка квалификации и некоторых других особенностей личности

пользователя исследуемого компьютера.

При достаточно интенсивном использовании компьютера человек не

избежно оставляет в нем «отпечаток» собственной личности. Документы,
фотографии, музыка, переписка, настройки, оформление, закладки, вре
менной режим работы, подбор программ – все это индивидуализирует
информационное содержимое компьютера. Все это отражает интеллект
пользователя, его эмоции, наклонности, способности.

Нет уверенности, что вопрос полностью лежит в сфере КТЭ. Возмож

но, ради более строгого подхода такая экспертиза должна быть комплекс
ной, компьютернопсихологической. Во всяком случае, вопрос квалифи

257

Компьютернотехническая экспертиза

ного – сотни мегабайт. Это не поместится ни в одно заключение (прото
кол). Поэтому эксперта следует ознакомить с уголовным делом или хотя бы
кратко изложить его фабулу в постановлении о назначении КТЭ. И запро
сить у него поиск «любой информации, относящейся к данному делу».

Следы

Поиск «цифровых» следов различного рода действий, совершаемых

над компьютерной информацией. Вопрос лучше формулировать не про
следы, а про действия. То есть вместо «имеются ли следы создания таких
то вебстраниц?» лучше поставить вопрос так: «создавались ли на иссле
дуемом компьютере такието вебстраницы?».

Когда компьютер используется как средство доступа к информации,

находящейся в ином месте, и когда доступ к информации осуществляет
ся на этом компьютере – в обоих случаях остаются «цифровые» следы,
следы в виде компьютерной информации. КТЭ может определить, когда,
при каких условиях и каким образом осуществлялся доступ. Кто его осу
ществлял, КТЭ определить не может. Лишь в некоторых случаях экспер
ту удается обнаружить некоторые сведения о пользователе исследуемого
компьютера.

Действия, которые оставляют следы на компьютере или на носителе

информации, включают: доступ к информации, ее просмотр, ввод, изме
нение, удаление, любую другую обработку или хранение, а также удален
ное управление этими процессами.

Программы

Анализ программ для ЭВМ на предмет их принадлежности к вредо

носным, к средствам преодоления ТСЗАП, к инструментам для осущес
твления неправомерного доступа к компьютерной информации, к специ
альным техническим средствам, предназначенным для негласного полу
чения информации. А также анализ функциональности программ, прин
ципа действия, вероятного их источника, происхождения, автора.

Иногда необходимо более глубокое исследование программ. То есть

исследование не просто их свойств и функциональности, а происхожде
ния, особенностей взаимодействия с другими программами, процесса
создания, сопоставление версий. Такое глубокое исследование подразу
мевает дизассемблирование программы, запуск под отладчиком (пошаго
вое исполнение), исследование структуры данных. Это предмет отдель
ной экспертизы, иногда ее называют программнотехнической. Редко
можно найти эксперта, сочетающего специальные знания по ИТ и по
программированию. Поэтому рекомендуется проводить две отдельные
экспертизы – первая изучает содержимое компьютерных носителей, а
вторая особенности обнаруженных программ.

256

Н.Н. Федотов

Форензика – компьютерная криминалистика

лицензионных. Но прямыми доказательствами такие признаки не будут,
поскольку контрафактный экземпляр легко превращается в лицензион
ный путем заключения договора с правообладателем или его представи
телем (а это сводится к уплате соответствующей суммы). И, напротив, ли
цензионная копия легко становится контрафактной при нарушении
пользователем лицензионных условий. В обоих случаях сама копия при
таких «превращениях» ни на бит не изменяется.

Перед экспертом следует ставить вопросы о наличии признаков конт

рафактности – любых или конкретных, которые заранее известны следо
вателю.

Впрочем, среди юристов существует мнение, что никаких «признаков

контрафактности» вообще не бывает. А признаки исполнения экземпля
ра произведения не должны подвергаться экспертизе, поскольку их нали
чие или отсутствие не связано с контрафактностью экземпляра. Согласно
этой точке зрения, для доказательства нарушения авторских прав непре
менно следует установить изготовителя экземпляра произведения, дока
зать отсутствие у него разрешения от правообладателя и лишь затем про
водить экспертизу изъятых экземпляров с целью установить, действи
тельно ли они были изготовлены тем же способом, на том же оборудова
нии.

Предположим, в лапы правоохранительных органов попал компакт

диск с произведением. Диск имеет тип CDR, записан с использовани
ем ПК, обложка отпечатана на ксероксе, голограмма отсутствует. Сле
дует ли устанавливать и закреплять с помощью экспертизы все перечис
ленные признаки? Обсуждаемая позиция утверждает, что нет, не следу
ет. Поскольку отсутствует причинная связь между кустарным исполне
нием и отсутствием разрешения правообладателя. Следует доказывать
нарушение авторских прав, что сводится к доказыванию отсутствия раз
решения, то есть договора, между изготовителем (не продавцом!) диска
и правообладателем, либо между изготовителем и уполномоченным
представителем правообладателя, либо между изготовителем и общест
вом по коллективному управлению авторскими правами. А метод изго
товления диска с фактом заключения такого договора никак не связан.
Следовательно, признаки исполнения диска ничего не доказывают. Да
же косвенно.

Впрочем, автор с изложенной позицией не согласен. И авторитеты

(например, Верховный Суд) на этот счет еще не высказались.

Стоимость

Технический специалист не может определить ни стоимость програм

много продукта, ни ущерб правообладателю. Стоимость является пред
метом товароведческой или экономической экспертизы. 

259

Компьютернотехническая экспертиза

кации пользователя в области ИТ точно в компетенции эксперта, прово
дящего КТЭ. Конечно, для оценки квалификации на исследуемом носи
теле должны находиться соответствующие объекты, результаты интел
лектуальной деятельности – написанные пользователем программы, пе
реписка по нетривиальным техническим вопросам, сложные програм
мные инструменты (например, отладчик).

Следует заметить, что некорректно ставить вопрос об «установлении

личности пользователя компьютера». Любые выводы о личности на осно
ве найденных на диске плодов интеллектуальной и творческой деятель
ности могут носить лишь предположительный характер.

Итоги

Итак, обычно перед экспертом, проводящим КТЭ, ставятся вопросы:

●

о наличии на исследуемых объектах информации, относящейся к делу
(в том числе в неявном, удаленном, скрытом или зашифрованном ви
де);

●

о возможности (пригодности) использования исследуемых объектов
для определенных целей (например, для доступа в сеть);

●

о действиях, совершенных с использованием объектов, их времени и
последовательности;

●

об идентификации найденных электронных документов, программ
для ЭВМ, о признаках пользователей компьютера;

●

о свойствах программ для ЭВМ, в частности, о принадлежности их к
вредоносным.

Неприемлемые вопросы

Контрафактность

Отдельного разъяснения требуют вопросы, связанные с контрафакт

ностью экземпляра произведения, представленного в цифровой (элект
ронной) форме. Недопустимо ставить перед экспертом вопрос, является
ли исследуемый экземпляр произведения контрафактным. Контрафакт
ность – это вопрос правоотношений между правообладателем и пользо
вателем, но никак не вопрос состояния экземпляра. Один и тот же экзе
мпляр может быть контрафактным и легальным (лицензионным), в зави
симости от того, оплатил ли пользователь стоимость лицензии, истек ли
ее срок, выполнены ли лицензионные условия и других обстоятельств.
Иными словами, контрафактность – это юридический, а не технический
факт. Устанавливать его эксперт не может [L02].

Конечно, эксперт может найти косвенные признаки контрафактнос

ти, то есть такие особенности, которые обычно (подчеркиваю – обычно!)
встречаются на контрафактных экземплярах и обычно не встречаются на

258

Н.Н. Федотов

Форензика – компьютерная криминалистика