Файл: Forensics-04.pdf

несколько минут. После фотографирования можно выключить его вруч
ную кнопкой «power», если есть такая кнопка.

Касаться экрана наладонника нельзя, поскольку экран у него являет

ся чувствительным; каждое прикосновение к экрану воспринимается как
команда.

Извлекать аккумулятор из наладонника нельзя.
Вместе с ним обязательно следует изъять крэдл (подставку с устрой

ством питания и сопряжения) либо иное зарядное устройство. Хранить
наладонник сам по себе, без подзарядки, можно недолго, обычно нес
колько дней. Длительность хранения зависит от первоначального состо
яния аккумулятора. После его истощения содержимое оперативной па
мяти будет утрачено. Лучше не рисковать и после изъятия как можно
быстрее передать компьютер эксперту. А до такой передачи, по возмож
ности, хранить его вставленным в крэдл, чтобы аккумулятор не истощал
ся. В крэдле (который, естественно, должен быть подключен к электросе
ти) хранить наладонник можно неограниченно долго. Правда, хранение в
крэдле несовместимо с опечатыванием компьютера.

В протоколе обыска (изъятия, личного досмотра) следует указать при

мерно следующее: «При осмотре и изъятии наладонного компьютера его
кнопки не нажимались, экрана не касались, аккумулятор или съемные
накопители не извлекались. Наладонный компьютер в состоянии гибер
нации (засыпания) был упакован и опечатан так, чтобы исключить вся
кий доступ к органам его управления (клавиши, экран) и к его разъемам
без повреждения печатей».

Принтеры

Современные принтеры (за очень редким исключением) не имеют дос

тупных пользователю носителей компьютерной информации. Поэтому
изымать принтеры нет необходимости. Надо только изъять все распечат
ки, обнаруженные в выходном лотке принтера или подле него, поскольку
такие распечатки также содержат компьютерную информацию. Кроме то
го, некоторые фотопринтеры имеют разъем для непосредственного подк
лючения носителей информации типа флэшнакопителей. Если такой на
копитель оставлен в разъеме принтера, его нужно изъять, а принтер мож
но не трогать. При проведении осмотра или обыска следует отразить в
протоколе наличие принтера и способ его подключения к компьютеру.

Из этого правила есть одно исключение – дела о подделке документов.
Принтеры очень часто используются для изготовления поддельных

документов, поскольку их разрешающая способность (от 600 точек на
дюйм и больше) превышает разрешающую способность человеческого
глаза. То есть фальшивку, отпечатанную на современном принтере, отли
чить на глаз нельзя.

217

Следственные действия

Ноутбук (лэптоп, переносной компьютер)

Если ноутбук включен на момент начала обыска, то прежде всего сле

дует сфотографировать или иным образом зафиксировать содержимое
экрана, как это указывалось выше.

Чтобы выключить ноутбук, недостаточно вытащить из него шнур пита

ния; при этом ноутбук перейдет на питание от аккумулятора. Для обесто
чивания надо извлечь аккумулятор. При этом не следует закрывать крыш
ку ноутбука, складывать его. При складывании обычно активизируется
функция гибернации («засыпания»), а это означает внесение изменений в
информацию на диске, что нарушит вышеозначенные принципы.

Наладонный компьютер (КПК)

К данному классу относятся: КПК, PDA (Personal Digital Assistant),

palmtop, pocket PC, органайзеры, смартфоны, коммуникаторы, элект
ронные дневники [51, 84, 93].

Особенностью этого класса компьютеров является то, что значитель

ная часть пользовательских данных хранится у них в оперативной, энер
гозависимой памяти. При отключении питания наладонника вся такая
информация безвозвратно пропадет.

Штатное состояние «выключен» у наладонника фактически означает не

выключение, а режим «засыпания» или гибернации. При этом электроэ
нергия расходуется
только на поддержание
оперативной памяти.
Храниться в таком сос
тоянии он может до нес
кольких дней, в зависи
мости от текущего сос
тояния аккумулятора.

Если наладонник

включен (активен) на
момент начала обыска,
то прежде всего следует
сфотографировать или
иным образом зафик
сировать содержимое
экрана, как это указы
валось выше. При неак
тивности экран автома
тически гаснет, а нала
донник переходит в ре
жим гибернации через

216

Н.Н. Федотов

Форензика – компьютерная криминалистика

Наладонный компьютер, сменный модуль памяти

(SD), крэдл и стило к нему

лать, рассказано в разделе «Компьютернотехническая экспертиза». Но
особенной необходимости в таком копировании нет, поскольку флэш
накопитель все равно изымается, когда есть основания полагать, что на
нем может содержаться существенная для дела информация. Затем он пе
редается на экспертизу. Снимать копию на месте логично в тех случаях,
когда ждать результатов экспертизы нет времени и нужно быстро полу
чить информацию для продолжения расследования. В таких случаях спе
циалист снимает копию с накопителя на месте, сам накопитель опечаты
вается, изымается и откладывается ждать экспертизы, а его копия под
вергается исследованию с целью получения неофициальной, зато сроч
ной информации.

219

Следственные действия

Экспертиза может установить, что поддельный документ был напеча

тан именно на этом конкретном принтере или с использованием конк
ретного картриджа.

Когда в деле фигурируют поддельные документы, то кроме компьюте

ров и машинных носителей информации следует также изымать:

●

принтеры;

●

картриджи для принтеров (кроме, может быть, новых в упаковке) и
иные расходные материалы (тонер, ленты, чернила);

●

все обнаруженные распечатки;

●

чистую бумагу и пленку, приготовленные для использования в прин
тере.
Принтер следует опечатать так, чтобы сделать невозможным подклю

чение электропитания и доступ к печатающему узлу без нарушения упа
ковки. Этот факт отразить в протоколе. Иные изъятые материалы также
следует опечатать.

Сканеры

В сканерах так же, как и в принтерах, нет доступных носителей ин

формации. Изымать их нет смысла.

К сожалению, нет возможности установить, было ли то или иное изоб

ражение (сканкопия) получено с конкретного сканера.

При проведении осмотра или обыска следует лишь отразить в прото

коле наличие сканера и способ его подключения к компьютеру.

Флэш+накопители

Накопители на флэшпамяти выпускаются в виде самостоятельных

устройств, а также в составе других устройств, таких как аудиоплееры или
цифровые фотоаппараты. Форма и размер устройств с флэшнакопите
лями также весьма разнообразны. Чаще всего такие накопители снабже
ны интерфейсом типа USB, по которому их и можно опознать.

Такие накопители не те

ряют данные при отсутствии
электропитания, поэтому их
можно хранить долгое вре
мя. При изъятии следует
опечатать так, чтобы исклю
чить доступ к USBразъему и
органам управления (если
такие органы есть).

Снять копию флэшна

копителя на месте, в прин
ципе, можно. Как это сде

218

Н.Н. Федотов

Форензика – компьютерная криминалистика

Флэшнакопитель в виде брелка

Флэшнакопитель в составе

аудиоплеера

Флэшнакопитель в часах

Электронная фоторамка 

со встроенным флэшнакопителем

реключателем (рубильником), который находится прямо на встроенном
блоке питания.

Автомобильные компьютеры

Бортовым компьютером оснащены практически все современные мо

дели автомобилей. Основное его предназначение – оптимизация режима
двигателя с целью экономии горючего. Компьютер собирает многочис
ленные данные с различных устройств автомобиля. В случае аварии в нем
можно найти сведения о нескольких последних секундах – скорость,
обороты, позиции педалей газа и тормоза, режим стеклоочистителей, ос
ветительных приборов и т.п.

Кроме того, бортовой

компьютер выполняет на
вигационные функции
либо для этого установлен
отдельный навигацион
ный компьютер. В нем
фиксируется расположе
ние автомобиля в разные
моменты времени, вычис
ляются возможные марш
руты следования до задан
ных точек.

К сожалению, борто

вые компьютеры не уни
фицированы, как персо
нальные. Расположение
компьютера и его запоми
нающего устройства зави
сит от модели автомобиля.
Для изъятия или копиро
вания носителей компьютерной информации следует пригласить специ
алиста из фирменного (авторизованного) центра техобслуживания соот
ветствующего автопроизводителя.

Модемы

В некоторых модемах хранится пользовательская информация – наст

ройки сети или телефонные номера провайдера. Если нет специалиста,
который может указать, какая именно модель модема здесь присутствует
– с памятью или без, – то модем надо отключить от электропитания, опе
чатать и изъять.

221

Следственные действия

Мобильные телефоны

Перед тем, как рассмотреть изъятый мобильный телефон в качестве

носителя компьютерной информации, следует решить, требуется ли по
лучить с него материальные следы – отпечатки пальцев, следы наркоти
ков, иные.

Следует помнить, что некоторые методы снятия отпечатков могут

привести телефон в негодность.

В большинстве случаев при изъятии нужно выключить мобильный те

лефон, чтобы исключить потерю имеющихся данных вследствие поступ
ления новых вызовов и новых SMS. Аккумулятор вынимать не следует.

Однако в некоторых случаях руководитель операции может решить,

что контролировать поступающие вызовы важнее. Тогда телефон надо
оставить включенным и подзаряжать его по мере необходимости.

Выключенный телефон упаковывается в жесткую упаковку и опеча

тывается так, чтобы исключить доступ к органам его управления. Это от
мечается в протоколе.

При выключении телефона не надо беспокоиться о PINкоде на дос

туп к данным в SIMкарте телефона. У оператора связи в любой момент
можно узнать PUK (PIN unlock key) и с его помощью получить доступ к
SIMкарте.

О полевом и лабораторном исследовании информации из мобильных

телефонов есть достаточно много технической литературы [60].

Коммутаторы и маршрутизаторы

Обычно коммутатор* (switch) имеет внутреннюю энергонезависимую

память, в которой помещается только операционная система и файл кон
фигурации. Именно конфигурация может быть предметом интереса
следствия. Мелкие коммутаторы могут не иметь доступной пользователю
памяти, хотя свою конфигурацию (настройки) все же сохраняют. Совсем
мелкие коммутаторы для домашнего использования и хабы могут не
иметь даже настроек.

Маршрутизатор* (router), в зависимости от своего назначения, может

иметь столь же небольшую память, как и коммутатор, где хранится лишь
относительно небольшой файл конфигурации, а может иметь и более су
щественное устройство хранения, например, жесткий диск.

Конфигурация маршрутизатора или коммутатора может заинтересо

вать следствие лишь при некоторых специфических типах преступлений.
В большинстве случаев их конфигурация не представляет интереса.

Снять всю конфигурацию с маршрутизатора или коммутатора специ

алист может на месте, если знать пароль для доступа.

Включенные коммутаторы и маршрутизаторы следует при изъятии

отключать вытаскиванием электрического шнура либо аппаратным пе

220

Н.Н. Федотов

Форензика – компьютерная криминалистика

Образец автомобильного навигационного

компьютера

Короткоживущие данные

В этой главе мы рассмотрим, как специалист при проведении след

ственного действия должен обращаться с короткоживущими, или вола
тильными данными. Этим термином обычно именуют такую информа
цию, которая недолговечна и существует лишь до момента выключения
компьютера или до завершения определенной программы.

Перечень

Вот некоторые из типов короткоживущих данных:

●

содержимое ОЗУ*, то есть все исполняемые в текущий момент прог
раммы (задачи, процессы), системные и прикладные (пользовательс
кие);

●

прежнее содержимое ОЗУ в областях оперативной памяти, которые на
текущий момент считаются свободными;

●

список открытых файлов со сведениями, какой процесс каким фай
лом пользуется;

●

информация о пользовательских сессиях, то есть вошедших в систему
(залогиненных, зарегистрированных) пользователях;

●

сетевая конфигурация – динамически присвоенный IPадрес, маска
подсети, ARPтаблица, счетчики сетевых интерфейсов, таблица
маршрутизации;

●

сетевые соединения – информация о текущих соединениях (коннек
циях) по различным протоколам, о соответствующих динамических
настройках межсетевого экрана* или пакетного фильтра;

●

текущее системное время;

●

список назначенных заданий (scheduled jobs);

●

кэш доменных имен и NETBIOSимен;

●

загруженные модули ядра (LKM);

●

монтированные файловые системы, подключенные сетевые диски;

●

файл или область подкачки* (swapфайл) на диске – информация о те
кущем состоянии виртуальной части ОЗУ, а также ранее находившие
ся там данные;

●

временные файлы, которые автоматически стираются при штатном
завершении работы ОС или при загрузке ОС.
Все перечисленные данные, кроме последних двух пунктов, хранятся

в ОЗУ.

Кроме того, к короткоживущим данным можно причислить образцы

сетевого трафика* в обоих направлениях – с исследуемого компьютера и
на него. Проанализировать устройство и функции программы по содер
жимому ОЗУ (дампу памяти*) бывает довольно сложно. Зато по генери
руемому программой трафику во многих случаях нетрудно определить ее

223

Следственные действия

Цифровые фотоаппараты

Практически все цифровые фотоаппараты (фотокамеры) имеют смен

ный и встроенный накопитель достаточно большой емкости. Этот нако
питель доступен пользователю не только для чтения, но и для записи. По
этому кроме отснятых фотографий и видеороликов там можно найти и
иную пользовательскую информацию. Иногда цифровой фотоаппарат
используется в качестве переносного USBнакопителя.

Сменные накопители

Есть несколько станда

ртных типов таких накопи
телей. Это ныне уже уста
ревшие и выходящие из
употребления гибкие маг
нитные диски (ГМД) или
дискеты, магнитооптичес
кие диски, компактдиски
(CD), DVDдиски, смен
ные флэшкарты, а также
НЖМД, выполненные в
отдельном корпусе.

222

Н.Н. Федотов

Форензика – компьютерная криминалистика

Цифровые фотоаппараты могут иметь форму как традиционную, так и

непривычную

Различные типы сменных накопителей на основе флэшпамяти

Снятие

Для сбора короткоживущей информации из ОЗУ и свопа* есть различ

ные программные инструменты под различные ОС. Специалисту пред
почтительно не надеяться, что такие инструменты найдутся на исследуе
мом компьютере, а пользоваться своими собственными программами,
которые заранее приготовлены на дискете, компактдиске или флэшна
копителе. Чаще всего используют компактдиск. 

Кроме того, следует приготовить еще один носитель – для записи

результатов снятия короткоживущей информации. Предпочтителен
флэшнакопитель. Для сброса результатов вместо флэшнакопителя
или иного устройства можно подключить в качестве сетевого диска
диск удаленного компьютера. Таковым может служить переносной
компьютер специалиста, принесенный им с собой и подключенный к
тому же сегменту ЛВС, или стационарный компьютер специалиста,
доступный через Интернет. Сбрасывать полученные короткоживущие
данные на жесткий диск исследуемого компьютера категорически не
рекомендуется. Этим можно уничтожить некоторую существенную для
дела информацию и поставить под сомнение результаты последующей
экспертизы.

Корректность работы программных инструментов по снятию инфор

мации с работающего компьютера зависит не только от самих этих
инструментов. На результат может влиять также состояние исследуемого
компьютера. Например, если он заражен вредоносной программой типа
руткит*, то специалист может и не получить корректную информацию,
даже при безупречной работе его инструментов.

Вот некоторые полезные программы для сбора короткоживущих дан

ных:

●

Утилиты «PMDump», «userdump», «dd» позволяют снимать содержи
мое ОЗУ компьютера (дамп памяти). Запуск любой программы изме
няет содержимое ОЗУ, поэтому результат работы таких утилит будет
не вполне «чистый». Но это неизбежная погрешность.

●

Утилиты «ifconfig», «ipconfig», «arp», «route», «netstat», «ipfw», «ipfilter»,
«ipchain», «iptables» снимают текущую сетевую конфигурацию компь
ютера.

●

Утилиты «netstat», «nmap» снимают информацию о текущих сетевых
соединениях и открытых портах.

●

Утилиты «Task manager», «pslist», «ps», «top» дают список текущих про
цессов – исполняемых программ.

●

Утилиты «lsof» дают список открытых в текущий момент файлов.

●

Утилиты «w», «last» дают список пользователей, вошедших в систему.

●

Утилиты «date», «nlsinfo» дают информацию о текущем системном
времени.

225

Следственные действия

функции. Поэтому образец трафика компьютера за какойто разумный
период времени будет хорошим дополнением для исследования работы
неизвестных программ.

Понятно, что короткоживущие данные (кроме области подкачки*)

можно снять лишь с работающего компьютера. После выключения все
такие данные будут утрачены. То есть снятие короткоживущих данных
производится не экспертом при проведении КТЭ, а специалистом во вре
мя следственного действия. Исключение – экспертиза КПК* (наладон
ного компьютера), который обычно хранится во включенном состоянии,
но в режиме гибернации*.

Стоит ли пытаться снять с работающего компьютера короткоживу

щие данные? С одной стороны, среди них могут оказаться полезные и
даже очень ценные, например, запись о текущей TCPсессии с атаку
емым узлом или ключ для доступа к криптодиску*. С другой стороны,
при снятии содержимого ОЗУ невозможно не изменить информацию
на компьютере, в том числе на его диске. Это может отрицательно
повлиять на оценку достоверности последующей экспертизы. В каж
дом случае это решает специалист, оценивая, какой аспект важнее
для дела – сохранность долгоживущей информации или возможность
получить короткоживущую критичную. Разумеется, для этого специ
алист должен быть проинформирован о существенных обстоятель
ствах дела.

Например, при использовании подозреваемым криптодиска полу

чить доступ к его содержимому можно либо както узнав пароль, либо
застав компьютер во включенном состоянии с активированным (монти
рованным) криптодиском. После демонтирования криптодиска узнать
пароль непросто. В практике автора было несколько случаев, когда у по
дозреваемого удавалось выяснить пароль к его криптодиску путем изощ
ренного обмана или примитивного запугивания. Однако грамотный в
области ИТ пользователь знает четко: если он не сообщит пароль, то рас
шифровать данные на криптодиске невозможно. Остается второй спо
соб. Надо какимто образом прорваться к включенному компьютеру и,
пока доступ к криптодиску открыт, снять с него все данные или извлечь
из ОЗУ ключ шифрования.

Стоит ли пытаться снять короткоживущую информацию, рискуя при

этом существенно изменить данные на нем или сразу выключить компь
ютер, – решает специалист, исходя из материалов дела.

В любом случае, настоятельно рекомендуется снять минимально

возможную без риска короткоживущую информацию – сфотографи
ровать или описать текущее изображение на экране включенного
компьютера.

224

Н.Н. Федотов

Форензика – компьютерная криминалистика