Файл: Forensics-01.pdf

Привлечение специалистов

Специалист или эксперт должен привлекаться к расследованию или

проведению ОРМ в тех случаях, когда требуются специальные знания
(«специальные познания» в терминологии предыдущей редакции УПК) в
какой"либо области.

Несмотря на повсеместное распространение компьютерной техники,

знания об этой технике не распространяются вслед за ней, столь же пов"
семестно.

Современная парадигма ИТ предусматривает отчуждение пользовате"

ля от управления работой ЭВМ. Развитие идет в направлении всё боль"
шего и большего абстрагирования пользовательского интерфейса от про"
цессов в компьютере. Пользователь 1960"х и 1970"х годов мыслил байта"
ми и логическими операциями. Пользователь 1980"х – символами и фай"
лами. Пользователь 1990"х – окнами, «папками» и событиями. В текущем
десятилетии типичный пользователь думает такими объектами, как «до"
кумент» и «рабочий стол». То есть для идеального пользователя никаких
специальных знаний о внутренних процессах в вычислительной технике
не требуется.

Криминалистическое же исследование предполагает как раз глубокое

проникновение в суть процессов, происходящих в ЭВМ и компьютерных
сетях. Чем глубже погружается исследователь в подробности функциони"
рования, тем больше он обнаруживает следов действий пользователя.

К примеру, оценивая следы при просмотре пользователем веб"сайта,

неспециалист (скажем, следователь) может заключить, что следы (дока"
зательства) следует искать в двух местах – на персональном компьютере
пользователя и на сервере, на котором расположен веб"сайт. И это будет
ошибкой. Не обладая знаниями, глубже определенного, положенного
для пользователя уровня, следователь упускает из виду обращение к
DNS"резолверу пользователя, а также рекурсивные обращения этого ре"
золвера к нескольким DNS"серверам. Такие обращения могут логиро"
ваться и служить полноценными (то есть не косвенными, не дополни"
тельными, а вполне самостоятельными) доказательствами посещения
определенной веб"страницы. Еще десяток видов следов при таком прос"
том действии, как просмотр веб"страницы, перечислен в главе «Исследо"
вание логов веб"сервера» раздела 2.

Автор полагает, что при любых ОРМ или следственных действиях,

связанных с компьютерной информацией, привлечение специалиста
обязательно. Ибо специальные знания в сфере ИТ позволяют видеть не"
очевидное, находить бесследно пропавшее и обманывать безошибочное.
И попутно еще опровергать все утверждения из «инструкции для пользо"
вателя», ибо обычный среднеквалифицированный пользователь работает

21

Введение

(экономическая) экспертиза по определению стоимости прав на исполь"
зование экземпляра ПО. Такая экспертиза совершенно необходима для
доказывания нарушения авторских прав (ч.ч. 2 и 3 ст. 146 УК), где квали"
фицирующим признаком является стоимость контрафактных экземпля"
ров или прав на использование произведения. Понятно, что обычный
экономист не знаком с особенностями ценообразования на программные
продукты, с существующей практикой в этой области. Поэтому ему надо
дать в помощь эксперта по ИТ.

2. Участие специалистов в проведении следственных действий, имею"

щих отношение к компьютерной информации, – обыска, выемки, ос"
мотра места происшествия и т.д. Например, такая элементарная задача,
как выключение компьютера, который подлежит изъятию. Нет одноз"
начного способа выключения. Чтобы правильно его выключить, нужно
проанализировать обстоятельства дела, взвесить вероятности разных со"
бытий и, только исходя из этого, избрать способ выключения. А некото"
рые типы компьютерной техники вообще выключать нельзя.

3. Участие специалиста в проведении ОРМ. Наиболее востребованное

в обсуждаемой области мероприятие – снятие информации с техничес"
ких каналов связи – проводится не просто «при участии», а только самим
специалистом.

4. Участие специалиста в судебном заседании. Эта форма, предусмот"

ренная УПК, стала активно использоваться лишь при рассмотрении дел
по компьютерным преступлениям. В таких делах специальные знания
требуются очень часто. Без разъяснений специалиста иногда невозможно
правильно понять не только заключение эксперта, но также показания
свидетелей, имеющиеся в деле справки, вопросы участников процесса.
Специалист в зале суда может действовать наподобие переводчика, разъ"
ясняя участникам процесса значения терминов, поясняя значение тех
или иных технических деталей и так далее.

5. Снабжение оперативных работников и следователей техническими

средствами, которые те могут использовать в работе самостоятельно, без
участия специалиста.

6. Обучение пользователей и технических специалистов предприятий

(то есть потенциальных потерпевших) методам первичной фиксации
цифровых доказательств, их предохранения от уничтожения. Значитель"
ная часть компьютерных преступлений остается нераскрытой только из"
за того, что оператор информационной системы, которая стала целью
злоумышленника, не позаботился о сбережении логов*, электронных со"
общений, использованных программ и иных потенциальных доказа"
тельств. Либо не знал, как их правильно сберечь, чтобы в дальнейшем та"
кие доказательства имели силу, либо вообще не подозревал о существова"
нии некоторых цифровых следов.

20

Н.Н. Федотов

Форензика – компьютерная криминалистика

Зарплата рядового сисадмина в Москве в 1999 году была в разы выше, чем
средний доход спамера*, вирусописателя или интернет"мошенника.
(Правда, с кардерами* ситуация была иная, но для этой криминальной
профессии особые технические навыки и не требуются.) Иными слова"
ми, много выгоднее быть законопослушным. С тех пор ситуация измени"
лась. Количество денег и иных материальных интересов в Интернете (в
частности, в российском его сегменте) сильно возросло. Ныне ремесло
киберпреступника уже в состоянии прокормить хорошего специалиста.
Правда, и средние доходы честного онлайнового бизнесмена также вы"
росли.

Тем не менее автор согласен с общепринятым мнением, что привле"

кать киберпреступников для борьбы с киберпреступностью допустимо
лишь в качестве осведомителей, в крайнем случае – консультантов.

Вовлечение общественности

Да не смутит читателя этот заголовок, созвучный с пустыми пропаган"

дистскими заклинаниями советских времен. Речь пойдет о совсем другом
вовлечении другой общественности.

Для расследования компьютерных преступлений необходимо сотруд"

ничество со стороны потерпевшего, а также со стороны свидетелей. Не"
обходимо как"то узнать о самом факте совершения преступления. В ряде
случаев необходимо получить официальное заявление от потерпевшего.

Свидетели и потерпевшие для компьютерных преступлений – это ча"

ще всего пользователи ЭВМ и профессиональные ИТ"специалисты. По"
терпевшим также часто являются предприятия, от лица которых прини"
мают решения те же ИТ"специалисты. Но среди данной категории граж"
дан не принято обращаться в правоохранительные органы по поводу ин"
цидентов безопасности. И, напротив, при обращении органов к ним они
не склонны сразу идти на сотрудничество, стараются уклониться от дачи
показаний и не ожидают ничего хорошего от такого взаимодействия.

Статистика опросов говорит нам, что до 80% инцидентов безопаснос"

ти попросту скрывается сотрудниками даже от своего начальства, не го"
воря уже о правоохранительных органах.

Общественные связи (пиар)

Полезность общественных связей для раскрытия, расследования, а

также предупреждения преступлений уже никем не ставится под сомне"
ние. В отношении компьютерных преступлений такое утверждение также
справедливо. Особенность в том, что аудитория традиционных СМИ не
вполне соответствует интересующей нас специфической группе – корпо"
ративные ИТ"специалисты, ведущие бизнес в Интернете предпринима"

23

Введение

с компьютером на определенном, предназначенном для него уровне, а
всё, что глубже, ему знать «не положено».

Хакеры на службе?

Отдельного разговора заслуживает тема привлечения киберпреступ"

ников для противодействия другим киберпреступникам – в качестве ра"
ботников служб информационной безопасности или даже сотрудников
правоохранительных органов.

Тот, кто совершает преступления, конечно же, хорошо представляет

себе методы их совершения, лучше видит возможности, уязвимости, зна"
ет психологию киберпреступников, ориентируется на черном рынке со"
ответствующих услуг. Этим он ценен для борьбы с преступностью, свои"
ми знаниями. 

Но знания – дело наживное. Обучить соответствующей специальнос"

ти можно почти любого человека, особенных способностей тут не требу"
ется.

Кроме знаний киберпреступник отличается также специфическими

наклонностями. В их число входит неприятие многих социальных инсти"
тутов, пренебрежение интересами иных лиц и общества в целом. Иногда
также патологическая склонность к антисоциальному поведению [W27].
Если знаниям можно обучить, то подобным наклонностям невозможно
«разучить» человека. Именно поэтому нигде в мире на службу в правоох"
ранительные органы не берут преступников, даже бывших (во всяком
случае, автору такая практика не известна). Их используют в качестве
агентов или консультантов, но не более.

Французская уголовная полиция «Сюртэ» считается самой первой в

мире службой уголовного розыска. Ее основатель и первый руководи"
тель, Эжен"Франсуа Видок был многократно судимым профессиональ"
ным вором. И первый штат, который он набрал, также целиком состоял
из бывших профессиональных преступников [68]. Результаты работы
подразделения Видока впечатляли. Такой статистикой раскрытых прес"
туплений, как у него (811 раскрытых преступлений в год на 12 человек),
не могла похвастаться ни одна спецслужба ни в XIX, ни в XX веке. Это,
пожалуй, единственный удачный пример привлечения бывших уголов"
ников на правоохранительную службу. Для всех последующих полити"
ческих и государственных деятелей лояльность полиции была несравнен"
но важней ее эффективности. Впрочем, и эффективность службы быв"
ших преступников также иногда ставится под сомнение.

Автор также в свое время отдал должное этой идее. Но результаты по"

иска возможностей привлечения хакеров к деятельности по защите ин"
формации оказались неудовлетворительными. Оказалось, что среди ки"
берпреступников попросту нет достаточно квалифицированных кадров.

22

Н.Н. Федотов

Форензика – компьютерная криминалистика

Автор неоднократно сталкивался с ситуацией, когда руководитель

фирмы, пострадавшей от действий кардера*, ассигновал значительные
средства, чтобы содействовать привлечению виновного к ответственнос"
ти. Вовсе не потому, что надеялся получить с осужденного преступника
компенсацию причиненного ущерба. Это далеко не главный мотив. Оп"
равдаться перед клиентами, которые доверили свои персональные дан"
ные, перед акционерами, перед партнерами, компенсировать ущерб де"
ловой репутации фирмы. Предотвратить возможные рецидивы или месть
злоумышленника, который остался безнаказанным. Всё это заставляет
потерпевшее предприятие предлагать свою помощь следствию – инфор"
мацией, техникой, специалистами, разными услугами.

Физические лица, оказывавшиеся потерпевшими, также склонны со"

действовать обнаружению преступника. Автору неоднократно приходи"
лось уговаривать пострадавших ИТ"специалистов отказаться от самосто"
ятельного поиска и наказания преступника, чем они намеревались за"
няться, не веря в возможности правоохранительных органов или просто
не вспоминая об их существовании. Бывали случаи, когда такой специа"
лист не просто оказывал помощь милиции, а фактически преподносил
им на блюдечке раскрытое преступление.

Роль экспертно"криминалистических подразделений

Как можно понять из главы «Привлечение специалистов», роль спе"

циалистов и экспертов при раскрытии и расследовании компьютерных
преступлений является ключевой. Без их участия расследовать такое
преступление невозможно вообще.

Особенность состоит в том, что экспертно"криминалистические под"

разделения правоохранительных органов таких специалистов не имеют.
В текущих условиях минимальная зарплата ИТ специалиста «на граждан"
ке» в разы превышает максимальную зарплату сотрудника экспертно"
криминалистического подразделения в органах внутренних дел, юстиции
или ФСБ. Старых же кадров, на которых держатся другие направления
криминалистики, для форензики попросту не существует, поскольку об"
суждаемая отрасль знания сама по себе очень молода.

Номинальное существование подразделений компьютерно"техничес"

кой экспертизы в некоторых ЭКУ может ввести кого"то в заблуждение,
но только до первой встречи с этими номинальными «экспертами» или их
трудами.

Выход состоит в привлечении к расследованию гражданских специа"

листов и экспертов из числа сотрудников операторов связи, программис"
тов, инженеров по коммуникационному оборудованию, системных ад"
министраторов. Многие из них готовы сотрудничать с органами внутрен"

25

Введение

тели и простые пользователи персональных компьютеров. Для эффек"
тивного взаимодействия с этой аудиторией целесообразно использовать
иные средства – сетевые СМИ, блоги, интернет"рекламу.

В газетах и телепередачах довольно часто рассказывается о совершен"

ных и раскрытых преступлениях. Эти публикации вызывают интерес чи"
тателей и зрителей. Пользуясь таким интересом, правоохранительные ор"
ганы проводят собственные пиар"мероприятия. Но когда в специфичес"
ких онлайновых* СМИ публикуется сообщение о каком"либо компью"
терном преступлении или интервью с представителем правоохранитель"
ных органов на тему киберпреступности, реакция аудитории бывает и не"
гативной. Автор изучил десятки подобных публикаций с комментариями
на них. Положительных и нейтральных отзывов – ничтожное количест"
во. Большинство комментариев либо ругательные, либо ехидные, либо
указывающие на некомпетентность источника в том или ином техничес"
ком вопросе. Совершенно очевидно, что пиар"стратегия для онлайновых
СМИ в отношении компьютерных преступлений должна быть иной, не
такой же, как для традиционных СМИ в отношении традиционных прес"
туплений. Специфика аудитории (высокая квалификация в технических
вопросах) и специфика способа коммуникации (моментальные коммен"
тарии) требуют особого подхода.

Потерпевший

Во многих случаях для расследования компьютерного преступления

бывает очень полезно привлечь потерпевшего.

Классическая виктимология не склонна была рассматривать потер"

певшего как опору следствия и источник существенной помощи (за иск"
лючением предоставления информации). Современная виктимология
сменила точку зрения [62, 63]. Жертва преступления, оказывается, имеет
хороший потенциал и мотивацию для активных действий. Следствию бы"
ло бы неразумно не использовать эти возможности. В рамках закона, ес"
тественно. Ныне зарубежные криминологи рекомендуют привлекать по"
терпевшего к активным действиям по расследованию как данного, так и
других аналогичных преступлений.

Сказанное выше касается традиционных, не компьютерных преступ"

лений. А в нашем случае полезность потерпевшего может быть еще выше.
Для неправомерного доступа к компьютерной информации, корпоратив"
ного мошенничества, кардерства и некоторых других высокотехнологич"
ных видов преступлений потерпевшие (или работники предприятия"по"
терпевшего) имеют достаточно высокую квалификацию в области ИТ.
Часто эта квалификация выше, чем у сотрудников правоохранительных
органов, которые занимаются расследованием. Кроме квалификации
есть и мотивация.

24

Н.Н. Федотов

Форензика – компьютерная криминалистика

ные упреки начальства. Впрочем, начальник, надо отдать ему должное,
хотя и не понимал в компьютерах, хотя и поругивал, но не давал в обиду
своих подчиненных более высокому начальству, прокуратуре и УСБ. До"
сидев наконец до пенсии, он ушел. Понятно, что рассчитывать на повы"
шение единственному грамотному специалисту не стоило – не выслу"
жил положенного срока. Прислали нового начальника. Это был старый
и опытный кадр. Хорошо зарекомендовавший себя на предшествующей
должности – командира конвойного батальона. Учитывая, что до пен"
сии ему оставалось еще долго, знакомый с сожалением покинул службу,
после чего в этом «К» не осталось вообще ни одного сотрудника, знаю"
щего, что такое IP"адрес.

Изучение имеющихся трудов в данной области показало, что значи"

мые книги по компьютерной криминалистике издавались только в
США (см. список литературы). На русском языке вышло несколько
мелких работ [8, 9, 10], при чтении которых автор постоянно испытывал
экстремальные эмоции: над юридической их частью плакал, над техни"
ческой – смеялся. Когда, например, атрибутом файла называют «рас"
ширение, то есть примечание, содержащее не более трех символов», это
смешно. Но когда средство обхода технических средств защиты авторс"
ких прав (ст. 48.1 ЗоАП) объявляют вредоносной программой (ст. 273
УК) – это грустно, и автор сам в период работы над книгой видел на
скамье подсудимых не один десяток людей, поплатившихся собствен"
ной судьбой за такую вольную трактовку законодательства отечествен"
ными «криминалистами».

Вернемся к современному состоянию форензики. Одним из показате"

лей развития является серийный выпуск техники и программного обес"
печения, специально предназначенных для сбора доказательств, для
обеспечения целостности данных при изъятии и исследовании, для дру"
гих подобных характерных задач. Номенклатура подобных средств в спе"
циализированных магазинах Европы включает около десятка типов, да
еще несколько моделей каждого типа. В России такая техника не произ"
водится и даже не закупается.

Другим показателем можно считать наличие общественных или меж"

ведомственных ассоциаций, обществ, иных профессиональных объеди"
нений компьютерных криминалистов или судебных экспертов. Приве"
дем в качестве примера ассоциацию «International Association of Computer
Investigative Specialists» (IACIS). Это общественная организация, базиру"
ющаяся в США, состоящая из сотрудников правоохранительных органов
и занимающаяся преимущественно обучением и просвещением в облас"
ти форензики. Подобных общественных организаций существует нес"
колько. В нашей стране нет ни одной, нет даже отделения зарубежной.
Это говорит о том, что соответствующих специалистов у нас пока мало.

27

Введение

них дел совсем безвозмездно или за... скажем так, на иных взаимно при"
емлемых условиях.

Нечто вроде экспертно"криминалистических отделов существует в

некоторых коммерческих организациях, которым часто приходится про"
водить расследования инцидентов безопасности или которые специали"
зируются на проведении экспертиз по гражданским делам.

Штатным же ЭКО стоит поручать лишь простейшие, типовые виды

компьютерных экспертиз, для которых есть готовые алгоритмы действий
и образцы заключений.

Современное состояние

В развитых странах форензика как прикладная наука существует пол"

ноценно: издан ряд научных трудов, имеются кафедры и учебные курсы,
практические работники при раскрытии компьютерных преступлений
обязаны следовать официальным рекомендациям, написанным соответ"
ствующими специалистами [7].

В прочих (не относящихся к развитым) странах форензика находится

пока в зачаточном состоянии. Россия принадлежит к числу таковых. В то
же время качественные характеристики российских компьютерных спе"
циалистов находятся на передовом уровне, не уступая развитым странам.
Особенности советской системы высшего образования, особенно ее ис"
следовательский уклон в подготовке кадров, привели к тому, что рос"
сийские специалисты отличаются от западных креативностью, способ"
ностью быстро осваивать новые знания, критичностью мышления – это
как раз то, что требуется для успешного совершения компьютерных прес"
туплений и их раскрытия.

Однако привлечение таких специалистов на службу в правоохрани"

тельные органы или на работу в научные криминалистические учрежде"
ния сильно затруднено. Во"первых, уже упоминавшаяся низкая оплата
по сравнению с ИТ"компаниями. Во"вторых, в какой"то мере естествен"
ная инертность научных кругов и медленная смена поколений в научной
и ведомственной иерархии. Все это не позволяет новым специалистам
влиться в криминалистическую науку, а уже существующие работники не
в состоянии переквалифицироваться.

Характерный пример. Некоторое время назад знакомый автора уво"

лился из органов внутренних дел, где он служил оперуполномоченным в
управлении «К» (ранее – УБПСВТ) одного из субъектов Федерации. Он
давно уже жаловался на службу, при этом основная претензия состояла в
том, что все сотрудники управления, кроме него, разбирались в компью"
терной информации крайне слабо. В результате этот знакомый автора
всю работу отдела исполнял сам и в награду выслушивал некомпетент"

26

Н.Н. Федотов

Форензика – компьютерная криминалистика

●

поиск скрытой или стертой информации для борьбы с утечкой конфи"
денциальных данных.

29

Введение

Специальные технические средства

Компьютерный криминалист вполне может обойтись без специаль"

ной криминалистической техники вообще. Компьютер сам по себе – дос"
таточно универсальный инструмент. Среди многообразного периферий"
ного оборудования и программного обеспечения найдутся все необходи"
мые для исследования функции. Некоторые программные инструменты
можно легко создать или модифицировать своими руками.

Однако специальная техника сильно облегчает работу. Впрочем, кар"

маны она облегчает еще сильнее.

На сегодняшний день на рынке имеются следующие криминалисти"

ческие инструменты:

●

устройства для клонирования жестких дисков и других носителей (в
том числе в полевых условиях);

●

устройства для подключения исследуемых дисков с аппаратной бло"
кировкой записи на них;

●

программные инструменты для криминалистического исследования
содержимого дисков и других носителей, а также их образов;

●

переносные компьютеры с комплексом программных и аппаратных
средств, ориентированных на исследование компьютерной информа"
ции в полевых условиях;

●

наборы хэшей (hash sets) для фильтрации содержимого изучаемой
файловой системы;

●

аппаратные и программные средства для исследования мобильных те"
лефонов и SIM"карт [W01, 60, 90];

●

программные средства для исследования локальных сетей;

●

и некоторые другие.

В целях криминалистического исследования можно эффективно при"

менять не только специально для этого предназначенные средства, но
также некоторые средства общего или двойного назначения [W02].

С другой стороны, аппаратные и программные инструменты, кото"

рые автор назвал криминалистическими, могут быть использованы не
только для правоохранительных целей. У них есть и ряд «гражданских»
применений:

●

тестирование компьютеров и их сетей, поиск неисправностей и невер"
ных настроек;

●

мониторинг с целью обнаружения уязвимостей и инцидентов безо"
пасности;

●

восстановление данных, утраченных вследствие неисправностей,
ошибок, иных незлоумышленных действий;

●

копирование носителей с архивными целями или для быстрой инстал"
ляции/дупликации программного обеспечения;

28

Н.Н. Федотов

Форензика – компьютерная криминалистика

Серийно выпускаемое криминалистическое компьютерное оборудование