Добрый день. Мы с вами уже рассматривали технологии точного проведения компьютерной экспертизы. Такие нюансы, как правила первоначального осмотра компьютерной техники и его протоколирования. Правила подготовки техники к перемещению, правила анализа информации на разных носителях, и другие. Рассматривали вопросы КТЭ в отношении таких сегментов как хард и софт.
Сегодня наша тема – это вопросы, которые используются экспертами во время проведения исследований компьютерных систем, носителей информации, и самой информации разного типа. Сюда же включены вопросы, относящиеся к работе с защищенными данными. Эти вопросы компьютерно-технической экспертизы дадут понять, какие задачи она в частности может решать.
Конечно, на практике круг вопросов, решаемых в АНО «Судебный эксперт», может быть больше и гораздо больше. Наши специалисты, следуя алгоритмам анализа полученных сведений, сотрудничая с другими специалистами и следствием, могут помогать вам в самых различных случаях. Часто данные, получаемые в результате ответов на основные вопросы, служат лишь основой исследования.
В качестве компьютерных данных экспертиза изучает любую информацию аппаратных и вычислительных частей компьютерных систем. Все виды файлов прикладных и пользовательских программ, системных файлов, специальных и профессиональных программ, базы данных, все виды мультимедийных файлов. Само программное обеспечение, операционные системы, оболочки и интерфейсы. Информацию, расположенную на различных носителях, хранящих данные в цифровом виде.
Темы для вопросов КТЭ (компьютерно-технической экспертизы) в отношении изменения данных
В отношении компьютерных данных, компьютерной информации и любого содержимого жестких дисков и других носителей и компьютерных систем применяются следующие вопросы:
Для разных типов компьютерных данных и файлов решается вопрос о том, каков тип обнаруженных или рассматриваемых данных, и каково их обеспечение с точки зрения программных средств. Какие программы и программные средства работают с этими типами данных и файлов.
Сюда же могут относиться ситуативные вопросы о том, находятся ли на исследуемой компьютерной системе (носителе) программные средства, которые должны отвечать за использование этих данных. Если да – то какова хронология использования, создания, редактирования интересующих экспертизу или любых данных на этой компьютерной системе с помощью этих программ. И вот эти вопросы:
- каковы подробности изменения, удалений, перемещений, публикаций данных, файлов и сведений на этой компьютерной системе.
- Какими пользователями на этой компьютерной системе (в дальнейшем КС) производились действия с файлами, все или интересующие экспертизу.
- Какие действия на этой КС производились с программным обеспечением, было ли оно модифицировано, изменено, удалено, установлено за определенный период времени.
- Кем из пользователей КС производились манипуляции с программным обеспечением.
- Какие изменения в составе и состоянии ПО и КС были произведены в результате действий, производимых с программным обеспечением.
- Какие произошли изменения в возможностях и функциональности программ и операционной системы на этой КС в результате действий пользователей.
Темы для вопросов о свойствах и атрибутах сведений, содержащихся на носителях информации. Об их защите
Отдельной областью интереса экспертов являются носители данных. Происходит исследование и классификация носителей данных любого типа. Происходит исследование данных как содержания определенных носителей – с точки зрения обследования носителей. Такой тип постановки вопросов имеет свое собственное значение при проведении некоторых исследований. Вот вопросы для исследования различных носителей и данных, которые мы на них обнаруживаем:
- какого типа форматирование имеет носитель и каковы параметры записи на него информации.
- Как с точки зрения характеристик можно описать логическое и физическое размещение сведений на носителе.
- Каким является доступ к информации, находящейся на носителях – закрытым, ограниченным или свободным, или архивным доступом.
- Каковы более детальные характеристики имеющегося доступа ко всей информации или к разным частям информации на носителе.
- Имеются ли на носителе информации средства для защиты данных, которые на нем находятся.
- Какие средства защиты данных имеются на носителе, и какими свойствами и возможностями они обладают.
- Какие именно сведения, данные и файлы защищены на носителе с помощью средств защиты. Если разные материалы защищены разными средствами или степенями защиты, то какова эта разница и эти параметры.
- В каком установленном режиме находятся средства защиты данных, как можно обойти эти средства защиты, и были ли уже применены способы такого обхода.
- С какой целью была преодолена защита сведений, и какие изменения и операции с данными были совершены после преодоления этой защиты.
Еще некоторые вопросы к данным, которые мы обнаруживаем и исследуем на носителях информации
- Что можно рассказать об атрибутах – таких, как стандартные атрибуты файлов определенного типа и общие атрибуты, даты и время изменений, сохранений, создания, удаления.
- Что можно сказать о параметрах, относящихся ко времени и характеру действий с данными.
- Для выполнения каких задач могут использоваться данные, и что можно сообщить об их потребительских свойствах.
- В отношении определенной задачи – есть ли на носителе информации средства для ее решения, и если есть – то какие.
- Можно ли найти отличия между состоянием и составом данных на момент экспертизы с типовым состоянием данных и программ.
- Какие могут быть найдены отличия между типовым представлением и нынешним состоянием данных в областях вредоносных включений или включений, изменяющих возможности и функции, в области нарушения оригинального состава и целостности, формата и других параметров данных и программ.
- Если экспертизе и следствию были представлены какие-то образцы и фрагменты данных, то какие части этих данных и в каком виде можно обнаружить на исследуемых носителях и компьютерных системах.
- Можно ли обнаружить на носителе информации сведения и данные, имеющие отношение к рассматриваемым следствием делам и вопросам.
- Какие из обнаруженных сведений, находящихся на носителях, можно отнести к рассматриваемому делу.
В этой области могут рассматриваться еще многие детали и промежуточные вопросы, относящиеся к конкретному делу, и могущие возникать в процессе расследования. Очень важной областью считаются исследования действий пользователей с разным доступом на исследуемых нами носителях и компьютерных системах.
Вопросы о действиях пользователей с данными и конкретной компьютерной системой. О подробностях эксплуатации компьютеров и данных
- Что можно узнать у объектов наших исследований о том, кто создавал, использовал, модифицировал информацию, кто и как с ней работал, и какие получал результаты.
- Специальные личные сведения, такие как имена, пароли и другая информация для прав доступа и редактирования, управления данными, программами и компьютерными системами – можно ли их найти.
- Какие есть на компьютере следы операций и действий с информацией, программами и файлами.
- Насколько соответствует или не соответствует принятым регламентам и правилам, общим и каким-то конкретным (в организации, например), обращение с информацией и компьютерными системами за время, предшествующее КТЭ.
- Если мы с вами (компьютерная экспертиза) рассматриваем события, то имеется ли причинная связь между этими событиями и действиями, которые производились на исследуемых компьютерах и с находящимися на них данными.
- Также в отношении событий, которые мы рассматриваем, и действий, которые явились их причиной: какова была временная и событийная последовательность действий, предпринятых для получения определенных результатов, которые мы рассматриваем.
- Отражается ли в найденных данных механизм действий, приведший к получению определенных результатов.
- До того, как данные или программы в компьютерной системе или на носителе информации были модифицированы, удалены, использованы или изменены, каким было их первоначальное состояние.
Вот так, и углубляясь в более детальные вопросы в каждом конкретном случае, специалисты АНО «Судебный эксперт» и других полноценно подготовленных организаций, системно рассматривают данные любого рода.
Направления вопросов для экспертного исследования устройств или целостных компьютерных систем, или частей и компонентов КС
Подвергаются исследованию и сами компьютерные системы, как аппаратно-программные комплексы, полные и неполные, и их части. Объект исследования при этом рассматривается с другой стороны, не так, как рассматривается информация. Для такого исследования как базовые используются следующие темы вопросов:
- можно ли оборудование, представленное экспертам, охарактеризовать как компьютерную систему.
- Рассматривается, представлена на экспертизу целостная компьютерная система, или только ее часть.
- Для компонентов компьютерной системы и\или для КС в целом, определяются характеристики сборки, характеристики отдельных составляющих, тип и марка КС и\или компонентов, характеристики изготовления компонент и всей системы.
- Определяется – компьютерная система является типовой, или специальной, или расширенной, настроенной, или произведенной, или собранной для выполнения каких-то специальных задач. Каковы потребительские функции устройства или КС.
- Какие задачи на практике решает КС или устройство, и какие функции выполняет. Какие задачи может выполнять объект экспертизы.
- Есть ли у объекта исследования особо выраженные отдельные потребительские свойства и в чем они заключаются.
- Относительно конкретных, определенных задач – может ли эта система или устройство выполнять указанные задачи.
- Можно ли найти в этой системе специальные сервисные недокументированные возможности, какие они, используются ли они, и для чего они могут использоваться.
- На момент проводимых исследований – может ли система выполнять свои функции, и находится ли она в рабочем состоянии.
- Разные режимы использования и эксплуатации – есть ли они в рассматриваемой системе, и каков их перечень. Какой из режимов задействован в настоящий момент. В каком состоянии находятся эксплуатационные настройки устройства или КС.
Кроме этих вопросов при исследовании компьютерных систем и компьютерных устройств рассматриваются такие вопросы, как следы, механизм, хронология и результаты работы этих систем в локальной или всемирной сети.
Рассматриваются сеансы работы с системами и устройствами разных пользователей. Учетные записи пользователей, информация о них, их данные, записи об их работе. Результаты их работы, и возможные пути применения их работы, их возможные и действительные результаты. Много внимания уделяется в большинстве случаев изучению систем защиты.
Для каждого расследования эксперты работают по тем или иным направлениям вопросов – важна, как и в других видах экспертных работ, их верная постановка. Для этого в АНО «Судебный эксперт» проводятся консультации с заказчиками. После правильной постановки вопросов и целей экспертных исследований, после изучения вашего случая, эксперты работают в выбранном направлении.
Чтобы пройти бесплатные консультации, и воспользоваться всеми возможностями современной независимой компьютерно-технической экспертизы, вы можете обратиться к нам в любой момент по телефону, по электронной почте, по факсу, через форму обратной связи. В АНО «Судебный эксперт» есть опыт работы со сложными случаями, с арбитражными судами, судами, со следствием, и с заказчиками разного уровня и типа – поэтому мы ждем вас для того, чтобы помочь в разрешении любых ситуаций!
