Компьютерно-техническая экспертиза

Компьютерно-техническая экспертиза исследует устройства, программы и цифровые данные, когда для разрешения спора нужно понять, что произошло с компьютерной системой. Она помогает установить причину отказа оборудования, оценить качество разработки, проверить изменения файлов, переписку и следы доступа. Результат зависит от поставленного вопроса и от того, какие источники доступны: один снимок экрана, образ диска и работающий сервер дают разные возможности.

К нам обращаются при спорах с разработчиком или поставщиком техники, исчезновении рабочих документов, подозрении на передачу корпоративных данных, разногласиях по электронным документам. После предварительного изучения материалов можно получить прогноз: какие обстоятельства, вероятнее всего, удастся установить и что останется неопределённым. Он помогает выбрать объекты и объём работы до полного внесудебного исследования, в том числе когда данные не подтверждают позицию заказчика.

Когда нужна компьютерно-техническая экспертиза

Исследование полезно, если участники спора по-разному объясняют техническое событие. Например, заказчик считает программу неработоспособной, а разработчик связывает ошибки с настройками сервера; сотрудника обвиняют в копировании документов, но в материалах есть лишь запись о подключении флешки. Эксперт проверяет каждое объяснение по доступным объектам и отделяет обнаруженный факт от предположения о его причине.

Исследование помогает разобраться в следующих ситуациях:

• Компьютер, накопитель или сервер вышел из строя: нужно установить состояние, признаки повреждений и возможную техническую причину отказа.
• Программа работает с ошибками или не выполняет согласованные функции: требуется сравнить определённую версию с техническими требованиями и воспроизвести спорный сценарий.
• Документы изменились или исчезли: важно найти сохранившиеся редакции, следы операций и доступные резервные копии.
• Стороны спорят о переписке или электронном документе: необходимо сопоставить файлы, сообщения, вложения и технические сведения об их хранении и передаче.
• Возникло подозрение на копирование рабочих данных или удалённое подключение: проверяются журналы, следы использования носителей, программы доступа и сетевые источники.
• Соединение с сетью нестабильно или существенно медленнее ожидаемого: исследуются оборудование, конфигурация, измерения и условия, в которых проявляется проблема.
• Обнаружена подозрительная программа: нужно установить её функции, признаки запуска и связь с наблюдаемыми изменениями системы.
• Готовое экспертное заключение вызывает сомнения: требуется проверить, достаточны ли материалы и методы для сделанного вывода.

Одна задача нередко затрагивает несколько объектов. Для проверки передачи файла могут понадобиться рабочий компьютер, внешний накопитель и журналы сервера. Их можно исследовать в одной работе, если вопросы и компетенция специалистов позволяют это сделать. Заказывать отдельную услугу для каждого источника без разбора задачи не требуется.

В уголовном, гражданском или арбитражном деле технические выводы помогают установить фактические обстоятельства. Виновность в совершении преступления устанавливает суд. Причастность человека, нарушение договора, незаконность доступа и ответственность оцениваются в соответствующем производстве по совокупности доказательств. Наличие программы удалённого доступа само по себе не доказывает вторжения, как и имя пользователя в журнале не доказывает, что действовал сам владелец аккаунта.

Как выбрать направление исследования

Вид исследования выбирают по вопросу, на который нужен ответ. Название устройства не определяет весь объём работы: ноутбук может быть объектом проверки неисправности, анализа программ или поиска цифровых следов. Основные направления различаются следующим образом:

• Аппаратно-компьютерная экспертиза исследует устройство и его компоненты: характеристики, техническое состояние, дефекты и причины отказов.
• Программно-компьютерная экспертиза проверяет программный продукт, его функции, ошибки, состав и соответствие представленным техническим требованиям.
• Компьютерно-сетевая экспертиза исследует соединения, сетевое оборудование, трафик, настройки и технические следы взаимодействия систем.
• Информационно-компьютерная экспертиза сосредоточена на содержимом данных и следах их создания, изменения, передачи или удаления.

Если задача состоит в проверке защищённости системы, организации доступа и технических причин инцидента, следует рассмотреть экспертизу и аудит информационной безопасности. Для анализа инцидента и проверки текущей защищённости системы нужны разные задания. Испытания, способные изменить систему, заранее согласуют; экспертное исследование не даёт права получать доступ к чужим ресурсам.

Компьютерно-технический эксперт может установить объём реализованных функций и фактически выполненных технических работ. Денежная оценка стоимости системы, работ или ущерба требует соответствующей оценочной либо экономической компетенции. Если нужны оба вида выводов, рассматривают исследование с участием специалистов разных профилей. Смысл угроз или оскорбительных высказываний исследует лингвист, а обстоятельства съёмки и признаки монтажа изображения могут потребовать фототехнического исследования. Компьютерно-техническая экспертиза в таких случаях исследует цифровой источник и технические следы; смежную экспертизу она не заменяет.

Какие объекты и материалы нужны

Сначала опишите спорное событие, период и то, что требуется установить. Это позволяет выбрать источники и не передавать всю информационную систему ради одного файла. Если судебная экспертиза уже назначена, состав предоставляемых объектов и дополнительные материалы определяет назначивший орган; эксперт заявляет ходатайство, когда данных недостаточно.

В зависимости от задачи исследуются следующие объекты:

• Системные блоки, ноутбуки, рабочие станции, серверы и их комплектующие.
• Жёсткие диски, твердотельные накопители, флешки, карты памяти, оптические диски и архивные носители.
• Смартфоны, планшеты и иные устройства с доступными цифровыми данными.
• Маршрутизаторы, модемы, коммутаторы и другие элементы сети вместе с доступными настройками и журналами.
• Программные дистрибутивы, исполняемые файлы, исходный код, конфигурации, базы данных и тестовые среды.
• Документы, изображения, аудио- и видеозаписи, электронная почта, сообщения и вложения.
• Образы носителей, резервные копии, облачные выгрузки, журналы событий и другие сведения о работе системы.

Для первого обращения достаточно описания задачи и перечня того, что сохранилось. Отсутствие исходного устройства не всегда исключает исследование: иногда вопрос решается по копиям, журналам и резервным данным. Но источник, пригодный для сравнения текста, может оказаться непригодным для установления истории удаления или состояния диска. Специалист объяснит, на что можно ответить сейчас и какие материалы стоит запросить.

Обычно полезно подготовить документы и сведения, связанные с объектом:

• Определение суда или постановление о назначении экспертизы, если она назначена, либо описание внесудебной задачи и предлагаемые вопросы.
• Перечень устройств и файлов, их обозначения, сведения о владельце и основании доступа к данным.
• Договор, техническое задание и согласованные изменения, акты, переписку о приёмке и сообщения об ошибках — для спора о разработке или поставке.
• Сведения о версиях программ, конфигурации, обновлениях, ремонте и условиях, в которых проявляется неисправность.
• Описание получения копий: кем, когда, с какого источника и каким способом они сделаны; документы передачи и контрольные суммы, если они уже вычислены.
• Известные журналы и резервные копии за нужный период, сведения о часовом поясе и настройке времени системы.

Оригинал, образ носителя и копии файлов

Копирование отдельных документов сохраняет их содержимое, если выполнено без преобразования, но не переносит весь контекст носителя. В такой выборке могут отсутствовать удалённые области, сведения файловой системы и следы работы других программ. Образ — копия доступного содержимого носителя — даёт больше возможностей, однако его получение и состав тоже нужно описывать: повреждения, шифрование и особенности устройства могут ограничить чтение.

Обычный снимок экрана показывает видимую часть интерфейса. Он может быть полезен для постановки задачи и фиксации наблюдаемого состояния, но сам по себе не подтверждает полноту переписки, источник сообщения или отсутствие редактирования. Для проверки по возможности сохраняют сами файлы, сообщения в доступном исходном формате, вложения и сведения о способе выгрузки. Если остались только скриншоты, вывод строится с учётом этого ограничения.

Не переименовывайте и не пересохраняйте исходные файлы ради удобства передачи. Если копии уже готовили, объясните, что именно делали: переносили между папками, экспортировали из приложения, пересылали через мессенджер или переводили в другой формат. Такие операции по-разному влияют на содержимое и метаданные — сведения о файле, например о времени и устройстве его создания. Сам факт копирования не означает, что все сведения о файле утрачены.

Серверы, облака и работающие системы

При исследовании облачного сервиса важно знать, что входит в выгрузку и чего в ней нет. Экспорт текущих записей не всегда содержит историю изменений, журналы доступа и удалённые элементы. Данные стороннего сервиса получают на законном основании: используя доступ уполномоченного владельца или предусмотренный сервисом экспорт либо в установленном процессуальном порядке. Эксперт не располагает автоматическим доступом к сведениям оператора связи или владельца платформы.

Для действующего сервера согласуют порядок фиксации состояния и безопасной работы. Остановка может затронуть пользователей. При копировании без остановки данные могут меняться, поэтому копия не всегда отражает состояние системы в один момент. Следует указать период получения, задействованные средства и выявленные ограничения. Если нужна проверка программы, её по возможности проводят в отдельной воспроизводимой среде, а отличия испытательной среды от рабочей системы описывают в исследовании.

Как сохранить данные до передачи

После обнаружения проблемы данные продолжают меняться: журналы перезаписываются, синхронизация обновляет файлы, программа очистки удаляет остаточные сведения. При этом универсальная команда «немедленно выключить» тоже опасна: можно потерять данные в оперативной памяти, действующий доступ к зашифрованному хранилищу или важную сетевую сессию. Решение об отключении питания и сети зависит от состояния объекта и риска дальнейшего изменения.

До согласования действий со специалистом полезно придерживаться следующих правил:

• Запишите, когда и при каких обстоятельствах обнаружили проблему, какие устройства затронуты и какие действия уже предпринимались.
• Не устанавливайте на исследуемый носитель программы восстановления, очистки и диагностики; не форматируйте и не переустанавливайте систему.
• Не открывайте подозрительные файлы и не запускайте подозрительную программу ради самостоятельной проверки.
• Защитите имеющиеся резервные копии и доступные журналы от плановой перезаписи, согласовав способ с ответственным администратором.
• Не меняйте без необходимости состояние включённого или заблокированного устройства; сообщите специалисту о питании, подключениях и шифровании.
• Ограничьте доступ посторонних и зафиксируйте передачу объекта; для повреждённой техники согласуйте упаковку и перевозку до включения.

Если инцидент продолжается и угрожает работе организации, сохранение следов нужно согласовать с ответственным за безопасность и непрерывность работы. Зафиксируйте вынужденные защитные действия, их время и исполнителя. Эксперт должен знать о перезагрузке, изоляции, восстановлении из резервной копии и ремонте: это влияет на объяснение того, какие следы сохранились.

При первом обращении не отправляйте пароли, секретные ключи и массивы чужих персональных данных через обычную форму. Сначала согласуйте полномочия передающего лица, состав материалов, способ передачи и доступ специалистов. До передачи уточните срок хранения, меры защиты данных, порядок возврата устройств, предоставления копий и обращения с материалами после исследования. Эти условия согласуют заранее.

Как проводится исследование и проверяется вывод

Методы выбирают под вопрос и состояние объекта. Экспертиза неисправной платы требует иной работы, чем сравнение версии программы с техническим заданием или восстановление хронологии файлов. В исследовательской части описывают полученные данные, проверки и связь обнаруженных признаков с выводом. Фиксируют версии и значимые настройки исследовательских инструментов, а ключевые результаты проверяют сопоставлением источников или другим подходящим способом.

Приём, фиксация состояния и получение копий

При приёме описывают объект, его идентификационные признаки, комплектность, упаковку и видимое состояние. Для файлов и образов фиксируют источник, состав и способ передачи. Если устройство ранее включали, ремонтировали или исследовали, эти сведения важны для оценки изменений между спорным событием и текущим состоянием.

Когда это возможно и соответствует задаче, анализ проводят по исследовательской копии, используя средства ограничения записи и контрольные суммы. Хеш — результат вычисления по заданному набору байтов; его сравнение помогает проверять целостность этого набора при копировании и последующем хранении. Совпадение хешей не устанавливает, кто создал файл, правдив ли его текст и что происходило до получения копии.

Нельзя обещать неизменность всей системы при любом способе доступа. На работающем устройстве меняются память, журналы и служебные данные; получение данных с мобильного устройства также может требовать действий с ним. Специалист обосновывает способ получения, фиксирует существенные операции и сообщает, какие изменения или непрочитанные области способны повлиять на ответ. Блокиратор записи не устраняет все внутренние процессы накопителя.

Устройства, программы и сеть

В аппаратном исследовании сопоставляют состояние компонентов, признаки повреждений, параметры работы и историю эксплуатации. Замена детали или удачный запуск после ремонта не всегда объясняют первоначальную причину отказа. Для проверок, способных повредить объект или изменить его свойства, нужно разрешение; действия документируют.

При исследовании программы фиксируют версию, настройки, входные данные и окружение, затем проверяют заданные сценарии. Ошибка, воспроизводимая лишь с определённой базой или библиотекой, отличается от дефекта, проявляющегося при всех допустимых настройках. Чтобы оценить соответствие программы требованиям, нужно знать, где они зафиксированы, и сопоставить с ними результаты проверки; само наличие технического задания не доказывает нарушение договора.

Сетевые данные проверяют вместе с конфигурацией оборудования и условиями измерения. Низкая скорость одного теста может зависеть от радиосигнала, загрузки канала, удалённого сервера или фонового обмена. Эксперт разграничивает влияние этих факторов, насколько позволяют материалы. Измеренное сегодня состояние нельзя автоматически переносить на прошлый спорный период.

Файлы, переписка и последовательность событий

Содержимое сопоставляют с метаданными, журналами, резервными копиями и сведениями других источников. Дата изменения в свойствах файла может относиться к сохранению программой, копированию или восстановлению. Для хронологии учитывают часы устройств, часовые пояса, автоматические операции и различия между временем события и временем его регистрации.

При работе с перепиской важны сообщения до и после спорного фрагмента, вложения и доступные сведения об отправке и получении. Имя в адресной книге или подпись в окне приложения не удостоверяют личность отправителя. Эксперт сопоставляет технические идентификаторы в представленных источниках и объясняет, какие дополнительные данные нужны для интерпретации.

IP-адрес, имя аккаунта и запись о подключении устройства характеризуют технический контекст. Один аккаунт может использоваться несколькими людьми или автоматическим заданием, а адрес — относиться к общему выходу в сеть. Поэтому обнаруженную операцию нельзя без дополнительного исследования приписывать конкретному человеку. Отсутствие записи в журнале также не доказывает отсутствие события, если журнал не охватывает нужный период.

Удалённые данные, шифрование и подозрительные программы

Восстановление возможно, если необходимые данные или их копии сохранились и доступны. Результат зависит от перезаписи, состояния памяти, структуры файловой системы и шифрования. На твердотельных накопителях обработка команды TRIM и внутренняя очистка могут сделать удалённые области недоступными. Число прошедших дней само по себе не даёт достоверного прогноза восстановления.

Пароль устройства не следует путать с ключом шифрования. Наличие оборудования для извлечения данных не означает возможность прочитать любую защищённую систему. Законно доступные ключи, резервные копии и уже расшифрованные данные могут изменить объём исследования; если доступа нет, это ограничение указывают, не обещая обход всех защит.

Подозрительный файл проверяют по структуре, коду и поведению в подходящей изолированной среде. Срабатывание антивируса служит поводом для проверки, но не заменяет исследование функций. Нужно различать возможности программы, факт её запуска и связь с конкретным событием: инструмент удалённого администрирования может использоваться как законно, так и для постороннего доступа.

Предварительный прогноз и выбор формата работы

При обсуждении заявки определяют профиль специалиста, материалы и предлагаемые вопросы. Содержательный прогноз возможен после просмотра достаточного объёма данных: эксперт оценивает вероятный результат, степень его определённости и ограничения. Для такого прогноза может потребоваться предварительная техническая работа; его глубину, стоимость, срок и форму результата согласуют отдельно.

Прогноз может быть благоприятным для заказчика, неблагоприятным или показывать, что определённого ответа получить не удастся. Например, сохранившаяся копия позволяет сравнить текст, но не установить удаление файла с исходного диска. Это полезно узнать до полного исследования. Новые материалы и проверка альтернативных объяснений могут изменить прогноз; окончательные ответы появляются после завершения всей работы.

Формат выбирают с учётом того, кто ставит задачу и как будет использоваться результат:

• Судебная экспертиза проводится по определению или постановлению уполномоченного органа. Он определяет окончательные вопросы и предоставляет материалы в установленном порядке.
• Внесудебное исследование заказывают для технического разбора, переговоров, подготовки позиции и последующего представления документа. Возможность его использования и процессуальный статус оцениваются в соответствующем производстве.
• Рецензирование проверяет уже выполненное исследование: достаточность источников, применимость методов, связь результатов с выводами. Оно не заменяет новое исследование объектов.
• Консультация или справка помогает разобрать техническую проблему и материалы в согласованном объёме. Её содержание и оформление нужно соотнести с задачей; устное объяснение не заменяет заключение эксперта.

Назначенный судом или органом расследования эксперт не даёт одной стороне частный прогноз по переданному объекту и не получает от неё дополнительные материалы напрямую. Предложения об уточнении задания и новые источники направляются через назначивший орган. Письмо для решения вопроса о назначении может содержать сведения о специалисте, возможности исследования, материалах, сроке и стоимости, но не вывод по существу дела.

Примеры вопросов на экспертизу

Окончательный круг вопросов судебной экспертизы определяет суд или иной назначивший орган. Участники могут предложить свою редакцию, а специалист — пояснить, какие технические обстоятельства можно исследовать и какие источники для этого нужны. Если вопрос требует уточнения, назначенный эксперт обращается в установленном порядке, не подменяя полученное задание собственным.

В предложениях полезно назвать объект, период и проверяемую операцию или характеристику. Выберите вопросы, связанные с вашей ситуацией; подробные перечни по устройствам, программам, сети и цифровым данным приведены на страницах этих направлений. Возможные примеры:

• Какие технические неисправности имеются у представленного устройства и какие признаки позволяют судить об их причинах?
• Выполняет ли представленная версия программы указанную функцию при заданных входных данных и условиях работы?
• Соответствуют ли выбранные функции представленной версии программы указанным требованиям технического задания?
• Какие документы заданного содержания обнаружены в доступных областях представленного носителя, включая сохранившиеся удалённые данные?
• Какие различия имеются между представленными редакциями электронного документа и какие следы изменений сохранились?
• Какие сведения о передаче указанных файлов отражены в представленных журналах и на исследуемых носителях за заданный период?
• Какие сетевые подключения отражены в доступных источниках и с какими устройствами или учётными записями они технически связаны?
• Что содержится в представленной переписке за указанный период и какие технические сведения об отправке, получении и вложениях можно проверить?
• Какие функции выполняет представленная программа и какие следы её запуска обнаружены в исследуемой системе?
• Какую последовательность технических событий можно установить по представленным источникам и какие ограничения влияют на определённость ответа?

Вопрос «кто виноват в утечке» соединяет техническое событие и правовую оценку. Для исследования можно предложить проверить конкретные файлы, операции передачи, время и идентификаторы; вывод об ответственности принимает уполномоченный орган. Так же различаются проверка функций программы и решение о нарушении договора, признаки изменения документа и оценка его доказательственного значения.

Что содержит результат и как его используют

Заключение должно позволять проследить путь от источника к ответу: какие объекты получены, как зафиксировано их состояние, какие методы применены, что обнаружено и какие объяснения проверены. Для цифровых материалов важны обозначения файлов, состав копий, сведения о получении и целостности данных. Иллюстрации, таблицы и электронные приложения помогают показать результаты, но не заменяют объяснение вывода.

Ответ может подтверждать обстоятельство, исключать его в пределах исследованных данных либо указывать на невозможность определённого вывода. Если информация не сохранилась или материалы неполны, это нужно отличать от утверждения, что событие не происходило. Воспроизводимость означает возможность проверить существенные действия и основания интерпретации, а не обещание восстановить прошлое состояние любой системы.

Общие правила исследования изложены в обзоре Федерального закона от 31.05.2001 № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации». Отдельные его положения распространяются на негосударственных судебных экспертов; порядок назначения, права эксперта и оценка результата зависят также от конкретного судопроизводства. В гражданском деле соответствующие вопросы рассматриваются по нормам ГПК РФ об экспертизе; в арбитражном и уголовном производстве действуют правила соответствующих кодексов.

Суд оценивает заключение вместе с другими доказательствами: ни название организации, ни выбранный метод не придают документу заранее установленной силы. Во внесудебной работе с заказчиком согласуют порядок выдачи, состав приложений и передачу восстановленных файлов, образов или иных копий, если они входят в результат; в назначенной экспертизе заключение направляют назначившему органу. Если нужны пояснения эксперта, вопрос об их процессуальной форме решают в установленном порядке.

При сомнениях в готовом заключении можно заказать рецензию на заключение компьютерной экспертизы. Для проверки нужны полный документ с приложениями и доступные материалы, на которых основаны выводы. Рецензент описывает конкретные недостатки или подтверждает достаточность исследования; решение о дополнительной либо повторной экспертизе остаётся за судом или иным уполномоченным органом.

Стоимость, сроки и обращение

Ориентировочная стоимость судебной экспертизы — от 100 000 ₽, срок — от 10 рабочих дней; для внесудебного исследования — от 100 000 ₽ и от 10 рабочих дней; для рецензирования — от 80 000 ₽ и 10 рабочих дней; для консультации и справки — от 20 000 ₽ и 2–3 рабочих дня. В блоке ниже показаны четыре формата с действующими условиями. Итоговый объём, цену и срок определяют после знакомства с заданием и доступными объектами.

На расчёт влияют число устройств, объём и состояние данных, количество версий программы, набор проверяемых функций, необходимость восстановления, шифрование, выезд и организация испытательной среды. Исследование большого диска не всегда сложнее проверки одного небольшого файла: трудоёмкость зависит и от требуемой точности ответа, сопоставления источников и проверки альтернативных причин.

Дистанционная работа возможна, когда вопрос решается по надлежащим образом предоставленным электронным материалам. Если нужно проверить физическое состояние устройства или получить недоступные данные с носителя, может понадобиться его передача либо осмотр на месте. Срочность согласуют с учётом необходимой последовательности проверок, доступности специалиста и рисков потери данных; она не означает сокращения обязательного исследования.

В обращении опишите, что произошло, за какой период нужен ответ, какие устройства и материалы сохранились и назначена ли экспертиза. Если имеются определение суда, техническое задание или готовое заключение, сначала сообщите об их наличии и согласуйте передачу. Связаться с АНО «Судебный эксперт» можно по телефону 8 (800) 333-24-09 или через форму на странице: специалист поможет определить направление и следующий шаг.