73 УПК РФ, подлежащие доказыванию, так и уровень надежности компьютерных средств защиты, используемое программное обеспечение, использование лицензионной продукции, соответствие лицензионной продукции параметрам выданного сертификата, регулярность обновления баз защитных программ, спецификация "пораженного" объекта (модель и показатели персонального компьютера, количество и местоположение компьютеров, объединенных в систему или сеть), количество и персональный состав лиц, имеющих правомерный доступ к компьютеру, лиц, осуществляющих функцию администратора, наличие и персональный состав иных лиц, владеющих компьютерными технологиями и обладающих необходимыми навыками, наличие локальной сети или доступа в Интернет, порядок осуществления смены паролей, порядок хранения и утилизации "отходов" и т.д.
45.2.Типичные следственные ситуации по делам
окомпьютерных преступлениях
Типичные следственные ситуации по данной категории преступлений можно классифицировать по различным основаниям.
По источнику информации выделяют ситуации, когда:
-преступление обнаружено самим пользователем;
-преступление обнаружено в ходе оперативно-розыскной деятельности;
-преступление обнаружено в ходе прокурорских проверок;
-преступление выявлено при проведении ревизии;
-преступление обнаружено в ходе производства следственных действий по другому уголовному
делу.
Наименьшим объемом информации характеризуется первая ситуация, наибольшим - последняя. Вообще в зависимости от объема информации, имеющейся в распоряжении следствия, можно
выделить такие ситуации, как:
-отсутствует информация о способе, мотивах, личности злоумышленника, известны только последствия преступного деяния;
-известны способ, мотивы и последствия преступного деяния, но неизвестна личность злоумышленника;
-имеется информация и о способе, и о мотивах, и о личности злоумышленника.
Взависимости от имеющейся у следствия информации проводится предварительная проверка, в ходе которой должны быть получены: документы, обусловливающие права потерпевшего на компьютерную технику или компьютерную информацию, подвергшуюся атаке; документы, отражающие неправомерно совершенную операцию.
Впервых двух ситуациях целесообразно строить расследование по следующей схеме: опрос заявителя и свидетелей - осмотр места происшествия с участием специалистов - проведение ОРМ для установления причин преступления, выявления злоумышленников - допрос свидетелей и потерпевших - выемка и изучение компьютерной техники и документации - задержание злоумышленника - допрос подозреваемого - обыски по месту жительства и работы - назначение и производство судебных экспертиз.
Втретьей (максимально информативной) ситуации схема может быть несколько иная: изучение материалов предварительной проверки и возбуждение уголовного дела - осмотр места происшествия - задержание злоумышленника - допрос подозреваемого - обыски по месту жительства и работы подозреваемого - допросы потерпевших и свидетелей - выемка компьютерной техники и документации - назначение экспертиз.
45.3.Особенности первоначального этапа расследования
Одним из самых важных следственных действий на первоначальном этапе расследования компьютерных преступлений является осмотр места происшествия. К проведению осмотра необходимо привлекать специалистов. Первейшей задачей осмотра является определение местонахождения всех компьютеров, объединенных в систему или сеть. Местоположение компьютеров фиксируется в протоколе и отмечается в составленной схеме. В схеме также фиксируется "иерархия" соединений (одноранговая сеть, компьютеры-администраторы и компьютеры-пользователи и т.д.). Определяются способы объединения (локальная сеть, прямое подключение и т.д.). Выявляются способ связи компьютеров (сетевой кабель связи, контакт через ИК-порты, контакт через выход в Интернет и т.д.), аппаратура, используемая для связи компьютеров, нахождение на момент осмотра. Проверяется нахождение компьютера "в сети" или индивидуальная работа, а также конкретный домен или компьютер,
с которым осуществляется контакт. Исследуются кабельные соединения сети на предмет проверки их целостности и определения посторонних включений. Выясняется политика администрирования сети (с какого терминала осуществляется управление). Дальнейший осмотр отдельных персональных компьютеров желательно начинать с компьютера-сервера (администратора сети).
При осмотре персональных компьютеров фиксируется выведенная на дисплей информация (желательно не только описать ее, но и сфотографировать), определяется работающая на момент начала осмотра программа (работающие программы). Выполнение программы должно быть остановлено и зафиксирован результат остановки выполняемой программы. Осматриваются и описываются в протоколе (а также могут быть сфотографированы) подключенные к компьютеру внешние устройства (внешние модемы, сканеры, принтеры, web-камеры и т.д.). Определяются тип и модель компьютера и периферийных устройств, проверяется возможное использование внешних накопителей (внешних винчестеров, "флэшек"). Проверяется наличие в дисководах дискет и дисков. При наличии принтера желательно распечатать "дерево каталогов" (перечень каталогов, содержащихся в компьютере). Некоторые авторы (например, Е.С. Лапин, А.Н. Иванов)*(218) предлагают обязательный запуск при осмотре компьютера антивирусных программ, однако нам представляется, что такая проверка не всегда возможна: проверка антивирусными программами пользователя необязательно даст необходимый результат, поскольку у пользователя могут быть устаревшие антивирусные базы; запуск программы с переносного диска серьезно замедляет антивирусную проверку; большой объем винчестера и большое количество файлов на винчестере приведут к слишком продолжительной проверке; вирусы зачастую в первую очередь поражают системную область диска и антивирусные программы. Поэтому нам кажутся возможными осмотр компьютера без антивирусной проверки и последующая загрузка со "спасательной" дискеты. Информация, содержащаяся на компьютере, может быть скопирована на переносные винчестеры. В любом случае копируются на носители системные файлы и файлы протокола (log-файлы). Обязательно проверяются базы программ online- и offlineсетевого общения (электронная почта, mail-агенты, ICQ и т.д.).
Проверяется наличие классических трасологических следов (микрочастиц, следов рук и т.д.). Наиболее вероятные места обнаружения данных следов - клавиши включения и перезагрузки компьютера, кнопки периферийных устройств, клавиатура, розетки, кнопки дисководов и выдвижения дискет, передняя поверхность системного блока, мышь и т.д.
В протоколе фиксируются все манипуляции, произведенные с компьютерными устройствами. Проверяется возможность отключения компьютера без повреждения обрабатываемых файлов.
При отключении компьютеров сети в первую очередь отключается компьютер администратора.
Перед изъятием должен быть решен вопрос об изъятии компьютера целиком или изъятии только жесткого диска компьютера с сохранением на нем данных оперативной памяти. Изымать компьютер целиком (и системный блок, и монитор, и периферийные устройства) желательно, когда исследованию должен быть подвергнут весь компьютер; когда на компьютере установлено уникальное аппаратное обеспечение, с которым связано программное обеспечение (работа компьютера возможна только при его определенной комплектации); когда пользователем установлен пароль на вход (имеется в виду пароль в BIOS); на месте производства следственного действия нет возможности копирования информации жесткого диска и в некоторых иных случаях. При упаковке компьютерной техники фиксируется схема соединений, опечатываются кнопки и разъемы. Каждое устройство упаковывается отдельно в фиксированном положении во избежание повреждений.
Кроме компьютерных устройств, осматриваются и изымаются носители информации: диски, дискеты, съемные винчестеры, "флэшки" и т.д. Описываются их тип, модель, внешний вид, наличие фирменных обозначений, содержащаяся информация, наличие следов пальцев на поверхности носителя. Каждый носитель упаковывается отдельно.
Следует отметить, что любую компьютерную технику и носители следует оберегать от влажности, воздействия высоких или низких температур, электромагнитных полей и т.д.
При осмотре электронных документов определяются их местонахождение (конкретный носитель
и"адрес" на носителе, атрибуты файла (архивный, скрытый, системный и т.д.), формат (doc, rtf, html, txt
ит.д.), объем файла, время создания и изменения. Далее включается соответствующая программная оболочка (WordPad, Word и т.д.), в которой и открывается файл. В открытом документе изучается содержащаяся информация (по критериям, аналогичным исследованию письменной речи).
Допросы потерпевших и свидетелей. При расследовании данной категории преступлений может быть допрошено руководство организации, на компьютерную технику или компьютерную информацию которой было осуществлено посягательство, или индивидуальные пользователи, технический (программисты, системные администраторы) и обслуживающий персонал, лица, работающие на "пораженном" терминале, а также иные сотрудники организации. В ходе допросов выясняются: время и обстоятельства обнаружения компьютерного преступления; признаки, по которым оно было обнаружено; круг лиц, имеющих доступ к компьютеру; круг лиц, которые могли узнать коды и пароли доступа; круг
лиц, обладающих достаточными знаниями и навыками, необходимыми для совершения компьютерного преступления, или интересующихся программированием; используемые на компьютерной технике программы защиты от несанкционированного доступа и антивирусные программы; кто в организации использовал компьютер для целей, не связанных с производственной деятельностью (переписывал игры, программы, фильмы, музыку и т.д.), самостоятельно устанавливал и запускал программы. Следует также установить возможные факты привлечения в организации к решению определенных задач или устранению проблем посторонних нештатных программистов и собрать сведения о них.
При допросе подозреваемого выясняются сведения о его личности, взаимоотношениях с сослуживцами, уровне профессиональной подготовки, опыте по созданию программ конкретного класса, причинах совершения преступления, способе совершения преступления, соучастниках, технических средствах и программном обеспечении, примененных для совершения преступления, источниках финансовых средств для закупки оборудования и программного обеспечения, сведения об источнике получения программного обеспечения и идентификационных данных, способе разработки программ, которыми пользовался злоумышленник, алгоритме их действия, уровне доступа злоумышленника, закрепленных за подозреваемым паролях и терминалах доступа, паролях, кодах доступа к зашифрованной подозреваемым информации и т.д.
Для производства обыска по месту жительства и работы подозреваемого желательно привлечение соответствующего специалиста. Очень важно обеспечить внезапность обыска для воспрепятствования уничтожению информации. После проникновения на объект блокируется доступ пользователей к компьютерам. При обнаружении запущенных программ удаления информации или форматирования выход осуществляется экстренным отключением компьютера. Само изучение компьютерной техники осуществляется аналогично проведению осмотра. Следует учитывать, что подключенные к компьютеру периферийные устройства, а также несколько компьютеров, объединенных в систему или сеть, могут находиться в разных помещениях. При обыске очень важны обнаружение и изъятие не только компьютерной техники и носителей, но также и компьютерных распечаток, отрывочных записей на листах бумаги или в блокноте. При изучении данных записей могут быть обнаружены: план совершения преступления, записи о системе защиты "пораженного" объекта, попытки подбора паролей и имен пользователей и т.д. Обнаруживается и изымается "хакерское", нелицензионное программное обеспечение на дисках и дискетах. Важно также обнаружить телефонные счета (в настоящее время обслуживание доступа в Интернет выделяется в счете отдельной строкой, и по размеру счета можно определить объем использованного интернет-времени).
В ходе обыска следует также обращать внимание на специфическую литературу по программированию, взлому, созданию вредоносных программ и т.д.
Информация о времени доступа в сеть и времени, проведенном в сети, может быть получена путем проведения выемок журналов регистрации или истребования сведений у провайдера.
45.4. Последующий этап расследования
На последующем этапе расследования компьютерных преступлений могут быть проведены очные ставки, допросы обвиняемых, следственные эксперименты, экспертизы и иные процессуальные действия.
Очные ставки могут быть проведены между соучастниками компьютерного преступления или подозреваемыми (обвиняемыми) и свидетелями или потерпевшими при наличии в их показаниях существенных противоречий.
С помощью следственного эксперимента могут быть проверены профессиональные навыки злоумышленника: способность "взломать" компьютер при удаленном доступе к нему или шифры и пароли доступа при работе на самом "взламываемом" терминале, создать "хакерскую" или вредоносную программу, возможность "взломать" компьютер определенным способом, возможность появления на экране "закрытой" информации вследствие ошибки, программной или администратора, сбоя в компьютерном оборудовании, возможность наступления определенных последствий при нарушении конкретных правил пользования компьютером и т.д. При проведении следственного эксперимента необходимо использовать компьютерную технику и программное обеспечение, аналогичные тем, которые стали объектами преступного посягательства или средствами совершения преступления. С помощью следственного эксперимента может быть также проверена надежность средств защиты.
Назначение экспертиз. При расследовании компьютерных преступлений могут назначаться как традиционные трасологические экспертизы (например, по следам рук), почерковедческие (по записям, использовавшимся при подготовке компьютерного преступления), так и специфические. При наличии на компьютере звуковых и мультимедийных файлов возможно производство судебной фоноскопической экспертизы. Для определения размера, причиненного незаконными действиями, ущерба возможно
назначение финансово-экономической экспертизы.
К числу специфических экспертиз при расследовании компьютерных преступлений можно отнести компьютерно-техническую экспертизу. Е.Р. Россинская обоснованно выделяет в классе компьютерно-технических экспертиз аппаратно-компьютерную экспертизу; программно-компьютерную экспертизу; информационно-компьютерную экспертизу (данных); компьютерно-сетевую экспертизу*(219).
Аппаратно-компьютерная экспертиза предназначена для исследования аппаратных компьютерных средств, определения вида, типа, модели, технических показателей, параметров, функционального предназначения и функциональных возможностей конкретного компьютера в сети или системы, первоначального технического состояния и конфигурации аппаратного средства, а также состояния и конфигурации на момент исследования и т.д.
Программно-компьютерная экспертиза исследует программное обеспечение с целью определения: общей характеристики программного обеспечения и его компонентов, функционального предназначения программы, наименования, типа, версии и вида представления программы, реквизитов разработчика и законного владельца, даты создания, объема программы, аппаратных требований, совместимости программы с программными оболочками и иными программами на конкретном компьютере, работоспособности программы, алгоритма программного средства, программных средств, применяемых при разработке исследуемой программы, вносились ли в исследуемую программу изменения, время, цели, состав изменения, новые свойства, которые приобрела программа после изменений, и т.д.
Информационно-компьютерная экспертиза исследует пользовательскую информацию и информацию, созданную программами. В ходе информационно-компьютерной экспертизы определяются: вид записи данных на носителе, физическое и логическое размещение данных, свойства, характеристики, вид и параметры данных на носителе информации, тип данных на носителе, доступность данных, наличие средств защиты, признаков преодоления защиты, состояние данных, их свойства и назначение, данные о пользователе, содержание информации, ее первоначальное состояние, произведенные с данными операции (копирование, модификация, блокирование, стирание и т.д.) и хронология этих операций и т.д.
Компьютерно-сетевая экспертиза предназначена для изучения сетевых технологий и сетевой информации. Согласно Е.Р. Россинской, судебная экспертиза этого рода производится для решения таких задач, как: определение свойств и характеристик аппаратного средства и программного обеспечения, установление места, роли и функционального предназначения исследуемого объекта в сети; выявление свойств и характеристик вычислительной сети, установление ее архитектуры, конфигурации, выявление установленных сетевых компонент, организации доступа к данным; определение соответствия выявленных характеристик типовым для конкретного класса средств сетевой технологии, определение принадлежности средства к серверной или клиентской части приложений; определение фактического состояния и исправности сетевого средства, наличия физических дефектов, состояния системного журнала, компонент управлением доступа; установление первоначального состояния вычислительной сети в целом и каждого сетевого средства в отдельности, возможного места покупки (приобретения), уточнение изменений, внесенных в первоначальную конфигурацию; определение причин изменения свойств вычислительной сети (например, по организации уровней управления доступом), установление факта нарушения режимов эксплуатации сети, фактов (следов) использования внешних ("чужих") программ и т.п.; определение свойств и состояния вычислительной сети по ее отображению в информации носителей; определение структуры механизма и обстоятельства события в сети по его результатам; установление причинной связи между использованием конкретных аппаратно-программных средств вычислительной сети и результатами их применения.
Рекомендуемая литература
Айков Д., Сейгер К., Фонсторх У. Компьютерные преступления. Руководство по борьбе с компьютерными преступлениями. - М., 1999.
Андреев Б.В., Пак П.Н., Хорст В.П. Расследование преступлений в сфере компьютерной информации. - М., 2001.
Гаврилин Ю.В. Расследование неправомерного доступа к компьютерной информации. - М., 2001. Гаврилов М.В, Иванов А.Н. Осмотр места происшествия при расследовании преступлений в
сфере компьютерной информации. - Саратов, 2004.
Крылов В.В. Информационные компьютерные преступления. - М., 1997.
Россинская Е.Р., Усов А.И. Судебная компьютерно-техническая экспертиза. - М., 2001.
Савельева М.В.
Смушкин А.Б.
─────────────────────────────────────────────────────────────────────────
*(1) Баев О.Я. Криминалистическая адвокатология как подсистема науки криминалистики // Профессиональная деятельность адвоката как объект криминалистического исследования. - Екатеринбург, 2002
*(2) Коновалов С.И. Теоретико-методологические основы криминалистики: современное состояние и проблемы развития: Дис. ... д-ра юрид. наук. Волгоград, 2001
*(3) Герасимов И.Ф. Проблемы общей теории раскрытия преступлений и криминалистическая тактика // Актуальные проблемы советской криминалистики. - М., 1979. С. 51; Драпкин Л.Я. проблемы общей теории раскрытия преступлений и криминалистическая тактика // Теоретические проблемы криминалистической тактики. - Свердловск, 1981. С. 31-39; Гавло В.К. О предмете криминалистики и сфере приложения ее научного потенциала // Актуальные проблемы уголовного процесса и криминалистики на современном этапе. - Одесса, 1993
*(4) Образцов В.А. Криминалистика: Курс лекций. М., 1996. С. 12-17 *(5) Курс криминалистики. Общая часть / Отв. ред. В.Е. Корноухов. - М., 2000 *(6) Белозерова И.И. Криминалистика // www.interlaw.dax.ru
*(7) Криминалистика: Учебник / Отв. ред. Н.П. Яблоков. - 2-е изд, перераб и доп. - М.: Юристъ, 2002. С. 19
*(8) Белкин Р.С. Общая теория советской криминалистики. - Саратов, 1986. С. 54 *(9) Гросс. Г. Руководство для судебных следователей как система криминалистики. 4-е изд. -
СПб., 1908 *(10) Белкин Р.С. О природе криминалистической науки // Труды академии МВД РФ. - М., 1996. С.
5-13
*(11) Степичев С.С. О системе советской криминалистики // Правоведение. 1968. N 4
*(12) Степанов В.В. Научная организация труда следователя как элемент предмета криминалистики / Теория и практика криминалистики и судебной экспертизы. Межвуз. науч. сб. Вып. 6 Проблемы реализации научных рекомендаций в криминалистике. Изд-во Сарат. ун-та, 1987. С. 5
*(13) Баев О.Я. Криминалистическая адвокатология как подсистема науки криминалистики // Профессиональная деятельность адвоката как объект криминалистического исследования. - Екатеринбург, 2002.
*(14) Филлипов А.Г. Продолжение дискуссии (вновь о системе криминалистики) // Вестник криминалистики Вып. 1 (13). М.: Спарк, 2005. С. 27
*(15) Ишин А.М. О некоторых тенденциях развития криминалистики в современных условиях // Вестник криминалистики. Вып. 4 (20).- М.: Спарк, 2006. с. 34-41
*(16) Криминалистика: Учебник. Изд. 2-е, испр. и доп. / Под ред. доктора юридических наук, профессора Е.П. Ищенко - М.: Юридическая фирма "КОНТРАКТ", "ИНФРА-М", 2006. С. 470-471
*(17) Криминалистика: Учеб. для вузов / И.Ф. Герасимов, Я.Л. Драпкин, Е.П. Ищенко и др.; Под ред. И.Ф. Герасимова, Л.Я. Драпкина - 2-е изд., перераб. и доп. - М.: Высш. шк., 2000. с. 90-93, 98-99
*(18) См.: Сегай М.Я. Методология судебной идентификации. - Киев, 1970. С. 201.
*(19) Иванов А.Н. Лапин Е.С. Криминалистика. Основные положения: Учеб. справочн. Пособ. - 2-е изд. перераб и доп. - Саратов: Изд-во "Научная книга", 2006. С. 104
*(20) Криминалистика: Учеб. для вузов / И.Ф. Герасимов, Я.Л. Драпкин, Е.П. Ищенко и др.; Под ред. И.Ф. Герасимова, Л.Я. Драпкина - 2-е изд., перераб. и доп. - М.: Высш. шк., 2000. С. 132
*(21) Криминалистика: Учебник. / Под ред. Е.П. Ищенко. 2-е изд., испр. и доп. - М.: Юридическая фирма "КОНТРАКТ", "ИНФРА-М", 2006. С. 184
*(22) Митричев В.С. Криминалистическая экспертиза материалов, веществ и изделий. Саратов.
СГУ, 1980. С. 54.
*(23) Криминалистическая экспертиза: возникновение, становление и тенденции развития. - М.:
ЮИ МВД РФ, 1994. С. 58.
*(24) Белкин Р.С., Аверьянова Т.В., Корухов Ю.Г., Россинская Е.Р. Криминалистика. Учебник для вузов. М. 2000. С. 324.
*(25) Криминалистика: Учебник. Изд. 2-е, испр. и доп. / Под ред. Е.П. Ищенко - М.: Юридическая фирма "КОНТРАКТ", "ИНФРА-М", 2006. С. 192
*(26) Криминалистика: Учебник / Под ред. Е.П. Ищенко. 2-е изд., испр. и доп. - М.: Юридическая фирма "КОНТРАКТ", "ИНФРА-М", 2006. С. 252
*(27) Галяшина Е.И. Теоретические и прикладные основы судебной фоноскопической экспертизы. Автореф. дис... докт. юрид. наук. Воронеж., 2002
*(28) Криминалистика: Учебник / Под ред. Е.П. Ищенко. 2-е изд., испр. и доп. - М.: Юридическая