Обнаружение, закрепление и изъятие компьютерной информации

Необходимо учитывать, что, как справедливо отмечает В.А. Мещеряков, для таких следов характерны «специфические свой­ства, определяющие перспективы их регистрации, извлечения и использования в качестве доказательств при расследовании со­вершенного преступления. Во-первых, «виртуальные следы» су­ществуют на материальном носителе, но не доступны непосред­ственному восприятию. Для их извлечения необходимо обяза­тельное использование программно-технических средств... Они не имеют жесткой связи с устройством, осуществившим запись информации, являющейся «виртуальным следом,... весьма неус­тойчивы, так как могут быть легко уничтожены. Во-вторых, по­лучаемые «виртуальные следы» внутренне ненадежны (благодаря своей природе), так как их можно неправильно считать»¹.

В силу этого, деятельность по обнаружению компьютерной информация в виде файлов или программ для ЭВМ должна со­средотачиваться, прежде всего на конкретной ЭВМ, системе ЭВМ или их сети, а также на машинных носителях, круг которых примерно определен ниже.

К машинным носителям относятся:

1) Физические носители магнитной информации (иначе назы­ваемые устройствами внешней памяти). В момент, когда компью­тер выключен, информация в виде файлов хранится в различных устройствах внешней памяти (на дискетах, жестком диске, маг­нитной ленте и т.д.). Но тем не менее, файлы и в момент «неак­тивности» устройств внешней памяти существуют физически и

_______________________________

¹ См.: Мещеряков В.А. Преступления в сфере компьютерной инфор­мации: правовой и криминалистический анализ. - Воронеж: ВГУ, 2001. -С. 74-76.

имеют все необходимые идентификационные признаки. При ра­боте с компьютерными носителями информации следователям чаще всего приходится сталкиваться с двумя видами носителей: винчестером (жестким диском) и дискетами (гибкими дисками).

2) Оперативное запоминающее устройство (ОЗУ) ЭВМ. При запуске компьютера в ОЗУ ЭВМ загружаются в определенном порядке файлы с командами (программами) и данными, обеспе­чивающими для ЭВМ возможность их обработки. Последова­тельность и характер такой обработки задается сначала команда­ми операционной системы, а затем командами пользователя. Сведения о том, где и какая информация хранится или какими командами обрабатывается в ОЗУ, в каждый конкретный момент времени доступны пользователю и при необходимости могут быть им получены немедленно с помощью стандартных инстру­ментов, существующих, например, в системе Windows-2000.

3) ОЗУ периферийных устройств. В процессе обработки ин­формации ЭВМ ведет активный обмен информацией со своими периферийными устройствами, в том числе с устройствами ввода и вывода информации, которые, в свою очередь, нередко имеют собственные ОЗУ, где временно хранятся массивы информации, предназначенные для обработки этими устройствами. Примером такого устройства является, в частности, лазерный принтер, где могут стоять «в очереди» на печать несколько документов. Уст­ройство ОЗУ периферийных устройств сходно с ОЗУ ЭВМ. Оно поддается контролю и управлению и, следовательно, является носителем компьютерной информации.

4) ОЗУ компьютерных устройств связи и сетевые устройства. Большинство периферийных устройств связи (модемы и факс-модемы) имеют свои ОЗУ или «буферные» устройства, где нахо­дится информация, предназначенная для дальнейшей передачи. Время нахождения в них информации может быть различным и исчисляться от секунд до часов.

5) Данные о прохождении информации по проводной, радио-, оптической и другим электромагнитным системам связи (элек­тросвязи) ¹.

_______________________________

¹ Подробно будет рассмотрено в следующем параграфе.

Обнаружение закрепление и изъятие компьютерной информа­ции и следов воздействия на нее может осуществляться в различ­ных исходных условиях.

При поиске и изъятии информации и следов воздействия на нее в ЭВМ и ее устройствах следует исходить из того, что в ком­пьютере информация может находиться непосредственно в опе­ративном запоминающем устройстве (ОЗУ) при выполнении про­граммы, в ОЗУ периферийных устройств и на внешних запоми­нающих устройствах (ВЗУ).

Наиболее эффективным и простым способом фиксации дан­ных из ОЗУ является распечатка на бумагу информации, появ­ляющейся на дисплее. Однако следует учитывать, что если воз­никла необходимость изъятия информации из оперативной памя­ти компьютера (непосредственно из оперативного запоминающе­го устройства - ОЗУ), то сделать это возможно только путем ко­пирования соответствующей машинной информации на физиче­ский носитель с использованием стандартных паспортизирован­ных программных средств с соответствующим документальным приложением и в порядке, установленном следующими норма­тивными документами:

- Государственным стандартом (ГОСТ) 6.10.4-84 от 01.07.87 «УСД. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычисли­тельной техники. Основные положения», и

- Постановлением Госстандарта СССР от 24.09.86 № 2781, ут­вердившим «Методические указания по внедрению и примене­нию ГОСТ 6.10.4-84 «УСД. Придание юридической силы доку­ментам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники. Основные положения»¹.

Изъятая только с использованием указанных нормативных до­кументов машинная информация будет относиться к разряду "до­кументированной информации", как требует того закон.

Бели компьютер не работает, информация может находиться в ВЗУ и других компьютерах информационной системы или в "почтовых ящиках" электронной почты или сети ЭВМ.

_______________________________

¹ См.: Бюллетень нормативных актов министерств и ведомств СССР. - 1987. - № 7. -С. 41 - 46.

Необходимо произвести детальный осмотр файлов и струк­тур их расположения; лучше это осуществить с участием спе­циалиста в лабораторных условиях или на рабочем месте следо­вателя.

Следует обращать внимание на поиск так называемых «скры­тых» файлов и архивов, где может храниться важная информация.

Периферийные устройства ввода-вывода могут также некото­рое время сохранять фрагменты программного обеспечения и информации, однако для вывода этой информации необходимы глубокие специальные познания.

В ходе поиска и изъятие информации и следов воздействия на нее вне ЭВМ, могут быть обнаружены имеющие значение веще­ственных доказательств:

а) документы, носящие следы совершенного преступления, -телефонные счета, пароли и коды доступа, дневники связи и пр.;

б) документы со следами действия аппаратуры. Например, в устройствах вывода (например, в принтерах) могут находиться бумажные носители информации, которые остались внутри в ре­зультате сбоя в работе устройства;

в) документы, описывающие аппаратуру и программное обес­печение;

г) документы, устанавливающие правила работы с ЭВМ, нор­мативные акты, регламентирующие правила работы с данной ЭВМ, системой, сетью, доказывающие, что преступник их знал и умышленно нарушал;

д) личные документы подозреваемого или обвиняемого.

Учитывая особый характер как носителей следов таких пре­ступлений, так и самих следов, их обнаружение, закрепление и изъятие требует в большинстве случаев специальной подготовки следователей и привлечения специалистов.

Деятельность следователя по обнаружению криминалистиче­ски значимой информации по делам о компьютерных преступле­ниях осуществляется путем обследования аппаратных и про­граммных компьютерных средств, в ходе их выемки, обыска и осмотра. Центральным звеном в этой деятельности является ос-

мотр конкретного компьютера и физических носителей магнитной информации¹.

Осмотр компьютера. Прежде всего, рекомендуется не забы­вать при осмотрах о возможностях сбора традиционных доказа­тельств (отпечатков пальцев рук на клавиатуре, выключателях и др., шифрованных рукописных записей и пр.).

Фактически оптимальный вариант организации и проведения осмотра ЭВМ и машинных носителей информации - это фикса­ция их и их конфигурации на месте обнаружения и упаковка та­ким образом, чтобы аппаратуру можно было бы успешно, пра­вильно и точно так же, как на месте обнаружения, соединить в лабораторных условиях или в месте производства следствия с участием специалистов.

Однако порой это не представляется возможным, в связи с чем, приступая к осмотру компьютера на месте его обнаружения, следователь и специалист, непосредственно производящий все действия, в первую очередь должны обеспечить сохранность на ЭВМ данных и ценной информации. Для этого необходимо:

1) не разрешать, кому бы то ни было из лиц, работающих на объекте осмотра или находящихся здесь по другим причинам (персоналу), прикасаться к ЭВМ с любой целью;

_______________________________

¹ Об особенностях производства иных процессуальных действий при расследовании преступлений в сфере компьютерной информации см.: Крылов В.В. Информационные компьютерные преступления. - М: Из­дательская группа ИНФРА-М - НОРМА, 1997. - 285 с; Крылов В.В. Расследование преступлений в сфере информации. - М.: Издательство Городец, 1998. - 264 с; Пособие для следователя: Расследование пре­ступлений повышенной опасности / Под ред. Н.А. Селиванова и А.И. Дворкина. - М: Издательство «Лига Разум», 1998. - 444 с; Расследова­ние неправомерного доступа к компьютерной информации / Под ред. Н.Г. Шурухнова. - М.: Издательство Щит-М, 1999. - 254 с; Методиче­ское пособие по расследованию преступлений в сфере компьютерной информации и осуществлению прокурорского надзора за исполнением законов при их расследовании. - М.: НИИ проблем укрепления закон­ности и правопорядка при Генеральной прокуратуре Российской Феде­рации, 2001. - 44 с; Андреев Б.В., Пак П.Н., Хорст В.П. Расследование преступлений в сфере компьютерной информации. - М.: ООО Изда­тельство «Юрлитинформ», 2001. - 152 с.

2) не разрешать, кому бы то ни было из персонала выключать электроснабжение объекта;

3) самостоятельно не производить никаких манипуляций со средствами компьютерной техники, если результат этих манипу­ляций заранее неизвестен.

Непосредственно в ходе осмотра компьютерной техники следует принимать во внимание следующие неблагоприятные факторы:

- возможные попытки со стороны персонала повредить ЭВМ с целью уничтожения информации и ценных данных;

- возможное наличие на компьютере специальных средств за­щиты от несанкционированного доступа, которые, не получив в установленное время специальный код, автоматически уничтожат всю информацию;

- возможное наличие на ЭВМ иных средств защиты от несанк­ционированного доступа

- постоянное совершенствование компьютерной техники, следствием чего может быть наличие на объекте программно-технических средств, незнакомых следователю.

В целях недопущения вредных последствий перечисленных факторов следователь должен придерживаться следующих реко­мендаций:

- перед выключением питания по возможности корректно за­крыть все используемые программы, а в сомнительных случаях просто отключить компьютер (в некоторых случаях некорректное отключение компьютера - путем перезагрузки или выключения питания без предварительного выхода из программы и записи информации на постоянный носитель - приводит к потере ин­формации в оперативной памяти и даже к стиранию информаци­онных ресурсов на данном компьютере).

- принять меры к установлению пароля доступа в защищенных программах;

- при необходимости консультаций у персонала предприятия, получать их у разных сотрудников данного отдела путем опроса порознь. Такой метод позволит получить максимально правди­вую информацию и избежать преднамеренного вредительства;

- при нахождении ЭВМ в локальной вычислительной сети не­обходимо иметь бригаду специалистов для быстрого реагирова­ния на движение информации по сети;

наряду с осмотром компьютера обеспечить осмотр докумен­тов о пользовании им, в которых следует обратить особое внима­ние на рабочие записи операторов ЭВМ, т.к. часто именно в этих записях неопытных пользователей можно обнаружить коды, па­роли и другую очень ценную для следствия информацию.

При осмотре должен присутствовать кто-либо из сотрудников предприятия, способный дать пояснения по установленному на ЭВМ программному обеспечению.

Если на начальной стадии осмотра не удалось установить па­роли и коды используемых программ, то компьютер подлежит опечатыванию и выемке, с тем, чтобы в последующем в стацио­нарных условиях прокуратуры или лаборатории с привлечением специалистов-программистов осуществить «взлом» паролей и кодов, осуществить надлежащий осмотр компьютера и содержа­щихся на нем файлов. В таких случаях достаточно изъять только системный блок, в который входят жесткий диск, процессор, на­копители на магнитных дисках. Остальную часть компьютера -монитор, клавиатуру, принтер - следует опечатать.

Если непосредственный доступ к информации на компьютере возможен и все нежелательные ситуации исключены, при осмот­ре и работе следователь и специалист должны четко объяснять понятым все совершаемые ими действия.

При осмотре должны быть установлены:

- конфигурация компьютера с четким описанием всех уст­ройств;

- номера моделей и серийные номера каждого из устройств;

- инвентарные номера, присваиваемые бухгалтерией при по­становке оборудования на баланс предприятия;

- прочая информация с фабричных ярлыков.

В ходе осмотра компьютера необходимо детально откопиро-вать и переписать содержимое жесткого диска. Если в осмотре принимает участие специалист, эта работа поручается ему.

Если же специалиста нет, необходимо сделать следующее: при включении компьютера на экране выдается таблица программной оболочки Norton Commanders, жесткий диск может быть разделен на части, поэтому нажмите одновременно две клавиши Alt +F1 -на экране появится картинка с именами всех дисков, которыми оперирует данный компьютер. Если у компьютера два дисковода,

что видно из наружного осмотра, то им соответствуют латинские буквы «А» и «В» (если дисковод один, буква В отсутствует). Бук­вы, начиная с «С», соответствуют разделению жесткого диска на части. При наличии устройства для чтения лазерных дисков, ему соответствует последняя в списке буква (при одном дисководе ему может соответствовать и буква «В»). Выделите курсором бу­кву «С», нажмите клавишу ENTER, и в левом окне появится спи­сок программ, записанных на диске «С».

В списке будут записи двух видов — файлы, написанные строчными буквами (это могут быть отдельные программы или служебные файлы) и каталоги, написанные прописными буквами. Если курсор установить на название каталога и нажать клавишу Enter, то на экране появится список файлов, входящих в данный каталог. Каталоги имеют иерархическую структуру и могут быть вложены один в другой. Все их необходимо переписать. Каждая программа занимает определенный объем на диске. Размер про­граммы указан в нижней строке, ограниченной двойной рамкой. Для того чтобы определить размер целого каталога, после входа в него следует нажать клавишу «большой серый плюс» на цифро­вой клавиатуре и клавишу ENTER. Каталог (все входящие в него программы) будет выделен другим цветом, а в нижней строке бу­дет указан его объем.

При наличии принтера эту информацию необходимо распеча­тать, в противном случае - переписать от руки.

Когда левом окне будет находиться оглавление диска «С», его же необходимо вывести в правом окне (для этого нажать одно­временно клавиши Alt+F2). После этого следует вывести в окно содержимое первого по списку каталога, включить принтер, за­править в него бумагу, а на клавиатуре ЭВМ нажать клавишу Print Screen (третья справа клавиша в верхнем ряду), после чего на бумаге появится точная копия экрана монитора.

Данную операцию следует повторить для всех каталогов диска «С», каждый раз выдавая картинку на печать (одновременно воз­можно выдавать два каталога, вызвав их в правом и левом окнах).

Аналогичным образом должны быть сделаны распечатки всего жесткого диска («D», «Е» и т.д.).

Все листы с информацией должны быть подписаны специали­стом, который проводил запись информации, следователем, по-

нятыми и представителем организации (пользователем), где про­изводится осмотр, и прилагаться к протоколу следственного дей­ствия.

Для копирования информации в ходе осмотра необходимо иметь:

- дискеты в упаковках или россыпью, предварительно отфор­матированные;

- коробки (желательно пластиковые) для хранения дискет;

- пакеты для упаковки дискет в коробке;

- материал для опечатывания дискет и компьютеров. Осмотр физических носителей магнитной информации (на примере дискет), как правило, особых трудностей не представляет, но и его необходимо проводить с участием свидетеля. Если инфор­мация на них не имеет значения для следствия, то такие дискеты подлежат возврату по принадлежности. Если же у специалиста имеются хотя бы малейшие подозрения относительно информации, находящейся на дискетах, они должны быть скопированы, опечатаны и изъяты для проведения тщательной экспертизы.

При копировании информации с дискет необходимо повто­рить все те же операции, которые были описаны для работы с же­стким диском. Причем их следует произвести с каждой осматри­ваемой дискетой отдельно. Для этого дискеты поочередно встав­ляют в дисковод ПЭВМ и аналогичным образом распечатать их содержимое.

Перед тем как закончить работу с дискетой, целесообразно снять с нее две копии: одна оставляется в качестве контрольного экземпляра; вторая предназначается для проведения экспертизы.

Завершив работу с дискетой, следует:

- на дискете 3,5 дюйма открыть окно слева, опечатать его;

- на дискете 5,25 дюйма опечатать вырез в верхней части пра­вой стороны.

Эта операция обеспечит защиту записи на данной дискете.

Все документы, полученные в результате работы с дискетами, должны быть подписаны, упакованы в коробки и опечатаны со­гласно процедуре.

Весь процесс и результаты следственного действия должны быть тщательно зафиксированы в протоколе, который должен со­держать вводную, описательную и заключительную части.

При этом в описательной части протокола необходимо отра­зить все действия, производимые следователем, обстановку, ме­стонахождение и состояние предметов и документов. Следует охарактеризовать и индивидуализировать компьютер (или его со­ставную часть), указать номер, марку, форму, цвет, размер и пр., чтобы можно было отличить от сходных предметов. Особо выде­ляются изменяющиеся признаки и особенности, которые со време­нем могут быть утрачены (влажность, напыление, помарки и т.д.).

Примером описательной части протокола осмотра компьютера может служить следующее:

«Осмотром установлено:

Компьютер находится в помещении ЗАО «Информация» по адресу:....

Комплект компьютера состоит из 4 устройств: 1) системного блока, 2) монитора, 3) клавиатуры, 4) манипулятора - мышь.

1. Системный блок модели ST-406 LT PASS ШРОТ PASS FDD PASS SI. Фирмы KRAFT COMPUTER. На задней панели прозрач­ной липкой лентой наклеен на полоске бумаги номер 1241708/4. Системный блок имеет 3 входа: 1 - с надписью POWER; 2 - без надписи; 3-с надписью KEYBOARD. Все подключены к кабелям, соединенным с розетками электропроводки.

Имеет 5 выходов: 1 - corn 2; 2 - game; 3 - printer; 4 - mouse; 5 -svga, из которых подключены выходы 4 и 5.

На лицевой панели два дисковода размером 3,5 и CD-ROM, клавиши: включения, Reset, turbo, lock, окно индикатора частоты. На момент начала осмотра компьютер отключен.

2. Монитор фирмы Daewoo, модель CMC-14276. Серия N5126 Е 0019. Произведено в декабре 1995 в Корее. Инвентарный номер отсутствует. На момент начала осмотра монитор отключен.

3. Клавиатура - FCC I D Е 8 НКВ-2313. Модель N КВ-2313. Серия 5 К 83002684. На нижней панели прозрачной липкой лен­той наклеен на полоске бумаги номер 01380432. К моменту нача­ла осмотра отключена от системного блока.

4. Мышь FCC IDE MJMU SGC. На нижней панели имеется наклейка из белой бумаги с надписью «MUSC GL V 34А АА (Т6). Мышь овальной формы размером 4,5 х 11 см из пластмассы серо­го цвета, на верхней поверхности имеет 3 клавиши. К моменту начала осмотра отключена от системного блока.

В ходе осмотра компьютер включен в штатном режиме. Перед загрузкой операционной системы сведения о защите компьютера паролем или иными средствами защиты не выявлены. После за­грузки на экране появилась таблица программы Norton Com­mander (NC). Жесткий диск разделен на две логические части, обозначенные «С» и «D».

На диске «С» находятся 12 каталогов (ARCH, AVIR, DOS, DRIVER, DRWEB, FOXPR025, INFIN.PLL, KEYRUS, LETTRIX, LEX, NC, TOOLS) и 12 программных файлов (Image.idx, io.sys, Msdos.sys, autoexec.bak, autoexec.bat, command.com, config.sys, dwf.exe, image.dat, norton.ini, op.bat, printer.bat). Всего программы занимают 45978 байт.

На диске "D" находятся 24 каталога (ARH, BUHGALT, CLIP­PERS, DRV, INFIN, KARAT, N196, N296, N396, N496, N596, NAL, NAL1, NAL2, NAL3, NAL4, NAL5, PENS), PENSION, PLAT, SPR, VED, XTGOLD, ZARP) и 5 программных файлов (Archbase.bat, dwf.exe, infin.com, infin.ins, infin.ovl), занимающие 29333 байт памяти).

Сведения об информации, находящейся на дисках «С» и «D», распечатаны на принтере с помощью клавиши Print Screen. В распечатках указывается объем памяти, который занимает каж­дый каталог. Распечатки в полном объеме на... листах прилага­ются к настоящему протоколу.

После завершения распечатки все программы и информация, содержащиеся на дисках «С» и «D» откопированы на 45 (15 х 3) дискет Verbatim. Один комплект копий (15 дискет) передан на ответственное хранение свидетелю Головач В.И. - генеральному директору ЗАО «Информация»; другой (15 дискет) упакован в две прозрачные пластмассовые коробки, которые опечатаны пе­чатью прокуратуры...№..., на коробки наклеены полоски бума­ги с надписью «контроль»; третий (15 дискет) также упакован в две прозрачные пластмассовые коробки, которые опечатаны пе­чатью прокуратуры... №..., на коробки наклеены полоски бума­ги с надписью «для исследования».

После, завершения копирования компьютер выключен и от­ключен от сети, соединительные кабеля извлечены из своих гнезд, входы и выходы системного блока опечатаны печатью прокуратуры... №..., сам процессор упакован в картонную ко-

робку, которая проклеена лентой-скотч, опечатан печатью проку­ратуры...№...».

Сохранение следов компьютерных преступлений

Опечатывание компьютеров и физических носителей маг­нитной информации. При изъятии компьютеров и магнитных но­сителей их следует опечатать.

При опечатывании компьютеров не следует пользоваться жидким клеем или другими веществами, которые могут испор­тить его. Наиболее просто рекомендуется опечатывать компью­тер следующим образом:

1. Выключить компьютер.

2. Отключить его от сети.

3. Отсоединить все разъемы. При этом каждый из них должен быть опечатан.

4. На длинную полосу бумаги следует поставить подписи сле­дователя, специалиста, понятых, представителя персонала или администрации и номер. Эту полосу наложить на разъем и при­клеить. В качестве клеящего средства использовать липкую ленту или густой клей. При использовании липкой ленты, ее надо нано­сить так, чтобы любая попытка снять ее нарушала бы целост­ность бумажной ленты с подписями.

5. Аналогично должен быть опечатан разъем шины (соедини­тельного провода). При этом номера на разъемах блока компью­тера и шины должны быть одинаковыми. Для облегчения опера­ции сборки и подключения компьютера в дальнейшем на бумаж­ной полосе, опечатывающей шину, можно указать, к какому бло­ку должен подключаться разъем. Например: «1 — системный блок». На другом конце той же шины может стоять надпись «2 — монитор».

6. Если бумажная лента достаточно длинная, ее можно кре­пить к боковым поверхностям блоков компьютера, либо к по­верхности стенки, но так, чтобы не задевать другие детали.

Для опечатывания дискет необходимо:

- упаковать их в жесткую коробку, опечатать ее;

- на листе бумаги сделать описание упакованных дискет: количе­ство, тип каждой из них, что указано на бирках (если они есть);

- коробку с дискетами и лист с описанием положить в поли­этиленовый пакет, который заклеить.

При опечатывании дискет недопустимо производить какие-либо действия с самими дискетами. Аналогично следует опеча­тать копии, снятые на месте.

Транспортировка и хранение компьютерной техники и физи­ческих носителей магнитной информации должны осуществлять­ся с соблюдением следующих основных мер безопасности:

1. При перевозке компьютеров следует исключить их механи­ческие или химические повреждения.

2. Не допускать магнитных воздействий как на компьютеры, так и на магнитные носители информации, т.к. это может привести к порче или уничтожению информации путем размагничивания.

3. Оградить изъятое от воздействия магнитосодержащих средств криминалистической техники (например: магнитных подъемников, магнитных кисточек для выявления следов рук и проч.).

4. Соблюдать правила хранения и складирования технических средств.

5. Нельзя ставить компьютеры в штабель выше трех штук, а также ставить их на какие-либо другие вещи.

6. Помещение для хранения должно быть теплым, отапливае­мым, без грызунов.

7. Компьютеры нельзя держать в одном помещении со взрыв­чатыми, легко воспламеняющимися, огнеопасными, едкими, лег­ко испаряющимися химическими препаратами, а также с предме­тами, которые могут создавать магнитные поля.

8. Не рекомендуется курить, принимать пищу и содержать жи­вотных в помещениях, предназначенных для хранения компью­терной техники и магнитных носителей.

Дата добавления: 2014-12-29