Загальні положення
Комп’ютерно-технічна експертиза – експертиза, що належить до виду інженерно-технічних експертиз, та об’єктом дослідження якої є комп’ютерна техніка та (або) комп’ютерні носії інформації.
Комп’ютерно-технічна експертиза проводиться з метою: визначення статусу об’єкта як комп’ютерного засобу, виявлення і вивчення його ролі в розслідуваному злочині, а також отримання доступу до інформації на електронних носіях з подальшим всебічним її дослідженням.
Предметом комп’ютерно-технічної експертизи є факти (обставини), що мають значення для органів досудового розслідування або суду, та встановлюються на основі дослідження закономірностей розробки та експлуатації комп’ютерних засобів і систем, що забезпечують реалізацію інформаційних процесів.
Об’єкти комп’ютерно-технічної експертизи
Об’єктами комп’ютерно-технічної експертизи є:
- персональні комп’ютери (системні блоки), портативні комп’ютери (ноутбуки, нетбуки);
- будь-які машинні носії інформації, периферійні пристрої, інтегровані системи та будь-які комплектуючі всіх зазначених компонентів (апаратні блоки, плати розширення і ін.);
- програмно-апаратні комплекси, де необхідний комплексний підхід до розгляду функцій апаратури та програмного забезпечення;
- мережеве обладнання (сервери, робочі станції, файлові сховища та ін.);
- офісна периферія (принтери, сканери, багатофункціональні пристрої, модеми, роутери, точки доступу, відеоспостереження та ін.);
- програми та програмні засоби, їх компоненти (підсистеми) та супроводжуючі аналітичні матеріали й технічні документи (технічні завдання, вимоги, специфікації, моделі та ін.), алгоритми, окремі програмні модулі,
- вихідні тексти програм, текстові та графічні документи (в електронній формі), дані в форматах мультимедіа, виготовлені з використанням комп’ютерних засобів;
- інформація в форматах баз даних, журнали (протоколи) роботи спеціалізованих програм, інших додатків прикладного характеру, інформаційні дані;
- інформація, розміщена на сайтах в мережі Інтернет.
Види носіїв інформації
Інформація може міститися на різних типах носіїв, які можна класифікувати за наступними видами:
- накопичувачі на жорстких магнітних дисках – пристрої для зберігання інформації, робота яких здійснюється за принципом магнітного запису;
- твердотілі накопичувачі (англ. SSD, solid-state drive) – комп’ютерні запам’ятовувальні пристрої на основі мікросхем пам’яті та контролера керування ними, що не містять рухомих механічних частин, які можуть бути виконані, як окремими так і вбудованими в інше обладнання;
- USB флеш-накопичувачі – носії інформації, що використовують флешпам’ять для збереження даних та підключаються до комп’ютера чи іншого пристрою через USB-порт;
- карти пам’яті – носії інформації, що також використовують флеш-пам’ять для збереження даних та підключаються до комп’ютера чи іншого пристрою за допомогою різних спеціалізованих адаптерів.
Завдання, що вирішуються комп’ютерно-технічною експертизою
До основних завдань комп’ютерно-технічної експертизи належать:
- Установлення робочого стану комп’ютерно-технічних засобів;
- установлення обставин, пов’язаних з використанням комп’ютерно технічних засобів, інформації та програмного забезпечення;
- виявлення інформації та програмного забезпечення, що містяться на комп’ютерних носіях;
- установлення відповідності програмних продуктів певним версіям чи вимогам на їх розробку.
Питання, що вирішуються при проведенні комп’ютерно-технічної експертизи
- Чи міститься на даному носії необхідна інформація, відповідно до поставлених питань і у якому вигляді?
- Чи містить досліджуваний носій інформацію про певні (зазначені) дії користувача?
- Чи піддавався досліджуваний накопичувач певним процедурам з метою знищення інформації?
- Чи могла бути створена зазначена інформація на цьому комп’ютері чи вона перенесена з іншого носія?
- Яким чином та яка саме інформація, перенесена до досліджуваного комп’ютера (носія)?
- Яка технологія та хронологія створення електронного документа (зазначити назву електронного документа та його певний зміст)?
- Які атрибути (час друку, редагування, створення, видалення тощо) файлів, що містять інформацію, пошук якої здійснюється?
- Чи містять носії інформації досліджуваного комп’ютера певне програмне забезпечення (яке саме – встановлене, не встановлене)?
- Які функціональні несправності має надане комп’ютерне обладнання або його окремі складові та пристрої і як ці несправності впливають на роботу обладнання в цілому?
- Чи можливо виконання певних дій за допомогою даного програмного забезпечення?
- Чи можливе вирішення певного завдання за допомогою даного програмного забезпечення (програмному коду)?
- Чи реалізовані у даному програмному забезпеченні (програмному коді) функції, передбачені технічним завданням на його розробку?
Особливості призначення комп’ютерно-технічної експертизи
При призначенні комп’ютерно-технічної експертизи особливу увагу слід приділяти збору об’єктів дослідження. Найменші некваліфіковані дії з комп’ютерною системою часто закінчується безповоротною втратою цінної розшукової та доказової інформації. У зв’язку з цим, для збору об’єктів дослідження доцільним є залучення фахівця.
Для забезпечення збереження наданих на дослідження носіїв інформації в робочому стані, під час вилучення системних блоків необхідно коректно завершити їх роботу, повністю знеструмити, відключити, запакувати й опломбувати кожний системний блок окремо.
Пакування й пломбування необхідно здійснювати таким чином, щоб унеможливити безпосередній доступ до системного блоку та розміщених у ньому носіїв інформації, без можливості пошкодження упаковки та пломб.
Крім запобігання безпосереднього доступу до об’єктів дослідження упаковка повинна забезпечувати їх захист від механічного пошкодження під час транспортування.
Підключення таких носіїв даних, як жорсткі магнітні диски, твердотілі накопичувачі, USB флеш-накопичувачі та ін. можливе тільки до комп’ютера експерта з використанням спеціальних апаратних, програмно-апаратних та програмних засобів, що забороняють запис на них. Це дозволяє працювати з носієм даних у режимі «зчитування» та запобігає внесенню будь-яких змін до нього (унеможливлює запис на електронний носій), чим забезпечується повне збереження та цілісність даних. При цьому, підключення будь-яких об’єктів зберігання даних до комп’ютерної техніки в режимі запису є недопустимим.
Для дослідження інформації, що міститься на машинних носіях інформації, експерту надається сам носій, а за потреби й сам системний блок чи комплекс комп’ютерних засобів (до складу якого входить досліджуваний носій).
Для встановлення відповідності програмних засобів певним параметрам експерту надається носій з копією досліджуваного програмного засобу або програмного коду.
Для дослідження робочого стану комп’ютерно-технічних засобів експерту надаються ці комп’ютерно-технічні засоби, а також технічна документація до них.
