Что не относится к задачам программно компьютерной экспертизы
Программно-компьютерная экспертиза представляет собой разновидность судебной компьютерно-технической экспертизы. С развитием компьютерной техники возникло новое направление совершаемых правонарушений, которые получили название преступлений в сфере компьютерной информации. В подобных преступлениях и не только для достижения цели используются средства компьютерной техники и программного обеспечения.
Основной целью программно-компьютерной экспертизы является установление причастности исследуемого программного комплекса к расследуемому преступному деянию. Также в результате анализа могут быть обнаружены следы совершенных противоправных действий. Предметом исследования данной экспертизы являются особенности разработки и применения программных средств компьютерной системы. Анализ может проводиться как по гражданским, так и по уголовным делам.
Объектами программно-компьютерной экспертизы являются следующие компоненты:
- Операционные системы (системное программное обеспечение).
- Утилиты (вспомогательные программы).
- Программные средства для разработки программного обеспечения, а также для его отладки.
- Прикладные программы, предназначенные для выполнения определенных функций – текстовые редакторы, электронные таблицы, программы для работы с двухмерной и трехмерной графикой, программы для создания презентаций, почтовые программы, чертежные редакторы и многое другое.
Поводом для назначения программно-компьютерной экспертизы может быть обоснованное подозрение на некорректную работу программного обеспечения, несовместимость двух и более программ, находящихся в одной цепи выполнения каких-либо операций и так далее.
Программно-компьютерная экспертиза широко применяется при расследовании уголовных дел, однако постепенно возрастает потребность в подобной исследовании и в других видах судопроизводства, что вызвано обширной компьютеризаций всех областей жизни. В настоящее время возникает множество гражданских дел, в том числе решаемых в арбитражных судах. Также большое количество дел связано с защитой прав потребителей, а также с нарушением авторских прав при распространении контрафактной продукции.
Задачи, которые решаются с помощью программно-компьютерной экспертизы
Программно-компьютерная экспертиза решает широкий спектр задач, связанных со специфическими особенностями программно обеспечения, его разработки, внедрения, применения и так далее. Большое разнообразие задач, решаемых с помощью данного исследования, обусловлено тем, что компьютерные системы с соответствующим программным обеспечением применяются практически во всех областях деятельности человека. Основными задачами программно-компьютерной экспертизы являются:
- Установление общих характеристик исследуемого программного обеспечения, анализ его компонентного состава.
- Классификация отдельных системных или прикладных программных средств, входящих в представленное для проведения экспертизы программное обеспечение.
- Установление контрафактности (или наличия таковых признаков) программного обеспечения в целом или его компонентов.
- Установление специфических характеристик исследуемого программного обеспечения. Определяется тип программного обеспечения, его наименование, версия, разработчик, вид представления (удаленный, явный или скрытый).
- Установление данных владельца и разработчика исследуемого программного средства. Для юридических лиц устанавливаются реквизиты организации. Для физических лиц – данные, удостоверяющие личность.
- Определение файлового состава исследуемого программного обеспечения с указанием их параметров – даты создания, типа, размера (объема), прочих атрибутов.
- Установление функционального предназначения исследуемого программного средства.
- Выявление наличия на исследуемой компьютерной системе программного обеспечения, предназначенного для решения определенной задачи.
- Установление технических характеристик аппаратного средства, необходимых для нормального функционирования исследуемого программного обеспечения.
- Определение совместимости программного и аппаратного состава компьютерной системы и исследуемого программного обеспечения.
- Установление принадлежности данного класса задач к функциональным возможностям исследуемого программного обеспечения.
- Установление текущего состояния компьютерной системы, а именно программного обеспечения, уровень работоспособности системы и способность системы к реализации определенных задач.
- Установление конфигурации устройств ввода-вывода в данной компьютерной системе, оснащенной исследуемым программным обеспечением.
- Выявление в исследуемом программном обеспечении отклонения от стандартных параметров (наличие недокументированных функций, инфицирования и пр.).
- Установление наличия в исследуемом программном обеспечении программных или программно-аппаратных средств защиты от копировании и несанкционированного доступа.
- Определение алгоритмов представленного для исследования программного средства.
- Установление способа защиты программного обеспечения.
- Установление инструментов разработки исследуемого программного обеспечения (типов компиляторов, языка программирования, системных библиотек).
- Выявление скрытых кодов с первоначальной версией программы.
- Определение модификаций исходных алгоритмов.
- Установление применения специфических приемов алгоритмизации и программирования.
- Установление хронологии производства изменений в исследуемом программном обеспечении.
- Установление хронологии применения исследуемого программного средства, начиная с момента его установки и активации.
- Установление возможных последствий последующей эксплуатации представленного на экспертизу программного обеспечения.
- Установление возможности выполнения исследуемой программой заданных функций после внесения изменений.
Методы проведения программно-компьютерной экспертизы
Методы исследования программного обеспечения, применяемые в ходе программно-компьютерной экспертизы, принято классифицировать, исходя из типа исследуемого объекта. Различают следующие группы методов:
- Методы анализа исходных кодов.
- Методы исследования программных алгоритмов.
- Методы изучения исполняемых кодов (загрузочных модулей).
Экспертиза загрузочных модулей базируется на исследовании программных средств с помощью основных методов, отслеживающих все прерывания, которые вызываются данной программой. Метод, используемый экспертом, должен точно соответствовать типу решаемой им задачи. Соответственно, для получения достоверного результата исследования, необходимо выбирать эксперта, обладающего высоким уровнем профессиональной компетенции и большим опытом проведения исследований.
При проведении анализа вредоносных программ (вирусов, червей и пр.) используют различные методы мониторинга – анализ файловых сигнатур (метод мониторинга дисковой памяти), сверка контрольных сумм (метод мониторинга оперативной памяти) и так далее.
Порядок проведения программно-компьютерной экспертизы
Процедура проведения программно-компьютерной экспертизы стандартна для всех подобных исследований. На первом этапе проводится консультация эксперта для определения разновидности экспертизы, предмета и задач исследования, а также стоимости и сроков его проведения.
На следующем этапе заключается договор с организацией на проведение экспертизы, после чего инициатор экспертизы передает специалисту программное средство на том носителе, на котором оно установлено, и всю имеющуюся документацию. В договор вносится предмет исследования, имеющиеся задачи исследования, поставленные перед экспертом вопросы, а также предполагаемые сроки окончания выполнения экспертизы. Далее специалист по производству исследования производит необходимые экспертные мероприятия и составляет экспертное заключение, которое является основным результатом проведения исследования и может быть представлено в качестве доказательства в ходе судебного разбирательства. В экспертное заключение вносится описание проведенного исследования, копии представленных документов и ответы на поставленные перед специалистом вопросы.
Правовая база для проведения программно-компьютерной экспертизы
Глава 28 Уголовного кодекса РФ описывает преступления в сфере компьютерной информации, а также меры наказания, назначаемые за подобные правонарушения. Глава содержит три статьи. Статья 272 регламентирует меры ответственности за незаконный доступ к закрытой компьютерной информации. Статья 273 предусматривает меры наказания за разработку, применение и распространение так называемых вредоносных программ, приводящих к уничтожению или блокированию информации в персональных компьютерах и производственных сетях. Статья 274 предписывает ответственность за несоблюдение техники использования персональных компьютеров, компьютерных систем или компьютерных сетей. Средствами программно-компьютерной экспертизы получается обоснование для вынесения решений по обозначенным в этой главе преступлениям.
Вопросы, которые ставятся перед специалистом по проведению программно-компьютерной экспертизы
Полный список вопросов весьма обширен. В каждом конкретном случае проведения программно-компьютерной экспертизы перечень вопросов формируется в зависимости от конечной цели исследования и разновидности исследуемого программного обеспечения. Вопросы, задаваемые эксперту, базируются на задачах, решаемых в процессе осуществления исследования. В общем случае вопросы выглядят следующим образом:
- Каковы общие характеристики исследуемого программного обеспечения?
- Из каких компонентов состоит данное программное обеспечение?
- Какова классификационная принадлежность исследуемого программного обеспечения?
- Каковы характеристики файлов, составляющих исследуемое программное обеспечение (дата создания, тип, размер и пр.)?
- Как называется данное программное средство? Каков его тип? Кто является разработчиком?
- Какая версия программного обеспечения представлена для проведения экспертизы?
- Какова функциональная особенность исследуемого программного обеспечения?
- Присутствуют ли в данной компьютерной системе программные средства, предназначенные для выполнения конкретной функциональной задачи?
- Каковы должны быть аппаратные характеристики компьютерной системы, необходимые для корректной работы исследуемой программы?
- Совместима ли исследуемая программа с аппаратным состоянием компьютерной системы, а также с уже установленным на нем программным обеспечением?
- Использовалась ли данная программа для выполнения определенных функциональных задач?
- Работоспособно ли исследуемое программное обеспечение? каково его фактическое состояние?
- Как именно организована система ввода-вывода данных в исследуемом программном обеспечении?
- Обнаружены ли в исследуемом программном обеспечении отклонения от стандартных характеристик типовых аналогичных программ?
- Включены ли в структуру программного продукта средства защиты от копирования и несанкционированного доступа?
- Каков алгоритм организации защиты от копирования и несанкционированного доступа?
- Каков основной алгоритм, лежащий в основе исследуемого программного обеспечения?
- Какие основные инструментальные средства использовались при разработке данного программного продукта?
- Каковы реквизиты разработчика (владельца) представленного для проведения экспертизы программного обеспечения?
- Какова хронология внесения модификаций в исследуемое программное обеспечение?
- Какова хронология применения исследуемого программного обеспечения, начиная с момента установки?
- Каковы возможные последствия дальнейшего применения представленного для экспертизы программного продукта?
- Какова причина изменений в программном обеспечении – действия пользователя, влияние вредоносной программы, ошибки программной среды, сбой аппаратуры и пр.?
Проведение экспертизы по уголовному делу
Согласно Постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. N 28 "О судебной экспертизе по уголовным делам" экспертиза по уголовному делу может быть проведена либо государственным экспертным учреждением, либо некоммерческой организацией, созданной в соответствии с Гражданским кодексом Российской Федерации и Федеральным законом "О некоммерческих организациях", осуществляющих судебно-экспертную деятельность в соответствии с принятыми ими уставами.
Коммерческие организации и лаборатории, индивидуальные предприниматели, образовательные учреждения, а также некоммерческие организации, для которых экспертная деятельность не является уставной, не имеют право проводить экспертизу по уголовному делу. Экспертиза, подготовленная указанными организациями в рамках уголовного процесса, может быть признана недопустимым доказательством, т.е. доказательством, полученным с нарушением требований процессуального закона.
Недопустимые доказательства не могут использоваться в процессе доказывания, в том числе, исследоваться или оглашаться в судебном заседании, и подлежат исключению из материалов уголовного дела.
Так как АНО "Судебный эксперт" является автономной некоммерческой организацией, а проведение судебных экспертиз является её основной уставной деятельностью (см. раздел "Документы организации"), то она имеет право проводить экспертизы в том числе и по уголовным делам.
водитель и транспортное средство находятся на месте происшествия.
3. Какие из перечисленных обстоятельств не следует отражать в протоколе осмотра места дорожно-транспортного происшествия? 2]
физическое состояние водителя;*
состояние дорожного покрытия;
ширина проезжей части;
наличие и характер дорожной разметки.
4. Для расследования дорожно-транспортных преступлений нетипичны следующие следственные действия 3]
5. Назовите следственные действия, производимые на последующем этапе расследования дорожно-транспортных преступлений 1]
осмотр места происшествия;
назначение судебно-медицинской экспертизы потерпевшего;
6. Какие из перечисленных ниже судебных экспертиз нетипичны для расследования дорожно-транспортных преступлений? 3]
судебно-медицинская экспертиза вещественных доказательств;
7. Какие следственные действия необходимо провести для установления факта недоброкачественного ремонта транспортного средства, повлекшего причинение тяжкого вреда здоровью 4]
назначение автотехнической экспертизы;
назначение судебно-медицинской экспертизы потерпевшего;
все ответы правильные.*
Тема 38. Методика расследования поджогов и преступных нарушений противопожарных правил.
1. Обстоятельства, подлежащие доказыванию при расследовании поджогов и преступных нарушений правил противопожарной безопасности 4]
1) где, когда, на каком объекте и при каких обстоятельствах возник пожар;
2) какова причина возникновения пожара;
3) кто совершил поджог, кто нарушил правила противопожарной безопасности или совершил иные действия, вызвавшие пожар;
4) все ответы правильные.*
2. Какие элементы не относятся к криминалистической характеристике преступных нарушений правил противопожарной безопасности 2]
1) личность преступника;
2) размер причиненного ущерба;*
3) информация об обстановке совершения преступления;
4) мотив и цель преступления.
3. Способы умышленных поджогов 4]
1) создание благоприятных условий для самовозгорания, взрыва;
2) создание специальных устройств и приспособлений для возникновения пожара;
3) использование при поджоге находившихся на месте легковоспламеняющихся веществ и материалов;
4) все ответы правильные.*
4. Характерные материальные следы по делам о поджогах и преступных нарушениях противопожарных правил 2]
1) средства пожаротушения;
2) обгоревшие предметы и трупы людей, одежда, обувь, нагревательные приборы;*
3) следы стоянок туристов, охотников и т.п.;
4) следы пальцев рук, обуви, ног, транспортных средств, ведущие к месту пожара и от него.
5. Типичные следственные ситуации при расследовании поджогов 4]
1) информация о причинах возникновения пожара, способе его совершения и личности преступника отсутствует;
2) имеются сведения о причинах возникновения пожара способе его совершения и сокрытия, но нет сведений о личности правонарушителя;
3) известны причины пожара, способы его совершения и сокрытия, личность преступника и другие обстоятельства;
4) все ответы правильные. *
6. Типичные общие версии о причинах пожара 4]
1) пожар возник в результате преступных нарушений правил противопожарной безопасности;
2) пожар возник от неосторожного обращения с огнем;
3) пожар возник в результате умышленного поджога;
4) все ответы правильные. *
Тема 39. Расследование хулиганства.
1. Элементом криминалистической характеристики хулиганства не является 3
1) данные о способе совершения хулиганства;
2) данные о личности потерпевшего;
3) данные о типичных ситуациях расследования хулиганства;*
4) данные о личности преступника.
2. Основные способы совершения хулиганства 4
1) нарушение общественного порядка; произнесение нецензурных ругательств; написание непристойных слов;
2) посягательство на честь и достоинство, здоровье граждан;
3) уничтожение или повреждение чужого имущества;
4) все ответы правильные.*
3. Время, когда наиболее часто совершаются хулиганские действия 2
4. Как хулиганство квалифицируются следующие действия 2
1) нанесение побоев в отношении родственников;
2) грубое нарушение общественного порядка;*
3) оскорбление, нанесенное начальником подчиненному;
4) причинение легких телесных повреждений на почве неприязненных отношений.
5. Не является типичным следственным действием при расследовании хулиганства на начальном этапе 3
1) личный обыск задержанного;
2) осмотр места происшествия;
3) предъявление для опознания;*
5) допрос свидетелей.
6. Цель обыска, проводимого по месту жительства лица, подозреваемого в совершении хулиганства 3
1) обнаружение предметов, которые могли быть использованы в качестве оружия; обнаружение похищенного;
2) одежда и обувь подозреваемого, которые могли быть на нем в момент совершения преступления; письма, дневники, черновые записи;
3) одежда и обувь подозреваемого, которые могли быть на нем в момент совершения преступления; оружие и предметы, специально изготовленные для нанесения телесных повреждений;*
4) оружие и предметы, специально изготовленные для нанесения телесных повреждений; письма, дневники, черновые записи.
Тут вы можете оставить комментарий к выбранному абзацу или сообщить об ошибке.
Поможем успешно пройти тест. Знакомы с особенностями сдачи тестов онлайн в Системах дистанционного обучения (СДО) более 50 ВУЗов. При необходимости проходим систему идентификации, прокторинга, а также можем подключиться к вашему компьютеру удаленно, если ваш вуз требует видеофиксацию во время тестирования.
Закажите решение теста для вашего вуза за 470 рублей прямо сейчас. Решим в течение дня.
1. При расследовании преступлений в сфере компьютерной информации подлежат выявлению следующие обстоятельства
способ совершения преступлений
характер и размер причиненного вреда
кто имеет доступ к информации, содержащейся в ЭВМ
все ответы правильные
2. По прибытии к месту производства обыска при расследовании преступлений в сфере компьютерной информации следователь должен обеспечить соблюдение следующих тактических условий (выбрать правильные и указать их в необходимой последовательности) 1.принять меры к исключению возможности отключения электроснабжения объекта; 2.немедленно отключить электроснабжение объекта обыска; 3.обязать обслуживающий персонал сохранить в памяти компьютера произведенную работу и немедленно отключить компьютер; 4.сразу же запретить кому бы то ни было из лиц, находящихся на объекте обыска прикасаться к средствам компьютерной техники; 5. принять меры к удалению персонала в другое помещение
3,2, 5
1,3,5
1,4,5
3,5,1
4,1,5
3. Что не относится к задачам программно-компьютерной экспертизы
расшифровка закодированной информации
установление авторства файла, программы
восстановление информации стертой с физических носителей информации
установление формы вины лица, допустившего нарушение правил эксплуатации ЭВМ причинившее существенный вред
4. Видами дорожно-транспортных происшествий являются
столкновение транспортных средств
опрокидывание транспортного средства
наезд на пешехода
все ответы правильные
5. Какие из перечисленных обстоятельств не следует отражать в протоколе осмотра места дорожно-транспортного происшествия
погодные условия
физическое состояние водителя
состояние дорожного покрытия
ширина проезжей части
наличие и характер дорожной разметки
6. Назовите следственные действия, производимые на последующем этапе расследования дорожно-транспортных преступлений
допрос обвиняемого
осмотр места происшествия
допрос потерпевшего
назначение судебно-медицинской экспертизы потерпевшего
задержание подозреваемого
7. Какие следственные действия необходимо провести для установления факта недоброкачественного ремонта транспортного средства, повлекшего причинение тяжкого вреда здоровью
допрос потерпевшего
назначение автотехнической экспертизы
назначение судебно-медицинской экспертизы потерпевшего
все ответы правильные
8. Какие элементы не относятся к криминалистической характеристике преступных нарушений правил противопожарной безопасности
личность преступника
размер причиненного ущерба
информация об обстановке совершения преступления
мотив и цель преступления
9. Характерные материальные следы по делам о поджогах и преступных нарушениях противопожарных правил
средства пожаротушения
обгоревшие предметы и трупы людей, одежда, обувь, нагревательные приборы
следы стоянок туристов, охотников и т.п.
следы пальцев рук, обуви, ног, транспортных средств, ведущие к месту пожара и от него
10. Типичные общие версии о причинах пожара
пожар возник в результате преступных нарушений правил противопожарной безопасности
пожар возник от неосторожного обращения с огнем
пожар возник в результате умышленного поджога
все ответы правильные
11. Основные способы совершения хулиганства
нарушение общественного порядка; произнесение нецензурных ругательств; написание непристойных слов
посягательство на честь и достоинство, здоровье граждан
уничтожение или повреждение чужого имущества
все ответы правильные
12. Как хулиганство квалифицируются следующие действия
нанесение побоев в отношении родственников
грубое нарушение общественного порядка
оскорбление, нанесенное начальником подчиненному
причинение легких телесных повреждений на почве неприязненных отношений
13. Цель обыска, проводимого по месту жительства лица, подозреваемого в совершении хулиганства
обнаружение предметов, которые могли быть использованы в качестве оружия; обнаружение похищенного
одежда и обувь подозреваемого, которые могли быть на нем в момент совершения преступления; письма, дневники, черновые записи
одежда и обувь подозреваемого, которые могли быть на нем в момент совершения преступления; оружие и предметы, специально изготовленные для нанесения телесных повреждений
оружие и предметы, специально изготовленные для нанесения телесных повреждений; письма, дневники, черновые записи
14. В организованных преступных группах можно выделить следующих участников
лидер, оппозиционер, активные участники преступной группы, рядовые участники преступной группы
оппозиционер, лидер, пособник, рядовые участники
пособник, активные участники, рядовые участники, подстрекатель
рядовые участники, лидер, подстрекатель, пособник
15. Данные, указывающие на групповой характер преступления
обнаружение на месте происшествия следов нескольких автотранспортных средств; изменение обстановки квартиры
при совершении преступления обнаружены следы орудий взлома; следы рук и ног
следы рук и ног, оставленные разными лицами; значительный объем и вес похищенного; количество посуды со следами пищи и напитков; факты перемещения тяжелых предметов, которые невозможно переместить в одиночку
сложный способ совершения преступления; обнаружение на месте происшествия стрелянных гильз от разных экземпляров оружия
Экспертные задачи, которые являются одной из ключевых категорий общей теории судебной экспертизы, принято дифференцированно рассматривать как задачи рода, вида, подвида судебной экспертизы и задачи конкретного экспертного исследования. Применим данный подход к КТЭ.
Родовые задачи КТЭ обозначены выше в определении целей данного рода судебных экспертиз. Для достижения объективности получения сведений о фактах дела и установления обстоятельств в сфере современных информационных технологий, значимых для расследования и судебного рассмотрения, видовые задачи КТЭ определяются в соответствии с видовыми предметами экспертиз. За основу классификации задач КТЭ принимается конечная цель исследования по решению диагностических и идентификационных вопросов. Причём при определении диагностических задач исследуются не только свойства и состояние объекта КТЭ, но и механизм, процессы и действия по результатам применения (использования) компьютерного средства. А идентификационные задачи КТЭ имеют своей целью установить факт индивидуально-конкретного тождества или общей групповой принадлежности представленных объектов экспертизы. Кратко рассмотрим решаемые задачи каждого из указанных видов КТЭ.
При производстве аппаратно-компьютерной экспертизы решаются в основном следующие диагностические задачи:
определение вида (типа, марки), свойств аппаратного средства, а так же его технических и функциональных характеристик (например, для решения определённых функциональных задач);
определение фактического состояния и исправности аппаратного средства, наличия физических дефектов;
установление первоначального состояния аппаратного средства; выяснение изменений, внесённых в первоначальную конфигурацию (например, добавление дополнительных устройств (плат) расширения);
определение причин и условий изменения свойств аппаратного средства (например, причин износа и его степени, соблюдения (или несоблюдения) эксплуатационных режимов, появления дополнительных функций);
диагностирование свойств и состояния аппаратного средства по его отображению (например, в отношении пользователя - выявление уровня профессиональных навыков по использованию определённых аппаратных средств);
определение структуры механизма и обстоятельства события по его результатам за счёт использования выявленных аппаратных средств, как по отдельности, так и в комплексе в составе компьютерной системы;
определение условий (обстановки) применения аппаратных средств; установление причинной связи между использованием конкретных возможностей аппаратных средств и результатами их применения;
определение условий (обстановки) применения аппаратных средств, восстановление хронологической последовательности их использования, места действия и функционирования, установление причинности (например, причины неисправности, сбоя аппаратного средства).
В то же время этим видом экспертизы может проводиться установление групповой принадлежности и отождествление конкретных аппаратных средств по выделенным признакам – общим и частным (например, серийные номера, форм-факторы, ёмкость и структура накопителя, среднее время доступа к данным, скорость передачи данных, способ и плотность магнитной записи и др.).
При проведении программно-компьютерной экспертизы решаются следующие экспертные задачи, основными из которых являются , прежде всего, задачи криминалистической диагностики:
определение основных характеристик операционной системы;
выявление и исследование функциональных и потребительских свойств, а также настроек программного обеспечения, времени инсталляции;
определение фактического состояния программного продукта и состава соответствующих файлов, их параметров (объемы, даты создания, атрибуты и др.), способов ввода-вывода информации, наличия или отсутствия каких-либо отклонений от типовых параметров (например, свойства инфицирования, недокументированных функций и т.п.);
выявление признаков отношения программного обеспечения к системному или прикладному и т.д.;
диагностирование алгоритма программного продукта, видов использованных при его разработке инструментальных средств, а также типов поддерживаемых аппаратно - программных платформ;
установление первоначального состояния программы (например, при начальной инсталляции) и выявление возможных изменений;
определение причин, целей и условий изменения свойств и состояния программного обеспечения (преднамеренное изменение каких-либо функций, конфигурирование на конкретную аппаратную среду и др.), установление способа осуществления изменений в программе (например, воздействием вредоносной программы, ошибками программной среды, сбоем на аппаратном уровне, путём несанкционированного доступа и т.д.);
диагностирование свойств и состояния программы по ее отображению в реализованных задачах и подготовленных данных (по содержанию служебных, системных файлов), соответствия обеспечивающих аппаратных средств;
выявление структуры механизма события по результатам работы программного обеспечения и в динамике;
установление причинной связи между действиями пользователя компьютерной системы в отношении программного обеспечения и наступившими последствиями.
Кроме этого, при проведении программно-компьютерной экспертизы могут решаться идентификационные задачи, связанные с индивидуальным отождествлением оригинала программы (инсталляционной версии) и её копии на носителях данных компьютерной системы, установлением групповой принадлежности программного обеспечения по общим признакам, выявление частных признаков программы, позволяющие в последствии идентифицировать её авторство, а также взаимосвязь с информационным обеспечением исследуемой компьютерной системы.
К диагностическим задачаминформационно-компьютерной экспертизы (данных) относятся:
установление свойств, состояния и вида представления информации в компьютерной системе при её непосредственном исследовании;
определение фактического состояния информации, выяснение наличия или отсутствия в ней отклонений от типового состояния в соответствующих объектахов КТЭ (например, имеются ли вредоносные включения, несоответствие формата информации и нарушение его целостности);
установление первоначального состояния информации на носителе данных (например, каково было содержание данных до их удаления или модификации);
определение причин и условий изменения свойств исследуемой информации (например, выяснение условий внесения изменений в содержимое файла, запись на пластиковой карте, данные ППЗУ и т.п.);
определение механизма, динамики и обстоятельств события (дела), установление отдельных этапов (стадий, фрагментов) события по имеющейся информации на носителе данных или её копиям (например, подготовка нескольких копий делового письма и его рассылка факсимильной программой в разные адреса);
определение времени (периода), хронологической последовательности воздействия на информацию (например, установление стадий подготовки изображений денежных знаков, оттисков печатей т.п.);
выявление следов возможных участников события по признакам, характеризующих определённые профессиональные и пользовательские навыки, умения, привычки, установление их роли, места и условий при которых была создана (модифицирована, удалена, скопирована) информация;
установление причинной связи между имевшими место манипуляциями с компьютерной информацией и наступившими последствиями (например, связи между удалением информации и нарушением работоспособности компьютерной системы);
диагностирование возможных последствий по совершенному действию и возможности его совершения (например, определение возможности модификации банковской информации в базе данных и последующего её использования программным обеспечением).;
установление соответствия либо несоответствия действий с информацией специальному регламенту (правилам) (например, диагностирование признаков корректного доступа к защищенной паролем информации).
К идентификационными задачами информационно-программно-компьютерной экспертизы можно отнести индивидуальное отождествление данных содержания файла с данными в копии исследуемого файла, либо в представленном документе (в т.ч. в бумажной копии в комплексе с технико-криминалистическим исследованием документов). Групповая принадлежность может устанавливаться при поиске общего источника происхождения информации на носителях данных компьютерной системы, а также при определение класса, вида и типа программного обеспечения, при помощи которого были порождены (созданы) исследуемые данные.
Для компьютерно-сетевой экспертизы характерна следующая группа экспертных задач:
определение свойств и характеристик аппаратного средства и программного обеспечения по отношению к вычислительной сети; установление места, роли и функционального предназначения исследуемого объекта средства в сети (например, для программного средства в отношении к сетевой операционной системе; для аппаратного средства – отношение к серверу, рабочей станции, активного сетевого оборудования и т.д.); установление фактов наличия и использования в средствах сети нестандартного оборудования;
выявление свойств и характеристик вычислительной сети, установление её архитектуры, конфигурации, выявление установленных сетевых компонент, организации доступа к данным;
определение соответствия выявленных характеристик типовым для конкретного класса средств сетевой технологии; определение принадлежности средства к серверной или клиентской части приложений; выявление вида реализации серверной части (файл-сервер, сервер приложений, сервер-баз данных и т.п.);
определение фактического состояния и исправности сетевого средства, наличия или отсутствия каких-либо отклонений от типовых параметров, наличия физических дефектов, сбойного программного обеспечения, состояния системного журнала, компонент управлением доступа;
установление первоначального состояния вычислительной сети в целом, и каждого сетевого средства в отдельности, возможных признаков места, времени и технологии изготовления (сборки) и инсталляции, возможного места покупки (приобретения), уточнение изменений, внесённых в первоначальную конфигурацию (например, добавление дополнительных сетевых устройств, устройств расширения на сервере, либо рабочих станциях и пр.);
определение причин и условий изменения свойств вычислительной сети (например, по организации уровней управления доступом; установление факта нарушения режимов эксплуатации сети; выявление условий противоправной модификации информационных ресурсов сети, фактов (следов) использования внешних («чужих») программ и т.п.);
диагностирование свойств и состояния вычислительной сети по ее отображению в информации носителей данных (например, RAID-массивы; жёсткие диски, флоппи-диски, CD-ROM, ZIP-накопители и т.п.); выявление признаков профессионального уровня системного администратора, пользователей рабочих станций по эксплуатации конкретных аппаратно-программных средств, использованию функциональных приложений клиентской части и пр.;
определение структуры механизма и обстоятельства события в сети по его результатам (например, сценария несанкционированного доступа, механизма распространения в сети вредоносных функций и т.д.);
определение условий (обстановки) применения сетевых средств, восстановление хронологической последовательности их использования, места действия и функционирования, установление причинности (например, причины аппаратных и программных конфликтов в сети, блокирования серверной и клиентской информации); установление причинной связи между использованием конкретных аппаратно-программных средств вычислительной сети и результатами их применения.
Как видно, задачи компьютерно-сетевой экспертизы охватывают практически все основные задачи рассмотренных выше видов КТЭ, т.е. решение аппаратных, программных и информационных аспектов установления фактов и обстоятельств по делам. Тем не менее, следует ещё раз подчеркнуть, что лишь использование специальных познаний в области сетевых технологий позволяет соединить воедино полученные объекты, сведения о них и эффективно решить поставленные экспертные задачи.
В целом, все рассмотренные выше видовые задачи КТЭ могут быть детализированы также и для каждого этапа экспертного исследования (стадии экспертизы). Так, например, частными задачами КТЭ в зависимости от алгоритма доступа и анализа информации, хранящейся на представленных носителях данных, являются: диагностика и установление содержимого носителя, реализация доступа к данным, распознавание форматов данных, разархивация, поиск и просмотр файлов (в.ч. их фрагментов), восстановление удаленных файлов, выполнение программного кода, декомпиляция программного кода и его трассировка, анализ файла регистрации, просмотр и проверка файла данных, снятие парольной защиты, расшифровка и т. д.
Особо следует подчеркнуть, что конкретные экспертные задачи КТЭ ставятся перед экспертом при производстве определённой экспертизы. Вообще говоря, они не тождественны вопросам, сформулированным в постановлении (определении). Иногда несколько вопросов направлены, по существу, к решению одной экспертной задачи. И наоборот, один вопрос может включать решение двух и более задач.
Читайте также: