Что такое СКТЭ и зачем нужны специализированные программы?
Судебно-компьютерная экспертиза (СКТЭ) — это самостоятельный род судебных экспертиз, относящийся к инженерно-техническому классу․ Её цель:
- определить статус объекта как компьютерного средства;
- выявить и изучить его роль в расследуемом преступлении;
- получить доступ к информации на электронных носителях;
- провести всестороннее исследование данных․
Без специализированных программ выполнение этих задач невозможно: объём цифровых данных огромен, требования к достоверности и повторяемости процедур высоки, а сроки — жёсткие․
Классификация программных средств СКТЭ
2․1 По назначению
- Форензические платформы, комплексные решения для извлечения, анализа и фиксации цифровых доказательств․
- Утилиты для работы с жёсткими дисками — клонирование, восстановление и анализ разделов․
- Программы для извлечения данных с мобильных устройств, работа с дампами NAND, логическим и физическим доступом․
- Сетевые анализаторы — исследование трафика, журналов сетевого оборудования․
- Инструменты криптографического анализа — взлом защиты, сброс паролей, извлечение зашифрованных контейнеров․
2․2 По правовому статусу
- Сертифицированные ФССЭ — включены в Реестр средств измерений и Госреестр САПР и САПВ․
- Независимые коммерческие продукты — используются в частных экспертных организациях при наличии обоснования методики․
Обзор ключевых программных продуктов
3․1 X-Ways Forensics
Производитель: X-Ways Software Technology AG (Германия)․
Назначение: комплексный анализ жёстких дисков, SSD, образов памяти, файловых систем NTFS, FAT, exFAT, Ext*, APFS․
Ключевые функции:
- создание побитовых копий (dd, E01, AFF);
- восстановление удалённых файлов и фрагментов;
- поиск по сигнатурам и ключевым словам, в т․ч․ в юникоде;
- встроенный шестнадцатеричный редактор и скриптовый язык․
Юридический статус: допущена к применению судебными экспертными учреждениями РФ при наличии методических рекомендаций․
3․2 Belkasoft Evidence Center X
Производитель: Belkasoft (Россия)․
Назначение: автоматизированный анализ компьютеров, мобильных устройств, облачных сервисов․
Ключевые функции:
- Carving-алгоритмы для поиска фрагментов данных;
- парсинг 1000+ форматов мессенджеров (WhatsApp, Telegram, Viber, Signal и др․);
- визуализация временных шкатулок и графов связей;
Юридический статус: включён в реестр ФССЭ РФ как программное средство для проведения экспертиз․
3․3 Magnet AXIOM
Производитель: Magnet Forensics (Канада)․
Назначение: работа с компьютером, мобильной и облачной средой․
Ключевые достоинства:
- глубокий анализ артефактов Windows, macOS, Linux, iOS, Android;
- интеграция с GrayKey для iOS и Cellebrite UFED для Android;
- модуль Artifact Exchange для обмена профилями артефактов между экспертами․
Ограничения: для использования в суде необходимо дополнительное методическое обоснование по ст․ 26․2 УПК РФ․
3․4 Autopsy + The Sleuth Kit (TSK)
Производитель: открытое сообщество (Open Source)․
Назначение: бесплатная альтернатива коммерческим платформам․
Плюсы:
- полностью прозрачный исходный код;
- расширяемость на Python и Java;
- возможность внесения кастомных модулей․
Минусы: требует высокой квалификации эксперта; не сертифицирован ФССЭ․
3․5 Cellebrite UFED Physical Analyzer
Производитель: Cellebrite (Израиль)․
Назначение: физический и логический анализ мобильных устройств․
Особенности:
- поддержка 20 000+ моделей телефонов и планшетов;
- возможность расшифровки дампа с использованием GPU;
- автоматическое формирование Chain of Custody․
Юридический статус: применяется РФЦСЭ и региональными СЭУ при наличии акта внедрения и методики․
Примеры практического применения
4․1 Расследование экономического преступления
В ходе СКТЭ по делу о хищении денежных средств эксперт при помощи X-Ways Forensics восстановил частично затёртые записи в журнале транзакций 1С, что позволило установить сумму ущерба и время совершения операций․
4․2 Дело о несанкционированном доступе
С помощью Belkasoft Evidence Center X был проанализирован ноутбук обвиняемого․ Программа выявила следы использования Tor-браузера, а также лог-файлы, подтверждающие взлом корпоративной базы данных․
4․3 Разбирательство по авторскому праву
Экспертиза ПО показала, что код программы фирмы-ответчика на 87 % совпадает с кодом истца․ Сравнение выполнялось в Black Duck Binary Analysis, а результаты зафиксированы в отчёте, принятом судом․
Требования к программному обеспечению в российском праве
- Статья 26․2 УПК РФ, обязательное методическое обоснование применяемых программ․
- ГОСТ 34․310-95 — требования к средствам вычислительной техники в целях защиты информации․
- Приказ Минюста РФ № 260 от , порядок аттестации экспертных учреждений и специалистов․
- ФССЭ КД 005-2019 — методические рекомендации по использованию программных средств в СКТЭ․
Проблемы и перспективы
6․1 Проблемы
- недостаточное количество сертифицированных отечественных продуктов;
- зависимость от импортного ПО в условиях санкционного давления;
- отсутствие единых государственных стандартов на форматы экспортных отчётов․
6․2 Перспективы
- разработка российского форензического контура на базе ОС «Альт» и «Ред ОС»;
- создание открытого реестра индикаторов компрометации (IoC) для интеграции в СКТЭ;
- внедрение технологий машинного обучения для автоматического классифицирования файлов и выявления аномалий․
Как выбрать программу для СКТЭ: чек-лист эксперта
- Проверить наличие сертификата ФССЭ или методического письма․
- Оценить поддержку исследуемой файловой системы и типа носителя․
- Убедиться в возможности формирования защищённого от изменений отчёта (PDF/A, с ЭЦП)․
- Подтвердить наличие технической поддержки на территории РФ․
- Сравнить цену лицензии с бюджетом экспертного учреждения․
Современная судебно-компьютерная экспертиза невозможна без профессиональных программных средств․ От выбора инструмента зависит не только качество выводов, но и судьба людей․ Поэтому эксперт обязан знать не только функции ПО, но и нормативные требования к его применению․ В условиях стремительно развивающихся цифровых технологий важно постоянно обновлять знания и использовать только проверенные, сертифицированные решения․
Подготовлено по материалам издания: Бегларян М․Е․, Возняк Г․Н․ «Судебная компьютерно-техническая экспертиза»․ М․: ЮНИТИ-ДАНА, 2017․ ISBN 978-5-238-02572-8․