В современном криминалистическом процессе всё чаще встречаются дела, где ключевыми доказательствами становятся данные, хранящиеся на различных электронных носителях: жёстких дисках, флеш-накопителях, мобильных устройствах, серверах и т. д. Для того чтобы корректно исследовать такие источники информации, специалисты-криминалисты применяют специальную классификацию объектов судебной экспертизы, которая опирается, прежде всего, на вид самого носителя. В зависимости от способа фиксации и представления данных, всё многообразие объектов делится на два основных вида:
Объекты-отображения
Это носители информации, сами по себе не являющиеся предметами преступления, но содержащие отображение событий, действий лиц или иных обстоятельств, имеющих значение для дела. В качестве примеров можно привести:
- Жёсткие диски компьютеров и ноутбуков
- SSD-накопители
- USB-флешки и карты памяти
- Оптические диски (CD/DVD/Blu-ray)
- RAID-массивы и сетевые хранилища (NAS)
- Облачные хранилища (в виде логов доступа, кэш-файлов, резервных копий)
Основная задача эксперта при работе с объектами-отображения — извлечь максимально полный массив данных, сохранив их целостность и подтвердив аутентичность. Речь идёт о так называемой комплексной компьютерно-технической экспертизе, которая включает:
- Аппаратно-компьютерную экспертизу (анализ физического состояния носителя, дефектов, маркировок и т. п.)
- Программно-компьютерную экспертизу (изучение установленной ОС, ПО, следов удаления/изменения данных)
- Информационно-компьютерную экспертизу (собственно анализ содержимого: файлы, логи, метаданные, удалённые и стёртые фрагменты)
- Компьютерно-сетевую экспертизу (исследование сетевого взаимодействия, передачи данных, подключений к удалённым ресурсам)
Объекты-предметы
Это сами электронные устройства или их компоненты, которые в силу закона признаются вещдоками и подлежат исследованию как материальные носители. К объектам-предметам относятся:
- Системные блоки персональных компьютеров
- Целиком ноутбуки, планшеты, смартфоны
- Отдельные платы (материнские, видеокарты, сетевые карты)
- Контроллеры, микросхемы, модемы
- Иные электронные компоненты, имеющие память или способные обрабатывать цифровую информацию
При исследовании объектов-предметов акцент делается на:
- Установление технических характеристик и серийных номеров
- Определение способов вмешательства в конструкцию устройства (вскрытие, замена компонентов, механические повреждения)
- Фиксацию признаков, указывающих на возможное использование в противоправной деятельности (например, «жучки», подключённые к цепям питания)
Как выглядит практическая схема работы эксперта-криминалиста
Независимо от того, к какой категории относится носитель, процедура исследования включает следующие этапы:
- Визуальный осмотр — фиксация внешнего вида, дефектов, маркировок, штрих-кодов, следов вскрытия.
- Фотофиксация и видеосъёмка — создание визуального доказательства первоначального состояния объекта.
- Тестирование функциональности — проверка работоспособности носителя без изменения данных (если это возможно).
- Получение копии содержимого — создание побитовых образов (bit-by-bit copy) для последующего анализа в лаборатории.
- Анализ структуры данных — изучение файловых систем, таблиц разделов, логов, метаданных.
- Извлечение и интерпретация информации — восстановление удалённых файлов, расшифровка журналов событий, построение хронологии действий пользователя.
Разделение объектов судебной экспертизы на объекты-отображения и объекты-предметы позволяет следователю чётко определить:
- Какие вопросы можно решить при исследовании конкретного носителя
- Какую методику и оборудование применять
- Какие доказательства можно извлечь и насколько они будут пригодны в суде
Такой подход обеспечивает правовую, методическую и технологическую основу для всей компьютерно-технической экспертизы, независимо от того, идёт ли речь о простой флешке или о сложном серверном комплексе.