Криминалистическая характеристика
Компьютерная информация – это информация, зафиксированная на машинном носителе или передаваемая по телекоммуникационным каналам в форме, доступной восприятию ЭВМ.
Способы совершения преступлений, в сфере компьютерной информации
· неправомерный доступ к компьютерной информации, повлекший за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ или их сети — ст. 272 УК РФ (рис. 1);
Рис. 1. Рабочее место владельца персонального компьютера с возможностью подключения к сети
· создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами – ст. 273 УКРФ (рис. 2);
Рис. 2. Внешний вид компьютера, на котором обнаружены вредоносные программы
· нарушение правил эксплуатации ЭВМ или их сети лицом, имеющим доступ, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред — ст. 274 УК РФ;
· Мошенничество в сфере компьютерной информации, то есть хищение чужого имущества или приобретение права на чужое имущество путем ввода, удаления, блокирования, модификации компьютерной информации либо иного вмешательства в функционирование средств хранения, обработки или передачи компьютерной информации или информационно-телекоммуникационных сетей — ст. 159.6 УК РФ.
Методы, используемые при совершении преступлений, в сфере компьютерной информации
· методы перехвата компьютерной информации через ТЛФ канал, подключение к сети, установка микрофона в ПК, осмотр корзин с мусором, деловой переписки;
· методы несанкционированного доступа во время кратковременного отсутствия, минуя защиту в вечернее время;
· метод манипуляции — подмена или изменение программ с помощью спецпрограмм — вирусов;
· комплексные методы.
Характеристика субъекта
· возраст с 14 – 20 лет;
· четкая организация по решению профессиональной задачи;
· хаотическое поведение в быту;
· неряшливый внешний вид: джинсы, свитер;
· ночной образ жизни;
· питание за ПК;
· разбросанные диски, инструкции;
· снят кожух ПК.
Мотивы и цели
· хулиганские с целью попробовать свои силы;
· корыстные и политические, характерно возраст более 21 года, высшее образование, повторность, скрытность;
· негативное отношение с сослуживцами и руководством по месту работы;
· демонстрация личных интеллектуальных способностей.
Поводы для возбуждения уголовного дела
· получение заявления;
· явка с повинной;
· сообщение, полученное из иного источника, рапорт.
Типичные ситуации
· лицо – задержано;
· способ совершения преступления известно, лицо не задержано;
· преступный результат налицо — лицо неизвестно (рис. 34).
Следственно-оперативная группа
· следователь;
· участковый;
· оперативный уполномоченный;
· эксперт и специалист в области компьютерных технологий;
· понятые со знанием ПК.
Проверка заявления
· опрос граждан, установление свидетелей;
· выезд и ОМП;
· проверка данных по криминалистическим учетам.
Основание для возбуждения уголовного дела
Наличие достаточных данных, указывающих на признаки преступления, определенными ст. ст. 272, 273, 274, 159.6 УК РФ.
Рис. 3. Обстановка на момент осмотра в организации в ситуации, когда лицо, совершившее преступление неизвестно
Обстоятельства, подлежащие доказыванию
Установление причинно- следственной связи между несанкционированным проникновением в компьютер и наступившими последствиями, а также определение размера ущерба, розыск и задержание преступника, установление механизма преступления и личности преступника.
В СКТЭ выделяются четыре подвида :
Аппаратно-компьютерная экспертиза;
Программно-компьютерная экспертиза;
Информационно-компьютерная экспертиза (данных);
Компьютерно-сетевая экспертиза.
Приказ Минюста РФ от 14 мая 2003 г. N 114 «Об утверждении Перечня родов (видов) экспертиз, выполняемых в государственных судебно-экспертных учреждениях Министерства юстиции Российской Федерации, и Перечня экспертных специальностей, по которым предоставляется право самостоятельного производства судебных экспертиз в государственных судебно-экспертных учреждениях Министерства юстиции Российской Федерации»
Россинская Е.Р. Усов А.И. Классификация компьютерно-технической экспертизы и ее задачи // Уголовный процесс и криминалистика на рубеже веков.– М.: Академия управления МВД РФ, 2000.
Сущность аппаратно-компьютерной экспертизы заключается в проведении исследования технических (аппаратных) средств компьютерной системы. Предметом данного вида СКТЭ являются факты и обстоятельства, устанавливаемые на основе исследования закономерностей эксплуатации аппаратных средств компьютерной системы – материальных носителей информации о факте или событии уголовного либо гражданского дела.
Для проведения экспертного исследования программного обеспечения предназначен такой вид СКТЭ как программно-компьютерная экспертиза . Ее видовым предметом являются закономерности разработки (создания) и применения (использования) программного обеспечения средств микропроцессорной техники. Целью программно-компьютерной экспертизы является изучение функционального предназначения, характеристик и реализуемых требований, алгоритма и структурных особенностей, текущего состояния представленного на исследование программного обеспечения.
Информационно-компьютерная экспертиза (данных) является ключевым видом СКТЭ, так как позволяет завершить целостное построение доказательственной базы путем окончательного разрешения большинства диагностических и идентификационных вопросов в отношении информации на машинных носителях. Целью этого вида является поиск, обнаружение, анализ и оценка информации, подготовленной пользователем или порожденной (созданной) программами для организации информационных процессов в компьютерной системе.
Отдельный вид СКТЭ –компьютерно-сетевая экспертиза, в отличие от предыдущих основывается, прежде всего, на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию. Поэтому исследование фактов и обстоятельств, связанных с использованием сетевых и телекоммуникационных технологий, по заданию следственных и судебных органов в целях установления истины по уголовному делу составляют видовой предмет компьютерно-сетевой экспертизы. Данный вид выделен в отдельный вид в связи с тем, что лишь использование специальных познаний в области сетевых технологий позволяет соединить воедино полученные объекты, сведения о них и эффективно решить поставленные экспертные задачи. Особое место в компьютерно-сетевой экспертизе занимают экспертные исследования по уголовным делам, связанным с Интернет-технологиями.
Известно, что среди основных задач, разрешаемых судебными экспертизами, можно выделить направленные на идентификацию объекта, т.е. отождествление объекта по его отображениям. Другая группа задач – диагностические – состоит в выявлении механизма события, времени, способа и последовательности действий, событий, явлений, причинных связей между ними, природы, качественных и количественных характеристик объектов, их свойств и признаков, не поддающихся непосредственному восприятию, и т. д.
- дайте определение термину компьютерная информация?
- Перечислите способы совершения преступлений, в сфере компьютерной информации?
- Каковы методы совершения преступлений, в сфере компьютерной информации?
- Перечислите основные мотивы и цели побуждающие людей на данный вид преступления?
- Каков будет портрет типичного нарушителя закона в этой сфере?
- Состав следственно-оперативной группы?
- Какие мероприятия включает в себя проверка заявления?
- Программа расследования на первоначальном этапе?
- Что является основанием для возбуждения уголовного дела?
- Каковы обстоятельства, подлежащие доказыванию причастности к преступлению?
- Что включает в себя последующий этап расследования?
- Завершающий этап расследования?
- Как расшифровать аббревиатуру СКТЭ?
- Что включает в себя данная экспертиза?
Электронный учебник содержит краткую теорию и мультимедийный ресурс, включающий терминологические словари, презентации, видео- и аудиозаписи, задачи, расчетно-графические задания, тесты, кроссворды, флеш, контрольные вопросы и список используемой литературы. Большинство тем снабжено иллюстрационным материалом, что заметно повышает интерес обучающихся и процесс усвоения нового материала, в соответствии с компетенциями ООП ФГОС 3 поколения. Электронный учебник по результатам конкурса в номинации «Учебная книга» ITE Сибирская ярмарка Международной выставки «УчСиб - 2013″ награжден БОЛЬШОЙ ЗОЛОТОЙ МЕДАЛЬЮ. Электронный учебник предназначен для студентов, изучающих курсы «Криминалистика», «МРОВП», «КЭНЭПС» по специальности «Юриспруденция» и для студентов, изучающих курс «Правоведение» не юридических специальностей!!!
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Для установления возможности создания вредоносной программы определенным лицом: сознавшимся в этом: проводится следственный эксперимент с использованием соответствующих средств компьютерной техники (расследование создания: использования и распространения вредоносных программ для ЭВМ).
При проведении следственного эксперимента выясняется возможность наступления вредных последствий при нарушении определенных правил. Он проводится с использованием копий исследуемой информации и по возможности на той же ЭВМ: при работе на которой нарушены правила (расследование нарушения правил эксплуатации ЭВМ: системы ЭВМ или их сети).
2 . 3 . 6 Д опрос обвиняемого и подозреваемого
Закон (ст. 150 УПК) предписывает приступить к допросу обвиняемого сразу же после предъявления обвинения и разъяснения его прав. Допрос собственно и является прежде всего способом обеспечения одного из важнейших прав обвиняемого - давать объяснения по предъявленному обвинению в интересах собственной защиты (ст. 46 УПК). Он в меньшей мере необходим и следователю: для которого служит способом получения доказательства - показаний обвиняемого и тем самым одним из важных способов проверки правильности сформулированной по делу версии обвинения. Допрос обвиняемого является также одним из средств: с помощью которого его изобличают в совершении преступления.
Следует: однако: иметь в виду: что дача показаний для обвиняемого - это его право: а не обязанность. Поэтому обвиняемого: в отличие от свидетеля и потерпевшего: нельзя перед допросом: а также в ходе допроса предупреждать об уголовной или какой-либо иной (например: административной и т. п.) ответственности за отказ от дачи показаний: равно как и за дачу ложных показаний.
По смыслу ст. 51 Конституции РФ обвиняемый и подозреваемый вообще вправе отказаться от дачи показаний и не отвечать ни на какие вопросы либо отвечать на них сугубо добровольно. Потому при возникновении у суда сомнений относительно добровольности данных этими лицами показаний в ходе предварительного следствия или дознания обязанность доказывания: что показания действительно были даны добровольно: следовало бы возлагать на органы уголовного преследования: получившие такие показания.
О каждом допросе обвиняемого составляется протокол с соблюдением требований: предусмотренных ст. ст. 141: 142 и 151 УПК. После дачи обвиняемым показаний: в случае его просьбы: ему предоставляется возможность изложить свои показания собственноручно (ст. 152 УПК)
Обычно по уголовным делам рассматриваемой категории (расследование создания: использования и распространения вредоносных программ для ЭВМ) при допросе обвиняемого необходимо выяснить обстоятельства подготовки и совершения преступления: алгоритм функционирования вредоносной программы: а также на какую информацию и как она воздействует.
По делам данной категории при допросе подозреваемого требуется установить уровень его профессиональной подготовленности как программиста: опыт его работы по созданию программы конкретного класса на данном языке программирования: знание им алгоритмов работы про грамм: подвергшихся неправомерному воздействию.
Также необходимо выяснить (допрос подозреваемого)% «места его жительства: работы или учебы: профессию: взаимоотношения с сослуживцами: семейное положение: образ жизни: сферу интересов: привычки: наклонности: круг знакомых: навыки в программировании: ремонте и эксплуатации средств вычислительной техники: какими средствами вычислительной техники: машинными носителями: аппаратурой и приспособлениями он располагал: где: на какие средства их приобрел и где хранил.»
3 . Расследование преступлений в сфере компьютерной информации
3 . 1 Расследование неправомерного доступа к компьютерной информации
Согласно ст. 272 УК ответственность за деяние наступает при условии: если неправомерный доступ к компьютерной информации повлек за собой хотя бы одно из следующих негативных последствий: уничтожение: блокирование: модификацию либо копирование информации: нарушение работы ЭВМ: системы ЭВМ или их сети.
3 . 1 . 1 О бщая схема расследования неправомерного доступа к компьютерной информации
В ходе расследования основные следственные задачи целесообразно решать в такой последовательности:
1. Установление факта неправомерного доступа к информации в компьютерной системе или сети.
2. Установление места несанкционированного проникновения в компьютерную систему или сеть.
3. Установление времени совершения преступления.
4. Установление надежности средств защиты компьютерной информации.
5. Установление способа несанкционированного доступа.
6. Установление лиц: совершивших неправомерный доступ: их виновности и мотивов преступления.
7. Установление вредных последствий преступления.
8. Выявление обстоятельств: способствовавших преступлению.
Установление факта неправомерного доступа к информации в компьютерной системе или сети. Такой факт: как правило: первыми обнаруживают пользователи автоматизированной информационной системы: ставшие жертвой данного правонарушения.
Факты неправомерного доступа к компьютерной информации иногда устанавливаются в результате оперативно-розыскной деятельности органов внутренних дел: ФСБ: налоговой полиции. Установить их можно в ходе прокурорских проверок: при проведении ревизий: судебных экспертиз: следственных действий по уголовным делам. Рекомендуется в необходимых случаях при рассмотрении материалов: связанных с обработкой информации в компьютерной системе или сети: установление фактов неправомерного доступа к ним поручать ревизорам и оперативно-розыскным аппаратам."
На признаки несанкционированного доступа или подготовки к нему могут указывать следующие обстоятельства:
появление в компьютере фальшивых данных
необновление в течение длительного времени в автоматизированной информационной системе кодов: паролей и других защитных средств
частые сбои в процессе работы компьютеров
участившиеся жалобы клиентов компьютерной системы Или сети
осуществление сверхурочных работ без видимых на то причин
немотивированные отказы некоторых сотрудников: обслуживающих компьютерные системы или сети: от отпусков
неожиданное приобретение сотрудником домашнего дорогостоящего компьютера
чистые дискеты либо диски: принесенные на работу сотрудниками компьютерной системы под сомнительным предлогом перезаписи программ для компьютерных игр
участившиеся случаи перезаписи отдельных данных без серьезных на то причин
чрезмерный интерес отдельных сотрудников к содержанию чужих распечаток «листингов»: выходящих из принтеров.
Особо следует выделить признаки неправомерного доступа: относящиеся к отступлению от установленного порядка работы с документами: а именно:
а) нарушение установленных правил оформления документов: в том числе изготовления машинограмм
6) повторный ввод одной и той же информации в ЭВМ
в) наличие в пачке лишних документов: подготовленных для обработки на компьютере
г) отсутствие документов: послуживших основанием для записи во вторичной документации
д) преднамеренная утрата: уничтожение первичных документов и машинных носителей информации: внесение искажений в данные их регистрации.
Для фактов неправомерного доступа к компьютерной информации характерны также следующие признаки: относящиеся к внесению ложных сведений в документы:
а) противоречия «логические или арифметические» между реквизитами того или иного бухгалтерского документа
б) несоответствие данных: содержащихся в первичных документах: данным машинограмм
в) противоречия между одноименными бухгалтерскими документами: относящимися к разным периодам времени
г) несоответствие учетных данных взаимосвязанных показателей в различных машинограммах
д) несоответствие между данными бухгалтерского и другого вида учета.
Следует иметь в виду: что указанные признаки могут быть следствием не только злоупотребления: но и других причин: в частности случайных ошибок и сбоев компьютерной техники.
Установление места несанкционированного доступа в компьютерную систему или сеть. Решение данной задачи вызывает определенные трудности: так как таких мест может быть несколько.
Чаше обнаруживается место неправомерного доступа к компьютерной информации с целью хищения денежных средств.
При обнаружении факта неправомерного доступа к информации в компьютерной системе или сети следует выявить все места: где расположены компьютеры: имеющие единую телекоммуникационную связь.
Проще рассматриваемая задача решается в случае несанкционированного доступа к отдельному компьютеру: находящемуся в одном помещении. Однако при этом необходимо учитывать: что информация на машинных носителях может находиться в другом помещении: которое тоже надо устанавливать.
Труднее определить место непосредственного применения технических средств удаленного несанкционированного доступа (не входящих в данную компьютерную систему или сеть). К установлению такого места необходимо привлекать специалистов.
Установлению подлежит и место хранения информации на машинных носителях либо в виде распечаток: добытых в результате неправомерного доступа к компьютерной системе или сети.
Установление времени несанкционированного доступа. С помощью программ общесистемного назначения в работающем компьютере обычно устанавливается текущее время: что позволяет по соответствующей команде вывести на экран дисплея информацию о дне недели: выполнения той или иной операции: часе и минуте. Если эти данные введены: то при входе в систему или сеть (в том числе и несанкционированном) время работы на компьютере любого пользователя и время конкретной операции автоматически фиксируются в его оперативной памяти и отражаются: как правило: в выходных данных (на дисплее: листинге или на дискете).
С учетом этого время несанкционированного доступа можно установить путем следственного осмотра компьютера либо распечаток или дискет. Его целесообразно производить с участием специалиста: так как неопытный следователь может случайно уничтожить информацию: находящуюся в оперативной памяти компьютера или на дискете.
Время неправомерного доступа к компьютерной информации можно установить также путем допроса свидетелей из числа сотрудников данной компьютерной системы: выясняя у них: в какое время каждый из них работал на компьютере: если оно не было зафиксировано автоматически.
Установление способа несанкционированного доступа. В ходе установления способа несанкционированного доступа к компьютерной информации следствие может вестись по трем не взаимоисключающим друг друга вариантам:
Допросом свидетелей из числа лиц: обслуживающих компьютер: компьютерную систему или сеть (системный администратор: операторы): разработчиков системы и: как правило: поставщиков технического и программного обеспечения. В данном случае необходимо выяснить: каким образом преступник мог преодолеть средства защиты данной системы: в частности: узнать идентификационный номер законного пользователя* код* пароль для доступа к ней* получить сведения о других средствах защиты.
Производством судебной информационно-технической экспертизы. В ходе экспертизы выясняются возможные способы проникнуть в систему при той технической и программной конфигурации системы в которую проник преступник: с учетом возможного использования последним специальных технических и программных средств. При производстве судебной: информационно-технической экспертизы целесообразно поставить эксперту следующий вопрос: «Каким способом мог быть совершен несанкционированный доступ в данную компьютерную систему»
Проведением следственного эксперимента: в ходе которого проверяется возможность несанкционированного доступа к информации одним из предполагаемых способов.
Установление надежности средств защиты компьютерной информации. Прежде всего, необходимо установить: предусмотрены ли в данной компьютерной системе меры защиты от несанкционированного доступа к определенным файлам. Это можно выяснить путем допросов ее разработчиков и пользователей: а также изучением проектной документации: соответствующих инструкций по эксплуатации данной системы. При ознакомлении с инструкциями особое внимание должно уделяться разделам о мерах защиты информации: порядке допуска пользователей к определенным данным: разграничении их полномочий: организации контроля за доступом: конкретных методах защиты информации (аппаратных: программных: криптографических: организационных и других).
Надо иметь в виду: что в целях обеспечения высокой степени надежности информационных систем: в которых обрабатывается документированная информация с ограниченным доступом: осуществляется комплекс мер: направленных на их безопасность.
В частности: законодательством предусмотрены обязательная сертификация средств защиты этих систем и обязательное лицензирование всех видов деятельности в области проектирования и производства таких средств. Разработчики: как правило: гарантируют надежность своих средств при условии: если будут соблюдены установленные требования к ним. Поэтому в процессе расследования требуется установить: во-первых: имеется ли лицензия на производство средств защиты информации от несанкционированного доступа: используемых в данной компьютерной системе: и: во-вторых: соответствуют ли их параметры выданному сертификату. Для проверки такого соответствия может быть назначена информационно-техническая экспертиза с целью решения вопроса% «Соответствуют ли средства защиты информации от несанкционированного допуска: используемые в данной компьютерной системе: выданному сертификату».
Вина за выявленные при этом отклонения: ставшие причиной несанкционированного доступа к компьютерной информации: возлагается на пользователя системы: а не на разработчика средств защиты.
Установление лиц: совершивших неправомерный доступ к компьютерной информации.
Опубликованные в прессе результаты исследований: проведенных специалистами: позволяют составить примерный социологический портрет современного хакера. Возраст правонарушителей колеблется в широких границах - от 15 до 45 лет: причем на момент совершения преступления у трети возраст не превышал 20 лет. Свыше 80% преступников в компьютерной сфере - мужчины: абсолютное большинство которых имело высшее и среднее специальное образование. При этом у более 50% преступников была специальная подготовка в области автоматизированной обработки информации: а 30% - были непосредственно связаны с эксплуатацией ЭВМ и разработкой программного обеспечения к ней. Однако: согласно статистики: профессиональными программистами из каждой тысячи компьютерных преступлений совершено только семь. 38% отечественных хакеров действовали без соучастников: 62% - в составе преступных групп По оценкам специалистов основная опасность базам данных исходит от внутренних пользователей ими совершается 94% преступлений: а внешними - только 6%.
Данные вышеприведенного статистического анализа показывают: что несанкционированный доступ к ЭВМ: системы ЭВМ или их сети совершают специалисты с достаточно высокой степенью квалификации в области информационных технологий. Поэтому поиск подозреваемого следует начинать с технического персонала пострадавших компьютерных систем или сетей (разработчиков соответствующих систем: их руководителей: операторов: программистов: инженеров связи: специалистов по защите информации и других).
Следственная практика показывает: что чем сложнее в техническом отношении способ проникновения в компьютерную систему или сеть: тем легче выделить подозреваемого: поскольку круг специалистов: обладающих соответствующими способностями: обычно весьма ограничен.
При выявлении лиц: причастных к совершению преступления: необходим комплекс следственных действий: включающий в себя следственный осмотр компьютера (системы ЭВМ и ее компонентов): допрос лиц: обязанных обеспечивать соблюдение доступа к компьютерной системе или сети: обыск у лиц: заподозренных в неправомерном доступе к компьютерной информации: при наличии к тому достаточных оснований изложенных ранее в главе (расследование).
Установление виновности и мотивов лиц: совершивших неправомерный доступ к компьютерной информации. Установить виновность и мотивы несанкционированного доступа к компьютерной информации можно только по совокупности результатов всех процессуальных действий. Решающими из них являются показания свидетелей: подозреваемых: обвиняемых: потерпевших: заключения судебных экспертиз: главным образом информационно-технологических и информационно-технических: а также результаты обыска. В процессе расследования выясняется: во-первых: с какой целью совершен несанкционированный доступ к компьютерной информации* во-вторых: знал ли правонарушитель о системе ее защиты* в-третьих: желал ли он преодолеть эту систему и: в-четвертых: если желал: то по каким мотивам и какие действия для этого совершил.
Установление вредных последствий неправомерного доступа к компьютерной системе или сети. Прежде всего необходимо установить: в чем заключаются вредные последствия такого доступа «хищение денежных средств или материальных ценностей: завладение компьютерными программами: информацией путем изъятия машинных носителей либо копирования: а также незаконное изменение: уничтожение: блокирование информации или выведение из строя компьютерного оборудования: введение в компьютерную систему заведомо ложной информации или компьютерного вируса и т.д.".
Хищение денежных средств чаще совершается в банковских электронных системах путем несанкционированного доступа к их информационным ресурсам: внесения в них изменений и дополнений. Обычно такие правонарушения обнаруживаются самими работниками банков. Устанавливаются они и в результате проведения оперативно-розыскных мероприятий. Сумма хищения устанавливается судебно-бухгалтерской экспертизой.
Факты неправомерного завладения компьютерными программами вследствие несанкционированного доступа к той или иной системе и их незаконного использования выявляются: как правило: потерпевшими.
Наибольший вред приносит незаконное получение информации из различных компьютерных систем: ее копирование: размножение с целью продажи и получения материальной выгоды либо использования в других преступных целях (например: для сбора компроматов на кандидатов в депутаты различных представительных органов власти).
Похищенные программы и информационные базы данных могут быть обнаружены путем производства обысков у обвиняемых: а также при проведении оперативно-розыскных мероприятий. Так: сотрудниками санкт-петербургской милиции было проведено несколько операций: в ходе которых выявлены многочисленные факты распространения копий разнообразных компьютерных программ: добытых в результате несанкционированного доступа к компьютерным системам: вследствие чего некоторым фирмам - производителям программ причинен крупный материальный ущерб.
Если незаконно приобретенная информация относится к категории конфиденциальной или государственной тайны: то конкретный вред: причиненный разглашением: устанавливается представителями Гостехкомиссии РФ.
Факты незаконного изменения: уничтожения: блокирования информации: выведения из строя компьютерного оборудования: введения в компьютерную систему заведомо ложной информации устанавливаются прежде всего самими пользователями информационной системы или сети.
Следует иметь в виду: что не все эти последствия наступают в результате умышленных действий. Нередко их причиной становится случайный сбой в работе компьютерного оборудования.
По имеющимся сведениям: серьезные сбои в работе сетевого оборудования и программного обеспечения в большинстве российских фирм происходят не реже одного раза в месяц.
При определении размера вреда: причиненного несанкционированным доступом: учитываются не только прямые затраты на ликвидацию его последствий: но и упущенная выгода негативные последствия неправомерного доступа к компьютерной информации могут устанавливаться в процессе следственного осмотра компьютерного оборудования и носителей информации (анализа баз и банков данных): допросов технического персонала: владельцев информационных ресурсов. Вид и размер ущерба устанавливаются обычно посредством комплексной экспертизы: проводимой с применением специальных познаний в области информатизации: средств вычислительной техники и связи: экономики: финансовой деятельности и товароведения.
Выявление обстоятельств: способствовавших неправомерному доступу к компьютерной информации. На заключительном этапе расследования формируется целостное представление об обстоятельствах: способствовавших несанкционированному доступу к компьютерной информации. В данном аспекте важно последовательное изучение различных документов: главным образом относящихся к защите информации. Особое значение при этом могут иметь материалы ведомственного (служебного) расследования.
Вопросы о способствовавших рассматриваемому преступлению обстоятельствах целесообразно ставить при информационно-технологической и информационно-технической судебных экспертизах. Соответствующие обстоятельства могут устанавливаться также благодаря допросам технического персонала: очным ставкам: следственным экспериментам: осмотрам документов.
Эти обстоятельства состоят главным образом в следующем%
1) Неэффективность методов защиты компьютерной информации от несанкционированного доступа: что в значительной мере относится к компьютерным сетям.
2) Совмещение функций разработки и эксплуатации программного обеспечения в рамках одного структурного подразделения. Разработчики компьютерной программы нередко сами участвуют в ее промышленной эксплуатации. Они имеют возможность вносить в нее разные изменения: осуществлять доступ к любой информации: в том числе закрытой. Являясь авторами средств защиты и их эксплуатационниками: они подобны главному бухгалтеру: выполняющему также функции кассира.
3) Неприменение в технологическом процессе всех имеющихся средств и процедур регистрации и протоколирования операций: действий программ и обслуживающего персонала.
4) Нарушение сроков изменения паролей пользователей.
5) Нарушение установленных сроков хранения копий программ и компьютерной информации либо отсутствие их.
На допросах лица: обвиняемого в неправомерном доступе к компьютерной информации: уточняются и дополняются ранее полученные данные.
3 . 1 . 2 С пособы краж в банковских информационно-вычислительных системах
Ввиду существенного финансового ущерба: причиняемого «компьютерными преступлениями» в данной сфере экономики: целесообразно остановиться на способах краж в банковских информационно-вычислительных системах подробнее.
Под способом краж в информационных системах кредитно-финансовых структур понимают совокупность приемов и средств: обеспечивших несанкционированный доступ к банковским информационным ресурсам и технологиям: которые позволяют совершить модификацию хранимой информации с целью нарушения отношений собственности: выразившегося в противоправном изъятии денежных средств или обращении их в пользу других лиц.
Известные на сегодня способы отличаются значительным и постоянно расширяющимся разнообразием.
По своей криминалистической сущности такого рода умышленные действия являются преступлением с четко выраженными этапами развития. Они отличаются друг от друга по характеру действий и степени завершенности криминального деяния. Такое деление на стадии необходимо для правильной правовой оценки. Применяя ст. 29 УК: можно выделить следующие три этапа.
Приготовление к преступлению
Поиск: покупка: получение на время или хищение орудий деяния (компьютера: модема и пр.): написание специальной программы: позволяющей преодолеть защиту банковских сетей (изготовление и приспособление средств совершения преступления): сбор информации о клиентах банка: системе защиты (СЗ): подбор паролей: преодоление СЗ от несанкционированного доступа к данным и компьютерной информации (умышленное создание условий для совершения преступления).
Покушение на преступление
Производится путем манипуляции данными: хранимыми в памяти банковской информационной системы: и ее управляющими программами для несанкционированного движения денежных средств в пользу злоумышленника или третьего лица.
Окончание преступления Заключительная стадия: когда все несанкционированные транзакции завершены и злоумышленник имеет возможность воспользоваться плодами своего деяния.
Вот более подробно некоторые приемы: применяемые в компьютерных преступлениях.
Изъятие средств вычислительной техники (СВТ) производится с целью получения системных блоков: отдельных винчестеров или других носителей информации: содержащих в памяти установочные данные о клиентах: вкладчиках: кредиторах банка и т. д. Такие действия проводятся путем хищения: разбоя: вымогательства и сами по себе содержат состав обычных «некомпьютерных» преступлений. Они квалифицируются по ст. 158: 161: 162: 163 УК России.
Перехват (негласное получение) информации также служит для «снятия» определенных сведений с помощью методов и аппаратуры аудио-: визуального и электромагнитного наблюдения. Объектами: как правило: являются каналы связи: телекоммуникационное оборудование: служебные помещения для проведения конфиденциальных переговоров: бумажные и магнитные носители (в том числе и технологические отходы). Это компетенция ст. 138: 183
Несанкционированный доступ (НСД) к средствам вычислительный техники. Это активные действия по созданию по созданию возможности распоряжаться информацией без согласия собственника. Они могут быть квалифицированы с использование ст. 183: 272 УК. НСД обычно реализуется с использованием следующих основных приемов:
· за дураком» - физическое проникновение в производственные помещения. Злоумышленник ожидает у закрытого помещения: держа в руках предметы: связанные с работой на компьютерной технике (элементы маскировки): пока не появится кто-либо: имеющий легальный доступ к СВТ: затем остается только войти внутрь вместе с ним или попросить его помочь занести якобы необходимые для работы на компьютере предметы. Другой вариант - электронное проникновение в СВТ - подключение дополнительного компьютерного терминала к каналам связи с использованием шлейфа «шнурка» в тот момент времени: когда законный пользователь кратковременно покидает свое рабочее место: оставляя свой терминал или персональный компьютер в активном режиме*
· за хвост» - злоумышленник подключается к линии связи законного пользователя и дожи дается сигнала: обозначающего конец работы: перехватывает его на себя: а потом: когда законный пользователь заканчивает активный режим: осуществляет доступ к банковской системе. Подобными свойствами обладают телефонные аппараты с функцией удержания номера: вызываемого абонентом*
· компьютерный абордаж» - злоумышленник вручную или с использованием автоматической программы подбирает код «пароль» доступа к банковской системе с использованием обычного телефонного аппарата*
· «неспешный выбор» - преступник изучает и исследует систему защиты от НСД: ее слабые места: выявляет участки: имеющие ошибки или неудачную логику программного строения: разрывы программ «брешь: люк» и вводит дополнительные команды: разрешающие доступ.
· «маскарад» - злоумышленник проникает в банковскую компьютерную систему: выдавая себя за законного пользователя с применением его кодов «паролей» и других идентифицирующих шифров*
· «мистификация» - злоумышленник создает условия: когда законный пользователь осуществляет связь с нелегальным терминалом. будучи абсолютно уверенным в том: что он работает с нужным ему законным абонентом. Формируя правдоподобные ответы на запросы законного пользователя и поддерживая его заблуждения некоторое время: злоумышленник добывает коды (пароли) доступа или отклик на пароль*
· «аварийный» - злоумышленник создает условия для возникновения сбоев или других отклонений в работе СВТ. При этом включается особая программа: позволяющая в аварийном режиме получать доступ к наиболее ценным данным. В этом режиме возможно «отключение» всех имеющихся в банковской компьютерной системе средств защиты ин формации.
Асинхронная атака является одним из приемов подготовительного этапа к совершению преступления. Преступник: используя асинхронную природу операционной системы: заставляет работать банковскую компьютерную систему в ложных условиях: из-за чего управление обработкой частично или полностью нарушается. Данная ситуация используется для внесения изменений в операционную систему: причем эти изменения не будут заметны (ст. 272 УК РФ).
Моделирование - это наиболее сложный и трудоемкий прием подготовки к совершению преступления. Злоумышленник строит модель поведения банковской компьютерной системы в различных условиях и на основе изучения организации движения денежных средств оптимизирует способ манипуляции данными. Например: в нескольких сторонних банках открываются счета на незначительные суммы: моделируется ситуация: при которой деньги переводятся из одного банка в другой и обратно с постепенным увеличением сумм. В ходе анализа выявляются условия: при которых: а) в банке обнаружится: что поручение о переводе не обеспечено необходимой суммой* б) когда в банк необходимо прислать извещение из другого банка о том: что общая сумма покрывает требование о первом переводе* в) устанавливается: сколько циклов это нужно повторять: чтобы на затребованном счете оказалась достаточная сумма и число платежных поручений не казалось подозрительным.
Подмена данных используется непосредственно для обращения денежных сумм в свою пользу и представляет собой способ модификации сведений: при котором злоумышленником изменяются или вводятся новые данные (как правило: на этапе ввода-вывода информации) для приписывания банковскому счету «чужой» истории. Здесь просматривается состав преступления: определенный ст. 272 УК РФ.
«Троянский конь» «матрешка»: «червь»: «бомба» также служит непосредственно для обращения чужих денег в свою пользу. Это такая манипуляция: при которой злоумышленник тайно вводит в прикладное программное обеспечение специальные модули: обеспечивающие отчисление на заранее открытый подставной счет определенных сумм с каждой банковской операции или увеличение суммы на этом счете при автоматическом пересчете рублевых остатков: связанных с переходом к коммерческому курсу соответствующей валюты. Здесь применимы ст. 273 и 158.
«Салями» - оригинальная электронная версия методов изъятия «лишних» денежных средств в свою пользу. При использовании этого метода злоумышленник так же: как и в предыдущем случае: «дописывает» прикладное программное обеспечение специальным модулем: который манипулирует с информацией. перебрасывая на подставной счет результаты округления при проведении законных транзакций. Расчет построен на том: что отчисляемые суммы столь малы: что их потери практически незаметны: а незаконное накопление средств проводится за счет суммы совершения большого количества операций (ст. 272. 273: 158 УК РФ).
Сокрытие следов Особое место занимают методы: которые применяются злоумышленником для сокрытия следов преступления. Эти действия вряд ли можно квалифицировать по статьям Уголовного кодекса: однако они направлены на то: чтобы преступник смог воспользоваться плодами своего неблагородного труда. Эти методы важны при оценке завершенности совершенного преступления. Одним из таких методов является дробление денежных сумм - злоумышленник делит полученные в результате несанкционированных манипуляций с банковской информацией денежные средства на неравные долевые части с зачислением на корреспондентские счета сторонних банков: в которых можно было бы впоследствии снять переведенные суммы наличными.
3 . 2 Расследование создания, распространения и использования вредоносных программ для ЭВМ
Представляется наиболее целесообразной следующая последовательность решения основных задач при расследовании таких преступлений:
1) Установление факта и способа создания вредоносной программы для ЭВМ.
2) Установление факта использования и распространения вредоносной программы.
3) Установление лиц: виновных в создании: использовании и распространении вредоносных программ для ЭВМ.
4) Установление вреда: причиненного данным преступлением.
5) Установление обстоятельств: способствовавших совершению расследуемого преступления.
Установление факта и способа создания вредоносной программы для ЭВМ. Вредоносная программа: как правило: обнаруживается в момент: когда уже явно проявляются последствия ее применения: выявляется она также в процессе антивирусной проверки: производимой пользователем компьютерной системы перед началом работы на компьютере: особенно часто практикуемой при использовании чужих дискет и дисков.
Способов создания программ для ЭВМ очень много. Однако разработка вредоносных программ осуществляется обычно одним из двух нижеописанных способов.
1. Создание вредоносной программы ведется непосредственно на одном из рабочих мест автоматизированной информационной системы. Это: как правило: маскируется под правомерную повседневную работу на том или ином участке разработчиком вредоносной программы: который в силу своих служебных обязанностей имеет доступ к информационной системе и функционирующей в ней информации: а иногда и владеет кодами: паролями. Сокрытие преступных действий разработчик осуществляет путем удаления компрометирующих его данных или хранения их на собственных дискетах.
2. Создание такой программы: ведется вне сферы непосредственной деятельности компьютерной системы: для воздействия на которую она предназначена. При этом преступнику необходимы сведения о функционирующей в данной системе информации: способах доступа к ней: методах ее защиты. Для их получения он устанавливает связи с кем-либо из пользователей системы либо внедряет в нее свое доверенное лицо: чаще программиста.
Иногда вредоносная программа создается путем внесения изменений в существующую программу.
На факт создания вредоносной программы косвенно могут указывать следующие обстоятельства:
а) повышенная заинтересованность алгоритмами функционирования программ: работой системы информационной защиты: входной и выходной информацией лицами: в круг обязанностей которых это не входит*
6) внезапная увлеченность программированием лиц: в круг обязанностей которых программирование не входит.
Эти обстоятельства могут устанавливаться как в результате проведения оперативно-розыскных мероприятий: так и следственных действий (например: допроса свидетелей из числа пользователей компьютерной системы: в которой обнаружены признаки использования вредоносной программы).
Установление факта использования и распространения вредоносной программы. Большинство пользователей компьютерных систем может обнаружить вредоносные программы с помощью антивирусных программ. В процессе расследования факт использования вредоносной программы можно установить посредством осмотра следующих документов: журналов учета «рабочего времени» доступа к вычислительной технике: сбоев и ремонта: регистрации пользователей компьютерной системы или сети: проведения регламентных работ* лицензионных соглашений и договоров на пользование программными продуктами и их разработку* книг паролей* приказов и других документов: регламентирующих работу учреждения и: в частности: использование компьютерной информации. Надо иметь в виду: что эти документы могут существовать в электронной форме: на машинных носителях. К ознакомлению с ними рекомендуется привлекать специалиста - При изучении таких документов следователь может получить информацию о законности использования того или иного программного обеспечения: системе организации работы учреждения: использования в ней информации: доступа к информации и вычислительной технике: круге лиц: находившихся в определенный момент времени на объекте: где функционирует компьютерная система: или имевших доступ к вычислительной технике.
При допросе подозреваемого: обвиняемого: свидетелей необходимо выяснить способы распространения вредоносных программ: то есть предоставления доступа к ним путем продажи: проката: сдачи внаем: предоставления взаймы: включая импорт для любой из этих целей".
Надо иметь в виду: что применяется множество способов использования и распространения вредоносных программ. В частности: оно осуществляется в случаях запуска программы с другого компьютера или с дискеты: купленной: одолженной: полученной в порядке обмена: или с электронной «доски объявлений» ВВС (Би-Би-Си). Распространение программы вызывающей уничтожение и блокирование информации: нарушение работоспособности ЭВМ: системы ЭВМ или их сети: может осуществляться по компьютерной сети в результате использования нелицензионной и несертифицированной программы или купленной у случайного лица: а также скопированной у кого-либо из знакомых: например: чаще игровых программ.
Важное значение для установления фактов использования и распространения вредоносных программ имеет своевременное производство информационно-технологической экспертизы: которая может определить: какие изменения внесены в исследуемые программы: время внесения изменений: их характер: какие последствия способны вызвать использование и распространение вредоносных программ. Она может также установить примененный преступником способ преодоления программной и аппаратной защиты (подбор ключей и паролей: отключение средств защиты: использование специальных программных средств).
Установление лиц: виновных в создании: использовании и распространении вредоносных программ для ЭВМ. При решении данной следственной задачи необходимо учитывать: что вредоносную программу может создать человек: обладающий навыками в обращении с компьютером и написании программ. Лучше всего их могут сделать опытные программисты: но они: как правило: не участвуют в их распространении. Нередко вредоносные программы создают и используют лица: сравнительно давно освоившие машинный язык: из чувства самоутверждения: по мотиву корысти или мести: а иногда из потребности в вандализме. Некоторые делают это в форме интеллектуального вызова: стремясь преодолеть систему информационной защиты: считающейся неуязвимой.
Использовать и распространять вредоносные программы может любой человек: умеющий работать на персональном компьютере. Однако наибольшую опасность представляют высококвалифицированные специалисты в области компьютерных технологий: опытные компьютерные взломщики: получившие в литературе название хакеров.
Преступления данной категории иногда совершаются группой лиц: причем один хакер создает вредоносные программы: а остальные члены группы обеспечивают его деятельность в материально-техническом и информационном отношениях. В мировой практике борьбы с компьютерными преступлениями известны случаи осуществления хакерами связей с организованной преступностью: когда преступные сообщества выступают в роли заказчиков компьютерных махинаций: обеспечивая хакеров необходимой техникой: организуя прикрытие: снимая через подставных лиц деньги в банковских компьютерных системах.
Поиск лица: причастного к использованию вредоносных программ: требует значительных затрат времени и средств. В благоприятных случаях установить его можно по следам рук: оставленным на участках дисководов: клавишах: некоторых других частях компьютера.
После установления подозреваемого его задержание должно быть произведено незамедлительно: чтобы не допустить уничтожения компрометирующих его материалов. В случае если вредоносная программа является компьютерным вирусом: от быстроты задержания зависят масштабы его возможного распространения и причинения ущерба.
Установление вреда: причиненного данным преступлением. Решая данную задачу: надо иметь в виду: что вредоносная программа в виде вируса может за считанные секунды размножиться в большом количестве экземпляров и за короткий период времени заразить многие компьютерные системы. Компьютерные вирусы могут:
а) заполнить весь диск или всю свободную память компьютера своими копиями
б) переставить местами часть файлов: т. е. смешать их так: что найти их на диске будет практически невозможно
в) испортить таблицу размещения файлов
г) отформатировать диск или дискету: уничтожив все ранее записанное на соответствующем носителе
д) вывести на дисплей то или иное нежелательное сообщение
е) перегрузить компьютер: то есть осуществить произвольный перезапуск
ж) замедлить работу компьютера
з) внести изменения в таблицу определения кодов: делая невозможным пользование клавиатурой
и) изменить содержание программ и файлов: что может привести к ошибкам в сложных расчетах
к) привести в негодность персональный компьютер
л) раскрыть информацию с ограниченным доступом.
Размер ущерба: причиненного преступлением данного вида: устанавливается экспертным путем. Он может быть определен в рамках судебно-бухгалтерской и судебно-экономической экспертиз в комплексе с информационно-технологической и информационно-технической экспертизами.
Установление обстоятельств: способствовавших совершению преступления. Полную безопасность компьютерных систем обеспечить нельзя: но снизить опасность вредоносных программ для ЭВМ до определенного уровня возможно: в частности: путем устранения обстоятельств: способствующих созданию: использованию и распространению вредоносных компьютерных программ. К числу таких обстоятельств относятся в основном следующие:
отказ от использования антивирусных средств
использование случайного несертифицированного программного обеспечения
использование нелегальных копий программ для ЭВМ
отсутствие резервных копий программ и системных файлов
отсутствие учета и контроля за доступом к компьютерным системам
использование компьютеров не по назначению для компьютерных игр: обучения посторонних: написания программ лицами: в обязанности которых это не входит
игнорирование требования относительно проверки каждой приобретенной программы с целью возможного обнаружения признаков ее заражения компьютерным вирусом
незащищенность загрузочных дискет от нежелательных записей посредством специальной прорези
нерегулярность записей программ: устанавливаемых в компьютерную систему.
Устанавливаются перечисленные обстоятельства по результатам тщательного анализа всех материалов уголовного дела. Основным средством их установления является судебная информационно-технологическая экспертиза: при назначении которой необходимо ставить вопрос: «Что способствовало совершению преступления: связанного с созданием: использованием и распространением вредоносных программ для ЭВМ; ".
3 . 3 Расследование нарушения правил эксплуатации ЭВМ: системы ЭВМ или их сети
Серьезный ущерб компьютерной системе или сети может нанести нарушение правил их эксплуатации: что обычно приводит к сбоям в обработке информации и в конечном счете дестабилизации деятельности соответствующего предприятия или учреждения.
При расследовании по делам данной категории необходимо прежде всего доказать факт нарушения определенных правил: повлекший уничтожение: блокирование или модификацию охраняемой законом компьютерной информации и причинивший существенный вред. Кроме того: необходимо установить и доказать:
место и время «период времени» нарушения правил эксплуатации ЭВМ
характер компьютерной информации: подвергшейся уничтожению: блокированию или модификации вследствие нарушения правил эксплуатации компьютерной системы или сети
способ и механизм нарушения правил
характер и размер ущерба: причиненного преступлением
факт нарушения правил определенным лицом
виновность лица: допустившего преступное нарушение правил эксплуатации ЭВМ
обстоятельства: способствовавшие совершению расследуемого преступления.
При установлении факта преступного нарушения правил эксплуатации ЭВМ необходимо тщательно изучить нормативные документы: предусматривающие правила эксплуатации данной компьютерной системы или сети: их характер и назначение: имея в виду: что соответствующие правила направлены на обеспечение информационной безопасности компьютерных систем и сетей. Они могут определять порядок создания: сбора: обработки: накопления: хранения: поиска: распространения и представления потребителю компьютерной информации: ее защиту.
Ст. 274 УК предусматривает охраняемую законом информацию: то есть главным образом информацию ограниченного доступа: которая по условиям ее правового режима использования подразделяется на информацию: отнесенную к государственной тайне: и конфиденциальную. Именно эти два вида информации: циркулирующие в компьютерных системах и сетях: нуждаются в особых средствах защиты.
Порядок накопления: обработки: защиты и предоставления пользователю информации с ограниченным доступом определяется органами государственной власти либо ее собственником. Такие правила существуют: например: в государственных архивах: органах государственной исполнительной власти: в информационных системах которых функционирует конфиденциальная информация или составляющая государственную тайну.
Степень секретности и конфиденциальности информации имеет существенное значение для определения размера ущерба: причиненного преступным нарушением правил эксплуатации ЭВМ.
Факт нарушения правил эксплуатации ЭВМ становится известным в первую очередь обычно владельцам и пользователям компьютерной системы или сети вследствие обнаружения отсутствия необходимой информации или ее существенного изменения: негативно отразившегося на деятельности предприятия: организации: учреждения.
Факт нарушения правил эксплуатации ЭВМ может быть установлен по материалам служебного «административного» расследования: если таковое имело место. Оно проводится обычно службой информационной безопасности объекта: на котором имел место соответствующий инцидент. В этих материалах можно найти ответы на многие из вопросов: перечисленных выше.
По материалам служебного расследования могут быть установлены также место: время преступного нарушения правил и другие обстоятельства: подлежащие доказыванию. Если служебное расследование не проводилось: подлежащие доказыванию обстоятельства устанавливаются лишь следственным путем.
При осмотре автоматизированных рабочих мест пользователя ЭВМ: системы ЭВМ или их сети можно установить конкретное место нарушения правил эксплуатации ЭВМ.
Необходимо различать место нарушения правил и место наступления вредных последствий. Нередко они не совпадают: особенно при нарушении правил эксплуатации компьютерных сетей: которые: как известно: представляют собой объединение ряда персональных компьютеров: расположенных в различных местах: подчас на значительных расстояниях друг от друга.
При расследовании нарушения правил эксплуатации компьютерной сети очень важно установить: где расположена обычная станция: эксплуатация которой осуществлялась с грубым нарушением правил информационной безопасности. В первую очередь необходимо определить места: где по схеме развертывания сети расположены рабочие станции: имеющие собственные дисководы: так как на них значительно больше возможностей для преступных нарушений правил эксплуатации компьютерной сети. Это: например: возможность для нарушителя копирования данных с файлового сервера на свою дискету или использования дискеты с различными программами: в том числе с компьютерными вирусами. Такие действия: ставящие под угрозу целостность информации: содержащейся и центральных файловых серверах: исключены на бездисковых рабочих станциях. Рекомендуется производить следственный осмотр учетных данных: в которых могут быть отражены сведения о расположении конкретной рабочей станции: использующей файловый сервер.
Кроме того: могут быть допрошены в качестве свидетелей администратор сети и специалисты: обслуживающие файловый сервер: в котором произошло уничтожение: блокирование или модификация компьютерной информации.
Им могут быть заданы примерно следующие вопросы%
На какой рабочей станции могли быть нарушены правила эксплуатации компьютерной сети: где она расположена;
Могли ли быть нарушены правила эксплуатации данной локальной вычислительной сети на рабочей станции: расположенной там-то;
Если правила нарушаются непосредственно на файловом сервере: то место нарушения этих правил может совпадать с местом наступления вредных последствий.
Место нарушения правил может быть установлено и по результатам информационно-технической экспертизы: перед экспертами которой могут быть поставлены вопросы:
1. На какой рабочей станции локальной вычислительной сети могли быть нарушены правила ее эксплуатации: в результате чего наступили вредные последствия;
2. Могли ли быть нарушены правила эксплуатации сети на рабочей станции: расположенной там-то;
При определении времени нарушения правил эксплуатации ЭВМ необходимо установить и зафиксировать как время нарушения конкретных правил: так и время наступления вредных последствий.
Нарушение правил и наступление вредных последствий могут произойти одновременно. Например: при отключении электропитания в результате нарушения установленных правил обеспечения информационной безопасности может быть мгновенно уничтожена с трудом введенная в компьютер очень важная информация: которую не успели записать на дискету (в случае отсутствия запасных источников автономного питания: которые обычно автоматически подключаются при отключении основного).
Но возможен также значительный разрыв во времени между моментом нарушения правил и временем наступления вредных последствий. Так: например: в определенный момент времени вносятся изменения в программу или базу данных в нарушение установленных правил и значительно позже наступают вредные последствия этого.
Время нарушения правил обычно устанавливается по учетным данным: которые фиксируются в процессе эксплуатации ЭВМ. К ним относятся сведения о результатах применения средств автоматического контроля компьютерной системы: регистрирующих ее пользователей и моменты подключения к ней абонентов: содержание журналов учета сбойных ситуаций: передачи смен операторами ЭВМ: распечатки выходной информации: где: как правило: фиксируется время ее обработки. Указанные данные могут быть получены благодаря осмотру места происшествия: выемке и осмотру необходимых документов. Осмотр места происшествия и документов целесообразно проводить с участием специалиста. Время нарушения правил можно установить также путем допроса свидетелей из числа лиц: участвующих в эксплуатации ЭВМ. Допрашиваемым могут быть заданы примерно следующие вопросы:
Каким образом в данной компьютерной системе фиксируются факты и время отклонения от установленных правил (порядка) эксплуатации ЭВМ;
Когда могло быть нарушено определенное правило эксплуатации ЭВМ: вследствие чего наступили вредные последствия;
При необходимости может быть назначена судебная информационно-техническая экспертиза: перед которой для установления времени преступного нарушения правил можно сформулировать следующие вопросы:
Подобные документы
Проблема информационной безопасности. Уголовно-правовая и криминалистическая характеристика неправомерного доступа к компьютерной информации. Особенности первоначального этапа расследования неправомерного доступа к информации.
курсовая работа , добавлен 25.11.2004
Правовое регулирование отношений в области компьютерной информации. Общая характеристика преступлений в сфере компьютерной информации. Расследование преступления. Фабула и предварительный план расследования.
курсовая работа , добавлен 24.10.2004
Правовое регулирование отношений в области "компьютерной информации", классификация и методы преступлений в данной сфере. Особенности расследования этого вида преступлений. Следственные действия по делам рассматриваемой категории, порядок ведения допроса.
дипломная работа , добавлен 01.02.2014
Правовое регулирование отношений в области компьютерной информации. Создание, использование и распространение вредоносных программ. Понятие несанкционированного доступа к информации, хищения. Способы совершения данных преступлений, их предупреждение.
дипломная работа , добавлен 02.07.2015
История компьютерной преступности. Общая характеристика преступлений в сфере компьютерной информации. Пробелы уголовно-правового регулирования неправомерного доступа к компьютерной информации. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.
курсовая работа , добавлен 04.07.2010
Уголовно-правовая и криминалистическая характеристика неправомерного доступа к компьютерной информации. Особенности возбуждения уголовного дела. Следственные ситуации первоначального этапа расследования неправомерного доступа к компьютерной информации.
дипломная работа , добавлен 18.03.2012
Понятие и тенденции преступлений в сфере компьютерной информации. Объективная и субъективная сторона неправомерного доступа к компьютерной информации. Анализ состояния уголовно-правовой борьбы с данным видом преступлений, пути ее совершенствования.
дипломная работа , добавлен 09.01.2013
Общая характеристика компьютерных преступлений. Понятие об объекте и субъекте правонарушения. Хищение ЭВМ или иного машинного носителя компьютерной информации, с целью осуществления неправомерного доступа к охраняемой законом компьютерной информации.
курсовая работа , добавлен 26.03.2015
Уголовно-правовая охрана компьютерной информации. Состав преступления, проблемы квалификации неправомерного доступа, распространения вредоносных программ и нарушения правил эксплуатации. Международное сотрудничество и меры предупреждения злодеяний.
дипломная работа , добавлен 22.07.2010
Уголовно-правовые и криминологические аспекты противодействия неправомерному доступу к компьютерной информации, мошенничеству в киберпространстве. Проблема использования компьютерной информации следователями в процессе расследования и доказывания.
§ 1. Родовая криминалистическая характеристика преступлений
Массовая компьютеризация, начавшаяся в России в конце 80-х – первой половине 90-х годов (несколько позже, чем в США и Западной Европе), привела к развитию рынка компьютеров и программного обеспечения, повышению профессиональной подготовки пользователей, увеличению потребностей организаций в совершенствовании технологий обработки данных, значительно расширила сферу применения ЭВМ, кᴏᴛᴏᴩые все чаще подключаются к сетям широкого доступа. Активно внедряется автоматизированная обработка бухгалтерской и иной производственной документации, "безбумажные" технологии. Информация, содержащаяся в компьютере, зачастую вообще не хранится на бумаге. Компьютер стал практически обязательным элементом рабочего стола не только руководителей, но и рядовых сотрудников.
Важно заметить, что одним из следствий ϶ᴛᴏго процесса явилась криминализация сферы оборота компьютерной информации, что вызвало необходимость законодательно регламентировать уголовную ответственность за совершение преступлений в данной сфере. Так, УК РФ определяет как преступления:
неправомерный доступ к компьютерной информации, повлекший за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети (ст. 272);
создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами (ст. 273);
нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если ϶ᴛᴏ деяние причинило существенный вред (ст. 274)
Важно знать, что большинство таких преступлений совершается в кредитно-финан-совой сфере, однако эта уголовно-правовая категория далеко не охватывает всего спектра применения ЭВМ в криминальных целях. Компьютерную информацию нередко используют и в таких "традиционных" преступлениях, как приϲʙᴏение, мошенничество, фальшивомонетничество, лжепредпринимательство и др., например для: фальсификации платежных документов; хищения наличных и безналичных денежных
средств путем перечисления на фиктивные счета; "отмывания" денег; вторичного получения уже произведенных выплат; совершения покупок с использованием фальсифицированных или похищенных электронных платежных средств (кредитных карт); продажи секретной информации и пр.
Дать криминалистическую характеристику преступлений в данной сфере невозможно без определения понятия компьютерной информации. Федеральный закон "Об информации, информатизации и защите информации" определяет ее как "сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления". "Документированная информация;– зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать"1. При этом под криминалистически значимой информацией понимается совокупность знаний о совершенном преступлении. Как мы уже упоминали в главе 21, она может быть актуальной и потенциальной.
Компьютерная информация – информация на машинном носителе, в ЭВМ, системе или сети ЭВМ – также может быть криминалистически значимой, при расследовании и компьютерных преступлений, и посягательств, где ЭВМ выступает как объект (кража компьютера, незаконное использование машинного времени) или средство совершения преступления (использование ЭВМ для накопления информации, подделки документов и пр.) Программные продукты тоже могут использоваться и в качестве объекта преступления (незаконное копирование, причинение ущерба применением разрушающих программ – вирусов), и в качестве инструмента совершения преступления (несанкционированное проникновение в компьютерную систему, искажения и подлоги информации)
Компьютерная информация применительно к процессу доказывания может быть определена как фактические данные, обработанные компьютером и полученные на его выходе в форме, доступной восприятию ЭВМ либо человека или передающиеся по телекоммуникационным каналам, на базе кᴏᴛᴏᴩых в определенном законом порядке устанавливаются обстоятельства, имеющие значение для правильного разрешения дела2.
Источниками компьютерной информации служат: машинная распечатка; накопители на магнитных, оптических и иных носителях; база данных (фонд) оперативной памяти ЭВМ или постоянного запоминающего, устройства. Информация в ЭВМ вводится через стандартные (клавиатуру и накопители – на гибких (НГМД) и (или) на жестких магнитных дисках (НЖМД)) и нестандартные (мышь, модем, дигитайзер, сканер, аналого-цифровой преобразователь и др.) устройства ввода. Блок устройств вывода информации позволяет получить результаты работы
1 Федеральный закон "Об информации, информатизации и защите информации". Комментарий. М., 1996.
2 При подготовке раздела использованы материалы канд. дисс. Касаткина А. В. Тактика собирания и использования компьютерной информации при расследовании преступлений. М., 1997.
компьютера в привычном для пользователя виде. Стандартные устройства вывода – монитор (дисплей) и НГМД (НЖМД), нестандартные – принтер, модем, плоттер (графопостроитель) и др. Стоит сказать, для долговременного и надежного хранения данных создано множество устройств: магнитные и магнитооптические дисковые накопители, накопители на магнитной ленте и т. д.
Важно заметить, что одним из основных элементов криминалистической характеристики, особенно важным при расследовании преступлений в сфере движения компьютерной информации, будет способ совершения и сокрытия преступлений. Остановимся подробнее на способах использования вычислительной техники для достижения преступной цели:
1. Создание компьютерной базы данных, содержащей информацию о преступлении. В наибольшей степени типичным будут, например, базы данных о девушках, занимающихся проституцией, учета поступивших заказов, а также доходов от ϲʙᴏдничества, кᴏᴛᴏᴩые ведутся в диспетчерских ϲᴏᴏᴛʙᴇᴛϲᴛʙующих подпольных фирм.
2. Использование ЭВМ и периферийных устройств в качестве полиграфической базы для проектирования и изготовления фальсифицированных (подложных) документов, денежных знаков, кредитных карточек и т. д.
3. Использование электронных средств доступа (компьютерные, телекоммуникационные системы, кредитные карточки и т. д.) в целях хищения (приϲʙᴏения и кражи)
По оценкам отечественных и зарубежных исследователей, уровень латентности компьютерных преступлений составляет около 90%, а из оставшихся 10% выявленных раскрывается только 1%. Как показывает практика расследования других видов преступлений, использование компьютерной информации позволяет примерно в 50% случаев предъявить обвинение, а в 35% – оказывает существенную помощь в розыске преступников, достоверно устанавливая механизм совершения преступления.
Способы совершения компьютерных преступлений1 можно сгруппировать следующим образом.
I. Методы перехвата.
1. Непосредственный перехват – старейший из используемых способов. Требующееся оборудование можно приобрести в магазинах: микрофон, радиоприемник, кассетный диктофон, модем, принтер. Перехват данных осуществляется либо непосредственно через телефонный канал системы, либо подключением к компьютерным сетям. Вся информация записывается. Объектами подслушивания будут различные систе-мы – кабельные и проводные, наземные микроволновые, спутниковой и правительственной связи.
2. Электромагнитный перехват. Используются перехватывающие устройства, работающие без прямого контакта. Можно уловить излучение центральным процессором, дисплеем, телефоном, принтером, линиями микроволновой связи, считывать данные с дисплейных терминалов при помощи доступных каждому простейших технических средств
1 Использованы классификации Ю. М. Батурина и В. Б. Вехова.
§ 1. Криминалистическая характеристика преступлений
(дипольной антенны, телевизора) Преступники, находясь в автомашине или просто с приемником в портфеле на некᴏᴛᴏᴩом расстоянии от здания, могут, не привлекая к себе внимания, легко узнавать данные, хранящиеся в памяти ЭВМ или используемые в процессе работы. Во время экспериментов удавалось получать сведения, кᴏᴛᴏᴩые выводились одновременно на 25 дисплейных терминалах, расположенных в непосредственной близости друг от друга, и отделять выведенные на каждый экран данные. В случае если к телевизору подключить видеомагнитофон, то информацию можно не только накопить, но и спокойно проанализировать позднее.
3. Использование "жучков" ("клопов"), заключается в установке
микрофона в компьютере с целью прослушивания разговоров персонала.
Простой прием, обычно используемый как вспомогательный для полу
чения информации о работе компьютерной системы, о персонале, о
мерах безопасности и т. д. -
4. "Уборка мусора" – поиск данных, оставленных пользователем после работы с компьютером. Включает физический вариант – осмотр содержимого мусорных корзин и сбор оставленных за ненадобностью распечаток, деловой переписки и т. п. Электронный вариант основан на том, что последние из сохраненных данных обычно не стираются после завершения работы. Другой пользователь записывает только небольшую часть ϲʙᴏей информации, а затем спокойно считывает предыдущие записи, выбирая нужную ему информацию. Таким способом могут быть.обнаружены пароли, имена пользователей и т. п.
II. Методы несанкционированного доступа.
1. "За дураком" – используется для вхрда в закрытые для доступа помещения или терминалы. Физический вариант состоит в том, ɥᴛᴏбы, взяв в руки как можно больше предметов, связанных с работой на компьютере, прохаживаться с деловым видом возле запертой двери, за кᴏᴛᴏᴩой находится терминал, и, когда появится законный пользователь, уверенно пройти в дверь вместе с ним. Электронный вариант проходит, когда компьютерный терминал незаконного пользователя подключается к линии законного через телефонные каналы (Интернет) или когда пользователь выходит ненадолго, оставляя терминал в активном режиме. Не стоит забывать, что вариантом будет прием "за хвост": незаконный пользователь тоже подключается к линии связи, а затем дожидается сигнала, обозначающего конец работы, перехватывает его и входит в систему, когда законный пользователь заканчивает активный режим.
2. Компьютерный "абордаж". Хакеры1, набирая на
удачу один номер за другим, дожидаются, пока на другом конце провода не
отзовется чужой компьютер. После ϶ᴛᴏго телефон Подключается к приемнику
сигналов в собственной ПЭВМ, и связь установлена.
Стоит отметить, что остается угадать код (а
слова, кᴏᴛᴏᴩые служат паролем, часто банальны и берутся из руководства по
пользованию компьютера) и можно внедриться в чужую компьютерную систему.
1 Хакер (от англ, "hack" – разрубать) – программист или квалифицированный пользователь ЭВМ, занимающийся поиском способов получения несанкционированного (самовольного) доступа к компьютерной информации и техническим средствам.
Глава 56. Преступления в сфере компьютерной информации
3. Неспешный выбор – несанкционированный доступ к файлам законного пользователя через слабые места в защите системы. Важно заметить, что однажды обнаружив их/нарушитель может не спеша исследовать содержащуюся в системе информацию, копировать ее, возвращаться к ней много раз.
4. "Маскарад" или "самозванство" – некто проникает в компьютерную систему, выдавая себя за законного пользователя. Системы, кᴏᴛᴏᴩые не обладают средствами аутентичной идентификации (например, по физиологическим характеристикам: по отпечаткам пальцев, по рисунку сетчатки глаза, голосу и т. п.), оказываются без защиты против ϶ᴛᴏго, приема. Самый простейший путь его осуществления – получить коды и другие идентифицирующие шифры законных пользователей. Так, группа студентов послала всем пользователям университетского компьютера сообщение, что изменился его телефонный номер, и в качестве нового назвала номер, запрограммированный так, ɥᴛᴏбы отвечать в точности, как университетская ЭВМ. Стоит сказать - пользователь, посылая вызов, набирал ϲʙᴏй личный код, и студенты смогли составить перечень кодов и использовать его в ϲʙᴏих целях.
5. Мистификация. Стоит сказать - пользователь с удаленного терминала случайно подключается к чьей-то системе, будучи абсолютно уверенным, что он работает с той системой, с какой и намеревался. Владелец ϶ᴛᴏй системы, формируя правдоподобные отклики, может какое-то время поддерживать ϶ᴛᴏ заблуждение, получая одновременно некᴏᴛᴏᴩую информацию, в частности коды.
6. "Аварийный". Использует тот факт, что в любом компьютерном центре имеется особая программа, применяемая в случае возникновения сбоев или других отклонений в работе ЭВМ. Именно такая программа – мощный и опасный инструмент в руках злоумышленника. Этим способом была совершена крупная кража в банке Нью-Джерси.
7. "Склад без стен". Несанкционированный доступ осуществляется в результате системной поломки. К примеру, если некᴏᴛᴏᴩые файлы пользователя остаются открытыми, он может получить доступ к не принадлежащим ему частям банка данных.
III. Методы манипуляции.
1. Подмена данных – изменение или введение новых данных осуществляетсятрадиционно при вводе или выводе информации с ЭВМ. К примеру, служащий одного нью-йоркского банка, изменяя входные данные, похитил за 3 года 1,5 млн. долларов. В Пенсильвании (США) клерк мебельного магазина, введя с терминала фальшивые данные, украл товаров на 200 тыс. долларов.
2. Манипуляции с пультом управления компьютера – механическое воздействие на технические средства машины создает возможности манипулирования данными.
3. "Троянский конь" – тайный ввод в чужую программу команд, позволяющих, не изменяя работоспособность программы, осуществить определенные функции. Этим способом преступники обычно отчисляют на ϲʙᴏй счет определенную сумму с каждой операции. Не стоит забывать, что вариантом будет "Салями", когда отчисляемые суммы малы и их потери практически незаметны (например, по 1 доллару с операции), а накопление осуществляется за счет большого количества операций. Это один из простейших и безопасных способов, особенно если отчисляются небольшие
§ 1. Криминалистическая характеристика преступлений
дробные суммы, поскольку в данных случаях обычно все равно делается округление. Но когда сумма мала в процентном отношении от значительных денежных переводов, вероятность раскрытия значительно повышается. Служащий американского банка, решив накопить деньги побыстрее, начал отчислять сразу по 100 долларов, но с очень крупных счетов и был раскрыт всего после 41 такой операции.
" 4. "Бомба" – тайное встраивание в программу набора команд, кᴏᴛᴏᴩые должны сработать (или каждый раз срабатывать) при определенных условиях или в определенные моменты времени. К примеру, в США получила распространение форма компьютерного вандализма, при кᴏᴛᴏᴩой "троянский конь" разрушает через какой-то промежуток времени все программы, хранящиеся в памяти машины. Во многих поступивших в продажу компьютерах оказалась "временная бомба", кᴏᴛᴏᴩая "взрывается" в самый неожиданный момент, разрушая всю библиотеку данных.
5. Моделирование процессов, в кᴏᴛᴏᴩые преступники хотят вмешаться, и планируемые методы совершения и сокрытия посягательства для оптимизации способа преступления. Важно заметить, что одним из вариантов будет реверсивная модель, когда создается модель конкретной системы, в кᴏᴛᴏᴩую вводятся реальные исходные данные и учитываются планируемые действия. Из полученных правильных результатов подбираются правдоподобные желательные. Затем путем прогона модели назад, к началу, выясняют результаты и устанавливают, какие манипуляции с исходными данными нужно проводить. Таких операций может быть несколько. После ϶ᴛᴏго остается только осуществить задуманное. Бухгалтер пароходной компании в Калифорнии (США) в целях подготовки хищения смоделировал всю бухгалтерскую систему компании и установил, сколько фальшивых счетов ему крайне важно и какие операции следует проводить. Модель бухгалтерского баланса подсказала ему, что при имеющихся пробелах в ревизионной службе 5% искажений не будут заметны. Стоит сказать, для создания видимости реальной ситуации он организовал 17 подставных компаний, обеспечил каждую из них ϲʙᴏим счетом и начал денежные операции, кᴏᴛᴏᴩые оказались настолько успешными, что в первый год он похитил 250 тыс. долларов без какого-либо нарушения финансовой деятельности компании. К тому времени, когда увеличенные выплаты вызвали подозрение – даже не у самой компании, а у,ее банка, сумма хищения составила миллион долларов.
6. "Воздушный змей" – способ, кᴏᴛᴏᴩый весьма часто используется в России. В двух банках (но можно и в нескольких) открывают по небольшому счету и переводят деньги из одного банка в другой и обратно с постепенно повышающимися суммами. Хитрость заключается в том, ɥᴛᴏбы до момента, когда в банке обнаружится, что поручение о переводе не обеспечено необходимой суммой, приходило бы извещение о переводе в ϶ᴛᴏт банк, так, ɥᴛᴏбы общая сумма покрывала требование о первом переводе. Цикл повторяется много раз до тех пор, пока на счете не оказывается приличная сумма. Тогда деньги быстро снимаются и владелец счетов исчезает. На практике в такую игру включают большое число банков: так сумма накапливается быстрее и число поручений о переводе не достигает подозрительной частоты. Этим способом служа-
Глава 56. Преступления в сфере компьютерной информации
щий банка в Лос-Анджелесе со ϲʙᴏими сообщниками, кᴏᴛᴏᴩые давали поручения о переводе, похитил 21,3 млн. долларов.
Как правило, компьютерные преступления совершаются с помощью того или иного сочетания приемов.
Следующим элементом криминалистической характеристики будет личность преступника. В литературе уже можно считать устоявшимся деление лиц, совершающих преступления в сфере компьютерной информации, на три группы.
1. Появление компьютерной преступности тесно связано с хакерами. Их целью может быть сначала чисто спортивный интерес, связанный с решением трудной задачи "взлома" защиты программного продукта или создание компьютерных вирусов только для того, ɥᴛᴏбы потешить ϲʙᴏе самолюбие, пошутить. Хакеры и составляют первую группу. Их отличает высокий профессионализм в сочетании со специфическим компьютерным фанатизмом. Следует подчеркнуть, что характерной особенностью преступников ϶ᴛᴏй группы будет отсутствие у них четко выраженных противоправных намерений. Практически все действия совершаются ими с целью проявления ϲʙᴏих интеллектуальных способностей. К ϶ᴛᴏй же группе примыкают профессиональные программисты, многие из кᴏᴛᴏᴩых обладают незаурядным интеллектом и отличаются нестандартным мышлением. Разработка мер безопасности для собственных компьютерных систем и "взлом" чужих средств защиты будут для них двуединой задачей и интересны сами по себе. Постепенно некᴏᴛᴏᴩые из них переориентируются на извлечение из ϲʙᴏей работы некᴏᴛᴏᴩой материальной выгоды (в России ϶ᴛᴏму нередко способствует тяжелое материальное положение научных работников); она может быть сопряжена и с разработкой новых вирусов и одновременно борющихся с ними программ, кᴏᴛᴏᴩые иначе не будут находить сбыта. К числу особенностей, указывающих на совершение компьютерного преступления лицами рассматриваемой категории, можно отнести следующие1:
отсутствие.целеустремленной, продуманной подготовки к преступлению;
оригинальность способа;
использование в качестве орудий преступления бытовых технических средств и предметов;
непринятие мер к сокрытию преступления; - .
факты немотивированного озорства.
2. Психически больные лица, страдающие так называемыми компьютерными фобиями (информационными болезнями) Кстати, эта категория заболеваний связана с нарушениями в информационном режиме человека под воздействием внешних или внутренних дестабилизирующих факторов как врожденного, так и приобретенного ϲʙᴏйства. Вследствие ускоряющегося ритма жизни, информационного взрыва, к кᴏᴛᴏᴩому многие
§ 1. Криминалистическая характеристика преступлений
люди оказались неподготовлены, интенсификации труда за счет
компьютерных1 технологий многие служащие попадают в различные стрессовые
ситуации, некᴏᴛᴏᴩые из кᴏᴛᴏᴩых заканчиваются формированием компьютерных фобий и
неврозов (страха перед потерей контроля над ϲʙᴏими действиями) По существу,
϶ᴛᴏ есть не что иное, как профессиональное заболевание.
Стоит отметить, что основные симптомы его
проявления: быстрая утомляемость, резкие скачки артериального давления при
контакте с компьютерной техникой, повышенное потоотделение, головокружение и
головные боли, дрожь в конечностях, затрудненность дыхания, обмороки и т.
д..Действия, совершаемые лицами ϶ᴛᴏй категории, в основном направлены на
физическое уничтожение либо повреждение средств компьютерной техники без
наличия преступного умысла с частичной или полной потерей контроля над ϲʙᴏими
действиями.
3. Профессиональные преступники, в деяниях кᴏᴛᴏᴩых ярко выра
жены корыстные цели. Обладают устойчивыми преступными навыками.
Преступления, кᴏᴛᴏᴩые носят серийный, многоэпизодный характер,
совершают многократно, обязательно"сопровождают действиями по со
крытию. Это обычно высококвалифицированные специалисты с высшим
математическим, инженерно-техническим,или экономическим образо
ванием, входящие в организованные преступные группы и сообщества,
прекрасно оснащенные технически (нередко специальной оперативной
Среди мотивов и целей совершения посягательств можно выделить: корыстные (приϲʙᴏение денежных средств и имущества), политические (шпионаж, деяния, направленные на. подрыв финансовой и денежно-кредитной политики, валютной системы страны), исследовательский интерес, хулиганские побуждения и озорство, месть и иные побуждения.
Существенную роль в структуре криминалистической характеристики играют обобщенные сведения о потерпевшей стороне. Информация о ней будет безусловно криминалистически значимой, поскольку помогает полнее охарактеризовать личность преступника, его мотивы, точнее очертить круг лиц, среди кᴏᴛᴏᴩых его следует искать. Преступник обычно не случайно избирает потерпевшую сторону объектом ϲʙᴏего посягательства.
Глава 56. Преступления в сфере компьютерной информации
Согласно данным международного комитета по компьютерной преступности, подобные деяния представляют собой серьезную угрозу. Так, вывод из строя электронно-вычислительной системы в результате возникновения нештатной технической ситуации или преступления может привести к финансовому краху даже самый крупный банк за четверо суток, а более мелкое учреждение – за сутки. Пока в качестве потерпевшей стороны обычно выступает юридическое лицо. При этом массовая компьютеризация, внедрение глобальной сети Интернет в скором времени, видимо, изменит эту ситуацию.
Потерпевших можно подразделить на три основные группы: собственники компьютерной системы, клиенты, пользующиеся их услугами, иные лица. Потерпевшая сторона, особенно ᴏᴛʜᴏϲᴙщаяся к первой группе, часто неохотно сообщает (или не сообщает) правоохранительным органам о преступных фактах в сфере движения компьютерной информации по следующим причинам: из-за некомпетентности сотрудников правоохранительных органов в данном вопросе; боязни, что убытки от расследования превысят сумму причиненного ущерба и к тому же будет подорван авторитет фирмы; боязни раскрытия в ходе судебного разбирательства системы безопасности организации; -боязни выявления собственных незаконных действий; боязни должностных лиц, что одним из итогов расследования станут выводы об их профессиональной непригодности (некомпетентности); правовая неграмотность; непонимание истинной ценности имеющейся информации. Эти обстоятельства безусловно способствуют совершению преступных акций данного рода.
§ 2.
При расследовании преступлений в данной сфере можно выделить (как и по другим категориям) три типичные следственные ситуации. Преступление, связанное с движением компьютерной информации произошло:
в условиях очевидности – характер и его обстоятельства известны (например, какой вирус и каким способом введен в компьютерную сеть) и выявлены потерпевшим собственными силами, преступник известен и задержан (явился с повинной);
известен способ совершения, но механизм преступления в полном объеме неясен, например произошел несанкционированный доступ к файлам законного пользователя через Интернет, через слабые места в защите компьютерной системы, преступник известен, но скрылся;
налицо только преступный результат-, например дезорганизация компьютерной сети банка, механизм преступления и преступник неизвестны.
В первом случае крайне важно установить, имелась ли причинно-следственная связь между несанкционированным проникновением в компьютерную систему и наступившими последствиями (сбоями в работе, занесением компьютерного вируса и пр.), определить размеры ущерба. Во втором – первоочередной задачей, наряду с указанными выше, являет-
§ 2.
Стоит отметить, что особенности тактики следственных действий.
ся розыск и задержание преступника. И наконец, в наименее благоприятной (третьей) ситуации крайне важно установить механизм преступления.
Остановимся подробнее на особенностях тактики отдельных следственных действий, в ходе кᴏᴛᴏᴩых производится обнаружение, фиксация, изъятие компьютерной информации, а именно: осмотра места происшествия (местности, помещений, предметов, документов), -обыска (в т.ч. личного, на местности и в помещении), выемки (предметов, документов, почтово-телеграфной корреспонденции, документов, содержащих государственную тайну), прослушивания телефонных и других переговоров. При производстве данных следственных действий крайне важно тактически правильно производить поиск информации в компьютере, что позволит избежать ее уничтожения или повреждения; найти требуемое; зафиксировать и изъять его в ϲᴏᴏᴛʙᴇᴛϲᴛʙии с процессуальными нормами. Современное развитие электроники позволяет хранить огромные массивы информации в незначительных по объему устройствах.
При подготовке к осмотру, обыску или выемке следователь решает вопрос о необходимости изъятия компьютерной информации. На эту необходимость, помимо признаков состава преступления в сфере движения компьютерной информации, могут указывать:
наличие у подозреваемого (обвиняемого) или потерпевшего (в некᴏᴛᴏᴩых случаях свидетелей) специального образования в области вычислительной техники и информатики, а также компьютерной техники в личном пользовании;
присутствие в материалах дела документов, изготовленных машинным способом (ответы на запросы, справки, полученные от обвиняемого или потерпевшей стороны);
хищение носителей компьютерной информации;
данные об увлечении вышеуказанных лиц вычислительной техникой, информатикой и программированием или об их частых контактах с людьми, имеющими такие увлечения.
На подготовительном этапе осмотра или обыска необходимо получить достоверные данные о виде и конфигурации используемой ЭВМ; о том, подключена ли она к локальной или глобальной сети (типа Интернет); наличии службы информационной безопасности и защиты от несанкционированного доступа; системе электропитания помещений, где установлена вычислительная техника; квалификации пользователей; собрать сведения о сотрудниках, обслуживающих вычислительную технику (взаимоотношениях в коллективе, его возможной криминализации и т. д.) Владение такой информацией облегчит следователю доступ к хранящимся в компьютере информации и максимально повысит ее доказательственную силу.
Часто решающее значение имеет внезапность обыска (неотложность осмотра), поскольку компьютерную информацию можно быстро уничтожить. В случае если получены сведения о том, что компьютеры организованы в локальную сеть, следует заранее установить местонахождение всех средств компьютерной техники, подключенных к ϶ᴛᴏй сети, и организо-
Глава 56. Преступления в сфере компьютерной информации
вать групповой обыск одновременно во всех помещениях, где
установлены ЭВМ. Перед началом обыска (осмотра) принимаются меры, кᴏᴛᴏᴩые
предотвратят возможное повреждение или уничтожение информации. Стоит сказать, для ϶ᴛᴏго
следует обеспечить контроль за бесперебойным электроснабжением ЭВМ в момент
осмотра, удалить всех посторонних лиц с территории, на кᴏᴛᴏᴩой производится
осмотр или обыск, прекратить дальнейший доступ; принять меры к тому, ɥᴛᴏбы
оставшиеся лица не имели возможности прикасаться к средствам вычислительной
техники и к источникам электропитания. В случае если на объекте находятся взрывчатые,
легковоспламеняющиеся, едкие вещества, посторонние источники электромагнитного
излучения и другие предметы и аппаратура, способные привести к аварии ЭВМ,
эвакуировать их.
Стоит отметить, что осмотр или обыск целесообразно производить с участием
специалиста в области информатики и вычислительной техники. Желательно и в
качестве понятых приглашать лиц, знакомых с работой ЭВМ.
Не следует ограничиваться поиском информации только в компью
тере; крайне важно внимательно осмотреть имеющуюся документацию,
вплоть до записей на клочках бумаги, поскольку программисты часто,
не надеясь на ϲʙᴏю память, оставляют записи о паролях, изменениях
конфигурации системы, особенностях построения информационной базы
компьютера. Многие пользователи хранят копии ϲʙᴏих файлов на диске
тах во избежание утраты их при выходе компьютера из строя. По϶ᴛᴏму
любые обнаруженные носители информации должны быть изъяты и
изучены. .
Только после перечисленных подготовительных мер следует приступать к рабочему этапу следственного действия. Изучение" практики показывает: несоблюдение элементарных правил ведет к тому, что деятельность следователя по сбору компьютерной информации не достигает ϲʙᴏей цели. Так, присутствующий при обыске подозреваемый незаметно от членов следственно-оперативной группы всего-навсего изменил положение тумблера переключателя рабочего напряжения ПЭВМ, расположенного на задней стенке системного блока, с 220 на 115 вольт. При включении блок питания через некᴏᴛᴏᴩое время вышел из строя, что привело к неисправности всего компьютера.
Тактика поиска компьютерной информации должна избираться исходя из, во-первых, степени защищенности данных, во-вторых – функционального состояния компьютера и периферийных устройств на момент производства следственного действия.
О высокой степени защищенности компьютера может свидетельствовать наличие специальных систем защиты информации от несанкционированного доступа и (или) сертифицированных средств защиты; постоянная охрана территории и здания, где размещается компьютерная система, с помощью технических средств и специального персонала, использование строгого пропускного режима, специальное оборудование помещений; наличие администратора (службы) защиты информации, нормальное функционирование и контроль работы.
Низкая степень защищенности определяется наличием простого алгоритма ограничения доступа (например, данные защищены только
§ 2.
Стоит отметить, что особенности тактики следственных действий
паролем), получением достоверных данных о его преодолении, при ϶ᴛᴏм нет необходимости применять специальные средства доступа к данным.
Деятельность следователя по преодолению защиты компьютера от несанкционированного доступа – одна из самых ответственных. Именно при некорректном обращении защищенные данные могут быть самоуничтожены, искажены, спрятаны и т. д. с помощью специальных программ. Чтобы ϶ᴛᴏго не произошло, при подготовке к проведению следственного действия крайне важно как можно более точно и полно определить степень защищенности компьютера, средства защиты, пароли, ключевые слова и т. д.
,
С одной точки зрения, по общему мнению специалистов в области
вычислительной техники и программирования, на сегодняшний день нет
программно-технических средств, способных на 100% гарантировать защиту. Отсюда
следует, что, в принципе, возможно преодолеть любую преграду при поиске
информации. С другой стороны, существующие средства защиты настолько
разнообразны, используют различные алгоритмы и принципы построения защиты, что
для их преодоления может понадобиться немало времени. В среде хакеров именно
преодоление защиты от несанкционированного доступа будет одним из высших
подтверждений мастерства.
Причины защиты данных в компьютере различны. Кроме цели противодействия раскрытию и расследованию преступления, пользователи защищают данные от некомпетентности и неаккуратности при выполнении работ на ЭВМ. Защита компьютерной информации осуществляется путем идентификации (пользователь сообщает ϲʙᴏе имя) и,аутентификации (проверки подлинности) – вторая сторона убеждается, что субъект действительно тот, за кого себя выдает. Подлинность подтверждается знанием пароля, личного идентификационного номера, криптографического ключа и пр.; личной карточкой или иным устройством аналогичного назначения; голосом, отпечатками пальцев и другими биометрическими характеристиками и т. д.
Пароли давно встроены в операционные системы и другие сервисные программы. При правильном использовании они могут обеспечить приемлемый для многих организаций уровень безопасности. Важно заметить, что однако, при всем этом, по совокупности характеристик их следует признать самым слабым средством проверки подлинности. Надежность паролей базируется на способности помнить их и хранить в тайне. Чтобы пароль был запоминающимся, его зачастую делают простым, однако простой пароль не трудно угадать, особенно если заранее изучить пристрастия, увлечения, круг интересов законного пользователя. Иногда пароли с самого начала не будут тайной, так как имеют стандартные значения, указанные в документации, и далеко не всегда после установки с"истемы производится их смена. Ввод пароля можно определить и с помощью оптических приборов, приборов перехвата электромагнитного излучения процессора и монитора. Статья 6 Федерального закона "Об оперативно-розыскной деятельности" определяет среди прочих оперативно-розыскных мероприятий снятие информации с технических каналов связи. Проведение указанного мероприятия предусматривает знание оперативным работником каналов возможного снятия (перехвата) компьютерной информа-
Глава 56. Преступления в сфере компьютерной информации
ции, способов несанкционированного доступа, умения применять специальные технические средства.
Анализ парольной защиты при осмотре или обыске компьютерной техники позволит следователю с большей вероятностью определить истинного владельца криминалистически значимой информации, найденной в компьютере. Иначе говоря, чем выше надежность парольной системы, тем с большей уверенностью можно определить ее истинного владельца и тем выше доказательственная сила обнаруженной информации.
Другим средством аутентификации служат токены – предметы или устройства, владение кᴏᴛᴏᴩыми подтверждает подлинность пользователя. Самыми распространенными из них будут карточки с магнитной полосой. Обычно пользователь набирает на клавиатуре ϲʙᴏй идентификационный номер, после чего процессор проверяет его совпадение с тем, что записан на карточке, а также подлинность самой карточки. Иногда (обычно для физического контроля доступа) карточки применяют сами по себе, без запроса личного идентификационного номера.
Безбумажная технология дает целый ряд преимуществ при обмене документами по сети связи или на машинных носителях. Но при ϶ᴛᴏм возникает проблема идентификации автора документа и самого документа. В традиционной (бумажной) технологии она решается за счет того, что информация в документе жестко связана с физическим носителем (бумагой) На машинных носителях такой связи нет. Отметим, что технически эта проблема частично решена с помощью применения цифровой подписи. Отметим, что технология состоит по сути в том, что лицо, составившее документ, кодирует его с помощью специальной программы – электронного ключа. При ϶ᴛᴏм применяется два ключа. Важно заметить, что один из них, не секретный, используется для шифровки и может публиковаться вместе с адресом пользователя, другой – секретный, применяется для расшифровки и известен только определенному лицу. Кстати, эта программа хранится на отдельной дискете, обычно у автора документа или стороны, кᴏᴛᴏᴩой тот направлен. Цифровая подпись реализует две функции – гарантирует целостность сообщения и удостоверяет личность автора документа. Криптографическая защита считается одним из наиболее мощных средств обеспечения конфиденциальности информации в компьютере или на магнитных носителях. Необходимо помнить, что даже в том случае, когда в распоряжении следствия имеется компьютер или магнитный носитель, но электронный ключ не обнаружен, "прочитать" информацию и идентифицировать ее автора (владельца) не представится возможным.
Помимо использования криптоалгоритмов, существует еще целый набор программных средств, позволяющих шифровать информацию и учитывающих различные условия анализа шифротекста при попытке его вскрытия. К ним, в частности, можно отнести и общеизвестную программу Diskreet из пакета Norton Utilities, позволяющую кроме шифрования магнитных носителей информации выполнять функцию блокировки клавиатуры и экрана ЭВМ (гашение" изображения ценной информации), а также предусматривающую защиту информационных объектов на уровне файлов или виртуальных (логических) дисков винчестера. Стоит сказать, для возобновления нормальной работы в ЭВМ требуется ввести пароль.
§ 2.
Стоит отметить, что особенности тактики следственных действий
Все программы защиты, управляющие доступом к машинной информации, функционируют по принципу ответа на вопросы: кто может выполнять, какие операции и над какими данными. Доступ "может быть определен как:
общий (безусловно предоставляемый каждому пользователю);
отказ (безусловный отказ, например, разрешение на удаление порции информации);
зависимый от события (управляемый событием); предусматривает блокировку обращения пользователя, например, в определенные интервалы времени или при обращении к компьютерной системе с определенного терминала;
зависимый от содержания данных (в ϶ᴛᴏм случае решение о доступе базируется на текущем значении данных, например, некᴏᴛᴏᴩым пользователям запрещено читать те или иные данные);
зависимый от состояния (динамического состояния компьютерной системы); осуществляется в зависимости от текущего состояния компьютерной системы, управляющих программ и системы защиты;
частотно-зависимый (например, доступ разрешен пользователю только один или определенное число раз – таким образом предотвращается возможность динамического управления событиями)-
по имени или другим признакам пользователя (например, пользователю должно быть более 18 лет);
зависимый от полномочий (предусматривает обращение пользователя к программам, данным, оборудованию в зависимости от предоставленного режима, например, может быть разрешено "только чтение", "чтение и запись", "только выполнение");
зависимый от предыстории обращений и учитывающий семантические связи между данными в сочетании с управлением доступом, зависящим от полномочий (программой проводится анализ контекста, включающего предыдущие запросы, их обработку, среду текущего запроса и семантические отношения между данными);
по разрешению (паролю или другому идентификатору: карточка, значок и т. д.), где под идентификацией понимается процедура установления подлинности пользователя, осуществляющего доступ к компьютерной системе;
по процедуре (в ϶ᴛᴏм случае система имеет ϲʙᴏю собственную процедуру: автоматически генерирует собственные правила обеспечения безопасности данных)
К новой электронной технологии относится применение электронных ключей. Электронный ключ – ϶ᴛᴏ устройство с памятью, выполненное на специализированной микросхеме размером не более спичечного коробка. В случае если при осмотре компьютера запустить защищенную программу, то она проверит наличие ϲʙᴏего ключа. Когда такой ключ найден, программа выполняется; иначе выдается информация об ошибке и работа прерывается. Сам ключ вводится в порт компьютера, предназначенного для подключения принтера, и легко выводится.
Исходя из всего выше сказанного, мы приходим к выводу, что очевидно, что наличие и использование оперативной информации зачастую может сыграть решающую роль при поиске в ЭВМ. При этом успешное преодоление защиты еще не решает все про-. блемы собирания доказательств в компьютере. Тактические особенности
Глава 56. Преступления в сфере компьютерной информации
поиска компьютерной информации зависят также от функционального состояния ЭВМ и ее периферийных устройств на момент осмотра или обыска. Информация может быть либо зафиксирована на постоянном носителе, либо храниться в ЭВМ только в период ее работы, по϶ᴛᴏму следователю необходимо выбирать различные тактические приемы поиска в зависимости от того, работает компьютер на момент начала следственного действия или отключен.
При включении компьютера в работу электронные устройства образуют в нем определенный объем так называемой "оперативной памяти" (ОЗУ), кᴏᴛᴏᴩая предназначена для операционных действий над информацией и программами и сохраняет их в процессе работы. При включении компьютера и (или) окончании работы с конкретной программой или данными ОЗУ очищается и готово для ввода новых. В процессе работы компьютера ОЗУ специальными программными средствами расчленяется на специальные области, предназначенные для раздельного хранения программ и данных. Среди таких-областей, по желанию пользователя, может быть выделена специальная, кᴏᴛᴏᴩая имитирует внешнее устройство – накопитель информации. Этот накопитель (так называемый "виртуальный диск" или "псевдодиск") отличается высокой скоростью доступа и позволяет выполнять специфические операции по обмену программами (данными) с устройствами ЭВМ. О работающем компьютере свидетельствуют положение тумблеров, мигание или горение индикаторов на передней панели системного блока, изображение на дисплее, небольшая вибрация и чуть слышный шум работающих внутри вентиляторов.
В случае, если компьютер на момент начала осмотра оказался включен, крайне важно оценить информацию, изображенную на дисплее. Прежде всего определить, какая программа" исполняется на данный момент. В случае работы стандартного программного продукта (например, на экране изображены, окна операционных оболочек Norton Commander или Windows) – не приступать к каким-либо манипуляциям на входе без предварительного визуального осмотра технических средств. Экран дисплея крайне важно сфотографировать. Отключить все телефонные линии, подсоединенные к компьютеру. Уместно отметить, что описать все соединения на задней стенке системного блока. В случае если необходимо, вскрыть кожух системного блока и визуально определить конфигурацию ЭВМ, описать месторасположение электронных плат. Следование данным правилам позволит обезопасить поиск информации от различного рода устройств повреждения или уничтожения как аппаратных средств, так и информационной базы. Этими устройствами могут быть электронные ключи, радиозакладки-шумоподавителя и др. В случае, если при осмотре аппаратных средств выявлены неизвестные участникам осмотра (обыска) устройства (платы расширения, нестандартные соединения и т. д.), компьютер крайне важно сразу.выключить. При ϶ᴛᴏм следует не отключать тумблер блока питания, а вынуть вилку из розетки. Затем (до отсоединения проводов) крайне важно промаркировать всю систему подключения, все порты и разъемы, ɥᴛᴏбы потом можно было осуществить точную реконструкцию расположения кабелей, плат расширения и других устройств.
§ 2.
Стоит отметить, что особенности тактики следственных действий
В случае если конфигурация процессора стандартна, следует корректно завершить работу исполняемой в данный момент программы. Либо дождаться завершения ее работы до выдачи дополнительных, возможно искомых, данных. Присутствующим при осмотре (обыске) крайне важно разъяснять все действия следователя и специалиста в ходе манипуляций с ЭВМ. Недопустимо вмешательство в информационную базу без наглядного и доступного комментария ϲʙᴏих действий. Объяснено должно быть любое нажатие на клавиатуру, передвижение мыши и т. д.
В случае если для поиска информации задействуются программные продукты, не находящиеся в компьютере, а используемые следователем, ϶ᴛᴏ крайне важно отметить в протоколе осмотра или обыска. Нужно помнить, такие программы должны быть стандартными. Необходимо обеспечить наглядность контроля, т. е. все ключевые этапы работы программы изображаются на экране дисплея, а следователь либо специалист комментирует происходящее. Максимально активное участие понятых при поиске информации важно еще и потому, что результатом выполнения искомой программы может явиться не текстовой или графический документ, а аудио-или видеоролик (вербальная или визуальная информация) Такой итог работы программы, являясь уникальным (неповторимым), фиксируется с помощью протокола (не считая фото- и видеосъемки)
В случае обнаружения искомой информации текущее изображение экрана дисплея также крайне важно сфотографировать, после чего стандартными средствами переписать информацию на постоянный носитель (обычно – магнитный диск) либо распечатать.
Включать и выключать компьютеры, производить с ними какие-то манипуляции может только специалист в области вычислительной техники. В случае если на объекте было отключено электроснабжение, например, в связи с пожаром или взрывом, до его включения следует проверить, находятся ли все компьютеры и периферийные устройства в отключенном состоянии. Изымать крайне важно сразу все имеющиеся на объекте компьютеры (или хотя бы блоки памяти) и магнитные носители. Нельзя оставлять их на ответственное хранение на самом объекте или в другом месте, где к ним могут иметь доступ посторонние лица. Содержащаяся на магнитных носителях информация может быть легко уничтожена преступником, например, с помощью источника электромагнитного излучения. При ϶ᴛᴏм визуально определить ϶ᴛᴏ невозможно.
Компьютеры и их комплектующие опечатываются: на разъемы налагают лист бумаги, закрепляя его края на боковых стенках компьютера густым клеем или клейкой лентой, ɥᴛᴏбы исключить возможность работы с ними в отсутствие "владельца или эксперта.. Магнитные носители упаковываются, хранятся и перевозятся в" специальных экранированных контейнерах или в стандартных дискетных или иных алюминиевых футлярах заводского изготовления, ɥᴛᴏбы исключить разрушающее воздействие различных электромагнитных и магнитных полей и наводок, направленных излучений. Уместно отметить, что опечатываются только контейнеры или футляры. Пояснительные надписи наносятся на специальные самоклеящиеся данныекетки для дискет, причем сначала делается надпись, а потом данныекетка наклеивается на предназначенный для ϶ᴛᴏго участок. В случае если на дис-
Глава 56. Преступления в сфере компьютерной информации
кете уже имеется данныекетка с какой-либо надписью, проставляется только порядковый номер, а пояснительные надписи под данным номером делаются на отдельном листке, кᴏᴛᴏᴩый вкладывается в коробку. Недопустимо приклеивать что-либо непосредственно к магнитным носителям, пропускать через них бечеву, пробивать отверстия, наносить подписи, пометки, печати и т. д.
В протоколе следственного действия описываются основные физические характеристики изымаемых устройств, магнитных и других постоянных носителей информации, серийные номера аппаратуры, их видимые индивидуальные признаки. Машинные распечатки оформляются как приложение к протоколу.
Поскольку помимо информационных на аппаратных средствах зачастую оказываются традиционные для криминалистики следы, к участию в осмотре целесообразно привлекать специалиста-криминалиста. Из следственной практики известны случаи обнаружения следов пальцев рук, металлообрабатывающих инструментов, ручной пайки на внутренних элементах компьютерных средств.
При осуществлении допросов подозреваемых и обвиняемых необходимо учитывать данные криминалистической характеристики о личности предполагаемого преступника. Не стоит забывать, что важной будет подготовка к допросу, в процессе кᴏᴛᴏᴩой крайне важно постараться хотя бы условно выбрать, к какой группе относится подозреваемый или обвиняемый, и на ϶ᴛᴏм основывать, тактику допроса. При первоначальном допросе необходимо, побуждая лицо к деятельному раскаянию, выяснить, какие изменения в работу компьютерных систем были внесены, какие вирусы использовались, есть ли с позиции подозреваемого (обвиняемого) возможность быстро устранить или уменьшить вред, причиненный несанкционированным проникновением в систему. Какие сведения и кому передавались.
При первоначальных допросах свидетелей и потерпевших крайне важно выяснить назначение и функции компьютерной системы, кто имел доступ к ней и в помещения, где располагалась компьютерная техника, не появлялись ли там посторонние лица, какие средства защиты использовались. В случае если часть информации была закрытой, то кто санкционировал доступ к ней и кто реально был допущен. Какой вред (имущественный, неимущественный) причинен преступлением и имеются ли способы его уменьшить.
§ 3. Возможности судебных экспертиз при расследовании преступлений в сфере движения компьютерной информации
Выше уже отмечалось большое значение, кᴏᴛᴏᴩое имеет по делам данной категории участие специалиста в собирании доказательственной информации. Но наиболее важен ее дальнейший анализ, исследование доказательств в ходе экспертных исследований.
Основной род экспертиз – компьютерно-технические. В ϲᴏᴏᴛʙᴇᴛϲᴛʙии с их задачами и спецификой объектов исследования в настоящее время в рамках ϶ᴛᴏго рода экспертиз можно выделить два вида:
§ 3. Возможности судебных экспертиз при расследовании преступлений
техническая экспертиза компьютеров и их комплектующих, ко
торая проводится в целях изучения конструктивных особенностей и со
стояния компьютера, его периферийных устройств, магнитных носите
лей и пр., компьютерных сетей, а также причин возникновения сбоев в
экспертиза данных и программного обеспечения, осуществляемая в целях изучения информации, хранящейся в компьютере и на магнитных носителях.
Вопросы, выносимые на разрешение компьютерно-технической эк-/епертизы, можно, по ее виду, также подразделить на две группы. Вопросы, разрешаемые технической экспертизой компьютеров и их комплектующих (диагностические):
1) компьютер какой модели представлен на исследование; каковы технические характеристики его системного блока и периферийных устройств; каковы технические характеристики данной вычислительной сети;
2) где и когда изготовлен и собран данный компьютер и его комплектующие; осуществлялась ли сборка компьютера в заводских условиях или кустарно;
3) ϲᴏᴏᴛʙᴇᴛϲᴛʙует ли внутреннее устройство компьютера и периферии прилагаемой технической документации; не внесены ли в конструкцию компьютера изменения (например, установка дополнительных встроенных устройств: жестких дисков, устройств для расширения оперативной памяти, считывания оптических дисков и пр., иные изменения конфигурации);
4) исправен ли компьютер и его комплектующие; каков их износ; каковы причины неисправности компьютера и периферийных устройств; не содержат ли физических дефектов магнитные носители информации;
5) не производилась ли адаптация компьютера для работы с ним специфических пользователей (левша, слабовидящий и пр.);
6) каковы технические характеристики иных электронных средств приема, накопления и выдачи информации (пейджер, электронная записная книжка, телефонный сервер); исправны ли данные средства; каковы причины неисправностей.
Вопросы, разрешаемые экспертизой данных и программного обеспечения (диагностические):
1) какая операционная система использована в компьютере;
2) каково содержание информации, хранящейся на внутренних и внешних магнитных носителях, в т.ч. какие программные продукты там находятся; каково назначение программных продуктов; каков алгоритм их функционирования, способа ввода и вывода информации; какое время проходит с момента введения данных до вывода результатов при работе данной компьютерной программы, базы данных;
3) будут ли данные программные продукты лицензионными (и-ли несанкционированными) копиями стандартных систем или оригинальными разработками;
4) не вносились ли в программы данного системного продукта какие-либо коррективы (какие), изменяющие выполнение некᴏᴛᴏᴩых операций (каких);
Глава 56. Преступления в сфере компьютерной информации
5) ϲᴏᴏᴛʙᴇᴛϲᴛʙует ли данный оригинальный компьютерный продукт техническому заданию; обеспечивается ли при его работе выполнение всех предусмотренных функций;
6) использовались ли для ограничения доступа к информации паро- i ли, скрытые файлы, программы защиты и пр.; каково содержание скрытой информации; не предпринимались ли попытки подбора паролей, взлома защитных средств и иные попытки несанкционированного доступа;
7) возможно ли восстановление стертых файлов, дефектных магнитных носителей информации; каково содержание восстановленных файлов;
8) каков механизм утечки информации из локальных вычислительных сетей, глобальных сетей и распределенных баз данных;
9) имеются ли сбои в функционировании компьютера, работе отдельных программ; каковы причины данных сбоев; не вызваны ли сбои" в работе компьютера влиянием вируса (какого); распространяется ли негативное.влияние вируса на большинство программ или он действует только на определенные программы; возможно ли восстановить в полном объеме функционирование данной программы (текстового файла), поврежденной вирусом;
10) каково содержание информации, хранящейся на пейджере, в электронной записной книжке и пр.; имеется ли в книжке скрытая информация и каково ее содержание;
11) когда производилась последняя корректировка данного файла или инсталляция данного программного продукта;
12) каков был уровень профессиональной подготовки в области программирования и работы с компьютерной техникой лица, произведшего данные действия.
С помощью компьютерно-технических экспертиз возможно разрешение и некᴏᴛᴏᴩых вопросов идентификационного характера:
" 1) имеют ли комплектующие компьютера (печатные платы, магнитные носители, дисководы и пр.) единый источник происхождения;
2) не написана ли данная компьютерная программа определенным лицом (решается комплексно при производстве компьютерно-технической и автороведческой экспертиз)
Объектами компьютерно-технической экспертизы явля-ются:
компьютеры в сборке, их системные блоки;
периферийные устройства (дисплеи, принтеры, дисководы, модемы, клавиатуры, сканеры, манипуляторы типа "мышь", джойстики и пр.), коммуникационные устройства компьютеров и вычислительных сетей;
магнитные носители информации (жесткие и флоппи-диски, оптические диски, ленты);
распечатки программных и текстовых файлов;
словари поисковых признаков систем (тезаурусы), классификаторы и иная техническая документация, например технические задания и отчеты;
электронные записные книжки, пейджеры, иные электронные носители текстовой или цифровой информации, техническая документация к. ним.
§ 3. .Возможности судебных экспертиз при расследовании преступлений
По делам данной категории могут назначаться экспертизы других классов и родов: трасологические – для анализа следов взлома, дактилоскопические –- следов рук, как на внешних, так и на внутренних поверхностях компьютеров и их комплектующих. Судебно-экономичес-кие экспертизы, в частности, финансово-экономические и бухгалтерские, назначаются, когда, например, преступления в сфере движения компьютерной информации связаны с преступлениями в кредитно-фи-нансовой сфере. Весьма распространены технико-криминалистические экспертизы документов, когда компьютер используется как средство для изготовления поддельных документов, фальшивых денежных билетов и пр. При использовании средств прослушивания переговоров назначаются фоноскопические экспертизы.
Благодарим Вас за посещение http://Ndki. *****
Вехов расследования преступлений в сфере компьютерной информации // Современные проблемы криминалистики: Межвуз. сб. науч. тр. – Волгоград: ВЮИ МВД России, 1999. – С. 176 – 180.
(ВЮИ МВД Р оссии)
ПРОБЛЕМЫ РАССЛЕДОВАНИЯ ПРЕСТУПЛЕНИЙ
В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ
Стремительное наращивание процессов компьютеризации российского общества привело к возникновению новых видов преступных посягательств, ранее неизвестных отечественной юридической науке и практике, связанных с использованием средств электронно-вычислительной техники и информационно-обрабатывающих технологий . Это обстоятельство потребовало от российского законодателя принятия срочных адекватных правовых мер противодействия преступлениям нового вида. В связи с чем, они были выделены в специальную главу Уголовного кодекса Российской Федерации, получившую название «Преступления в сфере компьютерной информации».
В настоящее время органами внутренних дел Российской Федерации
расследуется значительное число вышеуказанных преступлений. Обобщение следственной практики показало, что в ходе расследования уголовных дел возникает ряд проблем, требующих правильного уголовно-процессуального разрешения. Следователи, производящие расследование преступлений в сфере компьютерной информации, сталкиваются со многими, подчас неразрешимыми трудностями, среди которых выделяются следующие: сложность в определении квалификации преступных деяний; сложность в подготовке и проведении различных следственных действий; сложность в подготовке и назначении программно-технической экспертизы средств электронно-вычислительной техники и охраняемой законом компьютерной информации, в формулировке вопросов, выносимых на рассмотрение эксперта; отсутствие по некоторым вопросам соответствующих специалистов, необходимых для привлечения в ходе следствия; отсутствие элементарных познаний в области автоматизированной обработки и передачи данных и информации.
В результате совокупного взаимодействия указанных выше факторов на практике сложилась ситуация, которая существенно затрудняет возможность своевременного обнаружения преступления и полного сбора доказательств на первоначальном этапе работы по делу. Отчасти, это подтверждается и данными социологического опроса, проведенного автором настоящей статьи в 1997–1998 учебном году на факультете повышения квалификации следственных работников Волгоградского МВД России. Так, например, 86% опрошенных руководителей следственных подразделений городских и районных управлений (отделов) органов внутренних дел и 90% следователей - методистов считают, что во вверенных им подразделениях нет следователей, способных успешно расследовать преступления в сфере компьютерной информации.
Анализ следственной практики показывает, что основной проблемой при выявлении и расследовании преступлений в сфере компьютерной информации является отсутствие у сотрудников минимально необходимых специальных познаний в этой области. Большая сложность возникает в вопросах терминологии, определения понятия составных частей ЭВМ, системы ЭВМ и компьютерных сетей, правильного понимания общего режима их функционирования в различных технологических процессах. Все это приводит к тому, что многие нормативные документы, регламентирующие правовой режим функционирования средств электронно-вычислительной техники и обработки охраняемой законом компьютерной информации остаются неизвестными и соответственно не учитываются в процессе проведения оперативно-розыскных мероприятий и следственных действий, что в конечном итоге значительно затрудняет выявление преступлений, сказывается на полном и объективном расследовании уголовных дел данной категории.
Особенно много ошибок возникает при производстве следственных действий, которые, как правило, проводятся без участия соответствующего
специалиста и без учета специфики расследуемого преступления. Так, при осмотре места происшествия изымаются не все средства электронно-вычислительной техники и машинные носители информации, несущие в себе следы преступной деятельности (в том числе и в виде компьютерной информации), имеющие важное значение для следствия, а те из них, которые изымаются, не могут впоследствии играть роль доказательств (в соответствии со ст. 69 и 83 УПК РСФСР), так как их изъятие в подавляющем большинстве случаев производится с нарушением установленного порядка и правил, учитывающих специфику предмета, в результате чего теряется их процессуальное значение.
Помимо вышеназванного, существует целый ряд других особенностей, которые должны учитываться при производстве отдельных следственных действий. В числе последних представляется возможным выделить: осмотр места происшествия; осмотр машинного носителя информации; осмотр документа, созданного средствами электронно-вычислительной техники; осмотр средства электронно-вычислительной техники как носителя охраняемой законом компьютерной информации; обыск и выемка; назначение программно-технической экспертизы.
Зарубежный опыт и отечественная практика свидетельствуют о том, что следователь должен обладать определенными познаниями и навыками в этой области и, как минимум, сам являться пользователем ЭВМ, поскольку без этого невозможно полное и объективное расследование уголовных дел данной категории. Ярким примером, может служить уголовное дело, расследованное СУ УВД Волгоградской области . Уголовное дело было возбуждено по признакам преступления, предусмотренного ч. 1 ст. 273 УК России в отношении гр-на Л., который 30 августа 1997 года в квартире одного из домов, находящегося в Центральном районе города Волгограда с принесенного с собой машинного носителя информации – дискеты диаметром 3,5 дюйма загрузил в систему персонального компьютера гр-на С. четыре вредоносные программы для ЭВМ. Гр-н Л. был задержан на месте совершения преступления; машинный носитель информации и персональный компьютер - изъяты. Следователю, обладающему специальными познаниями в области средств электронно-вычислительной техники и являющегося профессиональным пользователем ЭВМ, не составило особого труда грамотно и методически правильно спланировать, организовать и с успехом провести все необходимые следственные действия на первоначальном этапе расследования преступления. Вина подозреваемого была полностью доказана; сроки следствия соблюдены. Состоявшийся в конце октября 1997 года суд признал Л. виновным и определил следующую меру наказания: 2 года лишения свободы условно и штраф в размере 11 млн. 500 тыс. неденоминированных рублей.
Расследование подобных преступлений вызывает серьезные
затруднения в документировании преступной деятельности, выявлении преступников и требует привлечения специалистов в области электронно-вычислительной техники, защиты конфиденциальной информации, средств и систем электросвязи.
Оставляет желать лучшего и положение с подготовкой соответствующих специалистов. Отечественное положение дел в этом направлении резко контрастирует с зарубежным, где данной проблеме в последние годы уделяется все более повышенное и пристальное внимание со стороны государственных органов. Например, в ФРГ в учебных заведениях системы МВД в курс «Экономические преступления» введен специальный раздел, касающийся вопросов выявления и расследования преступлений, связанных с автоматической обработкой информации в компьютерных системах. В Академии ФБР в США с 1976 г. для слушателей читается специальный трехнедельный учебный курс по теме «Техника расследования преступлений, связанных с использованием компьютеров». Помимо вышеуказанного, в каждом низовом структурном подразделении ФБР имеется штатный специалист по расследованию таких преступлений, а с 1982 г. функционирует специальное подразделение численностью 500 человек. В Канаде работает группа специалистов уголовной полиции, занимающихся выявлением и расследованием преступлений рассматриваемой категории в масштабе всей страны; в Швеции – штатная численность такого подразделения составляет 150 человек.
Давно назрела необходимость создания подобных подразделений и в системе органов внутренних дел Российской Федерации с учетом богатого зарубежного опыта. Отсутствие последних, по оценкам некоторых отечественных специалистов, уже привело к тому, что преступления рассматриваемой категории фактически выпали из сферы контроля правоохранительных органов, что неминуемо грозит к 2000 г. перерасти в серьезную государственную проблему, как это уже было ранее в зарубежных странах.
В тоже время, и это подчеркивается многими отечественными и зарубежными специалистами, необходимо проводить систематическую специальную подготовку сотрудников правоохранительных органов в целях повышения их квалификации в области автоматической обработки информации. Комитетом по законодательству Совета Европы после комплексного исследования данной проблемы было указано, что наиболее распространенным негативным фактом в практике сотрудников полиции европейских государств является недооценка компьютерной информации как возможного вещественного доказательства в целом, когда при расследовании преступлений других категорий, следователи
«просто проходят мимо компьютеров и той информации, которая в них содержится».
В настоящее время, общее положение дел таково, что расследование преступлений вышеуказанной категории ведется лишь сотрудниками отделов по борьбе с экономической преступностью, не имеющих соответствующей специализации и необходимых познаний в сфере компьютерной информации. Лишь совсем недавно в Главном управлении по борьбе с преступлениями в сфере экономики МВД России было создано специализированное подразделение по выявлению и расследованию преступлений в сфере экономики, связанных с использованием компьютерной информации. Данное подразделение находится в стадии становления. Штатная численность сотрудников и материально-техническое обеспечение оставляет желать лучшего.
Проведенный научный анализ оперативно-следственной практики по делам рассматриваемой категории позволяет выделить следующие первоочередные меры, направленные на оптимизацию процесса расследования преступлений в сфере компьютерной информации, а именно:
– разработка комплексной криминалистической методики расследования данного вида преступных посягательств;
– создание специальных подразделений, либо выделение отдельных сотрудников на территориальном уровне, специализирующихся на выявлении, расследовании и предупреждении преступлений в сфере компьютерной информации;
– создание базового координационного экспертно-криминалисти-ческого центра по рассматриваемому кругу проблем, например, на базе экспертно-криминалистического центра МВД России в г. Москве;
– введение в планы проведения занятий учебных заведений МВД России специального курса
В. Голубев
Выступление 26 февраля 2003 г.
на Southeast Cybercrime Summit
в Атланте, США
Расследование компьютерных преступлений существенно отличаются от расследований других "традиционных" преступлений. По данным уголовным делам чаще всего допускаются ошибки, что зачастую объясняется отсутствием надлежащего уровня теоретической и практической подготовки оперативных работников и следователей. Изучение уголовных дел этой категории дает основание полагать, что одной из существенных причин низкого качества следствия является отсутствие систематизированных и отработанных методик расследования компьютерных преступлений, а также ошибки, которые совершаются при проведении следственных действий в отношении компьютерной информации либо самих компьютеров.
Результаты анализа практической деятельности правоохранительных органов по расследованию компьютерных преступлений свидетельствуют о том, что исследование компьютерной техники целесообразно проводить в условиях криминалистической лаборатории, где эту работу выполняют специалисты с необходимой профессиональной подготовкой.
Доказательства, связанные с компьютерными преступлениями и изъятые с места происшествия, могут быть легко изменены, как в результате ошибок при их изъятии, так и в процессе самого исследования. Представление подобных доказательств в судебном процессе требует специальных знаний и соответствующей подготовки. Здесь нельзя недооценивать роль экспертизы, которая может дать квалифицированный ответ на поставленные вопросы.
Однако экспертиза требует какого-то времени не только на ее проведение, но и на поиск соответствующих специалистов, а при изъятии компьютерной техники существенным фактором, позволяющим сохранить необходимую доказательную информацию, является неожиданность и оперативность. Именно поэтому изъятие компьютеров и информации приходится проводить теми силами, которые в настоящее время проводят следственные действия. В данном случае именно следователь не застрахован от ошибок, обусловленных недостаточностью знаний, что потом достаточно умело, используется защитой в суде.
Поставленная проблема имеет два аспекта: общие ошибки, которые допускаются работниками правоохранительных органов при расследовании компьютерных преступлений, и технические аспекты, связанные с защитой информации, которая устанавливается на компьютерах их непосредственными пользователями.
Как известно, обнаружение, осмотр и изъятие компьютеров и компьютерной информации в процессе следственных действий могут совершаться не только при следственном осмотре (ст. 190 КПК), но и при проведении других следственных действий: обыски (ст. 178 КПК); выемки (ст. 179 КПК); воспроизведения обстоятельств и обстановки происшествия (ст.194 КПК).
Следует выделить некоторые правила работы с компьютерами, изъятыми при расследовании преступлений в сфере компьютерной информации, а также предложить общие рекомендации, которые могут быть полезными при обработке компьютерных доказательств.
Рассмотрим некоторые типичные ошибки, наиболее часто совершаемые при проведении следственных действий в отношении компьютерной информации либо самих компьютеров.
Ошибка 1. Ошибочная работа с компьютером.
Первое и основное правило, которое должно неуклонно выполняться, состоит в следующем: никогда и ни при каких условиях не работать на изъятом компьютере. Это правило допускает, что изъятый компьютер - прежде всего объект исследования специалиста. Поэтому до передачи экспертам его желательно даже не включать, поскольку категорически запрещено исполнять любые операции на изъятом компьютере, не обеспечив необходимых мер защиты (например, защиты от модификации или создания резервной копии). Если на компьютере установлена система защиты (например - пароль), то его включение может вызвать уничтожение информации, которая находится на жестком диске. Не допускается загрузка такого компьютера с использованием его собственной операционной системы.
Подобная мера объясняется достаточно просто: преступнику не составляет особого труда установить на своем компьютере программу для уничтожения информации на жестком или гибком магнитном дисках, записав такие "ловушки" через модификацию операционной системы. Например, простая команда DIR, которая используется для отображения каталога диска, может быть легко изменена, чтобы отформатировать жесткий диск.
После того, как данные и сама разрушительная программа уничтожены, никто не сможет сказать наверняка, был ли "подозреваемый" компьютер оборудован такими программами специально, или это результат небрежности при исследовании компьютерных доказательств?
Ошибка 2. Допуск к компьютеру владельца (пользователя) компьютера.
Серьезной ошибкой является допуск к исследуемому компьютеру владельца для оказания помощи в его эксплуатации. Известны многие случаи из практики, когда подозреваемые на допросах, связанных с компьютерными доказательствами, допускались к работе на изъятом компьютере. Позже они рассказывали своим знакомым, как шифровали файлы "прямо под носом у полицейских", а те об этом даже не догадывались. Учитывая такие последствия, компьютерные специалисты стали делать резервные копии компьютерной информации прежде, чем допускать к работе над ней.
Еще одна проблема связанна с возможностью опровержения в суде идентичности предъявленного на процессе программного обеспечения тому, которое находилось на данном компьютере на момент изъятия. Чтобы избежать подобных ситуаций, компьютер, следует опечатать в присутствии понятых, не включая. Если работник правоохранительных органов принимает решение об осмотре компьютера на месте, первое, что необходимо сделать, это снять копию с жесткого магнитного диска и любой дискеты, которая будет изыматься как вещественное доказательство. Это означает, что до проведения каких-либо операций с компьютером, необходимо зафиксировать его состояние на момент проведения следственных действий.
Ошибка 3. Отсутствие проверки компьютера на наличие вирусов и программных закладок.
С целью проверки компьютера на наличие вирусов и программных закладок, необходимо загрузить компьютер не с его операционной системы, а со своей загодя подготовленной дискеты, либо со стендового жесткого диска. Проверке подвергаются все носители информации - дискеты, жесткий диск и другие носители. Эту работу следует проделать привлеченному к участию в следственных действиях специалисту с помощью специального программного обеспечения.
Нельзя допустить, чтобы у суда появилась возможность обвинения следствия в умышленном заражении компьютера вирусами, в некомпетентности при проведении следственных действий, либо просто в небрежности, поскольку доказать, что вирус находился в компьютере до момента исследования, вряд ли возможно, а подобное обвинение поставит под сомнение всю работу эксперта и достоверность его выводов.
Такие наиболее типичные ошибки, которые часто встречаются при исследовании компьютера в делах, связанных с расследованием компьютерных преступлений. Однако рассмотренный перечень не охватывает всех ошибок, возникающих в процессе изъятия и исследования компьютерной информации. Этому можно легко дать объяснение: отсутствие достаточного опыта в подобных делах в нашей стране. В то же время в странах Западной Европы и США уже накоплен богатый опыт расследования сложных компьютерных преступлений. Необходимо более тщательно его изучить, что позволит избежать многих из них.
Во избежание ошибок при проведении следственных действий на начальном этапе расследования, которые могут привести к потере или искажению компьютерной информации, следует придерживаться некоторых предохранительных мер.
В процессе обыска и выемки, связанных с изъятием компьютера, магнитных носителей и информации, возникает ряд общих проблем, связанных со спецификой изымаемых технических средств. В первую очередь необходимо предусмотреть меры безопасности, которые совершаются преступниками с целью уничтожения компьютерной информации. Они, например, могут использовать специальное оборудование, в критических случаях образующее сильное магнитное поле, которое стирает магнитные записи.
На протяжении обыска все электронные доказательства, находящиеся в компьютере либо в компьютерной системе должны быть собраны таким образом, дабы они потом могли быть признанными судом. Мировая практика показывает, что в большинстве случае под давлением представителей защиты в суде электронные доказательства не принимаются во внимание. Чтобы гарантировать их признание в качестве доказательств, необходимо строго придерживаться уголовно-процессуального законодательства, а также стандартизированных приемов и методик их изъятия.
Обычно компьютерные доказательства сохраняются путем создания точной копии с оригинала (первичного доказательства), прежде чем делается какой-либо их анализ. Но делать копии компьютерных файлов, используя только стандартные программы резервного копирования, недостаточно. Вещественные доказательства могут существовать в виде уничтоженных либо спрятанных файлов, а данные, связанные с этими файлами, можно сохранить только с помощью специального программного обеспечения. В самом простом виде это могут быть программы типа - SafeBack, а для гибких дискет бывает достаточно программы DOS Discopy.
Магнитные носители, на которые предусматривается копировать информацию, должны быть заранее подготовленные (необходимо убедиться, что на них отсутствует какая-нибудь информация). Носители следует сохранять в специальных упаковках либо заворачивать в чистую бумагу. Необходимо помнить, что информация может быть повреждена влажностью, температурным влиянием или электростатическими (магнитными) полями.
Многие текстовые редакторы и программы управления базами данных создают временные файлы как побочный продукт нормальной работы программного обеспечения. Большинство пользователей компьютера не осознают важности создания этих файлов, потому что обычно они уничтожаются программой в конце сеанса работы. Однако данные, находящиеся внутри этих уничтоженных файлов, могут оказаться наиболее полезными. Особенно, если исходный файл был кодированный или документ подготовки текстов был напечатан, но никогда не сохранялся на диске, такие файлы могут быть восстановлены.
Популярность Microsoft Windows принесла некоторые дополнительные средства, касающиеся исследования компьютерной информации. Swap File функционируют как дисковая память, огромная база данных и множество разных временных фрагментов информации. В этом Swap File может быть обнаружен даже весь текст документа.
Часто дубли текстовых файлов можно обнаружить на жестком либо гибком магнитных дисках. Это могут быть незначительные изменения между версиями одного документа, которые могут иметь доказательную ценность. Расхождения можно легко идентифицировать с помощью наиболее современных текстовых редакторов.
Приступая к осмотру компьютера, следователь и специалист, непосредственно производящий все действия на ЭВМ, должны придерживаться следующего:
- перед выключением компьютера необходимо по возможности закрыть все используемые на компьютере программы. Следует помнить о том, что некорректный выход с некоторых программ может вызвать уничтожение информации или испортить саму программу;
- принять меры по установлению пароля доступа к защищенным программам;
- при активном вмешательстве сотрудников предприятия, стремящихся противодействовать следственной группе, необходимо отключить электропитание всех компьютеров на объекте, опечатать их и изъять вместе с магнитными носителями для исследования информации в лабораторных условиях;
- в случае необходимости консультаций персонала предприятия, получать их следует у разных лиц путем опрашивания или допроса. Подобный метод позволит получить максимально правдивую информацию и избежать умышленного вреда;
- при изъятии технических средств, целесообразно изымать не только системные блоки, но и дополнительные периферийные устройства (принтеры, стримеры, модемы, сканеры и т.п.);
- при наличии локальной вычислительной сети необходимо иметь нужное количество специалистов для дополнительного исследования информационной сети;
- изымать все компьютеры (системные блоки) и магнитные носители;
- тщательно осмотреть документацию, обращая внимание на рабочие записи операторов ЭВМ, ибо часто именно в этих записях неопытных пользователей можно обнаружить коды, пароли и другую полезную информацию;
- составить список всех внештатных и временных работников организации (предприятия) с целью выявления программистов и других специалистов в области информационных технологий, работающих в данном учреждении. Желательно установить их паспортные данные, адреса и места постоянной работы;
- записать данные всех лиц, находящихся в помещении на момент появления следственной группы, независимо от объяснения причин их пребывания в данном помещении;
- составить список всех сотрудников предприятия, имеющих доступ к компьютерной технике либо часто пребывающих в помещении, где находятся ЭВМ.
Если возможен непосредственный доступ к компьютеру и исключены все нежелательные ситуации, приступают к осмотру. Причем следователь и специалист должны четко объяснять все свои действия понятым.
При осмотре должны быть установлены:
- конфигурация компьютера с четким и подробным описанием всех устройств;
- номера моделей и серийные номера каждого из устройств;
- инвентарные номера, присваиваемые бухгалтерией при постановке оборудования на баланс предприятия;
- другая информация с фабричных ярлыков (на клавиатуре ярлык обычно находится на обратной стороне, а на мониторе и процессоре - сзади). Такая информация вносится в протокол осмотра вычислительной техники и может быть важной для следствия.
Фотографирование и маркирование элементов компьютерной системы - важный первый шаг при подготовке системы к транспортировке. Документирование состояния системы на данном этапе необходимо для правильной сборки и подключения всех элементов системы в условиях лаборатории. При фотографировании следует исполнить снимки системы крупным планом ее передней и задней частей. Фотографирование и маркирование элементов изымаемой компьютерной системы дает возможность в точности воссоздать состояние компьютерной техники в лабораторных условиях исследования. Некоторое оборудование типа внешних модемов может иметь множество мелких переключателей, фиксирующих его состояние, которые при транспортировке могут быть изменены, что создаст дополнительные проблемы для эксперта.
В заключение необходимо подчеркнуть, что при проведении любых следственных действий, связанных с расследованием преступлений в сфере использования компьютерных технологий (особенно выемка информации и компьютерного оборудования) целесообразно с самого начала привлечение специалиста в области информационных технологий. До начала следственных действий следует также иметь определенную информацию, касающуюся: марки, модели, компьютера, операционной системы, периферийных устройств, средств связи и любые другие ведомости о системе, которая является объектом расследования. Целенаправленная деятельность следователя, оперативных работников, особенно на первичном этапе расследования, обеспечивает успех дальнейшего расследования компьютерных преступлений.
Статьи на эту тему
Электронная коммерция и национальная безопасность
Разграничение информации в современном коммерческом предприятии
Юридические меры охраны конфиденциальных сведений как составная часть корпоративной системы защиты информации
Обеспечение защиты информации от непреднамеренного воздействия техническими средствами
Загрузка...
