Глава 1. Понятие и классификация объектов ИТ экспертизы: программы, системы, оборудование, данные 📚

ИТ экспертиза представляет собой специализированное исследование, направленное на установление свойств, состояний и взаимосвязей объектов, функционирующих в цифровой среде. Ключевым отличием данной области экспертной деятельности является то, что её предметная сфера формируется не отраслью права и не типом правоотношения, а природой самого исследуемого объекта. Объект ИТ экспертизы — это материальный или идеальный феномен, существующий в форме, доступной для машинной обработки, хранения и передачи, и обладающий свойствами, которые могут быть установлены с применением специальных знаний в области информационных технологий. Именно объектная природа задаёт границы компетенции эксперта, определяет выбор методов и инструментальных средств, а также формирует структуру экспертного заключения.

Многообразие объектов, попадающих в поле ИТ экспертизы, требует их упорядочения. Классификация объектов выполняет несколько функций одновременно: она разграничивает предметные зоны различных видов исследований, обеспечивает сопоставимость методических подходов и позволяет унифицировать терминологию, используемую экспертами, следователями и судом. В рамках настоящей монографии используется четырёхкомпонентная модель, выделяющая программные объекты, информационные системы, аппаратное обеспечение и данные. Такое деление не является умозрительным: оно отражает естественные уровни организации цифровой среды, каждый из которых обладает собственной онтологией, собственными закономерностями функционирования и, соответственно, собственными методами исследования.

Программные объекты представляют собой совокупность инструкций и сопутствующих структур, предназначенных для управления вычислительным процессом. К ним относятся исполняемые файлы, библиотеки, скрипты, модули, драйверы, а также исходный код и промежуточные формы его представления. Программа как объект ИТ экспертизы характеризуется дуализмом: с одной стороны, она существует в виде последовательности битов, доступной для побайтового анализа, с другой — обладает семантикой, то есть смыслом, который проявляется только при исполнении.

Этот дуализм порождает две принципиально разные стратегии исследования: статическую, связанную с анализом кода без его запуска, и динамическую, предполагающую наблюдение за поведением программы в контролируемой среде. Программные объекты могут быть исследованы на предмет наличия вредоносных функций, соответствия заявленной функциональности, наличия недекларированных возможностей, а также для установления факта модификации или подлинности.

Информационные системы образуют следующий уровень сложности. Если программа — это отдельный артефакт, то система — это совокупность программных, аппаратных и коммуникационных компонентов, объединённых общей целью функционирования и образующих устойчивую конфигурацию. Объектами ИТ экспертизы здесь выступают как системы в целом, так и их подсистемы, интерфейсы, механизмы разграничения доступа, журналы событий, конфигурационные файлы.

Исследование информационной системы требует учёта её архитектуры, поскольку свойства системы не сводятся к сумме свойств её компонентов. Система может обладать эмерджентными характеристиками, такими как отказоустойчивость, масштабируемость, способность к восстановлению после сбоя, которые не присущи ни одной из её частей в отдельности. Для ИТ экспертизы особенно значимы вопросы целостности системы, её фактического состояния на момент события и соответствия проектной документации.

Аппаратное обеспечение включает в себя физические устройства, обеспечивающие хранение, обработку и передачу информации. Это процессоры, материнские платы, накопители, оперативная память, периферийные устройства, сетевые адаптеры, а также встраиваемые контроллеры и специализированные вычислители. Аппаратный объект ИТ экспертизы исследуется на предмет его технических характеристик, следов воздействия, наличия скрытых модификаций, а также для установления соответствия маркировки и фактического состояния.

Особую группу составляют носители информации, которые могут рассматриваться одновременно как аппаратный объект и как хранилище данных. Границы между аппаратным и программным уровнем в современных устройствах становятся всё более размытыми: прошивки, микрокод и программируемые логические интегральные схемы занимают промежуточное положение, требуя комплексного подхода.

Данные представляют собой наиболее абстрактный, но при этом наиболее востребованный объект ИТ экспертизы. Под данными понимаются сведения, зафиксированные в цифровой форме и способные к хранению, передаче и обработке. Это могут быть файлы, базы данных, потоки сообщений, метаданные, журналы, артефакты операционных систем и приложений. Данные обладают свойством отделимости от породившего их процесса: они могут быть скопированы, перемещены, преобразованы, и при этом сохраняют информационную ценность.

Однако такая отделимость создаёт и основную проблему — проблему установления происхождения и достоверности данных. Артефакты могут быть созданы, изменены или удалены, и их исследование требует учёта контекста, в котором они существовали. Данные как объект ИТ экспертизы исследуются на предмет содержания, времени создания и модификации, авторства, последовательности операций, а также на предмет наличия признаков фальсификации или сокрытия.

Взаимосвязь четырёх выделенных классов объектов не является иерархической в строгом смысле. Скорее, речь идёт о взаимной вложенности и взаимной обусловленности. Программа исполняется на оборудовании, оперирует данными и может быть частью информационной системы. Система включает в себя программы, оборудование и данные. Данные могут содержать в себе программы. Оборудование может хранить данные и исполнять программы. Эта взаимозависимость означает, что при производстве ИТ экспертизы эксперт практически всегда имеет дело не с изолированным объектом, а с объектом в контексте. Контекст определяется той задачей, ради которой проводится исследование, и той гипотезой, которую необходимо проверить.

Классификация объектов ИТ экспертизы имеет не только теоретическое, но и практическое значение. Она определяет структуру компетенций эксперта, поскольку исследование программ требует одних навыков, исследование аппаратного обеспечения — других, а исследование данных — третьих. Она влияет на выбор методов и инструментов, поскольку статический анализ кода неприменим к аппаратным объектам, а методы восстановления данных не работают при исследовании архитектуры системы.

Наконец, она задаёт язык описания результатов, поскольку заключение эксперта должно быть понятно тем, кто будет его использовать, а значит, термины должны быть определены и соотнесены с классами объектов. В последующих главах каждый из четырёх классов рассматривается подробно, с акцентом на те свойства, которые имеют значение для ИТ экспертизы.

Глава 2. Программные объекты как предмет ИТ экспертизы: виды, структура, свойства 🛠️

Программный объект в контексте ИТ экспертизы — это любой дискретный артефакт, содержащий машинные инструкции или их эквиваленты, предназначенный для исполнения вычислительной системой. К программным объектам относятся исполняемые файлы, динамические библиотеки, объектные модули, скрипты, макросы, прошивки, а также исходный код и его промежуточные представления, такие как байт-код. Каждый из этих видов обладает собственными характеристиками, которые определяют доступные методы исследования и допустимые границы выводов. Вид программного объекта задаёт формат хранения, способ исполнения и степень доступности для анализа, а потому первым шагом любого исследования является идентификация вида объекта и его формата.

Исполняемые файлы представляют собой наиболее традиционный объект ИТ экспертизы. Они содержат машинный код, готовый к загрузке в оперативную память и передаче управления процессору. Форматы исполняемых файлов различаются в зависимости от операционной системы и платформы, однако общим для них является наличие заголовка, таблицы секций, таблицы импорта и экспорта, а также точки входа. Заголовок содержит метаданные о файле, включая архитектуру, разрядность, время компиляции, размер секций.

Секции содержат код, данные, ресурсы и отладочную информацию. Таблица импорта указывает на функции, заимствуемые из других модулей, а таблица экспорта — на функции, предоставляемые данным модулем. Точка входа определяет адрес, с которого начинается исполнение. Анализ этих структур позволяет эксперту получить первичное представление о назначении программы, её зависимостях и потенциальных возможностях.

Динамические библиотеки занимают особое положение среди программных объектов. Они не являются самостоятельными исполняемыми модулями, но предоставляют функции, используемые другими программами. Библиотека может быть подключена к процессу статически, на этапе компиляции, или динамически, во время исполнения.

Для ИТ экспертизы важно различать эти случаи, поскольку динамическое подключение означает, что поведение программы зависит от того, какая версия библиотеки будет загружена в конкретной среде. Это создаёт проблему воспроизводимости: результат исполнения программы может различаться на разных системах при формально одинаковом коде. Эксперт должен учитывать это при формулировании выводов, особенно если исследуется вопрос о том, могла ли программа выполнить определённое действие в конкретных условиях.

Скрипты и макросы представляют собой программные объекты, записанные на интерпретируемых языках. Их особенность состоит в том, что они не компилируются в машинный код заранее, а исполняются специальным интерпретатором. Это означает, что для исследования скрипта необходимо либо располагать его исходным текстом, либо анализировать поведение интерпретатора. Скрипты часто используются для автоматизации задач, и потому они могут быть как безобидными административными инструментами, так и средством реализации вредоносной логики. Макросы, встроенные в документы, представляют собой отдельную проблему, поскольку они могут быть скрыты от пользователя и активироваться при открытии файла. ИТ экспертиза в таких случаях направлена на установление наличия макроса, его содержания и потенциальных действий.

Прошивки и микрокод занимают промежуточное положение между программными и аппаратными объектами. Они хранятся в энергонезависимой памяти устройства и обеспечивают его базовое функционирование. Исследование прошивок требует специализированного оборудования и знаний, выходящих за рамки обычного программного анализа. Однако значимость этого направления растёт, поскольку современные устройства всё чаще содержат скрытые программные компоненты, способные выполнять функции, не заявленные производителем. Для ИТ экспертизы прошивка интересна как потенциальный носитель недекларированных возможностей и как объект, модификация которого может изменить поведение устройства без внешних признаков.

Структура программного объекта может анализироваться на нескольких уровнях. На уровне битового представления программа представляет собой последовательность байтов, которая может быть исследована на предмет сигнатур, энтропии, наличия упаковки или шифрования. На уровне инструкций программа предстаёт как последовательность команд процессора, которые могут быть дизассемблированы и проанализированы на предмет логики управления. На уровне функций и модулей программа рассматривается как совокупность взаимодействующих компонентов, каждый из которых выполняет определённую задачу. На уровне алгоритмов программа анализируется с точки зрения реализуемых методов обработки данных. Каждый уровень требует собственного инструментария и собственной квалификации эксперта.

Свойства программных объектов, значимые для ИТ экспертизы, включают функциональность, детерминированность, зависимость от среды, возможность самомодификации и наличие следов. Функциональность — это совокупность действий, которые программа способна выполнить. Детерминированность означает, что при одинаковых входных данных программа выдаёт одинаковый результат; однако многие программы недетерминированы, поскольку зависят от времени, состояния системы или внешних событий.

Зависимость от среды выражается в том, что программа может вести себя по-разному в зависимости от конфигурации операционной системы, наличия других программ, сетевых условий. Возможность самомодификации означает, что программа может изменять собственный код во время исполнения, что затрудняет статический анализ. Наличие следов — это способность программы оставлять артефакты своего присутствия в файловой системе, реестре, журналах, оперативной памяти.

Методы исследования программных объектов делятся на статические и динамические. Статические методы не требуют запуска программы и включают дизассемблирование, декомпиляцию, анализ потока управления и потока данных, поиск сигнатур, эвристический анализ. Динамические методы предполагают исполнение программы в контролируемой среде и включают трассировку системных вызовов, мониторинг файловой системы и реестра, перехват сетевых соединений, отладку. Каждый метод имеет ограничения: статический анализ может быть затруднён обфускацией, динамический — невозможен, если программа требует специфических условий или обнаруживает факт эмуляции. Комбинирование методов позволяет повысить достоверность выводов.

В рамках ИТ экспертизы программные объекты исследуются для решения широкого круга задач. Это установление факта наличия вредоносного кода, определение его функциональных возможностей, выявление признаков модификации легитимной программы, установление авторства или источника происхождения, определение времени создания или компиляции, а также установление соответствия программы её документации или лицензии. В каждом случае эксперт должен чётко обозначить границы своего исследования и указать, какие свойства объекта были установлены, а какие остались за пределами анализа. Программный объект не существует в вакууме: он всегда связан с оборудованием, данными и системой, и это должно учитываться при формулировании выводов.

Глава 3. Информационные системы как объекты ИТ экспертизы: архитектура, компоненты, целостность 💻

Информационная система как объект ИТ экспертизы представляет собой упорядоченную совокупность программных, аппаратных, коммуникационных и информационных компонентов, объединённых целью сбора, хранения, обработки и передачи данных. В отличие от отдельной программы, система обладает архитектурой, то есть устойчивой структурой связей между компонентами, и эта архитектура определяет многие её свойства. Исследование системы невозможно свести к последовательному анализу её частей, поскольку системные эффекты возникают именно на уровне взаимодействия. Для ИТ экспертизы это означает необходимость применения методов, учитывающих целостность объекта и динамику его функционирования.

Архитектура информационной системы описывается через несколько измерений. Функциональное измерение определяет, какие задачи решает система и какие подсистемы за эти задачи отвечают. Техническое измерение описывает аппаратную платформу, операционную среду, сетевую топологию. Логическое измерение задаёт структуру данных и правила их обработки. Интерфейсное измерение определяет точки взаимодействия системы с пользователями и другими системами. Каждое из этих измерений может стать предметом ИТ экспертизы в зависимости от поставленной задачи. Например, при исследовании факта несанкционированного доступа ключевым является логическое и интерфейсное измерение, а при исследовании отказа системы — техническое и функциональное.

Компоненты информационной системы делятся на несколько классов. Клиентские компоненты обеспечивают взаимодействие с пользователем и включают рабочие станции, терминалы, мобильные устройства, а также установленное на них программное обеспечение. Серверные компоненты обеспечивают централизованную обработку и хранение данных. Сетевые компоненты обеспечивают передачу данных между узлами. Инфраструктурные компоненты обеспечивают аутентификацию, авторизацию, журналирование, резервное копирование. Каждый компонент может рассматриваться как самостоятельный объект ИТ экспертизы, но его свойства проявляются только в контексте системы. Изолированное исследование компонента может дать неполную или искажённую картину, если не учитывать его роль в системе.

Целостность информационной системы является одним из ключевых понятий ИТ экспертизы. Под целостностью понимается такое состояние системы, при котором её компоненты функционируют в соответствии с проектной документацией, а данные не подвергались несанкционированному изменению. Целостность может быть нарушена в результате сбоя, ошибки конфигурирования, вредоносного воздействия или физического повреждения.

Установление факта нарушения целостности и его причин требует комплексного анализа, включающего проверку контрольных сумм, анализ журналов, сравнение с эталонными конфигурациями, исследование следов доступа. Для ИТ экспертизы важно различать целостность системы в целом и целостность отдельных её компонентов, поскольку нарушение целостности одного компонента не всегда означает нарушение целостности системы.

Журналы событий и метрики являются важнейшим источником сведений о функционировании системы. Они фиксируют входы пользователей, запуск процессов, изменение конфигурации, сетевые соединения, ошибки и сбои. Однако журналы не являются абсолютно надёжным источником: они могут быть неполными, могут быть изменены, могут содержать ошибки синхронизации времени. ИТ экспертиза журналов включает проверку их подлинности, восстановление хронологии событий, выявление пропусков и аномалий. Особое значение имеет сопоставление журналов разных компонентов, поскольку только кросс-корреляция позволяет восстановить полную картину происшедшего.

Разграничение доступа является механизмом, обеспечивающим целостность и конфиденциальность системы. Оно реализуется через аутентификацию, авторизацию и аудит. Аутентификация устанавливает подлинность субъекта, авторизация определяет его права, аудит фиксирует действия. ИТ экспертиза в этой области направлена на установление того, какие права имел конкретный пользователь, мог ли он выполнить определённое действие, были ли нарушения в работе механизмов разграничения. Важно учитывать, что даже корректно настроенная система может быть скомпрометирована через уязвимости, ошибки конфигурирования или социальную инженерию, и это должно приниматься во внимание при формулировании выводов.

Архитектурные решения определяют устойчивость системы к внешним воздействиям и её способность к восстановлению. Системы с избыточностью, резервированием и балансировкой нагрузки более устойчивы, но и более сложны для анализа. Системы с централизованным хранением данных более просты для контроля, но создают единую точку отказа. Для ИТ экспертизы значимы такие характеристики, как наличие точек отказа, наличие механизмов восстановления, наличие изоляции между компонентами. Эти характеристики не всегда очевидны из документации и могут быть установлены только путём исследования фактической конфигурации.

Методы исследования информационных систем включают анализ конфигураций, анализ журналов, сетевой анализ, проверку целостности, тестирование на проникновение, моделирование. Каждый метод имеет свои ограничения и свою область применимости. Анализ конфигураций позволяет установить текущее состояние системы, но не всегда позволяет установить, как оно изменялось во времени. Анализ журналов позволяет восстановить хронологию, но зависит от полноты и достоверности записей. Сетевой анализ позволяет установить факт передачи данных, но не всегда позволяет установить их содержание. Проверка целостности позволяет выявить изменения, но требует эталона для сравнения. Комбинирование методов повышает достоверность, но увеличивает трудоёмкость.

В рамках ИТ экспертизы информационные системы исследуются для установления фактов несанкционированного доступа, установления причин сбоев, определения объёма утраченных или изменённых данных, установления соответствия системы требованиям безопасности, а также для восстановления хронологии событий. Система рассматривается не как статический объект, а как динамическая сущность, состояние которой изменяется во времени. Это требует от эксперта не только технических знаний, но и способности reconstructировать события по их следам. Взаимосвязь системы с программными объектами, оборудованием и данными является предметом последующих глав.

Глава 4. Аппаратное обеспечение как объект ИТ экспертизы: устройства, узлы, носители 🛠️

Аппаратное обеспечение в контексте ИТ экспертизы представляет собой совокупность физических устройств, обеспечивающих хранение, обработку и передачу цифровой информации. К аппаратным объектам относятся процессоры, материнские платы, модули оперативной памяти, накопители на магнитных и твердотельных носителях, сетевые адаптеры, блоки питания, периферийные устройства, а также встраиваемые контроллеры и специализированные вычислители. Каждый из этих объектов обладает физическими характеристиками, которые могут быть измерены, и функциональными свойствами, которые могут быть установлены путём исследования. ИТ экспертиза аппаратного обеспечения сочетает методы, заимствованные из радиоэлектроники, материаловедения и информатики.

Устройства как объекты ИТ экспертизы характеризуются прежде всего своей ролью в вычислительном процессе. Процессор выполняет инструкции, оперативная память хранит промежуточные данные, накопитель обеспечивает долговременное хранение, сетевой адаптер обеспечивает передачу. Каждое устройство имеет собственные параметры: тактовую частоту, объём, пропускную способность, энергопотребление. Эти параметры определяют возможности системы в целом и могут быть предметом исследования, если требуется установить, могло ли устройство выполнить определённую задачу за определённое время. Однако ИТ экспертиза не сводится к измерению параметров: она направлена на установление фактов, имеющих значение для расследования или судебного разбирательства.

Узлы и компоненты аппаратного обеспечения исследуются на предмет их подлинности, соответствия маркировке, наличия следов модификации. Современные устройства часто содержат компоненты, произведённые разными изготовителями и собранные в единый продукт. Это создаёт возможность подмены компонентов, установки нештатных модулей, внедрения аппаратных закладок. Такая экспертиза в таких случаях включает визуальный осмотр, рентгеновское исследование, электронную микроскопию, анализ электрических характеристик. Эти методы позволяют выявить несоответствия, которые не видны при обычном осмотре. Особое значение имеет исследование микросхем памяти, поскольку именно они чаще всего становятся носителями скрытой информации.

Носители информации занимают особое положение среди аппаратных объектов. Жёсткие диски, твердотельные накопители, оптические диски, карты памяти, USB-флеш-накопители — все они предназначены для хранения данных и могут быть исследованы как на физическом, так и на логическом уровне. Физический уровень включает исследование поверхности носителя, магнитных доменов, ячеек флеш-памяти.

Логический уровень включает исследование файловой системы, разделов, метаданных. Такая экспертиза носителей направлена на восстановление удалённых данных, установление факта подключения носителя к конкретному устройству, установление времени записи, выявление признаков форматирования или перезаписи. Носитель рассматривается одновременно как аппаратный объект и как хранилище данных, что требует применения методов обеих глав.

Следы воздействия на аппаратное обеспечение являются важным источником информации. Это могут быть следы вскрытия корпуса, следы пайки, следы подключения к диагностическим разъёмам, следы термического воздействия. Такие следы позволяют установить факт физического доступа к устройству и, в некоторых случаях, восстановить последовательность действий. Такая экспертиза в этой области требует не только технических знаний, но и навыков криминалистического осмотра. Важно учитывать, что некоторые следы могут быть случайными или производственными, и их интерпретация требует осторожности.

Встраиваемые системы и устройства интернета вещей представляют собой относительно новую область ИТ экспертизы. Такие устройства часто имеют ограниченные вычислительные ресурсы, специализированное программное обеспечение и специфические каналы связи. Их исследование затруднено отсутствием документации, закрытостью протоколов и невозможностью прямого доступа к памяти. Тем не менее, такие устройства могут содержать ценные данные о событиях, о взаимодействии с другими устройствами, о попытках несанкционированного доступа. Такая экспертиза в этой области требует разработки специализированных методов и инструментов, а также учёта того, что устройство может быть частью более крупной системы.

Методы исследования аппаратного обеспечения делятся на неразрушающие и разрушающие. Неразрушающие методы включают визуальный осмотр, рентгенографию, ультразвуковое исследование, измерение электрических параметров, снятие дампов памяти. Разрушающие методы включают препарирование, травление, электронную микроскопию. Выбор метода определяется задачей и ценностью объекта. В большинстве случаев Такая экспертиза стремится использовать неразрушающие методы, поскольку объект может потребоваться для повторного исследования или для представления в суде. Однако в некоторых случаях только разрушающие методы позволяют установить истину.

Аппаратное обеспечение не существует изолированно: оно связано с программными объектами, информационными системами и данными. Процессор исполняет программы, накопитель хранит данные, сетевой адаптер передаёт информацию. Такая экспертиза аппаратного обеспечения всегда учитывает этот контекст. Например, при исследовании накопителя эксперт должен понимать, какая файловая система на нём используется, какие программы могли к нему обращаться, какие данные могли быть записаны. При исследовании процессора эксперт должен понимать, какие программы на нём исполнялись и какие данные обрабатывались. Только комплексный подход позволяет получить достоверные выводы.

В рамках ИТ экспертизы аппаратное обеспечение исследуется для установления факта подключения устройства, установления факта записи или чтения данных, установления факта модификации устройства, установления соответствия устройства заявленным характеристикам, а также для восстановления данных с повреждённых носителей. Аппаратный объект рассматривается как материальный носитель информации, состояние которого может быть измерено и зафиксировано. Это отличает ИТ экспертизу аппаратного обеспечения от чисто программного анализа и требует от эксперта широкого кругозора и владения инструментальными средствами.

Глава 5. Данные как объект ИТ экспертизы: форматы, хранилища, следы и артефакты 💾

Данные представляют собой центральный объект ИТ экспертизы, поскольку именно ради установления свойств данных чаще всего проводится исследование. Под данными понимаются сведения, зафиксированные в цифровой форме и способные к хранению, передаче и обработке. Это определение охватывает файлы, базы данных, потоки сообщений, метаданные, журналы, артефакты операционных систем и приложений. Данные могут быть структурированными, полуструктурированными и неструктурированными. Они могут существовать в виде отдельных файлов, в виде записей в базе данных, в виде потоков в сети, в виде фрагментов в оперативной памяти. ИТ экспертиза данных направлена на установление их содержания, происхождения, времени создания и модификации, а также на установление фактов, связанных с их обработкой.

Форматы данных определяют способ их организации и хранения. Существуют текстовые форматы, бинарные форматы, контейнерные форматы, форматы сжатия, форматы шифрования. Каждый формат имеет собственную структуру, собственные метаданные, собственные правила интерпретации. ИТ экспертиза требует понимания формата, поскольку без этого невозможно корректно извлечь данные и интерпретировать их содержание. Например, файл может содержать текст, но если он сжат или зашифрован, для его чтения необходимо сначала выполнить декомпрессию или дешифрование. Файл может содержать изображение, но если он имеет нестандартный формат, для его просмотра необходимо знать структуру. Эксперт должен уметь работать с форматами на уровне спецификаций и на уровне инструментов.

Хранилища данных представляют собой места, где данные сохраняются. Это файловые системы, базы данных, облачные сервисы, регистры, журналы. Каждое хранилище имеет собственную организацию и собственные правила доступа. Такая экспертиза хранилищ включает исследование структуры хранилища, восстановление удалённых записей, анализ метаданных, установление времени создания и модификации. Особое значение имеет исследование файловых систем, поскольку именно они определяют, как данные располагаются на носителе и как к ним можно получить доступ. Восстановление удалённых данных требует понимания того, как файловая система помечает записи как удалённые и как долго эти записи могут сохраняться.

Следы и артефакты представляют собой вторичные данные, возникающие в результате функционирования системы. Это журналы, кэши, временные файлы, записи в реестре, списки последних открытых документов, история браузера. Артефакты могут быть использованы для восстановления хронологии событий, для установления факта запуска программы, для установления факта подключения устройства. Такая экспертиза артефактов требует понимания того, как и когда они создаются, как они изменяются и как они удаляются. Артефакты могут быть фрагментарными и противоречивыми, и их интерпретация требует осторожности. Важно различать артефакты, созданные штатными механизмами системы, и артефакты, созданные вредоносными программами, которые могут маскироваться под штатные.

Метаданные являются особой категорией данных, описывающих другие данные. Это время создания файла, время последней модификации, автор, размер, формат, расположение. Метаданные могут быть явными, то есть храниться в самом файле, и неявными, то есть храниться в файловой системе или в приложении. Такая экспертиза метаданных направлена на установление фактов, связанных с созданием и изменением данных. Например, метаданные могут показать, что файл был создан раньше, чем это следует из его содержания, или что он был изменён после определённой даты. Метаданные могут быть подделаны, и эксперт должен уметь выявлять признаки подделки.

Базы данных как объект ИТ экспертизы представляют собой организованные совокупности данных, управляемые специальным программным обеспечением. Исследование баз данных включает анализ схемы, анализ записей, анализ журналов транзакций, восстановление удалённых записей. Базы данных могут содержать большие объёмы информации, и их исследование требует специализированных инструментов и знаний. Особое значение имеет анализ журналов транзакций, поскольку они позволяют восстановить последовательность операций и установить, какие изменения были внесены, когда и кем. Такая экспертиза баз данных часто проводится в рамках расследования экономических преступлений, где данные являются основным доказательством.

Потоки данных представляют собой данные, передаваемые по сети или между процессами. Это сетевые пакеты, сообщения, сигналы. Такая экспертиза потоков направлена на установление факта передачи, установление содержания, установление источника и получателя. Потоки могут быть перехвачены, записаны и проанализированы. Однако потоки могут быть зашифрованы, и тогда их содержание остаётся недоступным. Эксперт должен уметь работать с сетевыми протоколами, анализировать заголовки пакетов, восстанавливать сессии. Потоки данных часто являются единственным источником информации о взаимодействии между системами.

Методы исследования данных включают поиск, фильтрацию, сортировку, восстановление, декомпрессию, дешифрование, корреляцию. Поиск позволяет найти данные, удовлетворяющие определённым критериям. Фильтрация позволяет отсеять незначимые данные. Восстановление позволяет извлечь удалённые данные. Декомпрессия и дешифрование позволяют сделать данные читаемыми. Корреляция позволяет установить связи между разными наборами данных. Каждый метод имеет ограничения:

• поиск может пропустить данные, если критерии заданы неверно;
• восстановление может быть неполным;
• дешифрование может быть невозможным без ключа.

Комбинирование методов повышает достоверность.

В рамках ИТ экспертизы данные исследуются для установления фактов, имеющих значение для расследования или судебного разбирательства. Это могут быть факты переписки, факты передачи файлов, факты изменения документов, факты доступа к ресурсам. Данные рассматриваются как носители информации, которые могут быть отделены от породившего их процесса и исследованы независимо. Однако такое отделение всегда условно, поскольку данные приобретают смысл только в контексте. Такая экспертиза данных требует от эксперта не только технических знаний, но и способности интерпретировать данные в контексте задачи.

Глава 6. Взаимосвязь программ, систем, оборудования и данных в рамках единого объекта ИТ экспертизы 💻

Четыре класса объектов, рассмотренные в предыдущих главах, не существуют изолированно. Программа исполняется на оборудовании, оперирует данными и может быть частью информационной системы. Система включает в себя программы, оборудование и данные. Данные могут содержать программы. Оборудование может хранить данные и исполнять программы. Эта взаимозависимость означает, что при производстве ИТ экспертизы эксперт практически всегда имеет дело не с изолированным объектом, а с объектом в контексте, где контекст образуют остальные три класса. Понимание этой взаимосвязи является условием корректной постановки задачи, выбора методов и формулирования выводов.

Первым проявлением взаимосвязи является онтологическая вложенность. Информационная система включает в себя программные компоненты, аппаратные узлы и данные. Программный объект включает в себя данные, необходимые для его функционирования, и может включать встроенные ресурсы, которые сами по себе являются данными. Аппаратный объект включает в себя прошивки, которые являются программами, и хранит данные. Данные могут включать в себя исполняемые файлы, скрипты, макросы, то есть программные объекты. Такая вложенность означает, что границы между классами относительны и определяются точкой зрения исследователя. Один и тот же артефакт может рассматриваться как программа, как данные и как компонент системы в зависимости от задачи.

Вторым проявлением взаимосвязи является функциональная зависимость. Программа не может быть исполнена без оборудования, соответствующего её архитектуре. Система не может функционировать без программ, обеспечивающих её логику. Данные не могут быть обработаны без программ и оборудования. Эта зависимость означает, что исследование одного объекта часто невозможно без исследования другого. Например, для установления факта исполнения программы необходимо исследовать оборудование, на котором она исполнялась, и данные, которые она обрабатывала. Для установления факта передачи данных необходимо исследовать систему, через которую передача осуществлялась, и оборудование, которое обеспечивало связь.

Третьим проявлением взаимосвязи является следственная обусловленность. Каждый класс объектов оставляет следы в других классах. Программа оставляет следы в файловой системе, в реестре, в оперативной памяти, в журналах. Система оставляет следы в конфигурационных файлах, в журналах, в сетевом трафике. Оборудование оставляет следы в виде износа, в виде записей в журналах, в виде физических изменений. Данные оставляют следы в виде метаданных, в виде кэшей, в виде временных файлов. Эти следы образуют перекрёстные ссылки, которые позволяют восстановить картину события. ИТ экспертиза использует эти следы для установления фактов, которые не могут быть установлены прямым наблюдением.

Четвёртым проявлением взаимосвязи является методическая обусловленность. Методы, применяемые для исследования одного класса объектов, часто требуют данных о других классах. Например, дизассемблирование программы требует знания архитектуры процессора, то есть аппаратного контекста. Анализ журналов системы требует знания форматов записей, то есть программного контекста. Восстановление данных требует знания файловой системы, то есть системного контекста. Это означает, что эксперт должен обладать знаниями во всех четырёх областях, а не только в той, которая соответствует основному объекту исследования. ИТ экспертиза по своей природе является междисциплинарной областью.

Пятым проявлением взаимосвязи является контекстуальная интерпретация. Один и тот же артефакт может иметь разное значение в зависимости от контекста. Например, файл, содержащий последовательность байтов, может быть исполняемым файлом, может быть изображением, может быть фрагментом базы данных. Его интерпретация зависит от того, в каком контексте он рассматривается. Аналогично, событие в журнале может быть штатным, а может быть признаком атаки, в зависимости от конфигурации системы и от того, какие программы её обслуживают. Такая экспертиза требует учёта контекста, а контекст образуется взаимосвязью всех четырёх классов объектов.

Шестым проявлением взаимосвязи является динамика. Объекты ИТ экспертизы не статичны: они изменяются во времени. Программа может быть обновлена, система может быть переконфигурирована, оборудование может быть заменено, данные могут быть добавлены или удалены. Эти изменения образуют траекторию, которая может быть восстановлена по следам. Такая экспертиза часто направлена на восстановление этой траектории, на установление того, что произошло, в какой последовательности и с какими объектами. Восстановление траектории требует корреляции следов, оставленных разными объектами в разных местах.

Седьмым проявлением взаимосвязи является ограниченность изолированного анализа. Исследование одного объекта без учёта других может привести к ошибочным выводам. Например, программа может выглядеть безобидной при статическом анализе, но проявлять вредоносные свойства при исполнении в определённой системе с определёнными данными. Или система может выглядеть защищённой, но содержать уязвимость, эксплуатируемую через программный объект. Или данные могут выглядеть подлинными, но содержать метаданные, указывающие на подделку. Такая экспертиза требует комплексного подхода, при котором каждый объект рассматривается в связи с другими.

Восьмым проявлением взаимосвязи является необходимость единой терминологии. Поскольку объекты разных классов описываются разными понятиями, возникает риск неоднозначности. Один и тот же термин может означать разные вещи в разных контекстах. Например, «файл» может означать единицу хранения в файловой системе, может означать набор данных, может означать программу. Такая экспертиза требует чёткого определения терминов и их соотнесения с классами объектов. Это особенно важно при формулировании выводов, которые должны быть понятны не только эксперту, но и другим участникам процесса.

Девятым проявлением взаимосвязи является влияние на выбор инструментов. Инструменты, применяемые для исследования одного класса объектов, могут быть неприменимы к другому классу. Однако существуют инструменты, которые работают на стыке классов. Например, отладчик позволяет исследовать программу в контексте системы и оборудования. Сетевой анализатор позволяет исследовать данные в контексте системы и оборудования. Средства восстановления данных позволяют исследовать данные в контексте оборудования и файловой системы. Такая экспертиза требует владения как специализированными, так и комплексными инструментами.

Десятым проявлением взаимосвязи является этическая и правовая обусловленность. Исследование объектов ИТ экспертизы затрагивает права и интересы людей. Данные могут содержать персональную информацию, программы могут быть объектами интеллектуальной собственности, системы могут обеспечивать критически важные функции, оборудование может быть дорогостоящим. Такая экспертиза требует соблюдения баланса между необходимостью установления истины и уважением к правам. Это накладывает ограничения на методы и на их применение.

📌 Таким образом, взаимосвязь программ, систем, оборудования и данных является не просто теоретическим положением, а практическим принципом, определяющим организацию ИТ экспертизы. Каждый объект рассматривается в контексте других, каждый вывод проверяется на согласованность с другими данными, каждый метод применяется с учётом ограничений, накладываемых другими классами. Только такой подход позволяет получить достоверные и полные результаты, пригодные для использования в расследовании и судебном разбирательстве. В следующей главе рассматриваются методические основы исследования объектов ИТ экспертизы с учётом их взаимосвязи.

Глава 7. Методические основы исследования объектов ИТ экспертизы: программы, системы, оборудование, данные 🔬

Методические основы ИТ экспертизы представляют собой систему принципов, методов и процедур, определяющих порядок исследования объектов и формулирования выводов. Эти основы не являются универсальными для всех классов объектов: исследование программ требует одних подходов, исследование систем — других, исследование оборудования — третьих, исследование данных — четвёртых. Однако существуют общие принципы, которые применяются ко всем классам и обеспечивают сопоставимость результатов. К таким принципам относятся объективность, полнота, проверяемость, воспроизводимость и документирование. ИТ экспертиза строится на этих принципах, и их нарушение ставит под сомнение достоверность выводов.

Принцип объективности означает, что эксперт руководствуется фактами, а не предположениями. Выводы должны основываться на данных, полученных в результате исследования, а не на интуиции или ожиданиях. Объективность требует, чтобы эксперт рассматривал альтернативные гипотезы и проверял их, а не ограничивался той, которая кажется наиболее вероятной. Объективность также требует, чтобы эксперт не выходил за пределы своей компетенции и не делал выводов, которые не могут быть обоснованы. ИТ экспертиза, как и любая экспертиза, должна быть беспристрастной.

Принцип полноты означает, что исследование должно охватывать все аспекты, необходимые для ответа на поставленный вопрос. Полнота не означает, что эксперт должен исследовать всё, что доступно; она означает, что эксперт должен исследовать всё, что необходимо. Определение необходимого объёма исследования является одной из ключевых задач при производстве ИТ экспертизы. Недостаточная полнота приводит к неполным выводам, избыточная полнота приводит к неоправданным затратам времени и ресурсов. Полнота также означает, что эксперт должен учитывать все классы объектов, если они связаны с исследуемым вопросом.

Принцип проверяемости означает, что методы и результаты должны быть такими, чтобы другой эксперт мог повторить исследование и получить те же результаты. Проверяемость требует, чтобы методы были описаны достаточно подробно, чтобы их можно было воспроизвести. Проверяемость также требует, чтобы исходные данные были сохранены и доступны для повторного исследования. Такая экспертиза, как и любая экспертиза, должна быть прозрачной. Это особенно важно в случаях, когда выводы эксперта используются для принятия решений, затрагивающих права и интересы людей.

Принцип воспроизводимости означает, что результат исследования не должен зависеть от случайных факторов. Если исследование проводится в тех же условиях с теми же исходными данными, результат должен быть тем же. Воспроизводимость требует, чтобы условия исследования были контролируемыми, а влияние случайных факторов было минимизировано. В ИТ экспертизе воспроизводимость может быть затруднена, поскольку исследуемые объекты могут быть недетерминированными, а среда — изменчивой. Эксперт должен учитывать это и указывать в выводах, какие факторы могли повлиять на результат.

Принцип документирования означает, что все этапы исследования должны быть зафиксированы. Документирование включает описание исходного состояния объекта, описание применённых методов, описание полученных результатов, описание ограничений и допущений. Документирование позволяет проверить ход исследования и оценить его достоверность. Такая экспертиза требует особенно тщательного документирования, поскольку объекты могут быть изменены или утрачены, а их состояние на момент исследования может быть воспроизведено только по записям.

Методы исследования объектов ИТ экспертизы делятся на общие и специальные. Общие методы применяются ко всем классам объектов и включают наблюдение, измерение, сравнение, эксперимент, моделирование. Наблюдение позволяет зафиксировать состояние объекта. Измерение позволяет получить количественные характеристики. Сравнение позволяет выявить различия между объектами или состояниями. Эксперимент позволяет проверить гипотезу путём воздействия на объект. Моделирование позволяет представить объект в упрощённом виде для анализа. Эти методы образуют основу любой экспертизы, и Такая экспертиза не является исключением.

Специальные методы применяются к конкретным классам объектов. Для программных объектов это статический анализ, динамический анализ, дизассемблирование, декомпиляция, трассировка. Для информационных систем это анализ конфигураций, анализ журналов, сетевой анализ, проверка целостности. Для аппаратного обеспечения это визуальный осмотр, рентгенография, электронная микроскопия, снятие дампов памяти. Для данных это поиск, фильтрация, восстановление, декомпрессия, дешифрование, корреляция. Специальные методы требуют специальных знаний и инструментов, и их применение должно быть обосновано.

Процедура исследования объектов ИТ экспертизы включает несколько этапов. Первый этап — постановка задачи. На этом этапе формулируется вопрос, на который нужно ответить, и определяются объекты, подлежащие исследованию. Второй этап — подготовка. На этом этапе объекты фиксируются, создаются их копии, обеспечивается сохранность исходных данных. Третий этап — исследование. На этом этапе применяются методы, собираются данные, проверяются гипотезы. Четвёртый этап — анализ. На этом этапе полученные данные интерпретируются, формулируются выводы. Пятый этап — документирование. На этом этапе результаты оформляются в виде заключения. Каждый этап имеет свои особенности в зависимости от класса объекта.

Постановка задачи является критически важным этапом. От того, насколько точно сформулирован вопрос, зависит выбор методов и объём исследования. Вопрос должен быть конкретным, проверяемым и относимым к компетенции эксперта. Например, вопрос «что произошло?» слишком широк и не может быть ответом на него в рамках экспертизы. Вопрос «был ли файл изменён после определённой даты?» конкретен и может быть проверен. Такая экспертиза требует, чтобы вопрос был сформулирован на языке, понятном эксперту, и чтобы ответ на него был возможен с использованием доступных методов.

Подготовка включает фиксацию исходного состояния объекта. Это может быть создание побитовой копии носителя, создание снимка системы, фотографирование оборудования. Фиксация необходима для того, чтобы можно было вернуться к исходному состоянию, если исследование приведёт к изменению объекта. Подготовка также включает обеспечение сохранности объекта: объект должен быть защищён от несанкционированного доступа, от физического повреждения, от воздействия электромагнитных полей. Такая экспертиза требует, чтобы объект был сохранён в том состоянии, в котором он был получен.

Исследование включает применение методов и сбор данных. На этом этапе эксперт должен следовать методике, но также должен быть готов к неожиданностям. Объекты ИТ экспертизы могут вести себя не так, как ожидалось, и эксперт должен уметь адаптироваться. Исследование должно быть систематическим: каждый шаг должен быть обоснован и зафиксирован. Такая экспертиза не допускает произвольных действий, которые не могут быть объяснены и воспроизведены.

Анализ включает интерпретацию данных и формулирование выводов. На этом этапе эксперт должен отделить факты от интерпретаций и указать, какие выводы являются достоверными, а какие — вероятными. Выводы должны быть сформулированы в терминах, понятных заказчику экспертизы, и должны быть соотнесены с поставленным вопросом. Такая экспертиза требует, чтобы выводы были обоснованы и не выходили за пределы компетенции эксперта.

Документирование включает оформление заключения. Заключение должно содержать описание объекта, описание методов, описание результатов, выводы и ограничения. Заключение должно быть достаточно подробным, чтобы другой эксперт мог понять ход исследования, и достаточно ясным, чтобы неспециалист мог понять выводы. Такая экспертиза требует, чтобы заключение было объективным и не содержало оценочных суждений, выходящих за пределы компетенции.

Особенности методики для разных классов объектов определяются их природой. Для программных объектов ключевыми являются статический и динамический анализ, а также анализ следов исполнения. Для информационных систем ключевыми являются анализ конфигураций, анализ журналов и проверка целостности. Для аппаратного обеспечения ключевыми являются визуальный осмотр, измерение параметров и снятие дампов. Для данных ключевыми являются поиск, восстановление и корреляция. Такая экспертиза требует, чтобы методика соответствовала объекту и задаче.

Ограничения методики определяются доступностью инструментов, доступностью исходных данных, временем и ресурсами. Не все методы могут быть применены в конкретных условиях. Например, динамический анализ требует запуска программы, что может быть невозможно, если программа требует специфической среды. Восстановление данных требует наличия носителя, что может быть невозможно, если носитель повреждён. Такая экспертиза требует, чтобы эксперт осознавал ограничения и указывал их в заключении.

Оценка достоверности результатов является завершающим этапом методики. Достоверность определяется надёжностью методов, полнотой данных, согласованностью результатов. Если результаты, полученные разными методами, совпадают, достоверность повышается. Если результаты противоречат друг другу, необходимо выяснить причину противоречия. Такая экспертиза требует, чтобы эксперт не скрывал противоречий, а объяснял их. Только такой подход обеспечивает доверие к результатам экспертизы.

Глава 8. Заключение ✅

Проведённое исследование объектов ИТ экспертизы позволяет сформулировать ряд положений, имеющих значение для теории и практики экспертной деятельности. Объекты ИТ экспертизы образуют четыре взаимосвязанных класса: программные объекты, информационные системы, аппаратное обеспечение и данные. Каждый класс обладает собственной онтологией, собственными свойствами и собственными методами исследования. Вместе с тем ни один класс не существует изолированно:

• программа исполняется на оборудовании, оперирует данными и может быть частью системы;
• система включает программы, оборудование и данные;
• данные могут содержать программы;
• оборудование хранит данные и исполняет программы.

Эта взаимосвязь является не просто теоретическим положением, а практическим принципом, определяющим организацию ИТ экспертизы.

Программные объекты представляют собой наиболее динамичный класс. Они включают исполняемые файлы, библиотеки, скрипты, макросы, прошивки. Их исследование требует сочетания статических и динамических методов, а также учёта того, что поведение программы зависит от среды исполнения. Программный объект может быть исследован на предмет функциональности, наличия вредоносных функций, следов модификации, авторства. Однако выводы о программном объекте всегда должны учитывать контекст, в котором он существует.

Информационные системы представляют собой наиболее сложный класс. Они включают множество компонентов, взаимодействующих между собой, и обладают эмерджентными свойствами, которые не сводятся к свойствам отдельных компонентов. Исследование системы требует анализа архитектуры, конфигурации, журналов, механизмов разграничения доступа. Целостность системы является ключевым понятием, и её установление требует комплексного подхода. Система рассматривается как динамическая сущность, состояние которой изменяется во времени.

Аппаратное обеспечение представляет собой материальную основу цифровой среды. Устройства, узлы, носители исследуются на предмет подлинности, соответствия маркировке, наличия следов модификации. ИТ экспертиза аппаратного обеспечения сочетает методы радиоэлектроники, материаловедения и информатики. Особое значение имеют носители информации, которые рассматриваются одновременно как аппаратные объекты и как хранилища данных. Встраиваемые системы и устройства интернета вещей представляют собой новую область, требующую разработки специализированных методов.

Данные представляют собой центральный объект ИТ экспертизы, поскольку именно ради установления свойств данных чаще всего проводится исследование. Данные могут быть структурированными, полуструктурированными и неструктурированными. Они существуют в виде файлов, записей, потоков, артефактов. Их исследование включает поиск, фильтрацию, восстановление, декомпрессию, дешифрование, корреляцию. Данные обладают свойством отделимости от породившего их процесса, но приобретают смысл только в контексте.

Взаимосвязь четырёх классов объектов проявляется в онтологической вложенности, функциональной зависимости, следственной обусловленности, методической обусловленности, контекстуальной интерпретации, динамике, ограниченности изолированного анализа, необходимости единой терминологии, влиянии на выбор инструментов и этико-правовой обусловленности. Эти проявления образуют систему принципов, которые должны учитываться при производстве ИТ экспертизы. Игнорирование любого из них может привести к ошибочным выводам.

Методические основы ИТ экспертизы включают принципы объективности, полноты, проверяемости, воспроизводимости и документирования. Эти принципы применяются ко всем классам объектов и обеспечивают сопоставимость результатов. Методы делятся на общие и специальные. Общие методы включают наблюдение, измерение, сравнение, эксперимент, моделирование. Специальные методы определяются классом объекта. Процедура исследования включает постановку задачи, подготовку, исследование, анализ и документирование. Каждый этап имеет свои особенности в зависимости от класса объекта.

Ограничения методики определяются доступностью инструментов, доступностью исходных данных, временем и ресурсами. Эксперт должен осознавать эти ограничения и указывать их в заключении. Оценка достоверности результатов является завершающим этапом. Достоверность определяется надёжностью методов, полнотой данных, согласованностью результатов. Если результаты, полученные разными методами, совпадают, достоверность повышается. Если результаты противоречат друг другу, необходимо выяснить причину противоречия.

Практическое значение проведённого исследования состоит в том, что оно систематизирует знания об объектах ИТ экспертизы и создаёт основу для разработки конкретных методик. Каждый класс объектов требует собственной методики, но все методики должны быть согласованы между собой. Это согласование обеспечивается общими принципами и учётом взаимосвязи объектов. ИТ экспертиза является междисциплинарной областью, и её развитие требует интеграции знаний из разных областей.

Перспективы дальнейшего исследования связаны с развитием технологий. Появление новых классов объектов, таких как нейросетевые модели, квантовые вычисления, распределённые реестры, требует пересмотра существующих подходов. Однако основные принципы, сформулированные в настоящей монографии, сохраняют своё значение. Объект ИТ экспертизы всегда будет представлять собой единство программ, систем, оборудования и данных, и это единство должно учитываться при производстве экспертизы.

Завершая монографию, следует подчеркнуть, что Такая экспертиза является областью, в которой технические знания сочетаются с правовыми и этическими требованиями. Эксперт должен не только владеть методами исследования, но и понимать границы своей компетенции, осознавать ответственность за выводы и соблюдать принципы объективности и полноты. Только такой подход обеспечивает доверие к результатам экспертизы и их пригодность для использования в расследовании и судебном разбирательстве. Объекты ИТ экспертизы — программы, системы, оборудование, данные — образуют единую систему, и исследование этой системы является задачей, требующей комплексного подхода.