§ 7. Організаційні засади і методика розслідування злочинів у галузі інформаційних технологій

Стадія підготовки до розслідування комп'ютерного злочину

До підготовки будь-якої акції (слідчої дії, організаційних заходів), пов'я­заної з розслідуванням комп'ютерного злочину (особливо огляду), доцільно з самого початку залучити фахівця з комп'ютерних систем.

марка, модель комп'ютера, операційна система, периферійні пристрої, засоби зв'язку та будь-які інші відомості про систему, яка є об'єктом розслі­дування.

476

Наявна інформація повинна бути терміново доведена до фахівця, щоб він мав час для встановлення контакту, консультацій з іншими фахівцями (якщо в цьому виникає необхідність), а також підготовки необхідних для збирання до­казової комп'ютерної інформації, обладнання, інструментів, програмного за­безпечення та магнітних носіїв.

Слідча пошукова група повинна бути певним чином проінструктована. Необхідно впевнитись, що члени слідчої групи знайомі з типами технічних об'єктів, з якими вони працюватимуть.

Адже нині зустрічаються комп'ютери різноманітних типів та розмірів - від маленьких, розміром з годинник, до традиційно великих машин. На цьому треба зосередити увагу учасників слідчої дії (обшуку, огляду).

Пошук необхідної інформації у комп'ютерних системах може зайняти кіль­ка годин або й кілька днів. У разі, коли систему неможливо фізично вилучити і перемістити в інше місце, виникає необхідність скопіювати інформацію та комп'ютерні програми на магнітні носії (зробити повні копії окремих машин або окремих директорій, дисків тощо). Тому для пошуку та копіювання інформації необхідно зарезервувати час.

Магнітні носії, на які передбачається скопіювати інформацію, повинні бути відформатовані (необхідно впевнитись, що на них нема ніякої інформації). Носії потрібно зберігати у спеціальних упаковках або загортати у чистий папір (не слід використовувати звичайні поліетиленові пакети).

Під час транспортування комп'ютерного обладнання слід поводитися з ним обережно, оскільки головки запису й стирання можуть бути пошкоджені під час пересування. Для транспортування великих комп'ютерних систем тре­ба підготувати транспорт і спеціальне пакування.

Слідчий огляд і вилучення комп'ютерної інформації

Після прибуття на місце події (огляду), необхідно перш за все «заморози­ти» ситуацію:

вивести всіх осіб із зони доступу до обладнання, забезпечити неможли­вість втручання до системи через лінії зв'язку (зокрема через модеми), не дозволяти нічого змінювати у роботі системи. Система може бути дуже склад­на, тому чітко не розібравшись у її конфігурації, не можна приймати поспішних рішень. Якщо буде потрібна допомога фахівця, забезпечити його виклик і че­кати на нього.

Ні в якому разі та ні під яким приводом не слід дозволяти підозрюваній особі торкатися комп'ютера. Можливо, що в комп'ютері передбачена можли­вість стирання інформації в разі натиснення однієї клавіші. Бажано, щоб підо­зрюваний був присутній при огляді, оскільки саме він може надати найбільш важливу інформацію про систему - паролі, коди доступу, перелік інстальова­них програм і місцезнаходження окремих директорій (в тому числі прихова­них). Однак його необхідно тримати на відстані від комп'ютерного обладнання та джерела струму, щоб запобігти спробам зміни або знищення комп'ютерних доказів.

477

Ретельно обстежити комп'ютерне обладнання і описати його в протоко­лі, обов'язково намалювати схему системи. Слід пам'ятати, що самовільне втручання до системи може внести зміни до доказової інформації або при­звести до повної її втрати. Крім того, знищення даних або пошкодження об­ладнання в результаті некваліфікованих дій можуть спричинити до виник­нення матеріальних претензій до організації, яка здійснює розслідування чи перевірку.

Доцільно також зробити огляд та детальну фотозйомку місця події, при можливості провести відеозапис.

Як вже було зазначено, слід дотримуватися певних правил поводження з комп'ютерним обладнанням (саме тоді у повній мірі перевіряється ступінь підготовленості співробітників правоохоронних органів). Коротко наведемо деякі рекомендації:

1. На будь-якому етапі роботи з комп'ютерним обладнанням та доказами комп'ютерного походження, якщо ви не впевнені в собі, дочекайтесь прибуття експерта або забезпечте участь фахівця.

2. Якщо участь експерта або фахівця неможлива, дотримуйтесь такої по­слідовності дій (невиконання цих вимог може призвести до втрати інформації або її доказової сили):

- не користуйтеся поблизу комп'ютерів радіотелефонами, оскільки вони можуть шкідливо діяти на комп'ютерну систему,

- при охороні комп'ютера не дозволяйте нікому вимикати напругу, торка­тися клавіатури, змінювати положення комп'ютера або пов'язаного з ним обладнання. Ніколи не рухайте комп'ютер, коли він включений. Дозвольте принтеру закінчити друкування, якщо воно почалось;

- зафіксуйте, як кожні з частин комп'ютерної мережі з'єднані між собою та з іншим обладнанням.

При розбиранні відмічайте (маркіруйте) обидва кінці кабелів. Забезпечте фотографування загального інтер'єра кімнати та підготуйте план приміщення, де буде відображено місцезнаходження апаратури, її підключення та взаємне з'єднання.

На цій стадії не вимикайте і не вмикайте комп'ютер.

Вимикання живлення з метою вилучення обладнання призведе до втра­ти часової пам'яті комп'ютера (ВАМ), а також може викликати ускладнення з запуском системи у майбутньому, тому що вона може бути захищена паро­лями.

Коли екран монітора не світиться, це ще не означає, що комп'ютер обо­в'язково вимкнений. Можуть бути пошкоджені деякі деталі обладнання, не працювати вентилятор чи вимкнено тільки монітор:

- занотуйте у повному обсязі інформацію, яка є на екрані (екранах);

- забезпечте охорону комп'ютерної системи, після чого з'ясуйте такі пи­тання:

478

а) Чи підключений комп'ютер до телефонної мережі за допомогою модему? Якщо це - телефонний роз'єм, то від'єднайте його.

через модем, то вимкніть живлення до цього пристрою (не комп'ютера). За­пишіть номер використаного телефону.

б) Де знаходиться джерело живлення (батареї, акумулятори, джерело безперервного живлення та інше)?

Необхідно закрити активні програми, після чого можна вимкнути монітор, процесор та відключити напругу:

- установіть та відмітьте виробника, модель і серійний номер усіх вузлів та операційних систем;

- від'єднайте кабелі живлення клавіатури, монітора, модему та принтера;

- упакуйте процесор або СРІІ (якщо твердий диск змонтовано окремо) в опечатані пакети (паперові або спеціальні упаковки), та відмітьте номери печаток. Якщо це - портативний комп'ютер, то вкладіть його до конверта, а потім до опечатаного пакета. Не відкривайте портативний комп'ютер.

3. Переконайтеся, що всі перелічені нижче пункти виконані. Упакуйте в окремі опечатані пакети:

- СРІ) (кожний окремо);

- портативні комп'ютери;

- дискети;

- окремо змонтовані тверді диски;

- носії інформації, які можуть використовуватися разом з комп'ютерами (касети, дискети, лазерні диски).

Перевірте, чи були вилучені:

- монітор (за винятком, коли комп'ютер підключений до телевізора);

- клавіатура;

- принтер;

- модем;

- документація та інструкції з експлуатації;

- адаптери до портативних комп'ютерів;

- помічені кабелі та роз'єми;

- зразки фірмових та інших бланків комп'ютерного походження;

- роздруковані комп'ютерні тексти, які можуть мати відношення до злочи­ну (вони могли бути знищені у комп'ютері);

- нотатки чи записи, якщо є підозра, що це - комп'ютерні паролі чи інструк­ції щодо доступу до мережі або програм.

Всі речі та документи повинні бути вилучені та описані відповідно до норм чинного кримінально-процесуального законодавства.

4. Опитайте підозрюваних і свідків, для чого використовувався комп'ютер, чи застосовувались і які паролі, де були придбані захисні програми. Необхід­но визначити, чи є контракт на технічне обслуговування комп'ютерного обла­днання, з ким він укладений, чи були збої під час експлуатації техніки та які саме.

5. Якнайшвидше передайте усе вилучене у розпорядження експерта або фахівця для подальшого вивчення.

479

Дослідження, аналіз і оцінка вилученої комп'ютерної інформації

Оскільки результати комп'ютерно-технічної експертизи, особливо експер­тизи програмного забезпечення прямо залежать від зберігання інформації на внутрішніх і зовнішніх магнітних носіях, необхідно при вилученні об'єктів до­тримуватись правил, які були вказані вище.

Під час розслідування злочинів, які пов'язані з комп'ютерами та комп'ю­терними системами, найважливіше - уникнути дій, які можуть пошкодити чи змінити наявну інформацію, тим чи іншим шляхом змінити цілісність вилуче­них даних. Використання відпрацьованих та перевірених процедур і методик зменшує, але повністю не виключає такої можливості. У ряді випадків неми­нуче окремі дані системи будуть змінені чи переписані у ході проведення до­сліджень системи, наприклад, зміна тимчасових файлів, поява змін при за­критті програм-додатків, на бітовому рівні можуть бути внесені зміни у па­рольний захист. Особи, які проводять дослідження комп'ютерної системи, повинні чітко уявляти всі побічні негативні наслідки проведених з системою операцій та ретельно фіксувати кожен свій крок дослідження, щоб бути гото­вими в майбутньому пояснити, чому і які зміни відбулися в системі.

Комп'ютери та їх комплектуючі опечатуються шляхом наклеювання на місця з'єднань аркушів паперу із закріплених їхніх країв на бокових стінках комп'ютера густим клеєм або клейкою стрічкою, щоб виключити роботу з ними у відсутності власника або експерта. Магнітні носії упаковуються та транспор­туються у спеціальних екранованих контейнерах або у стандартних дискетних чи інших алюмінієвих футлярах заводського виробництва, які виключають шкідливий вплив електромагнітних і магнітних полів, направлених випромі­нювань. Опечатуються тільки контейнери або футляри. Пояснювальні напи­си можуть наноситись тільки на самоклейні етикетки для дискет, причому спочатку робиться запис, а потім етикетка наклеюється на призначене для неї місце на дискеті.

У постанові про призначення експертизи вказують серійний номер комп'ю­тера та його індивідуальні ознаки (конфігурація, колір, написи на корпусі).

Повинно стати нормою в слідчій та експертній практиці робити повну ко­пію системи, що досліджується, і всі дослідження проводити з копією, а не з самим оригіналом. Як правило, такий шлях можливий у будь-якому випадку. З точки зору дослідника, дані, які існують у системі, можливо поділити на три великі категорії. Перша категорія - це дані, які існують на файловому рівні, друга - це дані, які були знищені, але існує можливість їх відновлення на срайловому рівні, третя - це окремі частки даних, що раніше були частками окремих файлів, і які вже неможливо відновити на рівні файлу.

Зазначимо, що проведення досліджень з цих питань - процес, який кош­тує великих грошей та вимагає значних затрат часу.

480

Неможливо перелічити всі методи, обладнання та програмне забезпечен­ня, які використовуються для аналізу електронної інформації. Можна лише підкреслити, що для цієї мети використовують як загальнодоступні програмні засоби, так і спеціально розроблені програми для правоохоронних органів та експертних лабораторій. Вивчення вилученого матеріалу проводиться, як правило, у спеціалізованих підрозділах, органах судової експертизи, спеціалі­зованих приватних компаніях, науково-дослідних установах, дослідницьких центрах.

У ході розслідування можуть бути випадки, коли слідчий чітко знає, який доказ він бажає знайти в комп'ютерній системі - конкретний документ чи угоду. У цьому випадку завдання полегшується і потрібно тільки встановити місце­знаходження цієї інформації в системі. Але ситуація різко змінюється, якщо конкретно невідомо, яка інформація може представляти інтерес для слідства. У цьому випадку особа, що веде розслідування, вимушена за допомогою екс­перта ознайомитись з усіма вилученими матеріалами. Сам експерт не може виконати цю роботу, оскільки у повній мірі не володіє обставинами справи і не може оцінити доказову силу тієї чи іншої інформації.

Як характерні приклади електронних доказів можна навести існуючу в комп'ютерних системах інформацію про робочі контакти, листування, укладені контракти та угоди, бухгалтерські баланси та звіти, платіжні перекази та ви­плати тощо.

Не можна дозволяти стороннім особам та непідготовленому персоналу вмикати та користуватися вилученим обладнанням. Якщо це можливо, всі дослідження необхідно проводити за участю фахівців спеціальних підрозділів або в судових лабораторіях. Це гарантує від випадкових помилок та зберігає цілісність вилученої доказової інформації. Всі операції, які здійснюються з системою, повинні ретельно фіксуватися.

Зберігання вилученої комп'ютерної інформації

Перевезення і зберігання комп'ютерної техніки повинно здійснюватися в умовах, що виключають її пошкодження, в тому числі в результаті дії метало-детекторів, що використовуються для перевірки багажу в аеропортах. При перевезенні і складуванні комп'ютерів неприпустимо ставити їх один на одно­го, розміщувати на них будь-які інші предмети.

Обладнання та магнітні носії інформації повинні зберігатися у сухому приміщенні (вологість 50-70%), без пилу та магнітних полів, при температурі 15...20 °С. Багато комп'ютерів працюють від батарейок та акумуляторів. Пе­ред зберіганням слід впевнитись, що вони придатні для подальшої роботи, або їх слід замінити. В окремих типах техніки відсутність живлення може призвести до втрати записаної інформації. Слід упевнитись, що в примі­щенні немає гризунів (мишей та пацюків), які часто є причиною несправності апаратури.

16 1-282 481