Компьютерно-техническая экспертиза (КТЭ) (англ. computer forensics) — одна из разновидностей судебных экспертизПриказ Минюста России от 27.12.2012 N 237 «Об утверждении Перечня родов (видов) судебных экспертиз, выполняемых в федеральных бюджетных судебно-экспертных учреждениях Минюста России, и Перечня экспертных специальностей, по которым представляется право самостоятельного производства судебных экспертиз в федеральных бюджетных судебно-экспертных учреждениях Минюста России», а также область деятельности специальных служб, объектом которой является: компьютерная техника (среди прочих аппаратное обеспечение), компьютерные носители информации, метаданные, периферийное устройства, программное обеспечение (также компьютерные вирусы), вычислительная сеть, телекоммуникационное устройства напр. смартфон, цифровой фотоаппарат, ИТ-компоненты напр. маршрутизатор, программируемый логический контроллер, встраиваемая система и другие, а целью — поиск и закрепление доказательств и для получения данных, информации, для ознакомления с техническими характеристиками, способом работы и т. д. Причисление к возможным объектам данного вида экспертизы удалённых объектов, не находящихся в полном распоряжении эксперта (прежде всего, компьютерных сетей) пока является спорным вопросом и решается по-разному.
Основная цель КТЭ — поддержать или опровергнуть гипотезу в уголовном или гражданском суде.
Типичный процесс судебной экспертизы включает изъятие, визуализацию (получение) и анализ цифровых носителей, а также составление отчета о собранных доказательствах
История Впервые термин «компьютерная преступность» появился в американских СМИ в 1960-х, в связи с выявлением первых преступлений, совершенных с использованием ЭВМ.Так, в 1969 года Альфонсо Конфессоре совершил первое компьютерное преступление, получив незаконно доступ к информации в электронно-вычислительной сети. Ущерб составил 620 000 $. В 1970 году, также путем незаконного доступа к информации, с одного из счетов «Security Pacific Bank» было похищено 10,2 млн $.
До 1970-х годов преступления, связанные с компьютерами, рассматривались в соответствии с существующими законами. Первые компьютерные преступления были признаны в Законе Флориды от 1978 года о компьютерных преступлениях, который включал законодательный акт против несанкционированного изменения или удаления данных в компьютерной системе.«Florida Computer Crimes Act». Archived from the original on 12 June 2010. Retrieved 31 August 2010. В течение следующих нескольких лет ряд совершаемых преступлений, и были приняты законы, касающиеся вопросов авторского права, конфиденциальности / преследования (интернет-травля, «радостное избиение», киберсталкинг) и детской порнографииM, M. E. «A Brief History of Computer Crime: A» . Norwich University. Archived from the original on 21 August 2010. Retrieved 30 August 2010.. Только в 1983 году компьютерные преступления были включены в федеральный закон Канады. За этим последовали Федеральный закон США о компьютерном мошенничестве и злоупотреблении в 1986 году, британский Закон о неправомерном использовании компьютеров в 1990 году и Закон об ответственности за правонарушения при работе с информацией РСФСР в 1991.
1980—1990-е годы: развитие отрасли Рост информационной преступности в 1980-х и 1990-х годах заставил правоохранительные органы начать создавать специализированные группы, обычно на национальном уровне, для решения технических аспектов расследований. Например, в 1984 году ФБР создало группу компьютерного анализа и реагирования, а в следующем году был создан отдел компьютерных преступлений в составе отдела мошенничества британской столичной полиции. Многие из первых членов этих групп были не только профессионалами в правоохранительных органах, но также любителями в области компьютерной техники и стали ответственными за первоначальные исследования и направление в этой области.
Одним из первых практических (или, по крайней мере, обнародованных) примеров цифрового расследования было преследование Клиффом Столлом хакера Маркуса Хесса в 1986 году. Столл, в расследовании которого использовались компьютерные и сетевые методы судебной экспертизы, не был специализированным экспертом. То же самое можно сказать о многих из самых ранних компьютерно-технических экспертизахFor Dummies.
На протяжении 1990-х годов был высокий спрос на эти новые базовые ресурсы для расследования. Нагрузка на центральные подразделения привела к созданию групп регионального и даже местного уровня, которые помогают справиться с нагрузкой. Например, в 2001 году был создан Британский национальный отдел по борьбе с преступлениями в сфере высоких технологий для обеспечения национальной инфраструктуры для компьютерных преступлений; с личным составом, расположенным как в центре Лондона, так и в различных региональных полицейских подразделениях (в 2006 году этот отдел был преобразован в Агентство по борьбе с серьёзной организованной преступностью (SOCA)).
2000-е: разработка стандартов Начиная с 2000 года, в ответ на потребность в стандартизации, различные органы и агентства опубликовали руководящие принципы по цифровой криминалистике. В 2002 году научная рабочая группа по цифровым доказательствам (Scientific Working Group on Digital Evidence) подготовила документ «Лучшие методы компьютерной криминалистики», за которым в 2005 году последовала публикация стандарта ISO/IEC 17025:2005 «General requirements for the competence of testing and calibration laboratories».«Best practices for Computer Forensics». SWGDE.«ISO/IEC 17025:2005» . ISO. Archived from the original on 5 August 2011. Retrieved 20 August 2010. Европейские государства ввели Конвенцию о киберпреступности, вступившее в силу в 2004 году международное соглашение, которое согласовывало национальные законы о компьютерных преступлениях, методы расследования и принципы международного сотрудничества. Договор подписали 43 страны (включая США, Канаду, Японию, Южную Африку, Великобританию и другие европейские страны) и утвердили 16.
Коммерческие компании (часто разработчики программного обеспечения для судебной экспертизы) начали предлагать сертифицированные программы, и цифровой криминалистический анализ был включен в качестве британский центр подготовки следователей Centrex.
С конца 1990-х годов мобильные устройства стали более доступными, превзойдя простые устройства связи, и оказались богатыми источниками информации, даже в отношении преступлений, традиционно не связанных с цифровой криминалистикойSG Punja (2008). «Mobile device analysis». Small Scale Digital Device Forensics Journal 2011-07-28.. Несмотря на это, криминалистический анализ телефонов отставал от традиционных компьютеров, в основном из-за проблем, связанных с частным характером устройствRizwan Ahmed (2008). «Mobile forensics: an overview, tools, future trends and challenges from law enforcement perspective» . 6th International Conference on E-Governance..
Акцент также сместился на преступность в Интернете, особенно на риск кибервойны и кибертерроризма. В отчете Командования объединённых сил США за февраль 2010 г. делается вывод: Через киберпространство враги будут ориентироваться на промышленность, научные круги, правительство, а также на вооруженные силы в воздухе, на суше, на море и в космосе. Во многом так же, как авиация изменила поле битвы Второй мировой войны, киберпространство разрушило физические барьеры, которые защищают страну от атак на её коммерческую и коммуникационную деятельность.«The Joint Operating Environment» Archived 2013-08-10 at the Wayback Machine, Report released, 18 February 2010, pp. 34-36
В области цифровой криминалистики по-прежнему существуют нерешенные проблемы. В докладе Петерсона и Шеноя 2009 г. «Цифровые судебные исследования: хорошее, плохое и безрезультатное» в исследованиях цифровой криминалистики выявлено предвзятое отношение к операционным системам Windows. В 2010 году Симсон Гарфинкель выявил проблемы, с которыми предстоит столкнуться цифровым расследованиям в будущем, в том числе увеличение размера цифровых носителей, широкая доступность шифрования для потребителей, растущее разнообразие операционных систем и форматов файлов, увеличение числа лиц, владеющих несколькими устройствами и правовые ограничения в отношении следователей.
Компьютерная криминалистика в СССР и России Первый случай злоупотребления при помощи компьютерного средства зарегистрирован в 1958 году. Первое компьютерное преступление с использованием ЭВМ было совершено в СССР в конце 1970-х. В 1979 году в Вильнюсе было похищено 78584 рублей. Данный факт был занесен в международный реестр подобных правонарушений и явился своеобразной отправной точкой в развитии нового данного преступности в нашей стране.
Первоначально, столкнувшись с компьютерной преступностью, органы уголовной юстиции государства боролись с ней при помощи традиционных норм о краже, присвоении, мошенничестве, злоупотреблении доверием и др. Однако такой подход оказался совершенно не удачным, поскольку многие компьютерные преступления не охватываются составами традиционных преступлений (например, воровство из квартиры — это одно, а копирование секретной компьютерной информации — это другое).
Попытки регламентации ответственности за совершение компьютерных преступлений имели место в РСФСР после того, как было зафиксировано первое подобное преступление с использованием компьютера. В 1991 году, во Внешэкономбанке СССР были похищены 125 500 $. 06 декабря 1991 года был представлен проект Закона РСФСР «Об ответственности за правонарушения при работе с информацией», который предусматривал введение в действующий УК РСФСР норм, устанавливающих ответственность за совершение компьютерных преступлений. Затем последовало Постановление Верховного Совета Российской Федерации "О порядке введения в действие Закона Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных», связанные с вопросами внесения в Гражданский и Уголовный кодекс РСФСР законодательных актов, связанных с вопросами правовой охраны программ для электронных вычислительных машин и баз данныхВедомости Съезда Народных Депутатов Российской Федерации и Верховного Совета Российской Федерации, 1992. — No 42. — Ст. 2326..
Виды компьютерно-технической экспертизы Видовая классификация КТЭ формируется на основе обеспечивающих компонент любого компьютерного средства, что позволяет наиболее полно охватить технологические особенности и эксплуатационные свойства объектов экспертизы, предъявляемых для исследования. Данная классификация позволяет уже на ранних этапах становления экспертизы дифференцированно подойти к разработкам методов и методик экспертного исследования.В. Я. Колдин и др. Вещественные доказательства: Информационные технологии процессуального доказывания. Под общ. ред. д. ю. н., проф. В. Я. Колдина. — М.: «Норма», 2002. — 768 с.
Аппаратно-компьютерная экспертиза Объекты исследования: электрические, электронные и механические схемы, блоки, приборы и устройства, составляющие материальную часть компьютерной системы.
Предметы исследования: становление факта или обстоятельства, связанного с эксплуатацией технических средств.
Задачи исследования: определение классификационной принадлежности объекта — его марка, модель или тип; установление технических параметров и характеристик компьютеров, представленных для проведения экспертизы; установление функциональной природы исследуемого аппаратного средства.
Данное исследование заключается в проведении анализа технических или, как их ещё называют, аппаратных средств компьютерных систем.
Сущность аппаратно-компьютерной экспертизы заключается в проведении диагностического исследования аппаратных средств компьютерной системы.
Программно-компьютерная экспертиза Объекты исследования: операционные системы (системное программное обеспечение), утилиты (вспомогательные программы), программные средства для разработки программного обеспечения, а также для его отладки.