Особенности тактики следственных действий
При расследовании преступлений в данной сфере можно выделить (как и по другим категориям) три типичные следственные ситуации. Преступление, связанное с движением компьютерной, информации произошло:
в условиях очевидности — характер и его обстоятельства известны (например, какой вирус и каким способом введен в компьютерную сеть) и выявлены потерпевшим собственными силами, преступник известен и задержан (явился с повинной);
известен способ совершения, но механизм преступления в полном объеме неясен, например произошел несанкционированный доступ к файлам законного пользователя через Интернет, через слабые места в защите компьютерной системы, преступник известен, но скрылся;
налицо только преступный результат, например дезорганизация компьютерной сети банка, механизм преступления и преступник неизвестны.
В первом случае необходимо установить, имелась ли причинно-следственная связь между несанкционированным проникновением в компьютерную систему и наступившими последствиями (сбоями в работе, занесением компьютерного вируса и пр.), определить размеры ущерба. Во втором — первоочередной задачей, наряду с указанными выше, является розыск, и задержание преступника. И наконец, в наименее благоприятной (третьей) ситуации необходимо установить механизм преступления.
Остановимся подробнее на особенностях тактики отдельных следственных действий, в ходе которых, производится обнаружение, фиксация, изъятие компьютерной информации, а именно:осмотра места происшествия (местности, помещений, предметов, документов),обыска (в том числе личного, на местности и в помещении),выемки (предметов, документов, почтово-телеграфной корреспонденции, документов, содержащих государственную тайну),прослушивания телефонных и других переговоров. При производстве этих следственных действий необходимо тактически правильно производить поиск информации в компьютере, что позволит избежать ее уничтожения или повреждения; найти требуемое; зафиксировать и изъять его в соответствии с процессуальными нормами. Современное развитие электроники позволяет хранить огромные массивы информации в незначительных по объему устройствах.
При подготовке к осмотру, обыску или выемке следователь решает вопрос о необходимости, изъятия компьютерной информации. На эту необходимость, помимо признаков состава преступления в сфере движения компьютерной информации, могут указывать:
наличие у подозреваемого (обвиняемого) или потерпевшего (в некоторых случаях свидетелей) специального образования в области вычислительной техники и информатики, а также компьютерной техники в личном пользовании;
присутствие в материалах дела документов, изготовленных машинным способом (ответы на запросы, справки, полученные от обвиняемого или потерпевшей стороны);
хищение носителей компьютерной информации;
данные об увлечении вышеуказанных лиц вычислительной техникой, информатикой и программированием или об их частых контактах с людьми, имеющими такие увлечения.
На подготовительном этапе осмотра или обыска необходимо получить достоверные данные о виде и конфигурации используемой ЭВМ; о том, подключена ли она к локальной или глобальной сети (типа Интернет); наличии службы информационной безопасности и защиты от несанкционированного доступа; системе электропитания помещений, где установлена вычислительная техника; квалификации пользователей; собрать сведения о сотрудниках, обслуживающих вычислительную технику (взаимоотношениях в коллективе, его возможной криминализации и т. д.). Владение такой информацией облегчит следователю доступ к хранящимся в компьютере информации и максимально повысит ее доказательственную силу.
Часто решающее значение имеет внезапность обыска (неотложность осмотра), поскольку компьютерную информацию можно быстро уничтожить. Если получены сведения о том, что компьютеры организованы в локальную сеть, следует заранее установить местонахождение всех средств компьютерной техники, подключенных к этой сети, и организовать групповой обыск одновременно во всех помещениях, где установлены ЭВМ. Перед началом обыска (осмотра) принимаются меры, которые предотвратят возможное повреждение или уничтожение информации. Для этого следует обеспечить контроль за бесперебойным электроснабжением ЭВМ в момент осмотра, удалить всех посторонних лиц с территории, на которой производится осмотр или обыск, прекратить дальнейший доступ; принять меры к тому, чтобы оставшиеся лица не имели возможности прикасаться к средствам вычислительной техники и к источникам электропитания. Если на объекте находятся взрывчатые, легковоспламеняющиеся, едкие вещества, посторонние источники электромагнитного излучения и другие предметы и аппаратура, способные привести к аварии ЭВМ, эвакуировать их. Осмотр или обыск целесообразно производить с участием специалиста в области информатики и вычислительной техники. Желательно и в качестве понятых приглашать лиц, знакомых с работой ЭВМ.
Не следует ограничиваться поиском информации только в компьютере; необходимо внимательно осмотреть имеющуюся документацию, вплоть до записей на клочках бумаги, поскольку программисты часто, не надеясь на свою память, оставляют записи о паролях, изменениях конфигурации системы, особенностях построения информационной базы компьютера. Многие пользователи хранят копии своих файлов на дискетах во избежание утраты их при выходе компьютера из строя. Поэтому любые обнаруженные носители информации должны быть изъяты и изучены.
Только после перечисленных подготовительных мер следует приступать к рабочему этапу следственного действия. Изучение практики показывает: несоблюдение элементарных правил ведет к тому, что деятельность следователя по сбору компьютерной информации не достигает своей цели. Так, присутствующий при обыске подозреваемый незаметно от членов следственно-оперативной группы всего-навсего изменил положение тумблера переключателя рабочего напряжения ПЭВМ, расположенного на задней стенке системного блока, с 220 на 115 вольт. При включении блок питания через некоторое время вышел из строя, что привело к неисправности всего компьютера.
Тактика поиска компьютерной информации должна избираться исходя из, во-первых, степени защищенности данных, во-вторых — функционального состояния компьютера и периферийных устройств на момент производства следственного действия.
О высокой степени защищенности компьютера может свидетельствовать наличие специальных систем защиты информации от несанкционированного доступа и (или) сертифицированных средств защиты;
постоянная охрана территории и здания, где размещается компьютерная система, с помощью технических средств и специального персонала, использование строгого пропускного режима, специальное оборудование помещений; наличие администратора (службы) защиты информации, нормальное функционирование и контроль работы.
Низкая степень защищенности определяется наличием простого алгоритма ограничения доступа (например, данные защищены только паролем), получением достоверных данных о его преодолении, при этом нет необходимости применять специальные средства доступа к данным.
Деятельность следователя по преодолению защиты компьютера от несанкционированного доступа — одна из самых ответственных. Именно при некорректном обращении защищенные данные могут быть самоуничтожены, искажены, спрятаны и т. д. с помощью специальных программ. Чтобы этого не произошло, при подготовке к проведению следственного действия необходимо как можно более точно и полно определить степень защищенности компьютера, средства защиты, пароли, ключевые слова и т. д.
С одной стороны, по общему мнению специалистов в области вычислительной техники и программирования, на сегодняшний день нет программно-технических средств, способных на 100% гарантировать защиту. Отсюда следует, что, в принципе, возможно преодолеть любую преграду при поиске информации. С другой стороны, существующие средства защиты настолько разнообразны, используют различные алгоритмы и принципы построения защиты, что для их преодоления может понадобиться немало времени. В среде хакеров именно преодоление защиты от несанкционированного доступа является одним из высших подтверждений мастерства.
Причины защиты данных в компьютере различны. Кроме цели противодействия раскрытию и расследованию преступления, пользователи защищают данные от некомпетентности и неаккуратности при выполнении работ на ЭВМ. Защита компьютерной информации осуществляется путемидентификации (пользователь сообщает свое имя) иаутентификации (проверки подлинности) — вторая сторона убеждается, что субъект действительно тот, за кого себя выдает. Подлинность подтверждается знанием пароля, личного идентификационного номера, криптографического ключа и пр.; личной карточкой или иным устройством аналогичного назначения; голосом, отпечатками пальцев и другими биометрическими характеристиками и т. д.
Пароли давно встроены в операционные системы и другие сервисные программы. При правильном использовании они могут обеспечить приемлемый для многих организаций уровень безопасности. Тем не менее, по совокупности характеристик их следует признать самым слабым средством проверки подлинности. Надежность паролей основывается на способности помнить их и хранить в тайне. Чтобы пароль был запоминающимся, его зачастую делают простым, однако простой пароль не трудно угадать, особенно если заранее изучить пристрастия, увлечения, круг интересов законного пользователя. Иногда пароли с самого начала не являются тайной, так как имеют стандартные значения, указанные в документации, и далеко не всегда после установки системы производится их смена. Ввод пароля можно определить и с помощью оптических приборов, приборов перехвата электромагнитного излучения процессора и монитора. Статья 6 Федерального закона "Об оперативно-розыскной деятельности" определяет среди прочих оперативно-розыскных мероприятий снятие информации с технических каналов связи. Проведение указанного мероприятия предусматривает знание оперативным работником каналов возможного снятия (перехвата) компьютерной информации, способов несанкционированного доступа, умения применять специальные технические средства.
Анализ парольной защиты при осмотре или обыске компьютерной техники позволит следователю с большей вероятностью определить истинного владельца криминалистически значимой информации, найденной в компьютере. Другими словами, чем выше надежность парольной системы, тем с большей уверенностью можно определить ее истинного владельца и тем выше доказательственная сила обнаруженной информации.
Другим средством аутентификации служаттокены — предметы или устройства, владение которыми подтверждает подлинность пользователя. Самыми распространенными из них являются карточки с магнитной полосой. Обычно пользователь набирает на клавиатуре свой идентификационный номер, после чего процессор проверяет его совпадение с тем, что записан на карточке, а также подлинность самой карточки. Иногда (обычно для физического контроля доступа) карточки применяют сами по себе, без запроса личного идентификационного номера.
Безбумажная технология дает целый ряд преимуществ при обмене документами по сети связи или на машинных носителях. Но при этом возникает проблема идентификации автора документа и самого документа. В традиционной (бумажной) технологии она решается за счет того, что информация в документе жестко связана с физическим носителем (бумагой). На машинных носителях такой связи нет. Технически эта проблема частично решена с помощью применения цифровой подписи. Технология состоит в том, что лицо, составившее документ, кодирует его с помощью специальной программы — электронного ключа. При этом применяется два ключа. Один из них, не секретный, используется для шифровки и может публиковаться вместе с адресом пользователя, другой — секретный, применяется для расшифровки и известен только определенному лицу. Эта программа хранится на отдельной дискете, обычно у автора документа или стороны, которой тот направлен. Цифровая подпись реализует две функции — гарантирует целостность сообщения и удостоверяет личность автора документа. Криптографическая защита считается одним из наиболее мощных средств обеспечения конфиденциальности информации в компьютере или на магнитных носителях. Необходимо помнить, что даже в том случае, когда в распоряжении следствия имеется компьютер или магнитный носитель, но электронный ключ не обнаружен, "прочитать" информацию и идентифицировать ее автора (владельца) не представится возможным.
Помимо использования криптоалгоритмов, существует еще целый набор программных средств, позволяющих шифровать информацию и учитывающих различные условия анализа шифротекста при попытке его вскрытия. К ним, в частности, можно отнести и общеизвестную программу Diskreet из пакета Norton Utilities, позволяющую кроме шифрования магнитных носителей информации выполнять функцию блокировки клавиатуры и экрана ЭВМ (гашение изображения ценной информации), а также предусматривающую защиту информационных объектов на уровне файлов или виртуальных (логических) дисков винчестера. Для возобновления нормальной работы в ЭВМ требуется ввести пароль.
Все программы защиты, управляющие доступом к машинной информации, функционируют по принципу ответа на вопросы: кто может выполнять, какие операции и над какими данными. Доступ может быть определен как:
общий (безусловно предоставляемый каждому пользователю);
отказ (безусловный отказ, например, разрешение на удаление порции информации);
зависимый от события (управляемый событием); предусматривает блокировку обращения пользователя, например, в определенные интервалы времени или при обращении к компьютерной системе с определенного терминала;
зависимый от содержания данных (в этом случае решение о доступе основывается на текущем значении данных, например, некоторым пользователям запрещено читать те или иные данные);
зависимый от состояния (динамического состояния компьютерной системы); осуществляется в зависимости от текущего состояния компьютерной системы, управляющих программ и системы защиты;
частотно-зависимый (например, доступ разрешен пользователю только один или определенное число раз — таким образом предотвращается возможность динамического управления событиями);
по имени или другим признакам пользователя (например, пользователю должно быть более 18 лет);
зависимый от полномочий (предусматривает обращение пользователя к программам, данным, оборудованию в зависимости от предоставленного режима, например, может быть разрешено "только чтение", "чтение и запись", "только выполнение");
зависимый от предыстории обращений и учитывающий семантические связи между данными в сочетании с управлением доступом, зависящим от полномочий (программой проводится анализ контекста, включающего предыдущие запросы, их обработку, среду текущего запроса и семантические отношения между данными);
по разрешению (паролю или другому идентификатору: карточка, значок, и т. д.), где под идентификацией понимается процедура установления подлинности пользователя, осуществляющего доступ к компьютерной системе;
по процедуре (в этом случае система имеет, свою собственную процедуру: автоматически генерирует собственные правила обеспечения безопасности данных).
К новой электронной технологии относится применение электронных ключей. Электронный ключ — это устройство с памятью, выполненное на специализированной микросхеме размером не более спичечного коробка. Если при осмотре компьютера запустить защищенную программу, то она проверит наличие своего ключа. Когда такой ключ найден, программа выполняется; иначе выдается информация об ошибке и работа прерывается. Сам ключ вводится в порт компьютера, предназначенного для подключения принтера, и легко выводится.
Таким образом, очевидно, что наличие и использование оперативной информации зачастую может сыграть решающую роль при поиске в ЭВМ. Однако успешное преодоление защиты еще не решает все проблемы собирания доказательств в компьютере. Тактические особенности поиска компьютерной информации зависят также от функционального состояния ЭВМ и ее периферийных устройств на момент осмотра или обыска. Информация может быть либо зафиксирована на постоянном носителе, либо храниться в ЭВМ только в период ее работы, поэтому следователю необходимо выбирать различные тактические приемы поиска в зависимости от того, работает компьютер на момент начала следственного действия или отключен.
При включении компьютера в работу электронные устройства образуют в нем определенный объем так называемой "оперативной памяти" (ОЗУ), которая предназначена для операционных действий над информацией и программами и сохраняет их в процессе работы. При включении компьютера и (или) окончании работы с конкретной программой или данными ОЗУ очищается и готово для ввода новых. В процессе работы компьютера ОЗУ специальными программными средствами расчленяется на специальные области, предназначенные для раздельного хранения программ и данных. Среди таких областей, по желанию пользователя, может быть выделена специальная, которая имитирует внешнее устройство — накопитель информации. Этот накопитель (так называемый "виртуальный диск" или "псевдодиск") отличается высокой скоростью доступа и позволяет выполнять специфические операции по обмену программами (данными) с устройствами ЭВМ. О работающем компьютере свидетельствуют положение тумблеров, мигание или горение индикаторов на передней панели системного блока, изображение на дисплее, небольшая вибрация и чуть слышный шум работающих внутри вентиляторов.
В случае, если компьютер на момент начала осмотра оказался включен, необходимо оценить информацию, изображенную на дисплее. Прежде всего определить, какая программа исполняется на данный момент. В случае работы стандартного программного продукта (например, на экране изображены окна операционных оболочек Norton Commander или Windows) — не приступать к каким-либо манипуляциям на входе без предварительного визуального осмотра технических средств. Экран дисплея необходимо сфотографировать. Отключить все телефонные линии, подсоединенные к компьютеру. Описать все соединения на задней стенке системного блока. Если необходимо, вскрыть кожух системного блока и визуально определить конфигурацию ЭВМ, описать месторасположение электронных плат. Следование данным правилам позволит обезопасить поиск информации от различного рода устройств повреждения или уничтожения как аппаратных средств, так и информационной базы. Этими устройствами могут быть электронные ключи, радиозакладки-шумоподавителя и др. В случае, если при осмотре аппаратных средств выявлены неизвестные участникам осмотра (обыска) устройства (платы расширения, нестандартные соединения и т. д.), компьютер необходимо сразу выключить. При этом следуетне отключать тумблер блока питания, а вынуть вилку из розетки. Затем (до отсоединения проводов) необходимо промаркировать всю систему подключения, все порты и разъемы, чтобы потом можно было осуществить точную реконструкцию расположения кабелей, плат расширения и других устройств.
Если конфигурация процессора стандартна, следует корректно завершить работу исполняемой в данный момент программы. Либо дождаться завершения ее работы до выдачи дополнительных, возможно искомых, данных. Присутствующим при осмотре (обыске) необходимо разъяснять все действия следователя и специалиста в ходе манипуляций с ЭВМ. Недопустимо вмешательство в информационную базу без наглядного и доступного комментария своих действий. Объяснено должно быть любое нажатие на клавиатуру, передвижение мыши и т. д.
Если для поиска информации задействуются программные продукты, не находящиеся в компьютере, а используемые следователем, это необходимо отметить в протоколе осмотра или обыска. Такие программы должны быть стандартными. Необходимо обеспечить наглядность контроля, т. е. все ключевые этапы работы программы изображаются на экране дисплея, а следователь либо специалист комментирует происходящее. Максимально активное участие понятых при поиске информации важно еще и потому, что результатом выполнения искомой программы может явиться не текстовой или графический документ, а аудио- или видеоролик (вербальная или визуальная информация). Такой итог работы программы, являясь уникальным (неповторимым), фиксируется с помощью протокола (не считая фото- и видеосъемки).
В случае обнаружения искомой информации текущее изображение экрана дисплея также необходимо сфотографировать, после чего стандартными средствами переписать информацию на постоянный носитель (обычно — магнитный диск) либо распечатать.
Включать и выключать компьютеры, производить с ними какие-то манипуляции может только специалист в области вычислительной техники. Если на объекте было отключено электроснабжение, например, в связи с пожаром или взрывом, до его включения следует проверить, находятся ли все компьютеры и периферийные устройства в отключенном состоянии. Изымать необходимо сразу все имеющиеся на объекте компьютеры (или хотя бы блоки памяти) и магнитные носители. Нельзя оставлять их на ответственное хранение на самом объекте или в другом месте, где к ним могут иметь доступ посторонние лица. Содержащаяся на магнитных носителях информация может быть легко уничтожена преступником, например, с помощью источника электромагнитного излучения. При этом визуально определить это невозможно.
Компьютеры и их комплектующие опечатываются: на разъемы налагают лист бумаги, закрепляя его края на боковых стенках компьютера густым клеем или клейкой лентой, чтобы исключить возможность работы с ними в отсутствие владельца или эксперта. Магнитные носители упаковываются, хранятся и перевозятся в специальных экранированных контейнерах или в стандартных дискетных или иных алюминиевых футлярах заводского изготовления, чтобы исключить разрушающее воздействие различных электромагнитных и магнитных полей и наводок, направленных излучений. Опечатываются только контейнеры или футляры. Пояснительные надписи наносятся на специальные самоклеящиеся этикетки для дискет, причем сначала делается надпись, а потом этикетка наклеивается на предназначенный для этого участок. Если на дискете уже имеется этикетка с какой-либо надписью, проставляется только порядковый номер, a пояснительные надписи под этим номером делаются на отдельном листке, который вкладывается в коробку. Недопустимо приклеивать что-либо непосредственно к магнитным носителям, пропускать через них бечеву, пробивать отверстия, наносить подписи, пометки, печати и т. д.
В протоколе следственного действия описываются основные физические характеристики изымаемых устройств, магнитных и других постоянных носителей информации, серийные номера аппаратуры, их видимые индивидуальные признаки. Машинные распечатки оформляются как приложение к протоколу.
Поскольку помимо информационных на аппаратных средствах зачастую оказываются традиционные для криминалистики следы, к участию в осмотре целесообразно привлекать специалиста-криминалиста. Из следственной практики известны случаи обнаружения следов пальцев рук, металлообрабатывающих инструментов, ручной пайки на внутренних элементах компьютерных средств.
При осуществлении допросовподозреваемых и обвиняемых необходима учитывать данные криминалистической характеристики о личности предполагаемого преступника. Важной является подготовка к допросу, в процессе которой необходимо постараться хотя бы условно выбрать, к какой группе' относится подозреваемый или обвиняемый, и на этом основывать тактику допроса. При первоначальном допросе необходимо, побуждая лицо к деятельному раскаянию, выяснить, какие изменения в работу компьютерных систем были внесены, какие, вирусы использовались, есть .ни с точки зрения подозреваемого (обвиняемого) возможность быстро устранить или уменьшить вред, причиненный несанкционированным проникновением в систему. Какие сведения и кому передавались.
При первоначальных допросах свидетелей ипотерпевших необходимо выяснить назначение и функции компьютерной системы, кто имел доступ к. ней и в помещения, где располагалась компьютерная техника, не появлялись ли там посторонние лица, какие средства защиты использовались. Если часть информации была закрытой, то кто санкционировал доступ к ней и кто реально был допущен. Какой вред (имущественный, неимущественный) причинен преступлением и имеются ли способы его уменьшить.