Методика расследования компьютерных преступлений

После принятия указанных выше неотложных мер можно приступать к непосредственному обыску помещения и изъятию средств компьютерной техники.

При этом следует знать и не допускать следующие неблагоприятные факторы: возможные попытки со стороны персонала повредить ЭВМ с целью уничтожения информации и ценных данных; возможное наличие на компьютерах специальных средств защиты от несанкционированного доступа, которые, не получив в установленное время специальный код, автоматически уничтожат всю информацию; возможное наличие на ЭВМ иных средств защиты от несанкционированного доступа; постоянное совершенствование компьютерной техники, следствием чего может быть наличие на объекте программно-технических средств, незнакомых следователю.

В целях недопущения перечисленных факторов следователь может придерживаться следующих рекомендаций:

1. Перед выключением питания по возможности корректно закрыть все используемые программы, а в сомнительных случаях просто отключить компьютер (в некоторых случаях некорректное отключение компьютера – путем перезагрузки или выключения питания без предварительного выхода из программы и записи информации на постоянный носитель – приводит к потере информации в оперативной памяти и даже к стиранию информационных ресурсов на данном компьютере).
2. При наличии средств защиты ЭВМ от несанкционированного доступа принять меры к установлению ключей доступа (паролей, алгоритмов и т. д.).
3. Корректно выключить питание всех ЭВМ, находящихся на объекте (в помещении).
4. Не пытаться на месте просматривать информацию, содержащуюся в компьютерах.
5. В затруднительных случаях не обращаться за консультацией (помощью) к персоналу, а вызывать специалиста, не заинтересованного в исходе дела.
6. Следует изъять все носители ЭВМ, обнаруженные на объекте.
7. При обыске не подносить ближе, чем на 1 м к компьютерной технике металлоискатели и другие источники магнитного поля, в т. ч. сильные осветительные приборы и некоторую специальную аппаратуру.

Так как многие, особенно неквалифицированные, пользователи записывают процедуры входа-выхода при работе с компьютерной системой, а также пароли доступа, на отдельных бумажных листках, следует изъять также все записи, относящиеся к работе с ЭВМ.

Поскольку многие коммерческие и государственные структуры прибегают к услугам нештатных и временно работающих специалистов по обслуживанию средств компьютерной техники, следует записать паспортные данные у всех лиц, находящихся на объекте, независимо от их объяснений цели пребывания на объекте.

При изъятии средств компьютерной техники необходимо обеспечить соблюдение требований действующего уголовно-процессуального законодательства. Для этого необходимо обратить внимание понятых на всех производимых действиях и их результатах, давая им при необходимости пояснения, поскольку многим участникам следственного действия могут быть непонятны производимые манипуляции. Так же, следует опечатывать ЭВМ так, чтобы исключить возможность работы с ними, разукомплектования и физического повреждения основных рабочих компонентов в отсутствие владельца или эксперта. При опечатывании компьютерных устройств следует наложить один лист бумаги на разъем электропитания, расположенный на задней панели, второй – на переднюю панель вверху с захлестом на верхнюю панель и закрепить их края густым клеем. На листах бумаги должны быть подписи следователя, понятых и представителя персонала. При изъятии магнитного носителя машинной информации нужно помнить, что они должны перемещаться в пространстве и храниться только в специальных опломбированных и экранированных контейнерах или в стандартных дискетных или иных алюминиевых футлярах заводского изготовления, исключающих разрушающее воздействие различных электромагнитных и магнитных полей и «наводок», направленных излучений.

В случае, если необходимо обратиться к конкретному физическому носителю, следует указать в протоколе его серийный (заводской) номер, тип, название (если есть) или провести его точное описание (размеры, цвет, класс, надписи, физические повреждения), если имеются видимые повреждения, их также необходимо указать в протоколе. При отсутствии четких внешних признаков физический носитель запечатывается в отдельную коробку (ящик, конверт), о чем обязательно делается отметка в протоколе проведения следственного действия.

При невозможности изъятия и приобщения к делу в качестве вещественного доказательства средства компьютерной техники (например, если компьютер является сервером либо рабочей станцией компьютерной сети) в обязательном порядке после его осмотра необходимо ограничить доступ в помещение, в котором расположен компьютер, но и отключать источники энергопитания аппаратуры или, в крайнем случае, создать условия лишь для получения информации с одновременным опломбированием всех необходимых узлов, деталей, частей и механизмов компьютерной системы. В случае возникновения необходимости изъятия информации из оперативной памяти компьютера (непосредственно из оперативного запоминающего устройства – ОЗУ), то сделать это возможно путем копирования соответствующей машинной информации на физический носитель с использованием стандартных паспортизированных программных средств, с соответствующим документальным приложением и в порядке, установленном следующими нормативными документами: Государственный стандарт (ГОСТ) № 6104–84 от 01.07.87 «Унифицированные системы документации. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники. Основные положения и Постановление Госстандарта № 2781 от 24.09.86 «Методические указания по внедрению и применению ГОСТ 6104–84». Только с использованием указанных нормативных документов машинная информация будет относиться к разряду «документированной информации», как требует того закон. Документированная информация представляет собой фиксированную на материальном носителе информацию с реквизитами, с помощью которых данная информация может быть идентифицирована. В свою очередь криминалистически значимая информация представляет собой совокупность знаний о совершенном преступлении.

К несчастью, практика работы органов прокуратуры и следствия показывает, что рассмотренные рекомендации в большинстве случаев следователями в практической деятельности по расследованию преступлений в сфере компьютерной информации не применяются. В результате неправильного изъятия средств компьютерной техники добытая информация зачастую не может являться доказательством в уголовном судопроизводстве.

2.3. Особенности оперативно-разыскной деятельности при расследовании преступлений в сфере высоких технологий

Исходя из практики, оперативно-розыскная деятельность (ОРД) по раскрытию преступлений в области компьютерной информации должна осуществляться с учетом особой специфики этих преступлений.

Залог успешного осуществления оперативно-розыскных мероприятий лежит прежде всего в том, что стратегию и тактику выявления и раскрытия противоправных деяний необходимо строить на основе хороших знаний специфики состава преступления. Иными словами, сотрудники правоохранительных органов должны иметь соответствующие знания в области компьютерных технологий, кибернетики, психологии, психолингвистики. Понятно, что в настоящее время такой подход реализовать довольно трудно, из-за слабой подготовки сотрудников МВД в сфере современных информационных технологий, в процессе обучения сотрудники ОВД получают только поверхностное знания в области информационных технологий.

Учитывая неотложность решения задачи по раскрытию и пресечению преступлений в рассматриваемой предметной области оперативно-розыскная деятельность должна основываться на следующих принципах: стратегия и тактика ОРД в сфере компьютерной информации должны строиться на основе самого широкого использования современных достижений в области информационных технологий; на этапе разработки стратегии и тактики ОРД в области компьютерной информации гласно и негласно должны привлекаться высококвалифицированные специалисты в области компьютерных технологий; необходимо существенно пересмотреть качественный состав субъектов при установлении конфиденциального сотрудничества (при осуществлении агентурной работы); арсенал оперативной техники необходимо комплектовать современными техническими приборами и устройствами (в т.ч. компьютерными программами), разработанными и успешно применяемыми в информационно-технологической сфере; личный состав специализированных оперативных подразделений должен проходить соответствующую подготовку (переподготовку) по применению современных технологий и программных средств.

Без использования современных технических и программных средств эффективность оперативно-розыскной деятельности в сфере компьютерной информации резко снизится, поэтому сотрудниками должны быть предприняты меры по усовершенствованию технологий и повышению знаний в данной области у личного состава.

В ходе деятельности подразделений органов внутренних дел может использоваться как универсальное, так и специальное программное обеспечение. Универсальные программы (информационно-поисковой системы, редакторы, электронные таблицы и т.п.) общего назначения не только повышают производительность труда и эффективность работы по выявлению, раскрытию и расследованию преступлений, но и поднимают ее на качественно новый уровень. Специализированные программы направлены на непосредственное их применение при осуществлении оперативно-розыскных мероприятий по  борьбе с информационной (в т.ч. компьютерной) преступностью. Рассмотрим краткую характеристику таких программных средств.

В настоящее время существуют программные средства, позволяющие: контролировать процесс попыток взлома компьютерной системы или сети; определять индивидуальный почерк работы программиста и идентификационных характеристики разработанных им программ; определять перечень электронных адресов (IP) и сайтов Интернет с которыми работал пользователь, список организаций и их географическое местоположение, сведения о лицах, за которыми адреса зарегистрированы; негласно регистрировать перечень программ, с которыми работает пользователь; определять путь, а в некоторых случаях и конкретный адрес исходящей угрозы для компьютерных систем; осуществлять негласный контроль над программистом, определяя характер разрабатываемых продуктов (программы-шпионы и т.п.); обнаруживать латентную и закодированную информации на автоматизированных рабочих местах, серверах и сетях передачи данных; проводить идентификацию компьютерных систем по следам применения на различных материальных носителях информации; осуществлять исследование следов деятельности пользователей в целях его идентификации; осуществлять диагностику устройств и систем телекоммуникаций на возможность осуществления несанкционированного доступа к ним; исследовать материальные носители с целью поиска заданной информации; осуществлять исследование компьютерных технологий для установления возможности решения конкретных преступных задач (крекинг, хакинг, фрикинг и т.п.); исследовать программы для ЭВМ и базы данных для определения их возможного предназначения для преступных действий (наличие программных закладок, подпрограмм класса «троянский конь» и т.п.).

Это далеко не полный перечень возможностей существующего программного обеспечения, которое с успехом может использоваться при осуществлении ОРД органами уполномоченными на ее проведение.

Поисковые программные средства могут найти широкое применение в оперативно-разыскной деятельности (непроцессуальная форма), в том числе и до возбуждения уголовного дела. Факт обнаружения объектов (программ закладок, программного обеспечения для изготовления вирусов или для осуществления взлома компьютерных сетей и т.п.) может послужить основанием для возбуждения дела и производства расследования. В процессуальной форме поисковые программные средства могут найти применение при проведении следственных действий, таких как следственный осмотр (все его виды), выемка предметов, документов и электронной почтовой корреспонденции, следственный эксперимент, выполняемый с целью опытной проверки показаний.

В оперативно-розыскной деятельности в области расследования компьютерных преступлений целесообразно применять криминологическое прогнозирование индивидуального и преступного группового поведения. Определенную информацию можно извлечь, анализируя сетевой трафик локальных и региональных компьютерных сетей. Полезную информацию могут дать и анализ платежей клиентов за телефонные услуги. Прогнозирование может успешно осуществляться в основе первичных материалов оперативного учета, так как его банки информации создаются на основе прогноза вероятности преступного поведения определенных криминогенных контингентов. Именно прошлое (судимость, правонарушения, антиобщественные поступки, большие успехи в области программирования), настоящее (поддержание криминальных связей, проявление большого интереса  к какой либо информации, паразитизм, склонность к антиобщественным занятиям, склонность создавать программы-«вандалы») их поведение дают основания для прогностических выводов о вероятном противоправном поведении в будущем. Принимаются во внимание социальные оценки, даваемые лицу, представляющему оперативный интерес, роль для него мнения представителей криминогенной и преступной среды. Все это в совокупности является элементами методики криминологического прогнозирования, которое вплетается в оперативно-розыскные мероприятия при реализации форм ОРД (поиске, профилактике, разработке). Естественно, вопросы моделирования и прогнозирования необходимо решать, используя современные информационные технологии и программные средства.

В ряде составов информационных преступлений мотивация поведения преступника имеет особое значение. Преступные мотивы есть по сути своей модификации обычных человеческих мотивов, но направленные на цели, запрещенные законом или связанные с использованием противоправных средств, являются основополагающими в раскрытии и пресечении противоправных действий нарушителей, с помощью методов оперативно-розыскной деятельности. Такое понимание мотивации преступного поведения исключает представление об обреченности человека на преступное поведение, о неисправимости преступников. Поэтому для осуществления ОРД в области компьютерной информации определенный интерес представляют социологические и психологические исследования молодежи, обучающейся компьютерным наукам. Для профилактической деятельности по предотвращению компьютерных преступлений важно проводить изучения мотивов поступков человека. Особый интерес представляет определение уровня ценностно-ориентационного единства (ЦОЕ) в молодежной аудитории. При выявлении и раскрытии преступлений, совершенных с использованием компьютеров, вычислительных систем или иной электронной техники, оперативный сотрудник сталкивается с нетрадиционными следами преступной деятельности или вещественными доказательствами. Поэтому для грамотного использования фактических данных, полученных в ходе осуществления оперативно-розыскных мероприятий по таким преступлениям, базовой юридической подготовки может оказаться недостаточно, на основе чего и возникает необходимость привлечения компетентного  в данной области специалиста.