Organización de exámenes técnicos y forenses de sistemas informáticos.

Organización del examen técnico y forense de sistemas informáticos .

I. Sobetsky

En el artículo (Sobre el valor probatorio de los archivos de registro), analicé el valor probatorio de los archivos de registro obtenidos durante la investigación de casos penales por delitos en el campo de la información informática.

Sin embargo, aún hay más. Una cuestión igualmente importante es el examen de varios tipos de sistemas informáticos.

Dicho examen puede ser necesario tanto en procedimientos civiles (en caso de disputas sobre responsabilidad entre el cliente y el contratista, sobre la ocurrencia de un evento asegurado, daño inocente) como en procedimientos penales (examen del equipo que perteneció a los infractores o víctimas para establecer la verdad en el caso).

Al mismo tiempo, los abogados y expertos en seguridad de la información ahora enfrentan muchos problemas que dificultan la realización de investigaciones especializadas y el uso de sus resultados en procedimientos civiles y penales.

Es evidente que un examen del equipo informático realizado en el marco de un proceso penal puede proporcionar al investigador y al tribunal pruebas importantes de la culpabilidad (o inocencia) del acusado.

Esto se aplica no sólo a los delitos en el ámbito de la información informática, pero también a la mayoría de los delitos de orientación económica y algunos delitos generales (por ejemplo, distribución ilegal de materiales u objetos pornográficos, fraude, falsificación de documentos, etc.).

Como usted sabe, cualquier actividad organizada, incluida la actividad delictiva, no puede prescindir de la contabilidad y, en las condiciones modernas, la mayoría de los tipos de contabilidad se automatizan con éxito utilizando tecnología informática.

Un ejemplo típico del uso de los resultados de un examen técnico y el examen forense fue el caso del Código Fiscal «YUKOS», cuando el propietario de la empresa M.B. Jodorkovsky fue acusado sobre la base de datos obtenidos específicamente como resultado del examen de las computadoras incautadas en el Código Fiscal.

Sin embargo, el examen técnico y forense de equipos informáticos, a diferencia de muchos otros exámenes, aún no se ha puesto en marcha.

Lo que está permitido a Júpiter no se le permite al toro — en cientos de casos menos destacados En estos casos, no hay nadie ni tiempo para realizar el examen técnico y forense de los sistemas informáticos.

En general, al encargar un examen técnico y forense de los sistemas informáticos, los investigadores deben resolver lo siguiente Problemas más significativos:

• Falta de especialistas suficientemente calificados en el campo de la información informática en el personal de las divisiones de expertos de los organismos encargados de hacer cumplir la ley y del Ministerio de Justicia.
• Capacitación insuficiente en el campo de la tecnología informática, que no permite al experto formular correctamente las preguntas (especialmente en casos penales ordinarios). Plantear preguntas a expertos que están fuera de su competencia.
• Dificultades para interpretar los resultados del examen.

Veamos estos problemas con más detalle.

Actualmente, los exámenes en casos penales los llevan a cabo unidades forenses de los órganos de asuntos internos y del FSB, o laboratorios forenses del Ministerio de Justicia.

p>

Los expertos departamentales del Ministerio del Interior y del FSB, con muy raras excepciones, entienden los sistemas informáticos en el nivel de «usuario avanzado», es decir, en principio no tienen la capacidad de realizar exámenes complejos.

En el mejor de los casos, estos expertos no pueden superar la protección por contraseña en Windows NT ni pedir «eliminar la contraseña» de un archivo jpg (los empleados de la empresa de investigación y desarrollo Informzashita han tenido que consultar repetidamente a estos especialistas).

En el peor de los casos, los resultados de su examen son incompletos o, debido a errores, pierden su valor probatorio.

El autor conoce varios casos especialmente difíciles en los que expertos insuficientemente cualificados destruyeron por completo información importante de un ordenador incautado. equipo.

Los laboratorios especializados del Ministerio de Justicia llevan a cabo exámenes de sistemas informáticos de bastante alta calidad, sin embargo, incluso aquí claramente no hay suficientes especialistas relevantes.

Por lo tanto, no se llevan a cabo exámenes técnicos y forenses de los sistemas informáticos. se realizan en todas las regiones de la Federación Rusa y toman un tiempo considerable.

Debido a una preparación insuficiente, los investigadores y jueces a menudo plantean preguntas incorrectas al experto cuando ordenan un examen de los sistemas informáticos.

Los tres errores más comunes aquí son:

• Hacer preguntas demasiado generales que no son relevantes para el caso bajo consideración. Un ejemplo clásico de la práctica del autor es «Recuperar e imprimir todos los archivos borrados». Me pregunto si también deberían imprimirse todas las copias múltiples del archivo win386.swp.
• Plantear cuestiones que van claramente más allá de la competencia profesional del perito o son en principio insolubles. Por ejemplo: «¿Para establecer si hay huellas dactilares del ciudadano N en el teclado?» o “¿Establecer dónde se encuentra actualmente la información copiada por desconocidos del ordenador investigado?”
• Plantean cuestiones que no deben ser resueltas por un perito, sino exclusivamente por la investigación y el tribunal. Estos incluyen preguntas sobre violaciones de la ley en un área particular, así como sobre los objetivos y motivos de cualquier acción. Un ejemplo típico es «¿Son falsos los programas del ordenador incautado?»

Dado que los peritos departamentales suelen tener una actitud acrítica ante estas cuestiones, sus conclusiones resultan no específicas, poco informativas para la investigación o son cuestionadas en los tribunales por el abogado de la parte contraria.

De hecho, cuando un experto escribe en una conclusión que ha descubierto software falsificado en tal o cual ordenador, asume esencialmente las funciones de un tribunal. Sólo un tribunal puede establecer la existencia de un delito en Rusia.

Sin embargo, el perito, sin esperar el veredicto judicial, declara él mismo probado el delito.

Por supuesto, el tribunal puede criticar tal conclusión.

Debido al número insuficiente de expertos, el examen técnico y forense en las instituciones del Ministerio de Justicia lleva mucho tiempo.

El plazo de la averiguación previa está estrictamente limitado Código de Procedimiento Penal.

De conformidad con el art. 162 del Código de Procedimiento Penal, “la averiguación previa en una causa penal deberá concluir en un plazo no superior a 2 meses a partir de la fecha de iniciación de la causa penal”..

El plazo de la investigación preliminar puede ampliarse, pero en los casos penales comunes de carácter económico rara vez se concede una prórroga por un período superior a 1 mes.

Como resultado, el peritaje recibido en los últimos días antes del final de la investigación, simplemente se presenta en el caso como una de las pruebas.

El investigador simplemente no tiene tiempo para utilizar la información proporcionada por el perito para nuevas investigaciones. acciones.

La consecuencia de todo lo anterior es que los resultados del examen son de poca utilidad para el investigador.

En la mayoría de los casos, la conclusión del experto se ve «en diagonal», el investigador está convencido de que las preguntas planteadas por él han sido respondidas positivamente.

Y en el tribunal puede resultar, por ejemplo, que el perito descubriera indicios de otros delitos que fueron convenientemente ignorados por el investigador.

La financiación insuficiente de las unidades de expertos crea, en última instancia, condiciones favorables para la vulneración de los derechos tanto de los investigados y acusados ​​como de las víctimas.

Por lo tanto, el autor no conoce ningún caso en el que el acusado hubiera tomado medidas. ventaja de su derecho declarado en el párrafo 11 de la parte 4 del artículo 47 del Código de Procedimiento Penal de la Federación de Rusia a «conocer la decisión sobre el nombramiento de un examen forense, hacer preguntas al perito y familiarizarse con la conclusión del perito.”

Reclamaciones de las víctimas para el ejercicio de sus derechos previstos en los párrafos 9 y 11 de la parte 2 del artículo 42 del Código de Procedimiento Penal — “participar, con el permiso del investigador o investigador, en las actuaciones de investigación llevadas a cabo a petición suya o de su representante” y “conocer la decisión sobre el nombramiento de un examen forense y el dictamen del perito” — generalmente son percibidos por los investigadores como una broma ingeniosa.

Los investigadores entienden que la mayoría de los expertos de las agencias gubernamentales simplemente no están preparados para un control estricto y sesgado.

Una situación muy desagradable Esta situación se plantea si las conclusiones de dichos peritos se cuestionan ante un tribunal.

En este caso, el tribunal sólo puede ordenar un nuevo examen, por regla general, en la misma institución.

En este caso, a menudo resulta que durante el primer examen los sistemas examinados se cambiaron a hasta tal punto que el nuevo experto se guía en mayor medida por la solidaridad corporativa; de todos modos, ya no quedan materiales objetivos.

Muchos abogados en tal situación insisten en un examen «independiente», invitando a sus propios expertos. Sin embargo, la independencia de estos expertos es muy dudosa, ¡porque sus servicios fueron pagados por una de las partes en el proceso!

Es fácil suponer que en el caso prevalecerá un “sesgo exculpatorio” claramente expresado. conclusiones de estos expertos, en contraposición al “sesgo acusatorio” de los expertos del servicio estatal. La situación en el caso del examen en el ámbito civil es aún peor.

Si en los casos penales todavía hay instituciones obligadas a realizar un examen de los sistemas informáticos, en los casos civiles nadie está obligado a realizar un examen.

Además, los centros bien establecidos de experiencia independiente que existen en varias regiones, en principio, no se dedican a la investigación profesional de sistemas informáticos.

Como resultado, los participantes en los procedimientos civiles se ven obligados a recurrir a «independientes». expertos, a menudo de muy dudosa reputación.

A menudo se dan casos en los que de ambas partes se presentan expertos “independientes” con opiniones opuestas. Sin embargo, no es nada sorprendente: como sabemos, quien paga manda.

La situación de conflicto entre dos peritos «independientes» por parte del demandante y el demandado pone al tribunal en una posición difícil.

Por Según la legislación rusa, un juez no sólo no puede confiar indiscutiblemente a alguien la realización de un peritaje en un caso civil, sino que tampoco tiene derecho a ofrecer a las partes un perito que conozca.

Como resultado, los litigantes llevan repetidamente ante los tribunales a aquellos a quienes pagaron por expertos cuya objetividad es altamente cuestionable.

Esto plantea la cuestión de recurrir a especialistas privados de una organización más o menos autorizada especializada en seguridad de la información cuando se realizan exámenes de sistemas informáticos.

Como regla general, estas organizaciones valoran su reputación y a los especialistas que trabajan en ellas. están bastante cualificados.

Sin embargo, los expertos privados verdaderamente serios se diferencian muy desfavorablemente de los expertos del servicio público: exigen un pago adecuado por su experiencia.

Las exigencias de los especialistas, desde el punto de vista de los funcionarios encargados de hacer cumplir la ley, son prohibitivamente altas.

Así, el coste de un estudio completo de la información contenida en un solo ordenador personal en varias organizaciones oscila entre 7.500 y 25.000 rublos. Estas cantidades superan significativamente los fondos asignados a las autoridades judiciales y de investigación.

Por lo tanto, al ordenar un examen técnico y forense de los sistemas informáticos en la mayoría de los casos penales, los investigadores y jueces parten principalmente de consideraciones financieras.

Los expertos gubernamentales baratos y todos los problemas que surgen de sus conclusiones se perciben en este caso como un mal menor.

Al autor le parece que una salida a esta situación podría ser incluir el costo total del examen en casos penales como costos legales. Como tal, estos gastos en la mayoría de los casos serán cubiertos con fondos del condenado.

Los expertos privados no se dejarán dominar por la solidaridad empresarial con los organismos encargados de hacer cumplir la ley, y será mucho más difícil cuestionar las conclusiones que emitan.

Un sistema transparente de pago por sus servicios ayudará a evitar acusaciones de colusión con la defensa. Esta opción, por supuesto, tampoco es ideal.

Sin embargo, actualmente simplemente no se ve nada mejor (y, además, implementado en la práctica).

Se proporciona un mecanismo similar ( aunque prácticamente no se utiliza) en procesos civiles.

El demandante paga el examen con sus propios fondos y, si se satisface la reclamación, esta cantidad se recupera del demandado. Como en el caso del examen en casos penales, la reputación profesional del perito servirá como la mejor protección contra posibles falsificaciones.

A continuación discutiremos algunos aspectos del examen en sí. Supongamos que un experto ha comenzado a investigar un determinado sistema informático.

Además, sus actividades están reguladas por el artículo 57 del Código de Procedimiento Penal de la Federación de Rusia:

1. Perito es una persona que tiene conocimientos especiales y es designada en la forma establecida por este Código para realizar un examen forense y emitir un dictamen.
2. La convocatoria de un perito, el nombramiento y la realización de un examen forense son llevado a cabo en la forma establecida por los artículos 195 — 207, 269 , 282 y 283 de este Código.
3. El perito tiene derecho a:
   1. conocer los materiales de la causa penal relacionado con el tema del examen forense;
   2. solicitar el suministro de materiales adicionales necesarios para dar una opinión, o para la participación de otros expertos en el examen forense;
   3. participar, con el permiso del investigador, el investigador, el fiscal y el tribunal, en las actuaciones procesales acciones y hacer preguntas relacionadas con el tema del examen forense;
   4. opinar dentro de los límites de su competencia, incluso sobre cuestiones que, si bien no se plantean en la resolución sobre el nombramiento de un examen forense, están relacionadas con el tema del estudio pericial;
   5. presentar quejas sobre la acciones (inacción) y decisiones del investigador, investigador, fiscal y tribunal, limitando sus derechos;
   6. negarse a dar una opinión sobre cuestiones que vayan más allá del alcance del conocimiento especial, así como en los casos en que el los materiales que se le presentan son insuficientes para dar una opinión.
4. El perito no tiene derecho a:
   1. sin el conocimiento del investigador y del tribunal, negociar con los participantes en procesos penales sobre cuestiones relacionadas con la realización de un examen forense;
   2. recopilar materiales de forma independiente para la investigación pericial;
   3. realizar investigaciones sin el permiso del investigador, investigador o tribunal, que puede conducir a la destrucción total o parcial de los objetos o a un cambio en su apariencia o propiedades básicas;
   4. dar una conclusión deliberadamente falsa;
   5. revelar los datos de la averiguación previa que haya conocido en relación con su participación en una causa penal como perito, si fue advertido al respecto con antelación en la forma que establece el artículo 161 de este Código.
5. Por dar una conclusión deliberadamente falsa, el perito es responsable de conformidad con el artículo 307 del Código Penal de la Federación de Rusia.
6. Por la divulgación de datos de la investigación preliminar, el perito es responsable de conformidad con el artículo 310 del Código Penal de la Federación de Rusia.

La mayoría de los expertos violan los requisitos de este artículo inmediatamente al comienzo del estudio, tan pronto como encienden la computadora en estudio.

El hecho es que la cláusula 3 de la parte 4 de este artículo prohíbe directamente experto realice acciones que provoquen cambios en las propiedades básicas del objeto en estudio

En relación con la tecnología informática, el experto está obligado a garantizar que el contenido de los discos duros y otros medios de almacenamiento de las computadoras bajo estudio. estudio permanecen sin cambios. Sólo si se cumple esta condición podrán verificarse las conclusiones del perito, si es necesario, mediante un nuevo examen.

La mayoría de los sistemas operativos modernos, en particular Windows 95/98/NT/XP, Windows 2000/2003, MacOS, OS/2 y todas las variedades de UNIX, escriben en el disco duro durante el funcionamiento, al menos en el archivo de página.

Si hablamos de ordenadores utilizados con fines delictivos, se puede instalar en ellos un programa especial para destruir información.

Cuando una computadora «minada» de este tipo se enciende sin precauciones especiales, el contenido de su disco duro puede cambiar hasta tal punto que ya no tendrá ningún valor para la investigación y el tribunal.

Por lo tanto , el perito está obligado a cuidar de preservar todos los medios investigados en un estado inalterable.

Este objetivo se puede lograr tanto tecnológica como físicamente. La principal técnica tecnológica es cargar la llamada computadora desde un disco externo en la computadora en estudio. un sistema operativo confiable que se sabe que no realiza escrituras no autorizadas en el disco duro.

Un ejemplo típico de un sistema de este tipo es MS DOS 6.22 (sin administradores de memoria como QEMM), así como algunas versiones truncadas de UNIX.

También es aceptable quitar el disco duro de la computadora en estudio. y conéctelo a su propia computadora con un sistema operativo confiable cargado allí.

El disco duro físico de la computadora en estudio se puede proteger contra escritura conectándolo a través de un dispositivo especial.

Por ejemplo, el dispositivo FastBloc fabricado por la corporación estadounidense Guidance Software proporciona bloqueo de escritura por hardware en discos duros con interfaces IDE y SCSI manteniendo la velocidad de intercambio con el disco.

En esto (¡y sólo en esto!) configuración, está permitido iniciar la computadora bajo prueba en modo normal.

En cualquier caso, la imposibilidad de escribir en el disco duro de la computadora bajo prueba complica significativamente el proceso de encontrar la información necesaria.

Resulta imposible, por ejemplo, restaurar archivos borrados, trabajar con procesadores de texto y DBMS, o incluso simplemente realizar una búsqueda avanzada de información.

Por lo tanto, para realizar un examen en En un tiempo aceptable, el experto debe crear una imagen de archivo del disco duro que se está examinando en su computadora o simplemente copiar el disco duro en estudio a otro.

En este caso, la copia estándar de archivos es inaceptable. , ya que el espacio en disco considerado libre no es menos interesante para el experto.

Conviene utilizar un software especial, por ejemplo Symantec Ghost, que realiza copias sector por sector de los medios de almacenamiento.

El punto débil de este enfoque es, como siempre, la financiación.

Para poder crear en su ordenador (u ordenadores) una imagen o copia del disco duro que está examinando, el perito debe disponer de un medio de almacenamiento de al menos la misma capacidad.

Y si se envían varios ordenadores a buscar examen, e incluso un servidor con una matriz RAID…

Aquí el experto estatal recuerda que sólo un colega de la sala de al lado puede comprobar su conclusión. Y el artículo 57 se sacrifica por conveniencia.

Dado que simplemente no existe tal cantidad de espacio libre, el experto comienza a trabajar directamente con el disco duro de la computadora en estudio.

En este caso, los archivos se pueden restaurar y descomprimir, la contraseña se ha eliminado de la base de datos que apareció…

En una palabra, durante la investigación se produce el mismo «cambio en la apariencia o propiedades básicas» del objeto en estudio.

Errores similares a menudo los cometen expertos «independientes» invitados por las partes en el proceso o agencias encargadas de hacer cumplir la ley.

Si el acusado pudo utilizar los servicios de un abogado bien remunerado y las conclusiones del perito se cuestionan, entonces pueden surgir dificultades importantes durante un nuevo interrogatorio.

Así, el autor del artículo tuvo que examinar hace algún tiempo un ordenador que había estado en manos corruptas de un especialista “independiente”.

Luego, el tribunal tomó la decisión de realizar un nuevo examen.

Durante el nuevo examen, se encontraron muchos archivos en el disco duro del ordenador bajo investigación, creados… después de la fecha de incautación del ¡ordenador!

La caja no estaba sellada, pero los microcircuitos no tenían RAM en absoluto.

El experto «independiente» fue tan simple como dos centavos: los archivos con los documentos contables estaban formateados de manera muy incómoda, por lo que simplemente los tomó y los editó directamente en la computadora bajo estudio.

Está bien que el contenido haya cambiado, ¡pero todo cabe en la impresora!

Después de un examen “independiente”, el ordenador abierto se guardó durante mucho tiempo en un pasillo sin vigilancia, para que cualquiera pudiera retirar los microcircuitos; tal vez no estuvieron allí desde el principio.

Y, en general, ¿qué tienen que ver los microcircuitos con esto? ¡Es necesario examinar el disco duro! ¡¿No me crees, viejo?!

Juntos le explicaron al aspirante a experto que el examen de los sistemas informáticos se realiza sobre la base de la recopilación y el análisis de hechos objetivos, y que puedes creer o no creer en tu tiempo libre en el templo.

Desafortunadamente, el autor del artículo tuvo que dejar constancia de la investigación en la conclusión y la dudosa autoría de los documentos contables, los cambios en la configuración del hardware y los archivos descomprimidos… En la nueva audiencia judicial, el caso se había duplicado delgada.

El veredicto cumplió con las mejores expectativas del abogado.

Es sólo cuestión de tiempo que se realice una investigación más profunda de la imagen de disco creada por el experto. Es cierto que desde hace bastante tiempo todavía no existe un software especial para el examen pericial en Rusia.

Por lo tanto, la herramienta experta más antigua y confiable sigue siendo el programa Disc Editor del conjunto Norton Utilites.

Cuando se utiliza este programa para buscar secuencias de teclas específicas en el disco que se está examinando, la búsqueda de solo una secuencia en una imagen de disco de 40 GB lleva de 30 minutos a 1 hora, dependiendo del rendimiento de la computadora del experto.

Un examen completo de un ordenador de este tipo puede llevar varios días.

Las investigaciones de servidores con grandes cantidades de espacio en disco duran semanas.

En instituciones con financiación, los expertos pueden utilizar software especializado.

En varios países de Europa occidental y EE. UU., se han desarrollado programas específicamente para el examen de equipos informáticos.

El mejor de ellos, sin duda, es el programa EnCase. desarrollado por la empresa estadounidense Guidance Software.

Este programa fue desarrollado originalmente exclusivamente para las necesidades de organizaciones gubernamentales de EE. UU. como el Servicio Secreto del Departamento del Tesoro, el FBI y la NSA, pero actualmente se ofrece para la venta de forma gratuita.

El programa EnCase automatiza casi por completo el proceso de creación de una copia del disco duro objeto de investigación, y el estudio de su contenido.

Las principales características de este programa son: