Разбор цифровых доказательств: от битовых копий до облачных логов в практике Московского региона

Компьютерная экспертиза в айтишной среде давно перестала быть чем-то из ряда вон выходящим. Для системного администратора, разработчика или специалиста по информационной безопасности цифровые следы — это привычная часть повседневности: логи, дампы памяти, хеш-суммы, журналы транзакций. Но когда эти же данные попадают в суд, привычные инструменты начинают работать по другим правилам. Компьютерная экспертиза в Москве и городах Московской области — это уже не просто техническое исследование, а процессуальное действие, где каждая команда в терминале должна быть задокументирована, каждый хеш проверен, а каждый вывод объяснён языком, понятным судье, который никогда не открывал консоль.

Настоящая работа представляет собой айтишный взгляд на компьютерную экспертизу как на инженерную дисциплину с процессуальными ограничениями. В Союзе «Федерация судебных экспертов» компьютерная экспертиза выстроена так, как если бы её проводил грамотный инженер: сначала — сохранение целостности данных, затем — анализ, затем — документирование. Компьютерная экспертиза не терпит «ковыряния вживую» на оригинальном носителе, потому что любое монтирование диска в режиме записи меняет временные метки и разрушает доказательственную базу.

Что такое компьютерная экспертиза с точки зрения инженера

С точки зрения айтишника, компьютерная экспертиза — это форензика. Это дисциплина, которая отвечает на вопросы «что произошло», «когда» и «кто мог это сделать» на основе артефактов, оставленных операционной системой, приложениями и сетью. Судебная компьютерная экспертиза отличается от обычного администрирования тем, что здесь нельзя «починить» систему, нельзя удалить «мусор», нельзя перезагрузить сервер «чтобы заработало». Любое действие фиксируется, а изменения, внесённые в ходе исследования, должны быть либо исключены, либо задокументированы с указанием причины.

Независимая компьютерная экспертиза выполняется по инициативе стороны спора. В отличие от судебной, она не влечёт уголовной ответственности эксперта, но при этом сохраняет доказательственную ценность, если выполнена по тем же инженерным правилам. В Союзе «Федерация судебных экспертов» разница между досудебной и судебной экспертизой — это разница между «инженерным аудитом» и «инженерным аудитом с процессуальной подписью». Инструменты те же, требования к документированию — те же.

Компьютерно техническая экспертиза в айтишном понимании — это не только диски и файлы. Это ещё и сети, и облака, и виртуализация. Экспертиза цод, например, требует понимания архитектуры дата-центров: как устроены системы хранения, как работают гипервизоры, как логируются действия администраторов. Аппаратно компьютерная экспертиза — это уровень железа: анализ прошивок, поиск аппаратных закладок, восстановление данных с повреждённых накопителей.

Железо и софт: две стороны одного исследования

Айтишный подход начинается с классификации объекта. Железо и софт исследуются по-разному, и смешивать эти уровни в одном вопросе — значит получить поверхностный ответ.

На уровне железа техническая экспертиза компьютерной техники включает:

• анализ накопителей: HDD, SSD, NVMe, RAID-массивы, восстановление данных при физических повреждениях
  • анализ оперативной памяти: дампы, которые могут содержать данные, не сохранившиеся на диске
  • анализ прошивок: UEFI, BIOS, микрокод, поиск модификаций и закладок
  • анализ периферии: USB-устройства, сетевые карты, устройства HID, которые могут быть использованы для несанкционированного доступа
  • анализ мобильных устройств: извлечение данных через ADB, Fastboot, специализированные комплексы, обход блокировок

На уровне софта экспертиза компьютерных программ и экспертиза компьютерной программы включает:

• анализ файловых систем: NTFS, exFAT, ext4, APFS, восстановление удалённых файлов и анализ журналов транзакций
  • анализ журналов ОС: Event Log, syslog, auditd, journald, анализ временных меток
  • анализ приложений: кэш, конфиги, логи, базы данных, включая экспертизу 1С
  • анализ исходного кода: сравнение, поиск заимствований, экспертиза кода на предмет соответствия описанию
  • анализ метаданных: EXIF, XMP, PDF-свойства, офисные метаданные

Экспертиза компьютерного оборудования в Союзе «Федерация судебных экспертов» всегда начинается с создания битовой копии. Это аксиома форензики: оригинал не трогаем. Копия создаётся специализированным комплексом, хеш-сумма оригинала и копии фиксируется в протоколе. Дальше работаем только с копией, а оригинал возвращается владельцу или остаётся в деле в опечатанном виде.

Битовые копии, хеши и цепочка сохранности

В айтишной среде слово «хеш» привычно. В суде оно превращается в доказательство. Если хеш-сумма копии совпадает с хеш-суммой оригинала, значит копия идентична. Если не совпадает — значит либо копия создана с ошибкой, либо оригинал был изменён. Эксперт обязан зафиксировать алгоритм хеширования (MD5, SHA-1, SHA-256), значение хеша и момент его вычисления.

Цепочка сохранности (chain of custody) — это не бюрократия, а инженерная необходимость. Если носитель хранился в условиях, которые могли повлиять на данные (температура, влажность, магнитное поле), это должно быть отражено. Если носитель был подключён к системе, которая могла изменить его содержимое (например, Windows при монтировании диска может записать файлы восстановления), это тоже должно быть отражено. Экспертиза компьютерной техники для суда требует, чтобы каждое действие с носителем было задокументировано: кто получил, когда, в каком состоянии, что делал.

В айтишной практике часто возникает соблазн «посмотреть быстро» — подключить диск, открыть файл, проверить. В судебной экспертизе это недопустимо. Быстрый просмотр меняет временные метки доступа (atime), а иногда и метки изменения (mtime), что может быть использовано оппонентом для оспаривания заключения. Поэтому все действия выполняются на копии, а оригинал остаётся нетронутым.

Восстановление данных: что можно и что нельзя

Восстановление удалённых данных — это, пожалуй, самая «айтишная» часть экспертизы. Пользователи часто думают, что удалённый файл исчезает навсегда. На самом деле в большинстве файловых систем удаление — это лишь пометка кластеров как свободных. Содержимое остаётся на диске до тех пор, пока на это место не будут записаны новые данные.

Экспертиза компьютерной техники в Союзе «Федерация судебных экспертов» включает восстановление данных следующими методами:

• анализ таблицы размещения файлов (MFT в NTFS, каталоги в ext4) — позволяет найти записи об удалённых файлах
  • поиск по сигнатурам (file carving) — позволяет восстановить файлы по характерным заголовкам, даже если записи в файловой системе утрачены
  • анализ журналов транзакций ($LogFile в NTFS, journal в ext4) — позволяет восстановить последовательность изменений
  • анализ теневых копий (Volume Shadow Copy) и точек восстановления — позволяет получить предыдущие версии файлов
  • анализ свободного пространства и неразмеченных областей — позволяет найти фрагменты удалённых данных

Однако восстановление не всесильно. Если файл был перезаписан, восстановление становится невозможным без применения методов, которые могут быть квалифицированы как выходящие за пределы допустимого вмешательства. Эксперт обязан честно указать, какие данные удалось восстановить, а какие утрачены безвозвратно, и объяснить причины.

Сети, облака и виртуализация: где заканчивается «локальная» экспертиза

Современная ИТ-инфраструктура редко ограничивается одним компьютером. Данные хранятся в облаках, передаются по сетям, обрабатываются на серверах. Компьютерно сетевая экспертиза требует анализа сетевого трафика, конфигураций маршрутизаторов и коммутаторов, журналов межсетевых экранов. Экспертиза цод включает анализ архитектуры дата-центра, систем хранения и виртуализации.

Виртуализация добавляет ещё один уровень сложности. Виртуальная машина — это файлы на гипервизоре. Чтобы исследовать виртуальную машину, нужно понимать, как устроен гипервизор (VMware ESXi, Hyper-V, KVM), как работают снапшоты, как логируются действия администраторов. Экспертиза компьютерного оборудования в виртуализированной среде требует навыков работы с образами дисков (VMDK, VHD, QCOW2) и понимания того, что «удаление» виртуальной машины не означает удаление её файлов с хранилища.

Экспертиза интернет-сайта и судебная экспертиза сайта — это отдельная категория, которая включает анализ серверной части, клиентской части, баз данных, логов доступа. Если сайт размещён в облаке, эксперту может потребоваться доступ к панели управления хостингом, что требует взаимодействия с провайдером. В практике Союза «Федерация судебных экспертов» такие дела требуют не только технических знаний, но и понимания contractual obligations между владельцем сайта и хостинг-провайдером.

Кейс 1. Восстановление удалённой базы клиентов с сервера в Москве

В корпоративном споре между двумя компаниями возник вопрос о том, была ли скопирована база клиентов с сервера истца перед увольнением сотрудника. Сотрудник утверждал, что не копировал базу, а серверные логи были настроены таким образом, что не фиксировали операции копирования.

По инициативе истца была проведена независимая компьютерная экспертиза в Союзе «Федерация судебных экспертов». Эксперт создал битовую копию серверного диска и проанализировал файловую систему. В MFT были обнаружены записи об удалённых файлах, которые по размеру и имени соответствовали базе клиентов. Анализ журналов транзакций показал, что файлы были созданы в день, предшествующий увольнению, и удалены через несколько часов.

Эксперт применил метод поиска по сигнатурам и восстановил фрагменты удалённых файлов. Восстановленные данные содержали структуру, характерную для базы клиентов: таблицы с именами, контактами и историей заказов. Кроме того, в журнале событий Windows были обнаружены записи о подключении USB-устройства в момент, когда, по версии сотрудника, он не работал с компьютером.

Суд признал факт копирования доказанным. Рассудительный вывод: восстановление удалённых данных — это не магия, а инженерия. Если файл был удалён, но не перезаписан, его можно восстановить. Если был перезаписан — эксперт обязан честно сказать об этом, а не обещать невозможное.

Кейс 2. Анализ логов веб-сервера при споре о DDoS-атаке

В арбитражном споре провайдер хостинга требовал оплаты за трафик, который, по его утверждению, был потреблён в результате DDoS-атаки на сайт клиента. Клиент утверждал, что атака была спровоцирована бездействием провайдера, который не принял мер по фильтрации трафика.

Судебная экспертиза сайта была назначена для анализа логов веб-сервера и сетевого оборудования. Эксперт исследовал access-логи, error-логи, логи межсетевого экрана. Было установлено, что в период атаки с определённых IP-адресов поступало большое количество запросов, характерных для HTTP-flood. Однако анализ показал, что провайдер не применил доступные механизмы фильтрации, хотя имел для этого техническую возможность.

Эксперт также проанализировал конфигурацию сервера и выявил, что некоторые настройки (например, лимиты подключений) не были оптимизированы, что увеличило уязвимость. Суд, опираясь на заключение, признал, что провайдер не принял достаточных мер, и снизил сумму требований.

Айтишный вывод: логи — это объективный источник информации, но их анализ требует понимания архитектуры сети и приложений. Экспертиза интернет-сайта — это не только «посмотреть логи», но и оценить, какие меры защиты были доступны и почему они не были применены.

Кейс 3. Экспертиза 1С при споре о достоверности бухгалтерского учёта

В корпоративном конфликте между участниками общества возник вопрос о том, кто и когда вносил изменения в базу «1С». Истец утверждал, что ответчик, являвшийся генеральным директором, после принятия решения об исключении истца произвёл корректировки, направленные на занижение стоимости доли.

Судебная компьютерная экспертиза базы «1С» была назначена по ходатайству истца. Эксперт исследовал журнал регистрации, историю изменений документов, сведения о сеансах пользователей. Было установлено, что ряд документов, датированных более ранними периодами, фактически был создан и проведён после даты, указанной в документе. В журнале регистрации были выявлены записи об удалении документов, которые впоследствии были восстановлены с изменёнными реквизитами.

Эксперт также проанализировал временные метки сеансов и сопоставил их с данными о нахождении ответчика на рабочем месте. Совпадение подтвердило, что изменения вносились в период, когда ответчик единолично управлял обществом.

Суд принял заключение и удовлетворил требование о перерасчёте действительной стоимости доли. Айтишный вывод: экспертиза 1С требует понимания не только платформы, но и логики хозяйственных операций. Журнал регистрации — это не просто лог, это хронология управленческих решений.

Кейс 4. Экспертиза электронной подписи при оспаривании договора

В арбитражном споре истец оспаривал договор, подписанный электронной подписью, утверждая, что ключ был скомпрометирован. Ответчик настаивал на действительности договора.

Судебная экспертиза электронной подписи была назначена для проверки подлинности подписи и соответствия сертификата ключа. Эксперт исследовал сам подписанный документ, сертификат ключа проверки электронной подписи, а также журналы удостоверяющего центра. Проверка показала, что сертификат был действителен на момент подписания, принадлежал лицу, указанному в договоре, и не был отозван. Криптографическая проверка подписи дала положительный результат.

Однако эксперт также установил, что закрытый ключ хранился на компьютере, который был подключён к сети Интернет и не был защищён паролем. Это создавало теоретическую возможность компрометации. Суд, оценив заключение, признал договор действительным, поскольку доказательств фактической компрометации ключа представлено не было.

Айтишный вывод: экспертиза ЭЦП устанавливает техническую действительность подписи, но не может установить, кто именно использовал ключ. Вопрос о намерении остаётся за пределами технической экспертизы. Экспертиза цифровой подписи — это криптография, а не телепатия.

Кейс 5. Экспертиза исходного кода при споре о нарушении исключительных прав

Правообладатель программы для ЭВМ обратился в суд с иском о нарушении исключительных прав, утверждая, что ответчик использовал исходный код его программы. Ответчик отрицал использование, ссылаясь на независимую разработку.

Судебная экспертиза исходного кода была назначена для сравнения кодов двух программ. Эксперт исследовал структуру кода, имена переменных и функций, последовательность алгоритмов, комментарии. Сравнение показало, что отдельные фрагменты кода совпадают дословно, включая опечатки и нестандартные имена переменных. Вероятность случайного совпадения таких фрагментов была оценена как крайне низкая.

Эксперт также проанализировал историю разработки, предоставленную сторонами. Даты создания файлов и записи в системах контроля версий указывали на то, что код ответчика появился позже кода истца и содержал фрагменты, которые не могли быть разработаны независимо за столь короткий срок.

Суд признал факт нарушения доказанным. Айтишный вывод: экспертиза кода требует понимания не только языка программирования, но и законодательства об интеллектуальной собственности. Охране подлежит форма выражения, а не идея. Экспертиза компьютерной программы — это сравнение реализаций, а не алгоритмов.

Кейс 6. Экспертиза метаданных GPX-файла при оспаривании экологического нарушения

В деле о взыскании ущерба за загрязнение почвы надзорный орган представил GPX-файл с маршрутом инспекторов и координатами точек отбора проб. По утверждению ведомства, файл был создан GPS-устройством непосредственно во время осмотра и не мог быть изменён.

Ответчик заказал экспертизу метаданных файла в Союзе «Федерация судебных экспертов». Эксперт исследовал свойства файла и его внутреннюю структуру. Было установлено, что файл содержит служебные поля, указывающие на программу, в которой он был создан. Эта программа не является штатным ПО GPS-устройства, а представляет собой стороннее приложение для редактирования треков. Кроме того, время создания файла не совпадало с временем, указанным в акте осмотра.

Эксперт также проанализировал последовательность точек трека и выявил аномалии, характерные для ручного редактирования: скачки координат и несоответствие скорости перемещения. Суд исключил GPX-файл из числа доказательств.

Айтишный вывод: метаданные — это не только EXIF в фотографиях. Любой файл имеет свойства, которые могут рассказать о его происхождении. Экспертиза метаданных может выявить следы редактирования даже в файлах, которые выглядят как автоматически созданные.

Кейс 7. Анализ журналов Active Directory при корпоративном споре

В корпоративном конфликте между акционерами возник вопрос о том, кто имел доступ к серверу с базой данных клиентов. Один из акционеров утверждал, что его доступ был заблокирован ответчиком. Ответчик утверждал, что доступ был утрачен по техническим причинам.

Судебная компьютерная экспертиза серверного оборудования была назначена для анализа журналов Active Directory. Эксперт исследовал журналы аутентификации, списки пользователей, права доступа, групповые политики. Было установлено, что учётная запись истца была активна, но её пароль был изменён в дату, которая совпадала с периодом, когда ответчик имел административный доступ к серверу. Журналы также содержали записи о неудачных попытках входа с IP-адреса, принадлежащего истцу.

Суд признал, что доступ истца был заблокирован умышленно, и обязал ответчика восстановить права. Айтишный вывод: Active Directory — это не просто «список пользователей», это хронология административных действий. Экспертиза компьютерного оборудования в корпоративной среде требует понимания доменной архитектуры и политик безопасности.

Кейс 8. Экспертиза скриншотов и метаданных фотографий в деле о защите чести

В гражданском деле о защите чести и достоинства истец представил скриншоты публикаций в социальной сети. Ответчик утверждал, что скриншоты сфальсифицированы. Для проверки была назначена компьютерная экспертиза скриншотов фотографий.

Эксперт исследовал графические файлы на предмет следов редактирования. Анализ EXIF-данных показал, что скриншоты были созданы на устройстве, модель которого совпадает с устройством истца, а дата создания соответствует дате, указанной в исковом заявлении. Однако эксперт также обнаружил, что часть изображений содержит артефакты сжатия, характерные для повторного сохранения в графическом редакторе. Это не означало, что содержимое было изменено, но указывало на обработку.

Эксперт запросил у социальной сети архив публикаций, который был предоставлен по запросу суда. Сопоставление скриншотов с архивными данными показало, что публикации действительно существовали. Артефакты сжатия объяснялись тем, что скриншоты были сделаны с мобильного устройства, которое автоматически оптимизирует изображения.

Суд признал скриншоты допустимыми. Айтишный вывод: экспертиза скринов экрана и экспертиза скринов фотографий требует осторожности в интерпретации артефактов. Наличие следов обработки не обязательно означает фальсификацию. Экспертиза скриншотов фотографий — это анализ цепочки создания и обработки изображения, а не поиск «подделки» любой ценой.

Кейс 9. Экспертиза на плагиат при споре о научной работе

В споре о защите авторских прав на научную статью истец утверждал, что ответчик использовал значительные фрагменты его текста без указания авторства. Ответчик утверждал, что совпадения обусловлены использованием общих источников и стандартных формулировок.

Судебная экспертиза на плагиат была назначена для сравнения текстов. Эксперт проанализировал тексты с использованием специализированного программного обеспечения, а также вручную проверил выявленные совпадения. Было установлено, что значительные фрагменты текста совпадают дословно, включая авторские формулировки и примеры, которые не являются общеупотребительными. Экспертизы на плагиат также показали, что структура статьи ответчика повторяет структуру статьи истца, включая последовательность разделов и логику изложения.

Суд признал факт нарушения доказанным. Айтишный вывод: экспертиза на плагиат — это не просто «прогнать через антиплагиат». Это анализ совпадений с точки зрения авторского права: что является идеей, что — формой выражения, что — общеупотребительной формулировкой. Экспертиза на плагиат требует понимания предметной области.

Кейс 10. Комплексная экспертиза цифровых доказательств в трудовом споре

Работник был уволен за прогул. Работодатель утверждал, что в день, когда работник должен был находиться на рабочем месте, он отсутствовал, а его компьютер не проявлял активности. Работник утверждал, что работал удалённо, но его доступ к корпоративной сети был заблокирован.

В рамках трудового спора была назначена компьютерная экспертиза, которая включала исследование рабочего компьютера, журналов сети и данных системы контроля доступа. Эксперт установил, что компьютер работника в указанный день включался, но не подключался к корпоративной сети. Журналы сети содержали записи о блокировке учётной записи работника администратором, которая произошла за день до увольнения. Эксперт также обнаружил, что работник пытался подключиться к сети с домашнего IP-адреса, но соединение было отклонено.

Суд признал, что работник был лишён возможности выполнять трудовые обязанности по вине работодателя, и увольнение было признано незаконным. Айтишный вывод: комплексная экспертиза компьютерной техники и сетевых журналов позволяет восстановить картину событий, которая недоступна при анализе отдельных документов. Экспертиза электронной переписки и сетевых логов — это не «чтение почты», а восстановление хронологии подключений и блокировок.

Взаимодействие с Союзом «Федерация судебных экспертов»

Обращение в Союз «Федерация судебных экспертов» по вопросам компьютерной экспертизы начинается с консультации, в рамках которой заказчик формулирует задачу и представляет имеющиеся материалы. Эксперт оценивает достаточность данных и указывает, какие дополнительные материалы необходимо запросить. Такой подход позволяет избежать ситуации, когда исследование выполняется, но результат не может быть использован из-за отсутствия исходных данных.

Сроки выполнения компьютерной экспертизы зависят от объёма носителя и сложности вопросов. Базовый анализ одного носителя объёмом до 1 терабайта выполняется в срок от 7 до 14 рабочих дней. Восстановление удалённых данных и анализ сложных файловых систем требуют от 14 до 30 рабочих дней. Комплексная экспертиза нескольких устройств или серверного оборудования может занимать до 45 рабочих дней. Если до судебного заседания остаются сжатые сроки, в Союзе организуют выполнение работ в ускоренном режиме.

Стоимость компьютерной экспертизы зависит от объёма носителя, сложности вопросов и необходимости применения специализированного оборудования. В Москве диапазон составляет от 30 000 до 150 000 рублей. В Союзе «Федерация судебных экспертов» стоимость определяется индивидуально после ознакомления с материалами. Эти затраты несопоставимы с потенциальными потерями, которые несёт сторона, если цифровое доказательство будет признано недопустимым или недостоверным.

Айтишные выводы

Компьютерная экспертиза в Москве и городах Московской области — это инженерная дисциплина с процессуальными ограничениями. Айтишник, который привык «смотреть быстро» и «чинить на лету», в судебной экспертизе должен перестроиться: оригинал не трогаем, копию хешируем, каждое действие документируем. Экспертиза компьютерной техники для суда — это не администрирование, это форензика.

Компьютерная экспертиза в Союзе «Федерация судебных экспертов» выполняется с пониманием этих границ. Заключение содержит только те выводы, которые подкреплены инструментальными данными, и честно указывает на обстоятельства, которые не могут быть установлены техническими средствами. Такой подход обеспечивает доверие суда и устойчивость заключения к критике.

Айтишный вывод для сторон спора: компьютерная экспертиза не всесильна, но она необходима там, где цифровые доказательства могут быть изменены или сфальсифицированы. Если у вас есть основания полагать, что представленные оппонентом файлы, скриншоты или данные учётных систем не соответствуют действительности, обращайтесь в Союз «Федерация судебных экспертов». Мы проведём исследование, которое покажет, что скрывается за цифрами и файлами.