Экспертиза носителей информации

Цели экспертизы носителей информации

1. Извлечение и сохранение цифровых доказательств
   Сбор файлов, журналов, сообщений и иных сведений с сохранением юридически значимой формы.
2. Установление подлинности и целостности данных
   Проверка, подвергались ли данные редактированию, удалению, фальсификации.
3. Анализ действий пользователя
   Определение активности, даты запуска программ, истории доступа и удалений.
4. Восстановление удалённой информации
   Поиск ранее существовавших, но позже удалённых файлов и данных.
5. Определение источников происхождения данных
   Установление, откуда были скопированы или переданы файлы.

Объекты экспертизы

• Жесткие диски (HDD, SSD)
• USB-накопители, флешки
• Карты памяти (SD, microSD и др.)
• Оптические диски (CD, DVD)
• Встроенные накопители мобильных телефонов и планшетов
• Внешние сетевые хранилища (NAS)
• Виртуальные диски (VHD, ISO)
• Защищённые и зашифрованные носители

Основные задачи эксперта

• Получить точную копию содержимого без изменения оригинала (bit-by-bit копирование).
• Установить структуру файловой системы и логические особенности устройства.
• Найти и восстановить удалённые, скрытые или зашифрованные данные.
• Проанализировать временные метки, логи, историю изменений.
• Выявить наличие запрещённых материалов или следов несанкционированного доступа.
• Составить технически обоснованное заключение по поставленным вопросам.

Методы и инструменты экспертизы

1. Физическое копирование (имиджирование)

• Создание точной побитовой копии носителя с помощью средств:
• FTK Imager
• EnCase
• dd (Linux)
• Magnet Acquire

2. Файловый анализ

• Изучение структуры файловой системы (NTFS, FAT32, exFAT, ext4 и др.)
• Определение активных, скрытых и удалённых файлов

3. Поиск и восстановление данных

• Использование утилит: R-Studio, Autopsy, X-Ways Forensics
• Извлечение данных из неотображаемых разделов

4. Анализ временных меток и логов

• Проверка времён создания, изменения и последнего доступа
• Анализ логов ОС и программ

5. Идентификация источников и путей передачи информации

• Изучение истории подключений, сетевого взаимодействия
• Анализ программ резервного копирования и синхронизации

Этапы проведения экспертизы

1. Получение носителя и фиксация состояния
   Оформление документов приёма, соблюдение целостности упаковки, фотофиксация.
2. Создание дубликата (forensic copy)
   Оригинал сохраняется нетронутым — работа ведётся только с копией.
3. Анализ копии и извлечение информации
   Поиск, восстановление, анализ, фильтрация данных по заданным критериям.
4. Оценка подлинности и целостности
   Проверка цифровых отпечатков (хеш-сумм), анализ признаков модификаций.
5. Подготовка заключения
   Ответы на вопросы, обоснование выводов, описание методов, приложения с результатами анализа.

Примеры ситуаций, когда проводится экспертиза носителей

• Судебные разбирательства: подтверждение наличия или отсутствия определённых файлов, переписки.
• Расследование инцидентов: утечка информации, установка вредоносного ПО.
• Гарантийные или технические споры: доказательство несанкционированного вмешательства или повреждения.
• Внутренние проверки: анализ действий сотрудников, соблюдение политики безопасности.
• Арбитражные дела: подлинность документов, цифровых актов и контрактов.

Нормативно-правовая база

• ФЗ №73 «О государственной судебно-экспертной деятельности в РФ»
• ФЗ №152 «О персональных данных»
• Методические рекомендации Минюста РФ
• Отраслевые стандарты и регламенты по ИБ и цифровой криминалистике
• ГОСТ Р 53973–2010 — Методы сбора и анализа цифровой информации

Заключение

Экспертиза носителей информации — это важнейшая составляющая цифровой криминалистики, информационной безопасности и правоприменительной практики. Она позволяет восстановить хронологию событий, выявить фальсификации, восстановить удалённые данные и подтвердить юридическую значимость цифровых объектов. Компетентно проведённая экспертиза является основанием для принятия управленческих, технических и судебных решений.