Количество времени, затрачиваемое экспертом на производство компьютерно-технической экспертизы, в значительной степени зависят от имеющегося личного опыта по решению конкретного вопроса, в частности от уровня владения имеющимся у эксперта инструментом.

Качественный уровень выполняемой работы также во многом зависит от опыта эксперта. Согласитесь, начинающий эксперт запросто может не заметить улики, лежащие на поверхности, в то время как от глаз опытного профессионала не скроются даже мелкие подробности, имеющие значение для решения поставленного вопроса.

Очень важным для передачи имеющегося опыта молодым экспертам является практика наставничества, обсуждения возникающих вопросов в ходе личного общения, рассылка методических и информационных материалов.

В своем выступлении я поделюсь опытом экспертов Брестской области, который, как мне кажется, позволяет не только повысить эффективность работы каждого эксперта, но и значительно ускорить освоение средств и методов для производства КТЭ молодыми экспертами.

Если изложить кратко, то сущность данного опыта заключается в том, что каждая новая проблема (важная информация), с которой встречается эксперт, обсуждается в коллективе, вырабатывается наиболее эффективная методика по ее решению, которая как правило находит свое отражение в виде программного кода. В дальнейшем программа позволит каждому эксперту, независимо от имеющегося опыта, оперативно обнаружить важную информацию и правильно ее интерпретировать.

Применяемые программные средства

Хотя в распоряжении эксперта имеются мощнейшие дорогостоящие программные комплексы (например, Encase, Belkasoft и др.), успешно решающие большинство задач, опытный эксперт никогда не ограничится результатами только данных средств. Просто необходимо проверить результаты (хотя бы выборочно), получив те же сведения другими средствами или отыскав их на носителе информации и оценив визуально.

Это правило является обязательным для исключения технических ошибок, которые возможны при проведении КТЭ. Причем, причиной может служить не только человеческий фактор, но и ошибки программного обеспечения (далее – ПО).

Например, в Belkasoft имела место ошибка представления IP‑адресов, обнаруженных в базах данных Skype. Также зачастую приходится сталкиваться с некорректным представлением дат.

Весьма сомнительным оправданием для эксперта будет то, что причиной ошибки послужила недоработка применяемого им программного обеспечения.

Итак, кроме дорогого лицензионного ПО (основного ПО) эксперт должен иметь:

• достаточные теоретические и практические познания свойств объекта исследования (структур, форматов данных);
• программное обеспечение и методику, позволяющие получить те же результаты, что и основное ПО, или даже более детальную информацию об объекте исследования.

С опытом производства КТЭ у эксперта появляется и то, и другое (свои приемы, методы, наработки). Но совсем необязательно каждому эксперту пройти путь проб и ошибок по одним и тем же «граблям». Тем более что права на ошибку у эксперта нет.

Общий анализ содержимого носителя информации

Независимо от поставленных перед экспертом вопросов, касающихся содержимого носителя информации, необходимо осуществить предварительный осмотр каталогов, файлов, расположенных на носителе, оценить объемы информации, в том числе удаленной, типы файловой системы, операционной системы и многое другое, прежде чем приступить к углубленному исследованию.

На помощь приходит программное приложение, разработанное на языке сценариев EnScript, встроенном в EnCase.

EnScript – это язык программирования и интерфейс прикладного программирования (API), который был создан для работы в среде EnCase. Для получения более подробной информации Вы можете загрузить «EnScript User Manual» («Руководство пользователя EnScript») и «EnScript Programmer Reference» («Справочник программистов EnScript») с веб-сайта компании.

Файл программы: «Общий анализ файлов.EnScript».

Приложение предназначено для поиска файлов и каталогов определенных типов (категорий), имеющих известные имена или расширения имен.

После запуска программы появляется диалоговое окно, позволяющие выделить (установить либо снять флажки) отдельные категории файлов и каталогов, поиск которых необходимо осуществить. Также можно ограничить область поиска, установив флажок напротив опции «Искать среди помеченных файлов» (т.е. только среди предварительно отобранных файлов и каталогов, помеченных в EnCase синими «галочками»).

В результате работы программы в разделе закладок (Bookmarks) будут созданы папки с названиями, соответствующими категориям обнаруженных файлов (каталогов), содержащие информацию о данных файлах (каталогах).

Рассмотрим некоторые типы файлов, включаемые в заданные нами категории, посмотрим на слайд. На рисунке не отражены некоторые типы файлов, которые не были обнаружены, например, форматы Corel Draw.

Необходимо отметить, что без этой программы достаточно велика вероятность «не заметить» на носителе отдельные типы файлов, которые могут содержать важную информацию, но не войдут в область поиска.

Причем, программа регулярно дополняется и раздается всем экспертам. В результате даже самый молодой эксперт не пропустит важную улику на накопителе.

Примеры дальнейшего анализа файлов

Анализ изображений

Файл программы: «Анализ изображений.EnScript».

Указывается формат (размер в пикселях) изображений для их фильтрации.

Во время работы программы в нижней правой области окна Encase отображается оставшееся время.

Программа полезна в случае, когда необходимо из большого количества изображений отобрать определенного формата или визуально просмотреть изображения. В результате выполнения программы отбираются графические файлы, которые разделяются на три категории: большего размера, меньшего и неопределенного размера (файл поврежден или неподдерживаемого формата).

После такого анализа просмотр изображений осуществляется в разы быстрее, поскольку поврежденные файлы исключены из общего списка.

Анализ PDF-файлов

Файл программы: «Выбор PDF-файлов по категориям.EnScript».

Программа полезна в случае необходимости обработки большого количества файлов формата PDF. Электронные документы (некие бланки с текстом) могут храниться в PDF-файлах в виде отсканированного изображения либо в виде формализованной текстовой формы. Текстовые форматы обнаруживаются по ключевым словам, а графические приходится анализировать отдельно, путем визуального просмотра.

Анализ атрибутов файлов

Файл программы: «Сведения о файлах (каталогах).EnScript».

Программа позволяет предварительно оценить количество помеченных каталогов и файлов, занимаемый ими объем, а затем сформировать список файлов в формате Excel.

Полученный XLSX-файл представляет собой готовое приложение к заключению эксперта:

Либо с помощью Excel осуществляется анализ атрибутов файлов, используя сортировку, фильтр, сводные таблицы.

Анализ паролей Chromium

О проблеме извлечения сведений о паролях доступа к интернет-ресурсам я рассказывал на одном из предыдущих семинаров (30.05.2017). Уже после этого в программном комплексе Belkasoft появился механизм для получения данной информации. И тем не менее, разработанная нами методика до настоящего времени используется и является более эффективной.

При этом программа EnScript используется для обнаружения файлов хранения паролей для авторизации на интернет-ресурсах, а также файлов, используемых для их расшифровки (история паролей DPAPI, мастер-ключи DPAPI), их дальнейшего копирования на внешний носитель (НЖМД компьютера эксперта).

После запуска скрипта появляется диалоговое окно, позволяющее при необходимости выбрать каталоги, в которые необходимо скопировать обнаруженные файлы:

Иногда на накопителе обнаруживаются десятки файлов с паролями «Login Data». Их расшифровка осуществляется автоматически, в результате получаем готовые отчеты для приложения к заключению эксперта.

Сведения о носителях информации

Файл программы: «Сведения об HDD.EnScript».

Приложение позволяет получить сведения об исследуемых носителях информации, которые затем могут быть включены в заключение эксперта в виде таблицы либо абзаца текста.

Сведения о носителях информации и их разделах (томах) представляются в виде одной либо нескольких таблиц в файле формата Microsoft Excel, а также в виде текстового файла.

Рекомендации по применению EnScript

Программы EnScript могут распространяться в виде файлов с открытым программным кодом (расширение имени файла «.EnScript») или в упакованном формате (расширение имени файла «.EnPack»). Файлы в формате EnScript можно открыть любым текстовым редактором, изучить алгоритм программы и при необходимости внести коррективы. EnPack-файлы имеют закрытую структуру и не подлежат изменению.

Для того, чтобы выполнить в EnCase полученный файл сценария, не требуется каких-либо настроек.

Необходимо также принять к сведению, что сценарии, разработанные в EnCase версии 6 не совместимы с Encase версий 7 и 8.

Для выполнения сценариев, осуществляющих вывод результатов в файлы формата Excel, необходимо наличие установленного программного продукта Microsoft Office.

Анализ мессенджеров

Анализ файлов баз данных программ-мессенджеров остается актуальным как в экспертизе РЭУ, так и КТЭ.

Поскольку программ данного класса, предназначенных для обмена информацией в сети Интернет, довольно много, при этом от версии к версии изменяются форматы их баз данных, на практике приходится проявлять смекалку и сообразительность, чтобы не пропустить важную информацию.

То и дело встречаются мессенджеры (их версии), которые не выводятся средствами основного ПО. Приходится снова писать собственный программный код, при помощи которого можно получить сведения об электронной переписке в удобном формате.

Самое простое – это получить отчет, написав запрос на языке SQL в каком-нибудь просмотрщике баз данных.

SQL (англ. structured query language — «язык структурированных запросов») — декларативный язык программирования, применяемый для создания, модификации и управления данными в реляционной базе данных, управляемой соответствующей системой управления базами данных.

Такие SQL-запросы мы храним централизованно. При возникновении необходимости эксперт либо быстро решает проблему с помощью накопленного коллективного опыта, либо пополняет банк запросов.

 В более сложных случаях возможностей языка SQL недостаточно. Чтобы «размотать» базу данных с более сложными взаимосвязями или специфическими форматами данных, приходится программировать на другом уровне.

Например, программа, разработанная экспертом Василюком А.В., предназначена для извлечения информации из баз данных формата SQLite в таких «тяжелых» случаях, постоянно пополняется и на данный момент включает 12 извлечений из БД мессенджеров, 3 – из БД интернет-браузеров, 3 – из резервных копий мобильных телефонов.

Программа разработана на языке Delphi.

Исследование операционной системы Windows

При производстве экспертиз, связанных с исследованием программ «блокираторов» и «шифраторов», весьма важны познания ОС Windows?

В частности, возникает необходимость детального анализа системного реестра и журналов работы Windows.

Незаменимым источником знаний в этой области является книга Харлэна Карви «Криминалистическое исследование Windows». Особенностью данной работы является то, что к ней прилагается целый набор Perl-скриптов, позволяющих по каждому излагаемому вопросу извлечь из служебных файлов Windows интересующие сведения.

Perl — Practical Extraction and Report Language («практический язык для извлечения данных и составления отчётов»), высокоуровневый интерпретируемый динамический язык программирования общего назначения.

На языке Perl разработана программа RegRipper, предназначенная для анализа файлов реестра Windows.

Программы предоставлены в открытом виде, помогают понять структуру файлов ОС Windows, при необходимости могут быть легко изменены для адаптации под свои нужды, позволяют в значительной степени автоматизировать процесс исследования операционной системы.

Книга Х.Карви является примером того, как методическая литература по криминалистике совмещается с инструментарием для криминалистических исследований.

В настоящее время Perl-скрипты Х.Карви мною изучены, частично переработаны с целью получения сведений в более удобном виде (в частности, формат даты/времени). Думаю, что область применения возможностей языка Perl при производстве КТЭ мною будет расширяться с учетом наличия большого количества готовых скриптов с открытым кодом, простоты установки интерпретатора языка и компиляции exe-файла, работающего без интерпретатора.

Выводы

Принцип «методика+программа» позволяет получить быстрый результат при исследовании носителя информации даже на начальном этапе, когда еще не до конца понятны свойства объекта исследования.

А поскольку все знать невозможно, это полезно и опытным экспертам. К некоторым вопросам приходится возвращаться через год и более, кое-что подзабылось. Открываем методические рекомендации по интересующему вопросу, запускаем прилагаемую к ним программу (скрипт). Из кода программы понятно, какая информация откуда извлекается.

Хочу еще высказать предложение о распространении методических материалов по КТЭ:

1. Методические материалы должны распространяться оперативно. Увидели проблему, обсудили, выработали методику, утвердили, разослали.

2. Методика должна предоставляться на цифровом носителе, иметь в приложении используемое ПО или ссылку на ресурс с ПО.

3. Методика должна доставляться напрямую заинтересованным экспертам. Например, в виде рассылок на определенные электронные адреса по данному виду исследования.

Приглашение к взаимодействию

Приглашаю Вас к обсуждению обозначенных вопросов, к обмену имеющимся собственным опытом и своими мыслями по повышению эффективности производства КТЭ.

Предлагаю использовать для этой цели данный интернет-ресурс.

На этом сайте можно скачать программы собственной разработки, ознакомиться с практическим опытом применения этого и другого ПО, принять участие в форуме, оставить свои отзывы.

Ресурс открыт и для Ваших публикаций, при этом заводить новую учетную запись не обязательно, можно воспользоваться уже имеющейся в соцсетях «ВК», «ОК», «Facebook», «Яндекс», «Google» или «Twitter».

Этот ресурс может служить открытой площадкой для обсуждения проблемных вопросов, обмена мнениями по совершенствованию методов исследования, выработки методик и рекомендаций.