Руководство для следователей_под ред Мозякова В.В_2005 -912с. Руководство для следователей Под общ ред. В. В. Мозякова. М. Экзамен, 2005. 912 с
 Скачать 11.89 Mb.
|
|
Глава 49. Расследование преступлений в сфере компьютерной информации ютеров и нескольких серверов на компьютерах повышенной мощности. При этом модемные пулы размещаются в специальных шкафах-стойках, имеющих внушительные размеры, установленные на своих местах серверы и компьютеры соединены линиями связи (коаксиальным кабелем, витой парой или оптоволокном), которые уложены в магистрали и размещены под фальш-потолком, фальшполом или в специальных пластиковых коробах. Размеры дисковой памяти, используемой в работе такой фирмы, достаточно трудно оценить даже приблизительно, но сказать, что они будут достаточно велики, можно с определенностью. В представленных условиях принудительное проведение обыска в условиях отказа в добровольном предоставлении доступа к интересующим следователя сведениям и информации обречено на провал, т.к. для того чтобы просто просмотреть всю имеющуюся компьютерную информацию, зачастую не хватит всего установленного законом времени на предварительное следствие. Как показала практика, наиболее рациональным в данном случае оказывается демонстрация реальности намерений в изъятии всей имеющейся вычислительной техники и направлении ее на компьютерно-техническую экспертизу. Если же точно известно, где и у кого хранятся искомые средства вычислительной техники, магнитные носители информации и другие предметы, имеющие значение для уголовного дела, их изъятие осуществляется посредством производства выемки. До начала ее проведения следователь предлагает выдать названные предметы, а в случае отказа производит выемку принудительно. 2.2. Осмотр отдельных видов компьютерных объектов. Осмотр отдельных видов компьютерных объектов (вычислительной техники), как правило, включает в себя несколько последовательных этапов:
Следует заметить, что приведенная последовательность выполняемых действий представляется оптимальной и обусловлена техническими особенностями конструкции и эксплуатации средств вычислительной техники. Общими практически для всех видов преступлений в сфере компьютерной информации задачами осмотра средств вычислительной техники, на наш взгляд, могут быть:
Осмотр персональных (настольных) и малогабаритных ЭВМ. Наиболее распространенным классом современных средств вычислительной техники являются персональные ЭВМ типа IBM PC Несмотря на свои незначительные размеры, они по всем параметрам существенно превосходят широко распространенные до недавнего времени в нашей стране большие ЭВМ серии ЕС. При осмотре компьютера могут возникнуть следующие ситуации:
При этом применительно к осмотру системного блока персонального компьютера можно предложить следующие рекомендации. 8И. Глава 49. Расследование преступлений в сфере компьютерной информации 1. Внешний осмотр системного блока необходимо начинать, как правило, с тыльной его сторо ны, которая содержит все основные электрические выводы периферийных устройств, кабели элек тропитания, сетевые кабели, провода заземления и т.п. При этом должен быть осуществлен поиск отпечатков пальцев пользователей данного компьютера на кнопках и флажках извлечения магнитных дисков, кнопке извлечения лазерных компакт-дисков, кнопках «POWER», «TURBO» и «RESET», а также с тыльной стороны корпуса, возле краев защитного кожуха системного блока в области винтов крепления. Во время проведения осмотра в протоколе данного следственного действия необходимо отразить следующие сведения:
Эти сведения в определенной степени характеризуют пользователя компьютера (его аккуратность, строгое следование стандартным предписаниям и т.п.) и дают информацию о типовых вариантах использования осматриваемого компьютера (служил ли он интеллектуальной печатающей машинкой, был ли почтовым сервером, или тем и другим одновременно и т.п.). 2. Необходимо отсоединить электрические связи и вскрыть корпус системного блока, Первым следует отсоединить провод, обеспечивающий подачу электропитания в системный блок, затем со единения, обеспечивающие подачу электропитания от системного блока к внешним устройствам (монитору, принтеру и т.п.). Отсоединение остальных связей системного блока следует произво дить один за другим сверху вниз. В протоколе осмотра в данном случае отражаются:
3. Осмотреть имеющиеся устройства и определить способы их подключения друг к другу и к блоку питания. При осмотре содержимого системного блока необходимо обратить внимание на на личие каких-либо нестандартных устройств или устройств, размещенных в нестандартных (не пре дусмотренных для них) местах, отразив в протоколе следующие данные:
Полученные на данном этапе сведения могут помочь установить ориентировочную дату комплектации осматриваемого компьютера (по дате начала выпуска соответствующих элементов), фирмы, осуществившей поставку и сборку, а также возможные места ремонта и модернизации персонального компьютера.
■s содержание основных файлов конфигурации персонального компьютера (config.sys, autoexec.bat, win.ini, system.ini и т.п. в зависимости от используемой операционной системы и установленных прикладных программ) и в первую очередь системного реестра (для компьютеров под управлением операционных систем клона Windows); 811 Глава 49. Расследование преступлений в сфере компьютерной информации - установленные типовые «пути доступа» (в смысле запуска программного обеспечения) и значе ния переменных операционной среды. Если лицо, у которого производится следственный осмотр, отказалось назвать пароль доступа к компьютерной информации, то этот факт имеет ряд процессуальных и тактических последствий, имеющих существенное значение для дальнейшего расследования. С процессуальной точки зрения исследование информации на данном компьютере не может быть продолжено в режиме следственного осмотра, а должен быть проведен, как минимум, обыск, т.к. возникает необходимость преодоления воли собственника (владельца) осматриваемого компьютера и размещенных на нем информационных ресурсов. Основной рекомендацией в этом случае является необходимость изъятия осматриваемого персонального компьютера и назначение компьютерно-технической экспертизы. Весьма специфическим объектом осмотра являются линии информационного взаимодействия ЭВМ, а также устройства преобразования компьютерной информации в вид, пригодный для его передачи на значительные расстояния по этим линиям. Такими объектами, образующими распределенные автоматизированные информационные системы, являются:
- установление модели, марки сетевой платы, а также ее серийного (заводского) номера. Объединение отдельных локальных вычислительных систем в корпоративные автоматизиро ванные информационные системы возможно благодаря маршрутизаторам, а также иным средствам межсетевого взаимодействия. Эти средства представляют собой достаточно сложные программно- технические устройства (зачастую специализированные компьютеры), которые целесообразно ос матривать в условиях лаборатории. Однако при проведении осмотра на месте совершения преступ ления в сфере компьютерной информации необходимо: изготовить схему, на которой отразить места расположения маршрутизаторов и других средств межсетевого взаимодействия, а также все их информационные взаимосвязи со средствами вычислительной техники; - определить модель, марку и серийный (заводской) номер устройства; - установить способы подключения электропитания, заземления и другого вспомогательного, и обеспечивающего оборудования. Модемы представляют собой устройства, обеспечивающие передачу и прием цифровых данных по аналоговым телефонным линиям. Кроме того, модемы выполняют ряд вспомогательных операций (аппаратное сжатие передаваемых данных, автоматическую коррекцию ошибок, возникающих при передаче по каналам связи и т.п.), набор которых определяется поддерживаемым стандартным протоколом информационного обмена (например, V42 или V90). Исходя из технической сущности модемов, основными задачами их осмотра, на наш взгляд, являются: - выяснение способа подключения модема к персональному компьютеру и к телефонной линии. В данном случае имеется в виду: используемое аппаратное прерывание (канал IRQ), исполь зуемый стандартный последовательный (RS-232) или параллельный порт, положение джам- перов на плате модема, а также используемый тип разъема для подключение к телефонной линии; определение используемых протоколов информационного взаимодействия. Каждый модем может поддерживать один или несколько протоколов информационного взаимодействия, которые образуют иерархическую структуру, совместимую сверху вниз (протокол более высокого уровня, как правило, поддерживает практически все функции более низкого уровня). Это может быть осуществлено с использованием специализированных тестовых программ; ■ определить модель, марку и серийный (заводской) номер модема. 812 Глава 49. Расследование преступлений в сфере компьютерной информации Знание приведенных сведений позволит определить принципиальную возможность проведения различных сеансов информационного обмена, исходя из максимальной скорости, используемого протокола и т.п. При осмотре магнитных носителей информации необходимо:
2.3. Назначение компьютерно-технических экспертиз. При расследовании преступлений в сфере компьютерной информации следователь все чаще сталкивается с необходимостью выявления и изъятия следов и вещественных доказательств, представленных в виде информации в вычислительной, телекоммуникационной системе или на магнитном носителе. При этом для корректного использования имеющихся следов совершенного преступления следователю уже не хватает базовой юридической подготовки и специализации в области криминалистики. В этом случае возникает необходимость привлечения специальных познаний и навыков использования новых информационных технологий. Основной процессуальной формой привлечения специальных знаний является экспертиза. На наш взгляд, наиболее оправданным с точки зрения требований практики расследования уголовных дел в сфере компьютерной информации и реально осуществимым в большинстве экспертных учреждений является определение компьютерно-технической экспертизы, предложенное Е.Р. Российской', которое во многом совпадает с позицией сторонников судебно-кибернетических экспертиз. Анализ практики проведения компьютерно-технических экспертиз, а также обобщение имеющихся в специальной литературе сведений, исходя из источников и носителей компьютерной информации, позволяет выделить следующие разновидности объектов компьютерно-технических экспертиз:
- пользователи автоматизированных информационных систем (разработчики компьютерных про грамм, операторы вычислительных систем, администраторы вычислительных сетей и т.п.). Одним из важнейших моментов целесообразности назначения компьютерно-технических экс пертиз, как самостоятельного вида, является перечень вопросов, которые могут быть решены с ее помощью. Кроме того, судебную компьютерно-техническую экспертизу отдельные ученые подразделяют на виды по ряду направлений2. Заслуживает внимания классификация, представленная В.А. Мещеряковым, который выделяет названную выше экспертизу по следующим направлениям:
' Российская Е.Р. Судебная экспертиза в уголовном, гражданском, арбитражном процессе. — М., 1996. 2 Расследование неправомерного доступа к компьютерной информации / Под ред. Н.Г. Шурухнова. — М.: изд-во «Щит», 1999. С. 165; Российская Е.Р., Усов А.И. Судебная компьютерно-техническая экспертиза. — М.: Право и зак'он, 2G01. . С. 121 и др. •. .. . . . ■ . ■ . . " ■"..,-..■■ 813 Глава 49. Расследование преступлений в сфере компьютерной информации - интегральная компьютерно-техническая экспертиза1. Деление понятия компьютерно-технической экспертизы на более мелкие составляющие отвечает технологическим особенностям строения и эксплуатации средств информатизации и различных автоматизированных информационных систем. Аппаратно-тёхническая экспертиза, с помощью которой оцениваются технические возможности средств вычислительной техники, отвечает на следующие вопросы:
Программно-технологическая экспертиза проводится для оценки основных функциональных свойств программного обеспечения, установленного на том или ином вычислительном устройстве, и отвечает на следующие основные вопросы:
Информационная экспертиза проводится для оценки основных характеристик информационного обеспечения, хранимого на магнитном носителе или в составе технических средств вычислительной техники (ПЗУ, смарт-карты, flash-BIOS) и отвечает на следующие вопросы:
Интегральная компьютерно-техническая экспертиза проводится для общей оценки возможности и действительного использования представленного вычислительного комплекса для определенных функциональных задач и отвечает на следующие вопросы: 1) возможно ли осуществление заданного вида деятельности с использованием представленных технических средств и размещенного на нем информационного и специального программного обеспечения (например, ведение «двойного» бухгалтерского учета, перехват электронной коррес- 1 См.: Мещеряков В.А. Основы методики расследования преступлении в сфере компьютерной информации: Дисс. локг юрид. наук. Воронеж, 2001 С 307 • ■ ■ ....■.- 814 Глава 49. Расследование преступлений в сфере компьютерной информации понденции, передаваемой по информационной сети, подготовка и изготовление поддельных денежных знаков и т.п.)? 2) каковы последствия (ущерб) применения комплекса технических средств, вредоносных программ в данной автоматизированной информационной системе, сети ЭВМ? Не вызывает сомнения тот факт, что все рассмотренные направления компьютерно-технических экспертиз являются исключительно сложными и требуют значительных материальных, вычислительных, временных и других затрат. 2.4. Допрос. Одним из достаточно информативных следственных действий При расследовании преступлений в сфере компьютерной информации является допрос. В соответствии с УПК РФ допросу могут быть подозреваемые, обвиняемые, потерпевшие, свидетели и эксперты (ст. 72, 76, 123, 150,161,173,191,192,205, 277 УПК РФ). При расследовании дел рассматриваемой категории важное значение имеет привлечение специалиста для проведения отдельных следственных действий, также его допрос. Основной целью допроса специалиста является выяснение использованного им способа или метода решения задачи, которую поставил следователь при выполнении отдельного следственного действия. Дополнительными целями допроса специалиста является выяснение замеченных им особенностей построения и функционирования автоматизированной информационной системы, в которой производились следственные действия (например, определенная конфигурация и созданные наборы автоматических проводок в бухгалтерских счетах, в автоматизированных бухгалтерских системах может говорить об использовании данной системы для определенных операций и ведения «черного» учета). Полученная в результате допроса специалиста информация может быть использована следователем при назначении компьютерно-технической экспертизы для конкретизации выносимых на разрешение эксперта вопросов. Исходя из сущности и целей, стоящих перед допросом специалиста, вытекает необходимость его проведения непосредственно после проведения отдельного следственного действия (осмотра, обыска, следственного эксперимента или выемки), пока свежи в памяти специалиста все детали и особенности проведенного мероприятия. В связи с этим, приступая к допросам по делу о преступлении в сфере компьютерной информации, следователю необходимо в первую очередь определиться относительно возможной роли и требуемой информированности у лиц, попавших в его поле зрения. Приняв решение о необходимости проведения допроса, следователь должен выполнить опреде ленную совокупность действий. В частности: ■
Так, анализ информации, хранимой в компьютерах телефонной компании (список всех звонков с личного телефона и номера, по которым осуществлялся звонок), легко позволит установить круг друзей, знакомых, а также предположить характер проблем, стоящих в данный момент перед интересующим человеком. 3. Подготовить доказательства и материалы, которые целесообразно использовать при допросе. Целью данного мероприятия является сокращение временных издержек на малозначимые (техни ческие детали) при проведении допроса. При этом целесообразно заготовить несколько достаточно глубоких технических вопросов, которые бы могли показать допрашиваемому уровень владения следователем технической стороной вопроса и произвести на него необходимое впечатление. Для формулирования таких вопросов необходимо привлечение специалиста, который бы помог следователю разобраться в технических тонкостях расследуемого дела. 4. Составить план допроса, обратив при этом внимание на определение конкретной информа ции, которую следователь хочет получить от допрашиваемого, а также определить ключевые мо менты допроса. В частности, по делам о неправомерном доступе к компьютерной информации при допросе об-ьиняемых выясняются следующие обстоятельства: Г. Каким образом произошло проникновение в помещение, где установлена компьютерная техника (в случае непосредственного доступа), или произошло подключение к компьютерной сети? 2. От кого и каким образом получены сведения об информации, хранимой на компьютере? 815 Глава 49. Расследование преступлений в сфере компьютерной информации
* 6. Производилось ли незаконное копирование компьютерной информации? Какие носители информации при этом использовались?
22. Как были распределены роли, кто конкретно эти роли исполнял? И др. При допросе свидетелей, как правило, выясняются следующие вопросы: '. 1. При каких обстоятельствах свидетель наблюдал преступников (процесс совершения преступления)?
2.5. Следственный эксперимент. Особое внимание при расследовании преступлений в сфере компьютерной информации следует уделить такому следственному действию, как следственный эксперимент. Специфическая среда совершения преступлений в сфере компьютерной информации привнесла свои особенности в это следственное действие. Так, если одной из характерных особенностей традиционного понимания следственного эксперимента является то, что его результаты должны быть очевидны для всех участников (следователя, специалиста, понятых) и не требовать специальных познаний, то при расследовании компьютерных преступлений могут получаться неочевидные результаты, требующие дополнительной оценки и даже проведения других видов следственных действий, например, проведение допросов, назначения компьютерно-технических экспертиз и т.п. В связи с этим под следственным экспериментом при расследовании преступлений в сфере компьютерной информации следует, понимать следственное действие, заключающееся в проведе- 81о Глава 50. Расследование преступных посягательств на жизнь, здоровье, честь и достоинство <■■■> нии специальных опытов (серии испытаний) с целью получения новых или проверки имеющихся доказательств, проверки и оценки следственных версий о возможности или невозможности существования тех или иных фактов, имеющих значение для дела, а также получения новых сведений, данных и образцов, используемых для получения новых или проверки существующих доказательств. При планировании эксперимента определяются и детализируются его цели и задачи, оценивается необходимость и возможность проведения следственного действия, вырабатываются основные этапы проведения эксперимента, определяется круг его участников, отрабатывается методика проведения эксперимента (правила выполнения и количество повторений определенных'действий для получения достоверного результата). Кроме этого, определяется место и время проведения следственного эксперимента. Формирование организационно-технической базы следственного эксперимента включает в себя необходимое техническое (компьютеры, линии связи, модемы), математическое (операционные системы, системы управления базами данных) и информационное обеспечение (конкретные прикладные программы, объем информационного наполнения файловых систем, баз данных, установки текущих дат и времени на системных часах компьютеров). В ряде случаев проведение следственного эксперимента на тех же объектах «кибернетического пространства» не представляется возможным, так как это может привести к серьезным последствиям (причинению ущерба, сравнимого с тем, который нанесло само преступление в сфере компьютерной информации). Выходом из данной ситуации является создание специализированных моделирующих стендов, полностью воспроизводящих отдельные (наиболее важные с точки зрения целей следственного эксперимента) стороны «кибернетического пространства». Для этого изготавливаются специальные программы, имитирующие бсновные характеристики (отдельные выполняемые функции, объем программы, формат хранения информации) программного обеспечения, фигурирующего в расследуемом уголовном деле. При непосредственном производстве следственного эксперимента осуществляются опытные действия. Результаты следственного эксперимента оформляются путем составления соответствующего протокола. Глава 50. РАССЛЕДОВАНИЕ ПРЕСТУПНЫХ ПОСЯГАТЕЛЬСТВ НА ЖИЗНЬ, ЗДОРОВЬЕ, ЧЕСТЬ И ДОСТОИНСТВО СОТРУДНИКОВ ПРАВООХРАНИТЕЛЬНЫХ ОРГАНОВ В условиях роста преступности деятельность милиции и других правоохранительных органов, в том числе по охране общественного порядка, приобретает особую социальную значимость. Оценка их роли и значения определяется прежде всего тем, как решаются задачи охраны прав личности, соблюдения законности и правопорядка. Выполнение названных функций практически невозможно без обеспечения должного уровня защиты прав и интересов самих сотрудников этих органов, которые в силу специфики выполняемых ими в процессе служебной деятельности функций вынуждены сталкиваться с различными посягательствами на принадлежащие им блага. В связи с этим проблема правовой защиты сотрудников правоохранительных органов относится к числу весьма актуальных. В складывающейся криминальной ситуации в основу реформы уголовного законодательства России положен ряд концептуальных положений о необходимости повышения уровня правовой защищенности сотрудников правоохранительных и других контролирующих органов, а также граждан, участвующих в пресечении правонарушений. Санкции, применяемые государством к лицам, совершившим преступления в отношении представителей власти (лишение свободы на срок от двенадцати до двадцати лет либо смертная казнь или пожизненное лишение свободы и другие наказания в зависимости от содеянного), свидетельствуют о том, что законодатель предусмотрел повышенную охрану жизни и здоровья сотрудников правоохранительных и контролирующих органов в условиях роста насильственных преступлений, что является суровой необходимостью нашей жизни. §1. Особенности квалификации преступлений, предусмотренных ст. 317-319 УК РФ При анализе и оценке общественной опасности исследуемого вида преступлений следует иметь в виду два основных аспекта. Прежде всего особую опасность посягательства на жизнь сотрудника правоохранительного органа, а равно его близких (ст. 317 УК РФ) и применения насилия в отношении представителя власти и его близких (ст. 318 УК РФ), ибо объектами такого преступления яв- 27-2565 817 |