КРИМИНАЛИСТИКА
СУДЕБНО-ЭКСПЕРТНАЯ ДЕЯТЕЛЬНОСТЬ
ОПЕРАТИВНО-РОЗЫСКНАЯ ДЕЯТЕЛЬНОСТЬ

Научная статья УДК 343.98

ОСОБЕННОСТИ ИЗЪЯТИЯ ОБЪЕКТОВ ЭЛЕКТРОННО-ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ В ХОДЕ ПРОИЗВОДСТВА СЛЕДСТВЕННЫХ ДЕЙСТВИЙ

Василий Николаевич МОСКАЛЕНКО
ekcspb@mail.ru
Экспертно-криминалистический центр ГУ МВД России
по г. Санкт-Петербургу и Ленинградской области, Санкт-Петербург, Россия
Аннотация. В статье описаны практические основы работы с различными видами электронно-
вычислительной техники (ЭВТ) при производстве таких следственных действий, как осмотр места
происшествия, местности, жилища, иного помещения, обыск, выемка, фиксации информации, упа-
ковке объектов и протоколировании необходимой информации. Объекты ЭВТ разделены на группы
по функциональному признаку.
Ключевые слова: информация, цифровая криминалистика, следственное действие, специалист,
расследование
Для цитирования: Москаленко В. Н. Особенности изъятия объектов электронно-вычислительной
техники в ходе производства следственных действий // Криминалистъ. 2021. № 4 (37). С. 80—87.
CHARACTERISTIC FEATURES OF SEIZURE OF ARTICLES OF ELECTRONIC COMPUTER
EQUIPMENT DURING THE INVESTIGATION PROCEDURE
Vasiliy N. MOSKALENKO
ekcspb@mail.ru
Forensic Centre of Russian MIA General Administration for St. Petersburg and the Leningrad region,
St. Petersburg, Russia
Abstract. The paper describes basic principles of work with digital devices during different investigative
actions, such as inspection of crime scene, site, dwelling or other premises, search and seizure, information
capture, packing objects and documentation of computer evidence which can be used by the court of law.
The digital devices are classified according to their functional characteristics.
Key words: information, digital forensics, investigative actions, expert, investigation.
For citation: Moskalenko V. N. Characteristic features of seizure of articles of electronic computer
equipment during the investigation procedure // Criminalist. 2021. № 4 (37). P. 80—87.

___________________________________

Сфера информационных технологий гибкая и имеет тенденцию быстро развиваться: каждый год появляются новые системы шифрования, сервисы резервного копирования, растут объемы производимой пользователями информации, появляются новые аппаратные средства, выполняющие различные функции, в нашу жизнь плотнее входят умные устройства и биометрия, социальные сети и мессенджеры становятся неотъемлемой частью коммуникации, организации переходят на цифровые сервисы работы с клиентами, цифровой документооборот, а облачные хранилища заменяют нам персональные накопители. Можно сказать, что внутри привычного нам общества растет общество цифровое, живущее и работающее по своим алгоритмам.

Несмотря на огромный созидательный потенциал такого прогрессивного комплекса инструментов, как «информационные технологии», применение его, увы, имеет в том числе и деструктивный характер. Данный факт накладывает отпечаток на деятельность правоохранительных органов.

Информационные технологии обеспечивают наиболее эффективное функционирование, а иногда являются основным ресурсом промышленности, медицины, образования, экономики, а также большинства

Стр.80

социальных институтов. Именно поэтому круг правонарушений, связанных с информационными технологиями, не ограничивается лишь предусмотренными главой 28 «Преступления в сфере компьютерной информации» Уголовного кодекса Российской Федерации (УК РФ).

Нельзя не согласиться с авторами, считающими, что рост преступлений в сфере компьютерной информации и преступлений, совершаемых с использованием компьютерных технологий, вызывает необходимость в разработке новых информационно-технологических криминалистических рекомендаций по тактике подготовки и производства отдельных следственных действий, связанных с обнаружением, фиксацией, изъятием и исследованием электронных следов и их материальных носителей [1, с. 134 — 148].
Увеличение технической составляющей расследования преступлений можно проиллюстрировать статистическими данными об участии в следственных действиях сотрудников 11 отдела Экспертно-криминалистического центра ГУ МВД России по г. Санкт-Петербургу и Ленинградской области (далее — ЭКЦ ГУ МВД России по г. СПб и ЛО): в 2019 году в ходе следственных действий произведена работа по 629 объектам, в 2020 году — по 804 объектам и только за первые пять месяцев 2021 года — по 554 объектам. Вместе с тем показательной, на наш взгляд, является статистика по назначенным судебным компьютерным экспертизам за те же периоды: в 2019 году назначено 262 экспертизы, в 2020 году — 588 экспертиз, за январь — май 2021 года — 312 экспертиз.

В целях оптимизации изложения автором используется термин «объекты электронно-вычислительной техники» (далее — объекты ЭВТ), собирательный для таких понятий, как «электронный носитель информации», «память устройства», «электронное устройство», поскольку он, с одной стороны, является достаточно объемным, с другой — четко очерчивает границы рассматриваемых в статье объектов. Под носителем информации будет подразумеваться носитель, характерный для предоставленной на исследование единицы ЭВТ (ноутбук, мобильный телефон и т. д.).

Изъятие объектов ЭВТ в ходе таких следственных действий, как осмотр места происшествия, местности, жилища, иного помещения, обыск, выемка в соответствии с ч. 2 ст. 164.1 Уголовно-процессуального кодекса Российской Федерации (УПК РФ) производится только с участием специалиста. Специалистом признается лицо, обладающее специальными знаниями, привлекаемое к участию в процессуальных действиях в порядке, установленном УПК РФ, для содействия в обнаружении, закреплении и изъятии предметов и документов, применении технических средств в исследовании материалов уголовного дела, для постановки вопросов эксперту, а также для разъяснения сторонам и суду вопросов, входящих в его профессиональную компетенцию (ч. 1 ст. 58 УПК РФ).

В соответствии со ст. 168 УПК РФ в компетентности специалиста (наличии у него диплома о профильном образовании, стажа работы по специальности, опыта работы по договорам гражданско-правового характера и т. д.) удостоверяется лицо, ответственное за производство следственного действия, перед его началом.
Специалист также оказывает содействие в случае, если по ходатайству законного владельца изымаемых электронных носителей информации или обладателя содержащейся на них информации лицом, уполномоченным на проведение следственного действия, принято решение о копировании информации на электронные носители, предоставленные лицом, ходатайствующим о копировании. При этом обязательным условием является исключение негативного воздействия как на объект — носитель информации, так и на его содержимое.

Стр.81

В связи с тем, что копирование информации часто сопряжено с большими временными затратами и сложностью определения состояния объекта копирования, необходимо оценить риски, которым может подвергнуться объект, соответственно, и информация, которую он содержит, поэтому следует учитывать техническое состояние объекта. Вместе с тем должны быть приняты превентивные меры для защиты работающего объекта от внешних воздействий, таких как удаленный доступ по каналам связи и физический доступ посторонних лиц.

Поскольку при описании объектов ЭВТ рекомендуется придерживаться технической терминологии и дословного цитирования маркировочных обозначений наименований и моделей устройств без замены латинских букв на кириллицу, то именно специалист оказывает помощь в корректном описании в протоколе объектов ЭВТ.

Главным условием изъятия любых объектов ЭВТ является обеспечение сохранности содержащейся на них информации. Данная задача может быть охарактеризована как глобальная, и в рамках ее действия специалиста направлены на ограничение удаленного доступа к интересующей информации, выявление и фиксацию цифровых следов на месте проведения следственного действия, обеспечение возможности последующего доступа к устройству и сбор технической информации для оптимизации работы с объектом в будущем. Перечень и объем действий, которые должны быть произведены специалистом, а каких следует избегать, чтобы не утратить цифровые следы [2, с. 94 — 101], зависит от конкретного объекта ЭВТ.

Обеспечение последовательного и структурированного изложения информации об особенностях изъятия объектов ЭВТ вызывает необходимость их классификации. Расширим классификацию, предложенную В. А. Мещеряковым и А. Н. Яковлевым в статье «"Электронная" составляющая осмотра места происшествия» [3, с. 280—291]: данная классификация основывается на функции, которую объект выполняет, и технологиях, применяемых для изготовления объекта, что дает схожие методы работы с объектами группы.

Руководствуясь указанным выше основанием классификации, выделим следующие группы объектов ЭВТ:

персональные электронно-вычислительные машины: системные блоки, ноутбуки, моноблоки (ПЭВМ);

серверные системные блоки, системы хранения данных (СХД);

системные блоки стационарных видеорегистраторов;

мобильные устройства: мобильные телефоны, смартфоны и планшетные компьютеры;

портативные устройства; электронные носители информации; беспилотные летательные аппараты (БПЛА), в том числе дроны.

В данную классификацию нами сознательно не включены периферийные устройства, устройства ввода-вывода, поскольку они не предназначены для хранения пользовательской информации и, как правило, их изъятие во время следственных действий нецелесообразно.

Отметим, что объекты ЭВТ, представляющие собой электронно-цифровые подписи и электронные ключи защиты, в некоторых случаях могут подлежать идентификации, так как содержат в себе информацию о владельце и сроке действия.

Перейдем к особенностям изъятия конкретных групп объектов.

1. Персональные электронно-вычислительные машины (ПЭВМ)

О распространенности данной группы объектов говорит статистика назначенных судебных компьютерных экспертиз, проведенных в 11 отделе ЭКЦ ГУ МВД России по г. СПб и ЛО за период январь — май 2021 года: из 312 назначенных экспертиз объектами исследования экспертиз являлись 114 ПЭВМ или их накопители.

При изъятии ПЭВМ не допускается:

извлекать электронные носители информации при включенной ПЭВМ;

извлекать или менять местами носители информации системных блоков, если есть

Стр.82

основания полагать, что они сконфигурированы в RAID-массив; такой системный блок изымается целиком.

При изъятии ПЭВМ необходимо:

при обнаружении работающей ПЭВМ в целях сохранения информации, имеющейся в файлах «pagefile.sys», «hiberfil.sys» и дампе оперативной памяти, рассмотреть вопрос о целесообразности копирования указанных файлов и дампа на внешний носитель;

при обнаружении работающей ПЭВМ с запущенным интернет-браузером, позволяющим устанавливать анонимное сетевое соединение, произвести фотофиксацию его активных окон, вкладок и иной значимой информации. Данный иллюстративный материал отображается в приложении к протоколу следственного действия;

используя средства операционной системы, корректно завершить ее работу, после чего можно отключить интерфейсные кабели от системного блока (ноутбука, моноблока) и упаковать его. Под корректным завершением работы в ходе следственного действия подразумевается завершение работы, направленное на сохранение имеющейся на ПЭВМ информации;

технику Apple изымать вместе с адаптерами питания;

в пояснительной записке к изъятому объекту и протоколе следственного действия указать сведения, ставшие известными в ходе проведения следственного действия: имена учетных записей, пароли к ним, пароли BIOS, пароли к криптоконтейнерам и зашифрованным накопителям и другие значимые сведения.

Допускается изымать носители информации из ПЭВМ, если они не составляют часть RAID-массива.

Целесообразность сохранения дампа оперативной памяти определяется специалистом в случае, если есть основания полагать, что в оперативной памяти могут содержаться:

ключи для расшифровки смонтированных криптоконтейнеров;

последние сообщения из социальных сетей, сообщения, переданные с помощью программ мгновенного обмена сообщениями;

информация о последних скачанных файлах;

страницы и изображения с веб-сайтов (в том числе из интернет-браузеров, позволяющих устанавливать анонимное сетевое соединение);

иная системная информация, которая может иметь значение для расследования дела.

2. Серверные системные блоки, системы хранения данных (СХД)

Функции, количество и место расположения серверов и СХД во многом зависят от помещения, количества сотрудников и парка ПЭВМ организации, а также от количества организаций в офисном здании (например, может быть одно серверное помещение для всех арендаторов).

При изъятии серверов и СХД не допускается:

извлекать электронные носители информации при включенном сервере, СХД;

изымать электронные носители информации отдельно от системного блока, в котором они установлены, а также менять их местами (устанавливать в другие монтажные отсеки устройств);

отключать питание объекта без корректного завершения работы операционной системы.

При изъятии серверов и СХД необходимо:

в случае изъятия серверного оборудования зафиксировать в протоколе или пояснительной записке схему подключения серверов;

рассмотреть возможность изъятия информации, необходимой для расследования уголовного дела, путем ее копирования на подготовленный чистый электронный носитель информации без изъятия сервера или СХД, так как дальнейший осмотр и исследование серверов и СХД может быть затруднен в связи с большим объемом информации, обычно содержащемся на таких объектах ЭВТ, или сложностью воссоздания сетевой инфраструктуры для исследования объектов;

зафиксировать конфигурацию RAID и его состояние, указать эти данные в протоколе следственного действия или приложении к нему;

если к серверу подключена СХД, изъять ее вместе с кабелями сопряжения устройств и фиксировать схему подключения;

Стр.83

1. Вехов В. Б., Пастухов П. С. Преступления в информационном сообществе: совершенствование расследования на основе положений электронной криминалистики // Ex jure. 2018. № 3. С. 134—148.
2. Жердев П. А. Электронно-цифровые следы как элемент криминалистической характеристики преступлений в сфере компьютерной информации // Вестник Дальневосточного юридического института МВД России. 2020. № 2. С. 94—101.
3. Мещеряков В. А., Яковлев А. Н. «Электронная» составляющая осмотра места происшествия // Библиотека криминалиста. Научный журнал. 2015. № 5 (22). С. 280—291.
4. Сергеева Ю. Вся статистика интернета и соцсетей на 2021 год — цифры и тренды в мире и в России. URL: https://www.web-canape.ru/ business/vsya-statistika-interneta-i-socsetej-na-2021- god-cifry-i-trendy-v-mire-i-v-rossii/ (дата обращения: 09.07.2021).
5. Яковлев А. Н. Цифровая криминалистика и ее значение для расследования преступлений в современном информационном обществе // Совершенствование следственной деятельности в условиях информатизации : Междунар. на- уч.-практ. конф. (Минск, 12 — 13 апреля 2018 г.) : сб. материалов / Следственный комитет Республики Беларусь ; редкол.: С. Я. Аземша [и др]. Минск : Редакция журнала «Промышленно-торговое право», 2018. С. 357—362.

References:

1. Vekhov V. B., Pastuhov P. S. Prestupleniya v informacionnom soobshchestve: sovershenstvovanie rassledovaniya na osnove polozhenij elektronnoj kriminalistiki // Ex jure. 2018. № 3. S. 134 — 148.
2. ZHerdev P. A. Elektronno-cifrovye sledy kak element kriminalisticheskoj harakteristiki prestu- plenij v sfere komp'yuternoj informacii // Vestnik Dal'nevostochnogo yuridicheskogo instituta MVD Rossii. 2020. № 2. S. 94—101.
3. Meshcheryakov V. A., YAkovlev A. N. «Elekt- ronnaya» sostavlyayushchaya osmotra mesta prois- shestviya // Biblioteka kriminalista. Nauchnyj zhur- nal. 2015. № 5 (22). S. 280—291.
4. Sergeeva YU. Vsya statistika interneta i socsetej na 2021 god — cifry i trendy v mire i v Rossii. URL: https://www.web-canape.ru/business/vsya-statis- tika-interneta-i-socsetej-na-2021-god-cifry-i-trendy- v-mire-i-v-rossii/ (data obrashcheniya: 09.07.2021).
5. YAkovlev A. N. Cifrovaya kriminalistika i ee znachenie dlya rassledovaniya prestuplenij v sovre- mennom informacionnom obshchestve // Sovershenstvovanie sledstvennoj deyatel'nosti v usloviyah informatizacii : Mezhdunar. nauch.-prakt. konf. (Minsk, 12 — 13 aprelya 2018 g.) : sb. materialov / Sledstvennyj komitet Respubliki Belarus' ; redkol.: S. YA. Azemsha [i dr.]. Minsk : Redakciya zhurnala «Promyshlenno-torgovoe pravo», 2018. S. 357—362.