В №1 за 2008 год уважаемого ЖУРНАЛА "Компьютерно-техническая экспертиза" (сс.87-92) нашел интересный отклик на книгу:Автор статьи: Юрин Игорь Юрьевич, генеральный директор ООО "Национальный центр по борьбе с преступлениями в сфере высоких технологий", заведующий учебно-исследовательской лабораторией компьютерной безопасности, старший преподаватель кафедры теоретических основ компьютерной безопасности и криптографии Саратовского государственного универ¬ситета им. Н.Г. Чернышевского, член Комитета по интеллектуальной собственности при Торгово-промышленной палате Саратовской области,
info@nhtcu.ru Комментарии к книге "Форензика-компьютерная криминалистика" Новая книга, посвященная расследованию компьютерных преступлений, - это всегда значимое событие. Но книга Н .Н . Федотова "Форензика -компьютерная криминалистика" привлекла внимание буквально с первых страниц: не только отсутствующим в русском языке словом, вынесенном на обложку, но и аннотацией на стр. 2, в которой сказано, что книгу "должны прочитать" (именно в такой формулировке, а не "рекомендуется прочитать") все категории лиц, имеющих отношение к расследованию преступлений. После внимательного прочтения книги было отмечено, что здравое зерно в ней все же есть. Вместе с тем было обнаружено немало опасных моментов, которые вводят читателя в заблуждение и даже могут привести к серьезным ошибкам.
Основной целью книги можно назвать попытку Н.Н. Федотова ввести в обиход придуманный им термин "форензика" (который является обычной транскрипцией англоязычного термина), почему-то упорно характеризуемый как "русский" (стр. 11, 36). Впрочем, автор и не скрывает своих амбиций - он хочет быть причислен к числу "исследователей-первопроходцев" (стр. 36) "новой науки". Не знаю, как насчет псевдонауки "форензики", но в первопроходцы компьютерной криминалистики автор книги явно опоздал.
С первой страницы книги проявляется преклонение автора перед англоязычными словами. Космополитизм присутствует не только в слове "форензика", но и в использовании слов "вьювер", "алиас" (стр. 17), "резолвер" (стр. 21), "мейл" (стр. 344) и других, даже не приведенных в прилагаемом словаре. После этого предупреждение автора о том, что "понимание материала настоятельно требует специальных познаний" (стр. 12), приобретает вполне реальный смысл. Хотя остается недопонимание, почему другие термины даются автором в русском варианте, а не в транскрипции (в контексте книги уместно смотрелись бы слова "хард драйв", "сидиром"), и зачем в словаре толкование таких понятий как "дискета".
Алгоритм работы программы предлагается изучать по "образу мыслей и шаблонам поведения" автора программы (стр. 18), а вовсе не путем дезассемблирования кода, как это принято делать в цивилизованном обществе.
"Изучение имеющихся трудов в данной области показало, что значимые книги по компьютерной криминалистике издавались только в США (см. список литературы). На русском языке вышло несколько мелких работ [8, 9, 10]" (стр. 27). Так что же за работы нашел Н.Н. Федотов на русском языке? Оказалось, что упоминаемые публикации были изданы в 2001-2004 годах, а более свежие русскоязычные источники (кроме статей самого автора) по данной теме в списке литературы отсутствуют. Любой эксперт КТЭ знает, что с 2004 года исследование информации шагнуло далеко вперед и делать вывод о современном положении КТЭ по материалам четырех- и семилетней давности нельзя. А авторы упомянутых работ - В.Б. Вехов и В.А. Мещеряков - были первопроходцами в расследовании компьютерных преступлений и внесли вклад в криминалистику.
Впрочем, автор не просто нашел и изучил всего три старых работы по КТЭ, но и "при чтении ... постоянно испытывал экстремальные эмоции: над юридической их частью плакал, над технической смеялся" (стр. 27). Такие слова может написать только тот человек, который уверен в непогрешимости своих собственных формулировок и суждений. К сожалению, Н.Н. Федотов и сам не избежал участи повергать читателей своей книги в "экстремальные эмоции".
"Компьютерный криминалист вполне может обойтись без специальной криминалистической техники вообще. Компьютер сам по себе - достаточно универсальный инструмент" (стр. 28). К сожалению практика такова, что одним компьютером много не наработаешь, и необходимы различные специализированные программные и технические средства (например, для подключения поступающих на исследование объектов), в которые экспертные центры вынуждены вкладывать большие деньги.
В целом книга производит впечатление сборной солянки, куда напихано все, хоть как-то относящееся к компьютерной криминалистике. Из-за такого всеобъемлющего охвата страдает качество. Так, например, описанию экспертных программ уделено менее страницы, да и то в телеграфном стиле. Ровно три слова посвящено знаменитой программе Encase, о которой можно писать целые тома: "Encase - экспертная система" (стр. 31). Такое исчерпывающее описание пригодится любому практикующему эксперту.
"Противодействие методам поиска, обнаружения и закрепления цифровых доказательств развивается не столь активно, как сама форензика" (стр. 35). Очень спорное утверждение, с учетом того, что для большого числа способов сокрытия информации до сих пор отсутствуют адекватные методы ее восстановления. Например, отсутствуют эффективные методики и алгоритмы доступа к большинству объектов, защищенных стеганографическими или криптографическими методами.
Весьма оригинально автор книги определяет понятие "компьютерное преступление". "Компьютерное преступление (киберпреступление) - уголовное правонарушение, для расследования которого существенным условием является применение специальных знаний в области информационных технологий" (стр. 37). Такая формулировка не выдерживает никакой критики. Получается, что любой криминал в той или иной степени можно назвать компьютерным преступлением. Договаривались о поставках наркотика через электронную почту? Обсуждали с сообщниками предстоящие кражи в ICQ?
Звонили с террористическими угрозами через Skype? Вот вам в соответствии с формулировкой автора и компьютерные преступления, поскольку при их расследовании без компьютерных экспертов не обойтись.
"У некоторых хакеров ... есть противная привычка оснащать свой компьютер логической бомбой, срабатывание которой связано с командой выключения компьютера" (стр. 41). К сожалению, автор не раскрывает своих источников и даже не приводит примеров таких логических бомб. Для практикующих экспертов существование таких хакерских привычек выглядит мало правдоподобным, поскольку такие ситуации ни разу не встречались на практике, зато известен диаметрально противоположный подход - логическая бомба на включение компьютера, когда после загрузки ОС необходимо осуществить некоторые действия для деактивации троянской программы. В качестве известного примера можно привести программу "АнтиОМОН" [htlp://old. antichat.ra/tx t/old/dhgroup/antiOMON.shtml], которая довольно примитивна и представляет собой ВАТ-файл. Вызов этого файла прописывается в autoexec.bat и если при загрузке системы в течение нескольких секунд не нажата определенная клавиша, то программа удаляет файлы и каталоги, заданные пользователем.
Одно их опасных суждений, которое высказывается автором, заключается в том, что "ввиду большого количества компьютерных преступлений никто уже всерьез не рассчитывает на возможность расследовать их все" (стр. 49), и что нужно расследовать только некоторые из совершаемых преступлений, мотивируя это нехваткой человеческих ресурсов. "Слишком сложные начинать расследовать бесполезно". Именно из-за такого подхода мы и имеем текущую ситуацию с компьютерными преступлениями в стране - вседозволенность, безнаказанность, престижность хакерской профессии, вовлечение новых соучастников в преступную деятельность, рост теневых доходов и общего уровня компьютерной преступности.
"Опыт автора говорит, что большинство правонарушений в Интернете (не только оскорбления, но и DoS-атаки) сейчас диктуются личными мотивами" (стр. 57). Однако опыт показывает, что уже с 2003 года идет тотальная коммерциализация всех совершаемых в сети преступлений, а уж тем более DoS-атак. Впрочем, об этом же говорится в книге уже на стр. 60.
На стр. 64 написано, что "при подготовке и проведении DoS-атаки образуются следующие следы технического характера", однако не указывается, на каком именно компьютере (злоумышленника, жертвы, ином) они формируются.
На стр. 67 рассматриваются следы совершения дефейса. Здесь уже идет классификация по компьютерам, на которых они могут быть найдены, но дается неверный перечень возможных следов. Так, например, "на собственном компьютере злоумышленника следов должно быть еще больше - там должны найтись переработанная или заново изготовленная вебстраница". Данное утверждение неверно, поскольку в некоторых случаях злоумышленник мог подготовить фрагмент страницы, который потом будет включен в состав страницы, а в некоторых случаях (при использовании так называемых SQL-инъекций), код фрагмента страницы может быть передан серверу через параметры запроса и будет отсутствовать в сохраненном виде на компьютере злоумышленника (особенно при использовании специализированного ПО для совершения дефейсов).
Не понятно, зачем описание действий фишеров вынесено в отдельный подраздел (стр. 71), если про них уже было написано на предыдущей странице в разделе "кардеры". Кардеров автор книги недооценивает, поскольку считает, что для сбора атрибутов банковских карт кардеры должны собираться целыми толпами, поскольку "одного человека тут не хватит". Описание работы кардеров дано витиевато, а оттого тяжело воспринимается при чтении: "пятая группа сообщников ... получают от второго партии номеров ... и вводят их через отмывочное предприятие четвертого..." (стр. 70). Любая, самая примитивная графическая схема, позволила бы понять механизм взаимодействия кардеров гораздо лучше, чем целая страница текста, изложенного в таком ключе.
В числе следов "изготовления вредоносных программ" автор отчего-то приводит "антивирусное ПО различных производителей, на котором создатель вредоносной программы обязательно тестирует свою (что "свою"? антивирусную программу? орфография оригинала сохранена - КТЭ), а также средства Для дизассемблирования и отладки" (стр. 73). Необходимо отметить, что ни антивирусы, ни дизассемблеры, ни отладчики не являются следами изготовления вредоносных программ.
Продолжая разговор о следах, автор сообщает, что "на компьютере жертвы должна найтись сама вредоносная программа (ее серверная или клиентская часть)" (стр. 74). Но зачем преступнику засылать жертве клиентскую часть, если она нужна для управления компьютером-жертвой? Естественно, на практике такая ситуация вряд ли встретится, ведь используя клиентскую часть вредоносной программы (что невозможно сделать "случайно" или "без ведома", т.к. эта часть имеет преимущественно графический интерфейс) "жертва" сама становится преступником.
Автор считает, что в случае удаления пострадавшим пользователем вредоносной программы "лог антивируса, а также следы деятельности вредоносной программы, будучи исследованы в ходе экспертизы, позволят эксперту категорично утверждать, что на исследуемом компьютере была установлена определенная вредоносная программа, хотя исполняемого кода этой программы и не обнаружено" (стр. 74). Однако такая позиция не соответствует действительности и даже является опасной. Современные антивирусы все чаще детектируют под одним именем десятки (и сотни) различных вредоносных программ (т.н. generic или based записи для червей и троянцев). Распространяемая в сети Интернет в виде дистрибутива троянская программа позволяет конфигурировать себя различным пользователям, при этом, несмотря на различные настройки, будет детектироваться под одним именем. В конце концов, нельзя сбрасывать со счетов ложные срабатывания антивирусов, когда они начинают детектировать (и удалять) совершенно безвредный файл.
В книге упоминается "программно-техническая экспертиза" (стр. 90, 256). Однако такой вид экспертиз отсутствует и в МВД, и в Минюсте РФ.
Во втором разделе книги текст сопровождается практическими примерами, которые реализуются при помощи программ, входящих "в состав любой операционной системы (кроме Windows)" (стр. 121, а также стр. 159, 173, 269, 282). После прочтения такой фразы хочется задать вопрос автору - на какую аудиторию вообще рассчитана данная книга? На те несколько процентов (или, говоря языком автора книги, "несколько первых процентов"), которые пользуются *nix системами? Учитывая специфику темы и количество русскоязычных *nix-пользователей, тираж в 3000 экземпляров выглядит просто колоссальным. А что же тогда из литературы читать тем экспертам КЭ и КТЭ, которые работают в ЭКЦ и которым головная организация специально присылает лицензионный экспертный софт под ОС Windows, тем самым, стимулируя производство экспертиз и иную работу именно под ОС Windows?
Описание исследования системных логов Windows NT/2000/XP уместилось ровно на одной странице, половину которой занимает иллюстрация. В текстовой части сказано, что "все логи Windows просматриваются специальной программой "Event Viewer", которую можно найти в меню "Administrative Tools" или "Management Console"" (стр. 144). Что же делать пользователям (или экспертам):
1) которым достались логи от Windows 2003 и более новой;
2) у которых более ранняя версия Windows, чем породившая исследуемые логи;
3) если логи повреждены в результате "прерывания электро¬питания", которое рекомендовал автор книги на стр. 41;
4) у которых русифицированная версия Windows, в которой нет непонятных простому русскому человеку словосочетаний "Event Viewer", "Administrative Tools", "Management Console", автор скромно умалчивает (равно как и о существовании более удобных средств просмотра и анализа этих логов, например, "Event Log Explorer").
Впрочем, тема команд и операционных систем встречается в книге еще неоднократно. "Команда "host" разрешает доменное имя в IP-адрес, а последующая команда "whois3" связывается с whois-сервером указанного регистратора..." (стр. 160). Одна беда - автор скромно умалчивает, в какой именно операционной системе есть такие команды. Примеры подобного рода сопровождают всю книгу (стр. 204, 206 и др.) Зато на стр. 162 говорится, что "помощь в установлении местоположения и принадлежности IP-адреса может оказать программа "traceroute", которая имеется в составе любой операционной системы, даже Windows". В ОС Windows имеется лишь программа "traccrt.exe", которая является аналогом указанной программы. Однако по указанному автором названию найти ее сможет только настоящий эксперт.
На стр. 163 читатель узнает о сетевых пакетах то, что они бывают "испущенными" и "сброшенными".
Автор книги предлагает следующим образом исследовать исполнимые файлы: "Вместо декомпиляции можно провести поиск в Интернете на предмет исходного кода этой же программы [57]. Злоумышленник, скорее всего, не написал свою программу с нуля, а позаимствовал ее целиком или немного модифицировал чужую программу, взяв ее из того же источника -из Сети" (стр. 194). Жаль, что снова самые важные детали автор умалчивает: какими именно средствами и где нужно искать эти самые исходные тексты. При этом он явно пребывает в неведении о том, какой бывает софт, и как выкладываются исходники в сеть.
Во-первых, даже вредоносные программы бывают коммерческими, стоящими по несколько тысяч долларов за экземпляр. Естественно, что только полный идиот будет выкладывать исходники таких программ в сеть для всеобщего пользования.
Во-вторых, многие программы не идентифицируют себя (нет названия, не указаны авторы и т.п.), поэтому появляется вопрос - а ЧТО же именно искать? Даже если исходник программы и есть в сети, то найти его будет нереально.
В-третьих, автор предполагает, что исходники выкладываются в виде веб-страниц. Однако общая практика предполагает выкладывание полных исходных текстов в архиве (текст хорошо сжимается, да и файлам будет сложнее потеряться). С учетом неспособности поисковых систем индексировать информацию в архивах, поиск становится невозможным.
Пункт с медицинским названием "Стерильность" повествует о следующем: "В случае, когда копирование дисков производится по схеме "сектор в сектор", очень важно, чтобы целевой диск (на который копируется) был предварительно очищен. То есть вес его сектора без исключения должны быть перезаписаны нулями или случайными байтами (выделено нами - ред. КТЭ). В противном случае эксперт, думая, что исследует копию одного диска, на самом деле найдет там остатки предыдущей копии, которые не сможет различить" (стр. 212). Такую длинную цитату пришлось привести чтобы показать ошибочность рассуждений. Если диск предварительно перезаписан именно случайными байтами, то это немногим лучше той ситуации, когда его не перезаписывали вообще. В этом случае эксперт наткнется на наборы случайных байт, которые также "не сможет различить". А теория вероятности это такая наука, которая периодически среди последовательностей случайных байт подсовывает искомые строки. Значит гарантировать, что исследуется именно склонированная информация, а не наборы случайных байт, уже нельзя.
На стр. 217 рассказывается про то, какую важную роль играет исследование принтера в делах о подделке документов. Однако еще на стр. 213 безоговорочно говорится о том, что принтеры "изымать или исследовать необязательно".
Следующее заблуждение относится уже к теме сотовой связи. "При выключении телефона не надо беспокоиться о PIN-коде на доступ к данным в SIM-карте телефона. У оператора связи в любой момент можно узнать PUK (PIN unlock key) и с его помощью получить доступ к SIM-карте" (стр. 220). Ах, как все просто на первый взгляд! Но тут пропущено важное звено в логической цепочке рассуждений - сначала надо еще определить... оператора.
А вот тут уже есть много подводных камней:
1) на SIM-карте отсутствует маркировка, позволяющая определить оператора;
2) вместо SIM-карты используется Multi-SDVI, также не позволяющая идентифицировать оператора;
3) оператор может оказаться зарубежным, в этом случае при самом благоприятном раскладе получение PUK растянется на долгие месяцы.
Нельзя согласиться с приведенным автором определением "файлообменной сети": "семейство программ и протоколов, позволяющих создавать одноранговые сети в пределах глобальной компьютерной сети для обмена файлами, а также сами эти сети" (стр. 240). Определение не просто спорное, но и противоречащее практике. В настоящее время файлообменные сети существуют не только в глобальной сети, но и в локальных сетях. Да и еще являются не одноранговыми, а с выделенными серверами (иногда называемых "хабами"), без наличия которых процесс обмена файлами просто невозможен.
О государственных экспертах автор явно невысокого мнения. "В государственных экспертных учреждениях системы МВД (ЭКЦ, ЭКУ, ЭКО) если и имеются штатные эксперты по КТЭ, то лишь низкой квалификации, как правило, "крепостные", то есть работающие там, чтобы избежать призыва в армию. Кроме того, нагрузка на штатных экспертов МВД никак не позволяет им затрачивать на экспертизу более Двух дней (обычная норма две экспертизы в день)" (стр. 253). Да-а-а, специалиста, пишущего 700 экспертиз в год, иначе как крепостным и не назовешь. Хотя, в системе МВД нет ни одного эксперта по КТЭ, там есть лишь эксперты по КЭ.
Как результат подмены адреса баннерного сервера описывается следующе: "пользователи увидят на веб-страницах рекламу, помещенную туда помимо их желания" (стр. 253). Можно подумать, что существуют случаи, когда реклама размещается по желанию пользователей и посетителей.
На стр. 257 автор книги предлагает "эксперту-специалисту по ИТ" устанавливать вредоносность. Однако, это понятие является юридическим и выходит за рамки компетенции эксперта КТЭ и КЭ.
Автор книги считает, что "компьютеры с медленным, коммутируемым соединением для зомбирования малополезны" (стр. 326). Тем не менее, первые DDoS-атаки реализовывались именно с компьютеров, работающих на dial-up соединениях.
"Возьмем, например, кросплатформенные (орфография оригинала сохранена - прим. КТЭ) вирусы. До сего момента известен лишь один образец такого вируса (Cxover), к тому же не получивший распространения" (стр. 323). Здесь автор допускает ошибку. Действительно, Cxover первый кроссплатформенный вирус, но первый именно для мобильных устройств, а не для компьютеров в целом. Помимо него существует целая группа кроссплатформенных вирусов, таких как МоЫег (живет в ОС Windows и Symbian), Bi (живет в ОС Linux и Windows), Winux (живет в ОС Linux и Windows) и т.д. Указанные вирусы существовали еще в 2006 году, за год до издания книги. В 2007 году появился вирус Badbunny (живет в документах OpenOffice, код инфицирования написан на JavaScript, Ruby, Perl и Python). В принципе, любой вирус на языке Perl можно считать кроссплатформенным.
Отдельное внимание привлекает приведенный словарь терминов. "Malware" почему-то однозначно приравнено к понятию "вредоносная программа", хотя производители антивирусных средств стараются провести черту между этими понятиями.
Одно из определений процитируем полностью: "RTFM - read the following manual (read the f******* manual), фраза используется в Статус нашего издания не позволяет процитировать данное слово качестве указания или совета прочесть инструкцию, а не задавать никчемных вопросов" (стр. 342, орфография оригинала сохранена).
Трактование термина "socks-сервер" дается через неофициальный и не объясненный термин "проброс". Впрочем, после "выжать деньги" (стр. 71), "лапы правоохранительных органов" (стр. 259) и откровенного мата (стр. 272) ничему удивляться уже не приходится.
Понятие "адрес электронной почты" оказывается "символьным обозначением, идентифицирующим место доставки сообщения электронной почты" (стр. 342). Однако идентифицировать "место" просто нереально по ряду причин:
1) почтовый сервер может изменить свое физическое местоположение как до момента доставки очередного письма, так и с уже полученным письмом на жестком диске;
2) пользователь может получать свою почту из любого места, где есть доступ в сеть Интернет;
3) сервер может осуществлять пересылку сообщений в соответствии с заданными настройками, в результате чего письмо, отправленное на один адрес, будет получено пользователем совершенно другого адреса. Не говоря уже о том, что адрес электронной почты может выступать не только в качестве адреса получателя, но и отправителя (который может быть легко фальсифицирован и уж тем более не может идентифицировать "место").
Да и с определением "электронной почты" (стр. 358) тоже не все гладко - по мнению автора, это "система обмена сообщениями через сеть, работающая по протоколу SMTP". При такой трактовке "обмен сообщениями" сводился бы только к отправке, но не к получению, поскольку за эту сторону обмена отвечают протоколы РОРЗ и IMAP. К тому же, только сетью Интернет понятие "электронной почты" не ограничивается.
Автор считает, что при аутентификации (т.е. "проверки принадлежности субъекту доступа предъявленного им идентификатора") "в качестве указанного идентификатора чаще всего выступают логин и пароль" (стр. 343). Однако из приведенной пары идентификатором является лишь "логин", а "пароль" как раз и предназначен для проверки принадлежности "логина" субъекту.
Вместо определения понятия "билинговая система" (стр. 343) дается отсылка к понятию "автоматизированная система расчетов", которое в словаре не упомянуто вовсе.
Понятие "браузер" толкуется как "программа для просмотра веб-страниц и иных сетевых информационных ресурсов" (стр. 343). Однако даже обычный Internet Explorer позволяет просматривать:
1) локальные ресурсы;
2) в том числе, не являющиеся веб-страницами.
Одно из приведенных толкований термина "компьютерный вирус" -"вредоносная программа вообще" (стр. 345), при этом не указано, что такое толкование является обывательским и ошибочным.
Термины "директория, каталог, папка" определены как "файл особого типа, содержащий в себе заголовки других файлов" (стр. 346).
Понятие "исходный текст программы" определяется само через себя - это "исходный текст программы для ЭВМ на алгоритмическом языке высокого уровня" (стр. 348). При этом полностью забыты исходные тексты, написанные на языке низкого уровня Assembler, и отсутствует расшифровка понятия "алгоритмический язык", хотя ссылка на него имеется.
Термин "SMS" описан как "сообщение, состоящее из букв или символов, набранных в определенной последовательности, предназначенное для передачи по сети подвижной связи" (стр. 350). А кто мешает набирать символы в произвольной последовательности, или от этого они перестанут быть "эсэмэской"? К сожалению, даже тот факт, что данное определение взято из Правил оказания услуг подвижной связи, не делает его эталонным и качественным.
Оказывается, что "crack" ("крак") предназначен для "преодоления технических средств защиты авторских прав" (стр. 350). Получается, что программа, отключающая программную защиту, не является "краком"?
A "patch" ("патч") предназначен для "увеличения ... функциональности и исправления ошибок" программы и обычно выпускается тем же "производителем, который выпустил обновляемую программу" (стр. 352). В реальности "патч" чаще используется для отключения программной защиты и модификации кода программ.
Еще одной новостью стало то, что "крипто-контейнер" и "криптодиск" - это на самом деле "программы" (стр. 350).
"Фрикер - специалист по преодолению защиты аппаратных электронных устройств" (стр. 358), при этом не упоминается, что исторически деятельность фрикеров имеет непосредственное отношение к телефонной связи, а не к любым электронным устройствам.
