следующая тема »

[CyberCop]

Судебная практика по делам о компьютерных преступлениях показывает, что в ходе судебного заседания сторонам бывает очень легко исключить из списка доказательств виновности (невиновности) подсудимого Заключение эксперта, производившего компьютерно-техническую экспертизу, если выясняются следующие обстоятельства ее производства:
 
1. Экспертиза проводились на несертифицированном компьютерном оборудовании - не имеющем сертификата соответствия Требованиям и рекомендациям по безопасности информации Гостехкомиссии России. Эти сертификаты выдаются по итогам аттестации (проведения специальных исследований) объектов информатизации и (или) технических средств обработки информации Спеццентрами Гостехкомиссии России или уполномоченными ими негосударственными предприятиями и организациями.
 
2. При производстве экспертизы использовались программы для ЭВМ (операционная система, утилиты и др.), не имеющие соответствующих лицензионных соглашений, т.е. контрафактные.
 
3. Перед исследованием стендовый или инструментальный компьютер, а равно иное компьютерное устройство, не были тестированы лицензированными антивирусными программными средствами на предмет отсутствия в них вредоносных программ для ЭВМ либо об этом не было сделано соответствующей отметки в Заключении эксперта до начала описания исследования объектов.
 
4. Стендовый (исследовательский) компьютер, как правило, не должен быть физически подключен к какой-либо сети ЭВМ. Это же требование относится и к другим техническим устройствам, используемым в качестве инструментария эксперта.
 
5. Стендовый (исследовательский) компьютер и штатный комплект программно-технических экспертных средств к нему должны находится в выделенном охраняемом помещении, исключающем доступ в него посторонних лиц, особенно при производстве экспертизы.

[Igor Michailov]

Много спорных моментов.

Не хочу их освещать в открытом топике. В суде я бы с Вами поспорил.

Кстати, Вы так и не упомянули главного "аргумента"!!!  

Из моей практики. Заключение эксперта по компьютерным преступлениям, как правило, является только косвенным (дополнительным) доказательством. Исключите заключение эксперта - остануться другие доказательства и обвиняемого все-равно осудят. Тем более судьи, как правило, не владеют техническими заниями даже на уровне продвинутого пользователя. Поэтому строят приговор на понятных для них доказательствах а не на каких-то заключениях эксперта написанных вроде и по русски но не известными судье словами.

Я бы назвал в таких делах ключевым документом (ну, после обвинительного заключения и ряда других)  -допрос специалиста, где судье доступно разжевывается, что собственно сделал обвиняемый и чем это доказывается.

[Igor Michailov]

Если так дело дальше пойдет - организую ветку "Как развалить защиту кандидатской / докторской по специальности 12.00.09".

 

[Igor Michailov]

Не смог удержаться.
По вирусам - отдельная песня (мы ее помниться с Маратом в привате уже обсуждали. Вынужден признать - к единому мнению не пришли):
1) Не все вирусы (чуть не написал - одинаково полезны)обнаруживаются антивирусными программами.
2)Исходя из пункта 1 - что же теперь весь код на НЖМД "перерывать" (а ведь есть еще неявные функции, недокументированные команды, системы защиты программ и т.д. и т.п.)? Тогда неплохо было-бы, сначала переписать УПК РФ - удлинив сроки расследования УД на пару - тройку тысяч лет.
Кроме того, уважаемый Cybercop, видимо, забыл, что некоторые кодовые последовательности обратной декомпиляции не поддаются.
3) Частный случай: Если на НЖМД системного блока изъятого у злодея (пусть это будет некто похищавший конфиденциальную информацию с расшаренных сетевых дисков), я нашел (О УЖАС!) вирус с громким названием "Чернобыль". Что это дает следствию? Что это доказывает по делу? НИЧЕГО!!!

Опять-же из своей экспертной практики: в 99,9% случаев наличие или отсутствие вирусов на исследуемом НЖМД ничего по УД не доказывает. Это не нужно ни стороне обвинения ни стороне защиты.

Я бы много еще чего написал, в продолжение, да времени жалко.

[Николай Николаевич Федотов]

1. Экспертиза проводились на несертифицированном компьютерном оборудовании - не имеющем сертификата соответствия Требованиям и рекомендациям по безопасности информации Гостехкомиссии России.

Кстати, на какие именно РД и ГОСТы посоветуете сертифицировать компьютер эксперта и по какому классу? Специального РД на КТЭ ведь не существует...

[Igor Michailov]

В продолжение темы.
Я так понял, уважаемый CyberCop, предлагает задавать в суде эксперту вопросы насчет того сертифицирована у него техника и лицензионное ли ПО установлено на стендовой ПЭВМ.

Однако, разве на эти вопросы должен отвечать эксперт? Давайте разберемся.

Николай Николаевич, если  Вы не работаете в конторе типа ФСБ (или бывшей ФАПСИ), то, на мой взгляд, дополнительно сертифицировать стендовую ПЭВМ не надо. CyberCop , видимо забыл как определяется является ли информация секретной или нет (намекаю, гриф сов.секретно я и на заборе могу написать). Любой продаваемый компьютер, по определению сертифицирован, иначе торговая  фирма нарушает правила торговли и ее закроют соответствующие инстанции.

[Николай Николаевич Федотов]

Любой продаваемый компьютер, по определению сертифицирован, иначе торговая  фирма нарушает правила торговли и ее закроют соответствующие инстанции.

Вот взяли моду - употреблять слово "сертифицированный" без уточнения КЕМ и НА ЧТО техника сертифицирована. Наши сервера, к примеру, сертифицированы по "ССС" и на электробезопасность. Можем ещё сертифицировать на содержание CO в выхлопе. Какая здесь связь с вопросами экспертизы?

[Igor Michailov]

А как Ваши сервера соотносятся с понятием "стендовая ПЭВМ"?

[Dmitry]

Я понимаю, что люди, занимающиеся сертификацией тоже хотят кушать, не думаю, однако, что это является достаточным аргументом в пользу обязательной сертификации средств КТЭ. Любителям всяческих сертификаций хотелось бы задать встречные вопросы. Как известно год назад сертификат Гостехкомиссии был выдан на 300 экземпляров ОС Windows XP (SP1a). Очень хотелось бы узнать, сколько недокументированных возможностей было выявлено в ходе сертификационных испытаний, желательно в процентном отношении к числу таких возможностей, устраненных в SP2 и других патчах, вышедших после выдачи сертификата? Ведет ли установка дополнительного программного обеспечения, в том числе упомянутых выше SP2 и патчей, к утрате сертификата? Сколько времени занимает процедура сертификации дополнительного программного обеспечения? Сколько патчей и сервис паков, выпущенных после выдачи сертификата на ОС Windows XP (SP1a), сертифицированно к настоящему моменту? Каковы общепринятые рекомендации по срокам установки патчей и сервис паков? Возможно ли  соблюдение этих рекомендаций при существующей процедуре сертификации? Насколько безопасно функционирование системы с известными широкой публике недокументированными возможностями? С учетом всего этого требование обязательной сертификации увеличивает, снижает или не влияет на уровень безопасности системы?
Сюда же кстати относится и требование антивирусной проверки стендового компьютера (полагаю, что имеется в виду не обнаружение вирусов на исследуемых носителях, о обеспечение безопасности самого инструмента для исследований). Очень бы хотелось понять насколько это достаточно разумное требование может быть выполнено одновременно с требованием обязательной сертификации при том условии, что обновления антивирусного ПО всех известных компаний выходят по нескольку раз в неделю?
Требование обязательного отсутствия соединения с сетью не верно по сути, ибо некоторые типы исследований могут быть выполнены только в среде сетевого окружения, а для значительной части исследований наличие сетевого окружения сильно облегчает процедуру исследования, особенно когда это исследование выполняется группой из нескольких экспертов.

[Igor Michailov]

Хотелось бы ответить на некоторые моменты в сообщении Dmitry.

1.Для обеспечения антивирусной безопасности используются не только антивирусы.  
а) После производства экспертизы НЖМД стендовой ПЭВМ очищается и файловая система с ОС и сервисными утилитами восстанавливается из образа диска (автор идеи - участник форума под ником  Марат).
б) Исследование проводиться на виртуальной машине. После исследования виртуальный диск стендовой ПЭВМ восстанавливается из образа (на русском языке эту идею озвучил Яковлев А.Н.).