Одним из самых важных следственных действий на первоначальном этапе расследования компьютерных преступлений является осмотр места происшествия. К проведению осмотра необходимо привлекать специалистов. Первейшей задачей осмотра является определение местонахождения всех компьютеров, объединенных в систему или сеть. Местоположение компьютеров фиксируется в протоколе и отмечается в составленной схеме. В схеме также фиксируется "иерархия" соединений (одноранговая сеть, компьютеры-администраторы и компьютеры-пользователи и т.д.). Определяются способы объединения (локальная сеть, прямое подключение и т.д.). Выявляются способ связи компьютеров (сетевой кабель связи, контакт через ИК-порты, контакт через выход в Интернет и т.д.), аппаратура, используемая для связи компьютеров, нахождение на момент осмотра. Проверяется нахождение компьютера "в сети" или индивидуальная работа, а также конкретный домен или компьютер, с которым осуществляется контакт. Исследуются кабельные соединения сети на предмет проверки их целостности и определения посторонних включений. Выясняется политика администрирования сети (с какого терминала осуществляется управление). Дальнейший осмотр отдельных персональных компьютеров желательно начинать с компьютера-сервера (администратора сети). При осмотре персональных компьютеров фиксируется выведенная на дисплей информация (желательно не только описать ее, но и сфотографировать), определяется работающая на момент начала осмотра программа (работающие программы). Выполнение программы должно быть остановлено и зафиксирован результат остановки выполняемой программы. Осматриваются и описываются в протоколе (а также могут быть сфотографированы) подключенные к компьютеру внешние устройства (внешние модемы, сканеры, принтеры, web-камеры и т.д.). Определяются тип и модель компьютера и периферийных устройств, проверяется возможное использование внешних накопителей (внешних винчестеров, "флэшек"). Проверяется наличие в дисководах дискет и дисков. При наличии принтера желательно распечатать "дерево каталогов" (перечень каталогов, содержащихся в компьютере). Некоторые авторы (например, Е.С. Лапин, А.Н. Иванов) предлагают обязательный запуск при осмотре компьютера антивирусных программ, однако нам представляется, что такая проверка не всегда возможна: проверка антивирусными программами пользователя необязательно даст необходимый результат, поскольку у пользователя могут быть устаревшие антивирусные базы; запуск программы с переносного диска серьезно замедляет антивирусную проверку; большой объем винчестера и большое количество файлов на винчестере приведут к слишком продолжительной проверке; вирусы зачастую в первую очередь поражают системную область диска и антивирусные программы. Поэтому нам кажутся возможными осмотр компьютера без антивирусной проверки и последующая загрузка со "спасательной" дискеты. Информация, содержащаяся на компьютере, может быть скопирована на переносные винчестеры. В любом случае копируются на носители системные файлы и файлы протокола (log-файлы). Обязательно проверяются базы программ online- и offline-сетевого общения (электронная почта, mail-агенты, ICQ и т.д.). Проверяется наличие классических трасологических следов (микрочастиц, следов рук и т.д.). Наиболее вероятные места обнаружения данных следов - клавиши включения и перезагрузки компьютера, кнопки периферийных устройств, клавиатура, розетки, кнопки дисководов и выдвижения дискет, передняя поверхность системного блока, мышь и т.д. В протоколе фиксируются все манипуляции, произведенные с компьютерными устройствами. Проверяется возможность отключения компьютера без повреждения обрабатываемых файлов. При отключении компьютеров сети в первую очередь отключается компьютер администратора. Перед изъятием должен быть решен вопрос об изъятии компьютера целиком или изъятии только жесткого диска компьютера с сохранением на нем данных оперативной памяти. Изымать компьютер целиком (и системный блок, и монитор, и периферийные устройства) желательно, когда исследованию должен быть подвергнут весь компьютер; когда на компьютере установлено уникальное аппаратное обеспечение, с которым связано программное обеспечение (работа компьютера возможна только при его определенной комплектации); когда пользователем установлен пароль на вход (имеется в виду пароль в BIOS); на месте производства следственного действия нет возможности копирования информации жесткого диска и в некоторых иных случаях. При упаковке компьютерной техники фиксируется схема соединений, опечатываются кнопки и разъемы. Каждое устройство упаковывается отдельно в фиксированном положении во избежание повреждений. Кроме компьютерных устройств, осматриваются и изымаются носители информации: диски, дискеты, съемные винчестеры, "флэшки" и т.д. Описываются их тип, модель, внешний вид, наличие фирменных обозначений, содержащаяся информация, наличие следов пальцев на поверхности носителя. Каждый носитель упаковывается отдельно. Следует отметить, что любую компьютерную технику и носители следует оберегать от влажности, воздействия высоких или низких температур, электромагнитных полей и т.д. При осмотре электронных документов определяются их местонахождение (конкретный носитель и "адрес" на носителе, атрибуты файла (архивный, скрытый, системный и т.д.), формат (doc, rtf, html, txt и т.д.), объем файла, время создания и изменения. Далее включается соответствующая программная оболочка (WordPad, Word и т.д.), в которой и открывается файл. В открытом документе изучается содержащаяся информация (по критериям, аналогичным исследованию письменной речи).

Заказать аналогичную работу

Каталог докладов, эссе

Узнайте цену написания своей работы

Похожие работы:

• Особенности первоначального этапа расследования
Основной спецификой на первоначальном этапе расследования характеризуется проведение осмотров места происшествия. Прибыв на место происшествия, следователь должен принять меры к прекращению загрязнени...


• Особенности первоначального этапа расследования
Одним из самых важных следственных действий на первоначальном этапе расследования компьютерных преступлений является осмотр места происшествия. К проведению осмотра необходимо привлекать специалистов....


• Особенности первоначального этапа расследования
Процесс расследования налоговых преступлений возможно строить с учетом выделения следующих условных стадий: 1) производства следственных действий, не терпящих отлагательства; 2) производства следствен...


• Особенности последующего этапа расследования
На последующем этапе расследования после предъявления обвинения необходимо сразу же провести допрос обвиняемого (обвиняемых). Последовательность допросов при наличии нескольких обвиняемых должна строи...


• Особенности первоначального накопления капитала в Голландии
Другой страной, в которой первоначальное накопление капитала привело к экономическому подъему, была Голландия. В середине XVII в. из приблизительно 20 тыс. кораблей суммарного европейского флота 15-16...