Файл: Кафедра цифровая криминалистика научноисследовательская работа.docx

Что цифровой след может сказать о вас?

Эта информация является вашей цифровой идентификацией, и она может появиться, когда кто-то будет искать ваше имя в интернете. Ваша личность в интернете может влиять на различные аспекты вашей жизни. Например, работодатели, школы, колледжи и сотрудники правоохранительных органов могут использовать ваш цифровой след в качестве основы для оценки характера.

Типы цифровых следов

Цифровые следы можно разделить на две широкие категории – активные и пассивные следы, которые зависят от того, как собирается информация.

Активные цифровые следы

Они состоят из данных, которые вы оставляете, когда делаете осознанный выбор в интернете.

Например, сообщения, которые вы размещаете в социальных сетях, являются одной из форм активного следа. Внесенные вами изменения также являются частью вашего активного следа. Размещение информации на Facebook, Instagram, Twitter и других платформах социальных сетей. Заполнение онлайн-форм, например, при регистрации для получения электронных писем или текстов. Согласие на установку файлов cookie на ваши устройства по запросу браузера.

Пассивные цифровые следы

Это следы, которые вы оставляете ненамеренно или, в некоторых случаях, не подозревая об этом. Например, сайты, собирающие информацию о том, сколько раз вы их посещали в последнее время, это пассивный цифровой след, потому что вы не собирались давать им эти данные. Это скрытый процесс, и вы можете и не подозревать, что он происходит. Сайты, которые устанавливают файлы cookie на ваше устройство, не предупреждая вас. Приложения и веб-сайты, использующие геолокацию для точного определения местоположения. Каналы новостей социальных сетей и рекламодатели, которые используют ваши предпочтения и комментарии, чтобы составить ваш профиль и разместить рекламу, основанную на ваших интересах. Как активные, так и пассивные следы могут отслеживаться и наблюдаться различными способами и с помощью различных источников.

5 шагов для защиты цифрового следа

1. 
   Введите свое имя в нескольких поисковых системах. Используйте несколько поисковых систем для поиска вашей фамилии и имени. Если вы недавно сменили имя, то проверьте предыдущее и текущее. Просмотрите первые две страницы результатов. Если вам что-то не понравится (если кто-то выложил ваши личные данные, например, номер личного телефона, адрес и возраст), попросите администратора сайта удалить след.
   
2. 
   Дважды проверьте свои настройки конфиденциальности, но не доверяйте им. Такие настройки позволяют вам контролировать, кто видит ваши сообщения в социальных сетях. Например, Facebook позволяет не только ограничить количество сообщений для друзей, но и составить персонализированные списки людей, которые могут видеть определенные сообщения.
   
3. 
   Создавайте надежные пароли. Создайте такой пароль, который использует комбинацию не менее десяти цифр, символов и заглавных и строчных букв. Избегайте простых паролей, кто-то всегда будет пытаться получить доступ к нему. Сделайте пароль таким, чтобы его было легко запомнить, но трудно угадать постороннему. Если вам сложно запомнить уникальные пароли для разных сайтов, то менеджер паролей может пригодиться.
   
4. 
   Обновляйте ПО. Многие вирусы и вредоносные программы специально разработаны для поиска вашего цифрового следа, и они постоянно обновляются. Чтобы защитить себя, убедитесь, что ваше антивирусное программное обеспечение и другие программы обновлены. Старое ПО может быть более уязвимым для атак хакеров, оно может содержать большое количество цифровых следов.
   
5. 
   Удалите неиспользуемые приложения. Время от времени просматривайте приложения на телефоне или планшете. Если приложение больше не используется, лучше удалите его. При установке нового приложения прочитайте текст мелким шрифтом, в котором указывается, какую информацию они собирают и для чего она может быть использована. Эти приложения могут использовать такие персональные данные, как адрес @, местоположение и действия в интернете.
   

---

Безопасность цифрового следа

Думайте о своем цифровом следе, как о продолжении того, кто вы есть. Это образ, который вы создаете для себя, а также его видит мир. Избегайте обмена слишком большим количеством личной информации в интернете. Как VPN может помочь защитить цифровой след Еще один способ защитить свой цифровой след – это использование VPN для защиты конфиденциальности в интернете и даже для предотвращения установки cookie-файлов на сайтах, которые могут отслеживать историю просмотра вашей страницы. VPN маскируют IP, поэтому ваши действия в сети практически невозможно отследить.

2.2. Особенности судебного компьютерно-технического исследования «дорожки» электронных следов

Создание цифровой экономики, переход на электронный документооборот, массовое внедрение во все сферы жизни современного постиндустриального общества информационно-телекоммуникационных технологий, в том числе электронных платежных средств и систем, объективно привели к увеличению числа преступных посягательств, связанных с сетевыми компьютерными атаками и инцидентами. Например, только в 2017 г. ущерб мировой экономике от них составил порядка 1 трлн долларов США, а российской – около 600 млрд рублей [¹]. При этом в 2018 г. в Российской Федерации было официально зарегистрировано 4,3 млрд. таких атак. В связи, с чем компьютерная информация и содержащие ее электронные носители все чаще стали являться объектами судебной компьютерно-технической экспертизы.

В соответствии с примечанием 1 к ст. 272 Уголовного кодекса Российской Федерации (Федеральный закон от 13 июня 1996 г. № 63-ФЗ) под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи. При этом Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» определяет:

а) компьютерную сеть как информационно-телекоммуникационную сеть – технологическую систему, предназначенную для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники (п. 4 ст. 2);

б) электронное сообщение – информация, переданная или полученная пользователем информационно-телекоммуникационной сети (п. 10 ст. 2);

---

в) сайт в сети Интернет – совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно- телекоммуникационной сети Интернет по доменным именам и (или) по сетевым адресам, позволяющим идентифицировать сайты в сети Интернет (п. 13 ст. 2);

г) доменное имя – обозначение символами, предназначенное для адресации сайтов в сети Интернет в целях обеспечения доступа к информации, размещенной в сети Интернет (п. 15 ст. 2);

д) сетевой адрес – идентификатор в сети передачи данных, определяющий при оказании телеметрических услуг связи абонентский терминал или иные средства связи, входящие в информационную систему (п. 16 ст. 2).

Представляется, что именно эти информационные объекты участвуют в механизме следообразования при совершении преступлений, связанных с использованием компьютерной сети.

Продолжая исследование выделенной дефиниции, отметим, что в трасологии используется достаточно устоявшееся понятие «дорожка следов» – система следов ног человека, состоящая из нескольких последовательно расположенных отпечатков обуви, ног, одетых в чулки или носки, а также босых ног. Известно, что эта система следообразования имеет присущие ей элементы. Данный термин употребляется и в одорологии для обозначения запахового следа преступника, который остается по пути его следования к месту преступления и от него. Именно по нему розыскная собака, используемая как биологический детектор, и ведет инспектора-кинолога, принимающего участие в розыске и задержании преступника «по горячим следам».

Принимая за основу отмеченный методологический подход, предлагаем ввести в оборот термин «дорожка электронных следов», под которой полагаем возможным понимать систему образования следов в информационно-телекоммуникационной сети, состоящую из нескольких последовательно расположенных по времени и логически взаимосвязанных записей о прохождении компьютерной информации по линиям связи через коммутационное оборудование оператора(-ов) связи и(или) провайдеров услуг Интернет от компьютера преступника до компьютера потерпевшего.

Принимая во внимание, изложенное, с позиций судебной компьютерно-технической экспертизы выделим следующие элементы дорожки рассматриваемых следов:

1. Технические данные, содержащиеся в файловой системе (реестре операционной системы и др.) компьютера преступника, свидетельствующие о подключении и использовании модема, либо записи, содержащиеся в модуле идентификации мобильного абонента и терминала (IMEI, Ki, IMSI-код, MIN, ESN и другие идентификаторы).

---

2. Электронные данные, находящиеся в памяти компьютера или мобильного терминала преступника, подтверждающие факт отправки в адрес потерпевшего той или иной криминалистически значимой информации либо сеанс работы атакующего компьютера.

3. Записи в памяти коммутационного устройства контроля, авторизации и аутентификации абонентов в сети оператора(-ов) связи и(или) провайдера услуг Интернет (контроллера сигналов, гейткипера для протокола Н.323, сервера регистрации соединений абонентов и сервера определения месторасположения абонентов для протокола SIP – proxy-сервера).

4. Записи в системе учета данных о начислении платы за оказанные услуги связи и(или) по доступу к компьютерной сети, а также о дате, времени, месте, способе и реквизитах их оплаты. Обратим внимание, что в учетной записи для каждого соединения также фиксируются следующие криминалистически значимые сведения: роуминговый номер мобильного абонента, местоположение мобильного терминала при его передвижении, категория записи. Обычно создается одиночная запись. В некоторых случаях – несколько взаимосвязанных по времени промежуточных записей. Промежуточная запись создается для соединений большой длительности. При этом от оборудования узла связи в систему поступают данные текущего времени (год, месяц, день, часы, минуты, секунды и др.). Погрешность при измерении продолжительности соединения не превышает 1 с.

5. Записи, автоматически регистрируемые в Журнале событий компьютерной сети, который находится на сервере оператора связи. За них ответственность несет должностное лицо, называемое «администратор сети».

6. Записи, автоматически образующиеся в памяти транзитных устройств различных операторов (провайдеров) при передачи по ним информации по протоколу IP (от англ. Internet Protocol). Данные компьютерные устройства выполняют функции маршрутизации, управления сигнализацией, контроля, авторизации абонентского терминала, которым воспользовался преступник, и управления пакетами IP (по протоколам H.323/SIP/H.248/MEGACO), содержащими голосовую, видео- и мультимедиа информацию. В этих записях содержится так называемый «IP-адрес» – сетевой адрес компьютера преступника, а также адрес «электронной почты» и другая криминалистически значимая информация.

7. Записи в памяти серверов (FTP, SMTP, POP3 и др.) оператора связи (провайдера услуг Интернет), обслуживающего абонентский терминал потерпевшего, о входящих на него вызовах, соединениях и передачах компьютерной информации (электронных сообщений, почтовых отправлений и др.), а также о дистанционном управлении его информационными ресурсами.

---

8. Записи в файловой системе (реестре операционной системы и др.) компьютера потерпевшего, в том числе мобильного терминала о параметрах изменения подключения модема, настроек браузера, а также о нарушении режима работы или дезактивации средств защиты портов и компьютерной информации.

9. Записи в памяти компьютера потерпевшего, содержащие сведения о полученной компьютерной информации, вредоносных программах, несанкционированном изменении системного и прикладного программного обеспечения, сбоях в их работе.
Для обнаружения, процессуальной фиксации, предварительного и судебно-экспертного исследования дорожки электронных следов, ее элементов считаем целесообразным использовать следующие научно-технические средства:

– программные средства и информационные системы, которые запрограммированы и приспособлены для поиска, мониторинга и анализа криминалистически значимой компьютерной информации (i2 Analyst`s, REMnux, PALADIN Forensic Suite, Cockoo Sandbox и др.), позволяющие проводить анализ так называемых «вредоносных файлов», создание криминалистических копий информации из оперативной памяти, запоминающих устройств и сетевого трафика;

– универсальные программно-аппаратные комплексы типа UFED (от англ. Universal Forensic Extraction Device – универсальное устройство извлечения судебной информации, Мобильный криминалист, XRY;

– программные средства для определения владельца IP/DNS-адреса (Webсервис «whois», команду «traceroute» для операционных систем (далее – ОС) семейства Linux или «tracert» для – Windows, команду «ip source-track» на маршрутизаторах Cisco определенных моделей);

– команды и утилиты для получения криминалистически значимой информации о зарегистрированных пользователях и времени их последней аутентификации (команды last, who для ОС UNIX и MacOS; команду lastlog для ОС Linux и др.);

– программные средства для получения криминалистически значимых сведений об операционных системах, открытых файлах и о сетевых соединениях (netstat для ОС UNIX, Windows и MacOS систем; команды nbstat и net для ОС Windows; Rekall Memory Forensic Framework и Volatility Framework для ОС Windows, MacOS, Linux);

– программные средства для криминалистического анализа: протоколов (журналов) регистрации Web-серверов и прокси-серверов (Log Analysis Tool Kit); сетевого трафика (tcpdump и Wireshark для ОС Windows или Linux, Network Miner и Foremost для ОС Linux); беспроводных сетей (Kismet для ОС Linux); высокопроизводительных сетей (ntop для ОС Windows, Linux и MacOS); SSL/TLS-трафика (ssldump);

– компьютерную программу DINO для визуализации сетевых соединений и геолокации IP-адресов.

Заключение

---