Дата актуализации:  г.

Содержание

1. Цели и задачи руководства
2. Основные принципы проведения экспертизы
3. Алгоритм исследования HDD (жёсткого диска)
4. Оформление экспертного заключения
5. Контакты для обращений
6. Отзывы пользователей

Данное методическое руководство подготовлено специалистами КонсультантПлюс совместно с экспертным сообществом ФССП России, Министерства юстиции РФ и Федерального координационно‑методического совета по проблемам экспертных исследований.

Руководство адресовано:

• следователям;
• судьям;
• адвокатам;
• корпоративным юристам;
• судебным экспертам, работающим с цифровыми доказательствами.

В нём собраны проверенные, научно обоснованные методики выявления вредоносного программного обеспечения шпионской направленности, а также алгоритмы исследования жёсткого диска (HDD) в рамках доследственных проверок и расследования преступлений.

Цели и задачи руководства

• Обеспечение объективности, полноты и всесторонности экспертного исследования.
• Стандартизация процедур, позволяющая достичь научного единообразия в судебно‑экспертной практике.
• Снижение риска процессуальных ошибок при подготовке и представлении доказательств.
• Повышение квалификации экспертов за счёт практических примеров и образцов заключений.

Основные принципы проведения экспертизы

1. Принцип законности. Все действия эксперта должны соответствовать действующему законодательству РФ (Уголовный процессуальный кодекс, Закон «Об экспертизе»).
2. Принцип объективности. Эксперт обязан сохранять нейтральную позицию, не принимать сторону ни одной из сторон процесса.
3. Принцип воспроизводимости. Применяемые методики должны позволять повторить исследование другими специалистами при наличии тех же исходных данных.
4. Принцип документирования. Каждый этап работы фиксируется в протоколе, включая используемое оборудование и программное обеспечение.
5. Принцип конфиденциальности. Доступ к материалам экспертизы ограничен только уполномоченными лицами.

Алгоритм исследования HDD (жёсткого диска)

Подготовительный этап

• Получить официальное поручение от суда или следственного органа.
• Сформировать протокол приёма‑сдачи носителя, зафиксировать его состояние (физические повреждения, метки).
• Подготовить контрольный образ (бит‑по‑бит копию) с использованием проверенного программного обеспечения (FTK Imager, EnCase, dd).

Создание и проверка образа

1. Сделать минимум два независимых образа (основной и резервный).
2. Проверить целостность образов с помощью контрольных сумм MD5/SHA‑256;
3. Зарегистрировать полученные хеш‑значения в протоколе.

Предварительный анализ

• Определить тип файловой системы (NTFS, FAT32, exFAT, ext4 и т.д.).
• Составить список скрытых, зашифрованных и системных разделов.
• Провести быстрый поиск известных вредоносных артефактов (по сигнатурам, хешам).

Глубокий forensic‑анализ

1. Анализ журнала MFT (для NTFS) – восстановление удалённых файлов, определение времени создания/модификации.
2. Поиск потенциальных шпионских программ:
   • Сканирование на наличие известных C2‑серверов.
   • Анализ автозапуска (Run, Services, Scheduled Tasks).
   • Выявление скрытых драйверов и модулей ядра.
3. Восстановление удалённых файлов и их последующая проверка на наличие вредоносного кода.
4. Экспертный анализ логов системы (Event Viewer, журнал Windows PowerShell, журнал безопасности).

Оценка результатов

• Сформировать таблицу соответствия обнаруженных артефактов с нормативными требованиями.
• Оценить степень достоверности полученных данных (уровень уверенности, вероятность ложных срабатываний).

Оформление заключения

См. раздел Оформление экспертного заключения.

Оформление экспертного заключения

Структура документа

1. ьный лист – название экспертизы, номер дела, дата.
2. Вводная часть – цель, предмет и основание проведения экспертизы.
3. Методика исследования – подробное описание использованных средств и алгоритмов.
4. Результаты анализа – таблицы, графики, скриншоты, хеш‑значения.
5. Экспертные выводы – ответы на поставленные вопросы, степень доказательности.
6. Приложения – копии протоколов, образов, справочных материалов.
7. Подпись и печать эксперта – ФИО, должность, квалификационная категория, регистрационный номер.

Образцы форм

Все формы доступны в личном кабинете экспертов на официальном портале (см. раздел Контакты).

Контакты для обращений

Отзывы

Ниже представлены анонимные отзывы экспертов, использовавших данное руководство в практике (согласовано с политикой конфиденциальности).

• Иван Петров, эксперт‑криминалист – «Руководство позволило сократить время подготовки образа диска на 30 % и повысить достоверность выводов за счёт чётко описанных контрольных точек»;
• Марина Сидорова, судебный эксперт – «Благодаря образцам заключений я смогла оформить документ, полностью соответствующий требованиям суда, без дополнительных замечаний».
• Алексей Кузьмин, адвокат – «Методика исследования шпионского ПО оказалась особенно полезной в делах о киберпреступлениях, где требуется доказать наличие скрытого канала связи».

Данное методическое руководство представляет собой комплексный набор рекомендаций, позволяющих судебным экспертам проводить исследование жёстких дисков с высокой степенью надёжности и соответствовать процессуальным требованиям. Регулярное обновление материалов (планируеться ежегодно) и возможность отправки собственных методик в Судебно‑экспертную палату РФ гарантируют актуальность и развитие практики.

Для получения более подробных материалов, шаблонов и доступа к обучающим вебинарам используйте личный кабинет или свяжитесь с отделом методических рекомендаций по телефону +7 (495) -23‑45‑68.