ОСОБЕННОСТИ ИЗЪЯТИЯ МОДЕМОВ

      В некоторых модемах хранится пользовательская информация – настройки сети или телефонные номера провайдера.

     Если нет специалиста, который может указать, какая именно модель модема здесь присутствует – с памятью или без, – то модем надо отключить от электропитания, опечатать и изъять.

 

Купить  на  Oz.by  Д.Бэндл  Защита  и  безопасность  в  сетях  Linux.  Для  профессионалов (+ СD-ROM) 

ОСОБЕННОСТИ ИЗЪЯТИЯ АВТОМОБИЛЬНЫХ КОМПЬЮТЕРОВ

     Бортовым компьютером оснащены практически все современные модели автомобилей. Основное его предназначение – оптимизация режима двигателя с целью экономии горючего. Компьютер собирает многочисленные данные с различных устройств автомобиля. В случае аварии в нем можно найти сведения о нескольких последних секундах – скорость, обороты, позиции педалей газа и тормоза, режим стеклоочистителей, осветительных приборов и т.п.

       Кроме того, бортовой компьютер выполняет навигационные функции либо для этого установлен отдельный навигационный компьютер. В нем фиксируется расположение автомобиля в разные моменты времени, вычисляются возможные маршруты следования до заданных точек.
    К сожалению, бортовые компьютеры не унифицированы, как персональные. Расположение компьютера и его запоминающего устройства зависит от модели автомобиля.
     Для изъятия или копирования носителей компьютерной информации следует пригласить специалиста из фирменного (авторизованного) центра техобслуживания соответствующего автопроизводителя.

 

Купить на Oz.by Р.Смит Аутентификация: от паролей до открытых ключей 

ОСОБЕННОСТИ ИЗЪЯТИЯ КОММУТАТОРОВ И МАРШРУТИЗАТОРОВ

      Обычно коммутатор (switch) имеет внутреннюю энергонезависимую память, в которой помещается только операционная система и файл конфигурации. Именно конфигурация может быть предметом интереса следствия. Мелкие коммутаторы могут не иметь доступной пользователю памяти, хотя свою конфигурацию (настройки) все же сохраняют.        Совсем мелкие коммутаторы для домашнего использования и хабы могут не иметь даже настроек.
     Маршрутизатор (router), в зависимости от своего назначения, может иметь столь же небольшую память, как и коммутатор, где хранится лишь относительно небольшой файл конфигурации, а может иметь и более существенное устройство хранения, например, жесткий диск.

     Конфигурация маршрутизатора или коммутатора может заинтересовать следствие лишь при некоторых специфических типах преступлений.
      В большинстве случаев их конфигурация не представляет интереса.
     Снять всю конфигурацию с маршрутизатора или коммутатора специалист может на месте, если знать пароль для доступа.
    Включенные коммутаторы и маршрутизаторы следует при изъятии отключать вытаскиванием электрического шнура либо аппаратным переключателем (рубильником), который находится прямо на встроенном блоке питания.

 

 Купить на Oz.by А.Петренко, С.Петренко Аудит безопасности Intranet

ОСОБЕННОСТИ ИЗЪЯТИЯ МОБИЛЬНЫХ ТЕЛЕФОНОВ

     Перед тем, как рассмотреть изъятый мобильный телефон в качестве носителя компьютерной информации, следует решить, требуется ли получить с него материальные следы – отпечатки пальцев, следы наркотиков, иные.

      Следует помнить, что некоторые методы снятия отпечатков могут привести телефон в негодность.
     В большинстве случаев при изъятии нужно выключить мобильный телефон, чтобы исключить потерю имеющихся данных вследствие поступления новых вызовов и новых SMS. Аккумулятор вынимать не следует.
     Однако в некоторых случаях руководитель операции может решить, что контролировать поступающие вызовы важнее. Тогда телефон надо оставить включенным и подзаряжать его по мере необходимости.
     Выключенный телефон упаковывается в жесткую упаковку и опечатывается так, чтобы исключить доступ к органам его управления. Это отмечается в протоколе.
     При выключении телефона не надо беспокоиться о PIN-коде на доступ к данным в SIM-карте телефона. У оператора связи в любой момент можно узнать PUK (PIN unlock key) и с его помощью получить доступ к SIM-карте.
     О полевом и лабораторном исследовании информации из мобильных телефонов есть достаточно много технической литературы.

 

Купить на Oz.by Г.Бузов Защита от утечки информации по техническим каналам 

ОСОБЕННОСТИ ИЗЪЯТИЯ ФЛЭШ-НАКОПИТЕЛЕЙ

       Накопители на флэш-памяти выпускаются в виде самостоятельных устройств, а также в составе других устройств, таких как аудиоплееры или цифровые фотоаппараты. Форма и размер устройств с флэш-накопителями также весьма разнообразны. Чаще всего такие накопители снабжены интерфейсом типа USB, по которому их и можно опознать.

 

         Такие накопители не теряют данные при отсутствии электропитания, поэтому их можно хранить долгое время. При изъятии следует опечатать так, чтобы исключить доступ к USB-разъему и органам управления (если такие органы есть).
        Снять копию флэш-накопителя на месте, в принципе, можно. Как это сделать, смотрите в разделе «Компьютерно-техническая экспертиза». Но особенной необходимости в таком копировании нет, поскольку флэш-накопитель все равно изымается, когда есть основания полагать, что на нем может содержаться существенная для дела информация. Затем он передается на экспертизу. Снимать копию на месте логично в тех случаях, когда ждать результатов экспертизы нет времени и нужно быстро получить информацию для продолжения расследования. В таких случаях специалист снимает копию с накопителя на месте, сам накопитель опечатывается, изымается и откладывается ждать экспертизы, а его копия подвергается исследованию с целью получения неофициальной, зато срочной информации.

 

 Купить на Oz.by С.Петренко Управление информационными рисками. Экономически оправданная безопасность

ОСОБЕННОСТИ ИЗЪЯТИЯ ПРИНТЕРОВ

     Современные принтеры (за очень редким исключением) не имеют доступных пользователю носителей компьютерной информации. Поэтому изымать принтеры нет необходимости. Надо только изъять все распечатки, обнаруженные в выходном лотке принтера или подле него, поскольку такие распечатки также содержат компьютерную информацию. Кроме того, некоторые фотопринтеры имеют разъем для непосредственного подключения носителей информации типа флэш-накопителей. Если такой накопитель оставлен в разъеме принтера, его нужно изъять, а принтер можно не трогать. При проведении осмотра или обыска следует отразить в протоколе наличие принтера и способ его подключения к компьютеру.
      Из этого правила есть одно исключение – дела о подделке документов.
    Принтеры очень часто используются для изготовления поддельных документов, поскольку их разрешающая способность (от 600 точек на дюйм и больше) превышает разрешающую способность человеческого глаза. То есть фальшивку, отпечатанную на современном принтере, отличить на глаз нельзя.
     Экспертиза может установить, что поддельный документ был напечатан именно на этом конкретном принтере или с использованием конкретного картриджа.
    Когда в деле фигурируют поддельные документы, то кроме компьютеров и машинных носителей информации следует также изымать:
● принтеры;
● картриджи для принтеров (кроме, может быть, новых в упаковке) и иные расходные материалы (тонер, ленты, чернила);
● все обнаруженные распечатки;
● чистую бумагу и пленку, приготовленные для использования в принтере.
     Принтер следует опечатать так, чтобы сделать невозможным подключение электропитания и доступ к печатающему узлу без нарушения упаковки. Этот факт отразить в протоколе. Иные изъятые материалы также следует опечатать.

 

Купить на Oz.by С.Петренко Политики информационной безопасности 

ОСОБЕННОСТИ ИЗЪЯТИЯ НАЛАДОННОГО КОМПЬЮТЕРА (КПК)

      К данному классу относятся: КПК, PDA (Personal Digital Assistant), palmtop, pocket PC, органайзеры, смартфоны, коммуникаторы, электронные дневники.
    Особенностью этого класса компьютеров является то, что значительная часть пользовательских данных хранится у них в оперативной, энергозависимой памяти. При отключении питания наладонника вся такая информация безвозвратно пропадет.
     Штатное состояние «выключен» у наладонника фактически означает не выключение, а режим «засыпания» или гибернации. При этом электроэнергия расходуется только на поддержание оперативной памяти.
     Храниться в таком состоянии он может до нескольких дней, в зависимости от текущего состояния аккумулятора.
     Если наладонник включен (активен) на момент начала обыска, то прежде всего следует сфотографировать или иным образом зафиксировать содержимое экрана. При неактивности экран автоматически гаснет, а наладонник переходит в режим гибернации через несколько минут. После фотографирования можно выключить его вручную кнопкой «power», если есть такая кнопка.
   Касаться экрана наладонника нельзя, поскольку экран у него является чувствительным; каждое прикосновение к экрану воспринимается как команда.
      Извлекать аккумулятор из наладонника нельзя.
     Вместе с ним обязательно следует изъять крэдл (подставку с устройством питания и сопряжения) либо иное зарядное устройство. Хранить наладонник сам по себе, без подзарядки, можно недолго, обычно несколько дней. Длительность хранения зависит от первоначального состояния аккумулятора. После его истощения содержимое оперативной памяти будет утрачено. Лучше не рисковать и после изъятия как можно быстрее передать компьютер эксперту. А до такой передачи, по возможности, хранить его вставленным в крэдл, чтобы аккумулятор не истощался. В крэдле (который, естественно, должен быть подключен к электросети) хранить наладонник можно неограниченно долго. Правда, хранение в крэдле несовместимо с опечатыванием компьютера.
    В протоколе обыска (изъятия, личного досмотра) следует указать примерно следующее: «При осмотре и изъятии наладонного компьютера его кнопки не нажимались, экрана не касались, аккумулятор или съемные накопители не извлекались. Наладонный компьютер в состоянии гибернации (засыпания) был упакован и опечатан так, чтобы исключить всякий доступ к органам его управления (клавиши, экран) и к его разъемам без повреждения печатей».

 

Купить   на   Oz.by   Д.Кан    Война    кодов    и    шифров.    История    четырех    тысячелетий криптографии 

ОСОБЕННОСТИ ИЗЪЯТИЯ НОУТБУКА

     Если ноутбук включен на момент начала обыска, то прежде всего следует сфотографировать или иным образом зафиксировать содержимое экрана, как это указывалось выше.
       Чтобы выключить ноутбук, недостаточно вытащить из него шнур питания; при этом ноутбук перейдет на питание от аккумулятора. Для обесточивания надо извлечь аккумулятор. При этом не следует закрывать крышку ноутбука, складывать его. При складывании обычно активизируется функция гибернации («засыпания»), а это означает внесение изменений в информацию на диске, что нарушит вышеозначенные принципы.

 

Купить  на  Oz.by  А.Молдовян,  Н.Молдовян,  В.Зима   Безопасность   глобальных   сетевых технологий 

ОБЩИЕ ПРАВИЛА ИЗЪЯТИЯ КОМПЬЮТЕРНОЙ ТЕХНИКИ

     1. Возьмите под контроль помещение, где установлена техника, а также электрощит. Не позволяйте никому, кроме вашего специалиста, дотрагиваться до техники и устройств электропитания. В крайнем случае, если отстранить местный персонал от техники невозможно, фиксируйте все их действия.
В тех редких случаях, когда есть основания полагать, что о проведении обыска известно расторопным сообщникам, находящимся вне вашего контроля, то как можно скорее следует отключить сетевые соединения компьютеров. Для этого вытащить из компьютеров кабели локальной сети и отключить модемы. За те несколько минут, пока фотографируют и подготавливают к выключению технику, сообщник, в принципе, может успеть соединиться по сети с компьютером и уничтожить на нем существенную информацию.
       2. Выключенные устройства не включайте.
     3. Сфотографируйте или снимите на видео компьютерную технику. В крайнем случае, можно зарисовать схему. Уделите внимание кабелям – какой куда подключен. Подключение кабелей также желательно сфотографировать или снабдить их ярлыками для идентификации мест подключения. Всю подключенную к компьютеру периферию следует сфотографировать и/или описать в протоколе, чтобы было ясно, как все было соединено.
     4. Если на момент обыска компьютер включен, сфотографируйте или иным образом зафиксируйте изображение на мониторе.
С включенным, но «спящим» компьютером можно поступить двояко: либо сразу, не трогая его, выключить, как описано ниже, либо сначала активизировать, слегка сдвинув мышь, сфотографировать содержимое экрана, а уже затем выключить. Выбор варианта остается за руководителем операции. При «пробуждении» или активизации компьютера может оказаться, что выход из «спящего» режима или из скринсейвера защищен паролем. Тогда после сдвигания мыши вместо содержимого экрана вы увидите запрос пароля. В таком случае компьютер надо выключить описанным ниже способом.
    5. Найдите и соберите листочки, на которых могут быть записаны пароли, сетевые адреса и другие данные, – часто такие записи лежат на рабочем месте, приклеены к монитору, висят на стене.
     6. Если принтер что то печатает, дождитесь окончания печати. Все, что находится в выходном лотке принтера, описывается и изымается наряду с другими носителями компьютерной информации.
    7. После этого компьютеры надо выключить. Это должен сделать компетентный специалист. Не позволяйте делать это местному персоналу или владельцу изымаемой техники, не принимайте их советов. Если с вами нет специалиста, выключение настольного компьютера следует производить вытаскиванием шнура питания из корпуса компьютера (не из стенной розетки). Выключение ноутбука следует производить вытаскиванием электрического шнура и извлечением его аккумулятора без закрывания крышки.
Иногда можно ошибиться, приняв включенный компьютер за выключенный. При гибернации («засыпании») экран гаснет, приостанавливаются некоторые функции компьютера. Могут погаснуть или изменить цвет светодиодные индикаторы. Тем не менее у включенного, хотя и «заснувшего» компьютера обязательно горит индикатор питания на системном блоке. У выключенного, напротив, все индикаторы на системном блоке погашены, хотя может гореть индикатор на мониторе.
    8. Техника опечатывается таким образом, чтобы исключить как физический доступ внутрь корпуса, так и подключение электропитания. Это обстоятельство отражается в протоколе.
    9. Изъятая техника упаковывается сообразно с хрупкостью и чувствительностью к внешним воздействиям. Особо чувствительны к вибрации жесткие магнитные диски (НЖМД); их механическое повреждение (например, из-за перевозки в багажнике) приводит к полной недоступности данных.
   10. Опросите всех пользователей на предмет паролей. Надо постараться узнать у каждого сотрудника все известные ему пароли (точнее, пары логин-пароль), имеющие отношение к изъятой технике. Пароли не следует воспринимать на слух. Их надо записать по символам, обращая внимание на алфавит и регистр каждого символа и выверить у источника. Пароли допустимо не вносить в протокол допроса или объяснение, а записать просто на бумажке. Их доказательное значение от этого не снижается.

 

 Купить  на  Oz.by  А.Щеголев  Защита  компьютерной  информации  от  несанкционированного доступа

ПРИНЦИПЫ ИЗЪЯТИЯ КОМПЬЮТЕРНОЙ ТЕХНИКИ

     1.Во время изъятия компьютерной техники не должна изменяться никакая содержащаяся на изымаемых носителях информация. На следствии лежит обязанность доказать, что представленная эксперту или суду компьютерная информация не изменялась. Ни в процессе обыска, ни при последующем хранении.
      2.Доступ к информации и исследование ее «на месте» допустимы лишь в тех случаях, когда невозможно изъять носитель и отправить его на экспертизу. Такой доступ должен производиться компетентным специалистом, который в состоянии понять и объяснить смысл и все последствия производимых им действий.
     3.Должны протоколироваться все действия с компьютерной техникой так, чтобы независимый исследователь мог бы их повторить и получить такие же результаты.

 

Купить на Oz.by В.Галатенко Стандарты информационной безопасности. Курс лекций 

 

ТАКТИКА ОБЫСКА

      Когда искомые доказательства могут содержаться на компьютерных носителях, обыск следует проводить согласно нижеизложенным правилам, чтобы обеспечить законность и доказательную силу.
      К компьютерным носителям информации относятся съемные и несъемные магнитные диски, компакт-диски (CD), DVD-диски, флэш-накопители, оптические диски, магнитные карты, цифровые кассеты и некоторые другие. Такие носители могут содержаться в персональных компьютерах, серверах, коммуникационном оборудовании, наладонных компьютерах (КПК, PDA), коммуникаторах, смартфонах, мобильных телефонах, цифровых фотоаппаратах и видеокамерах, плеерах и иной другой подобной технике – вся такая техника со встроенными носителями изымается целиком.
     Другие виды техники не содержат доступных пользователю носителей компьютерной информации, поэтому ее изымать или исследовать не обязательно. Таковыми являются: принтеры, сканеры, факс-аппараты, а также клавиатуры, мониторы, мыши, джойстики, звуковые колонки.
     Следует помнить, что техника стремительно развивается и доступные пользователю носители могут завтра появиться в составе таких устройств, какие еще сегодня их не имеют. Стоит вспомнить, например, что в 2000 году аудиоплеер не следовало рассматривать как носитель компьютерной информации, а ныне почти все аудиоплееры (MP3-плееры) по совместительству являются пользовательскими переносными накопителями. В ближайших планах производителей оснастить встроенными компьютерами всю бытовую технику – холодильники, кондиционеры, кофеварки, стиральные машины и т.д. Компьютер в составе бытовой техники, скорее всего, будет включать встроенный или съемный носитель и сетевой интерфейс для удаленного доступа.

 

Купить на Oz.by А.Куприянов, А.Сахаров, В.Шевцов Основы защиты информации