Что нужно выяснить
Задача может состоять в проверке доступных признаков происхождения, последовательности и целостности сообщения. Для сопоставления нужны материалы из законно доступных источников; наличие письма в одном ящике само по себе не раскрывает всю историю доставки.
Какие материалы подготовить
- Исходные сообщения в EML или другом сохраняющем заголовки формате вместе с вложениями.
- Полная цепочка переписки из доступных ящиков и сведения о способе выгрузки.
- Контекст спорного сообщения: известные адреса, часовые пояса и описание обнаруженных расхождений.
Что сопоставить
- Сопоставить идентификаторы сообщений, связи ответов и последовательность служебных полей.
- Разграничить время отправки, получения и отображения с учётом часовых поясов.
- Отделить технически доступные данные от текста пересылки и проверить согласованность вложений.
Возможный результат разбора
Возможный результат — хронология доступных сообщений с указанием источников и конкретных ограничений проверки. Она помогает поставить дополнительные вопросы о спорном фрагменте.
Границы выводов
Одно отображаемое имя не подтверждает личность автора. При отсутствии оригиналов восстановление заголовков может быть невозможно; техническое исследование не гарантирует принятия материала судом.