Что нужно выяснить
Построить подтверждённую цифровыми следами последовательность изменений выбранной папки, сопоставить локальные и предоставленные облачные журналы и оценить возможность восстановления документов без изменения исходных носителей.
Какие материалы подготовить
- Ноутбук либо проверенный образ накопителя с описанием получения и контрольными суммами
- Экспорт журнала облачного сервиса и сведения о часовых поясах
- Настройки клиента синхронизации, перечень пропавших файлов и доступные резервные копии
Что сопоставить
Работают с копией, фиксируют контрольные суммы и версии инструментов. Проверяют журналы клиента, записи файловой системы, корзину и доступные версии документов. Временные отметки приводят к общей шкале с указанием допущений; события на разных устройствах сопоставляют по идентификаторам, отдельно отмечая пробелы журналирования и последствия последующей работы.
Возможный результат разбора
Возможны временная схема событий, перечень обнаруженных или восстановленных файлов и объяснение технически поддерживаемых версий; факт входа в учётную запись не приравнивают к установлению конкретного пользователя.
Границы выводов
Продолжение работы и автоматическая очистка могут уничтожить следы. Локальные журналы не описывают всю облачную историю; вывод о действиях человека требует самостоятельных подтверждений помимо записи аккаунта.