Что нужно выяснить
Проверить технические признаки переноса указанных файлов на представленный накопитель, сопоставить идентификаторы устройства и файловые следы, разграничить подтверждённые события доступа и предположения о копировании документов пользователем.
Какие материалы подготовить
- Побитовые образы системного диска и USB-накопителя с контрольными суммами
- Перечень спорных файлов, их исходные версии и контрольные суммы
- Журналы подключения устройств, записи файловой системы и сохранившиеся ярлыки
Что сопоставить
Исследуют рабочие копии, фиксируют инструменты и контроль целостности. Сопоставляют серийные идентификаторы, пути, содержимое файлов и временные метки с учётом особенностей файловых систем. Записи ярлыков и списков недавних документов рассматривают как отдельные следы доступа; наличие совпадающего файла проверяют по содержимому, отмечая возможные альтернативные способы его появления.
Возможный результат разбора
Возможны временная схема технических событий и таблица подтверждений для каждого файла; вывод о переносе может быть поддержан совокупностью следов либо остаться нерешённым при неполноте материалов.
Границы выводов
Подключение носителя не доказывает копирование, а запись учётной записи не устанавливает человека. Отсутствие следов не исключает переноса; работа после события могла изменить или уничтожить записи.