Компьютерно-техническая экспертиза

Компьютерно-техническое исследование направлено на конкретные устройства, носители и цифровые материалы. Перед началом важно сохранить их состояние и определить, какие действия уже выполнялись после события.

Предмет исследования

• Компьютеры, накопители и доступные образы
• Файлы, метаданные и системные журналы
• Технические условия работы и сведения о доступе

Примеры вопросов эксперту

• Какие данные и технические признаки присутствуют на представленном объекте?
• Какие действия или изменения подтверждаются доступными следами?
• Имеются ли признаки заявленного сбоя или утраты информации?
• Как полнота, состояние и история объекта ограничивают выводы?

Окончательные вопросы формулируются по объектам и обстоятельствам конкретной задачи.

Что подготовить

• Описание устройства, носителя и события
• Доступные копии и сведения о способе их создания
• Хронология действий после события
• Вопросы и сопроводительные технические документы

Как строится исследование

Состав и состояние объектов фиксируются до исследования. По возможности работа проводится с проверяемыми копиями; существенные действия и использованные данные документируются. Метод выбирается под конкретный вопрос.

Возможности и ограничения

Самостоятельный запуск, восстановление или переустановка могут изменить следы. Доступность удалённых данных и возможность установить конкретного пользователя заранее не гарантируются.

Что отражается в результате

В выводах отделяются обнаруженные технические факты от гипотез и указываются обстоятельства, которые нельзя установить по представленному объекту.