计算机技术鉴定

计算机技术检验针对具体设备、存储介质及数字材料。开始前，应保存其状态，并确定事件后已实施哪些操作。

研究对象

• 计算机、存储设备及可用镜像
• 文件、元数据及系统日志
• 运行技术条件及访问信息

向鉴定人提问的示例

• 所交对象中存在哪些数据及技术特征？
• 可用痕迹证实了哪些操作或变更？
• 是否存在所述故障或信息丢失的迹象？
• 对象的完整性、状态及历史如何限制结论？

最终问题根据具体任务的对象和情形表述。

应准备什么

• 设备、存储介质及事件说明
• 可用副本及其制作方式的信息
• 事件发生后的操作时间线
• 问题及随附技术文档

如何开展检验

检验前固定对象的组成和状态。尽可能使用可核查的副本开展工作；记录重要操作及所用数据。根据具体问题选择方法。

能力与限制

自行启动、恢复或重装可能改变痕迹。无法事先保证能够获取已删除数据或查明具体用户。

成果反映什么

结论区分已发现技术事实与假设，并说明无法依据所交对象查明的情况。