Спор о файлах и документах
Нужно установить, когда создан, изменён, открыт, скопирован или удалён файл.
Компьютерно-техническая экспертиза - это исследование компьютеров, накопителей, программ и электронных данных. Эксперт может установить состав файлов, следы действий пользоватей, время создания и изменения данных, факты установки и запуска ПО.
!
Важно: до осмотра не включайте компьютер, не устанавливайте программы и не очищайте файлы. Даже обычная загрузка системы изменяет журналы и временные метки.
Когда назначают компьютерно-техническую экспертизу
Использование программ
Проверяются установка, версия, запуск, лицензия, функции и признаки изменения ПО.
Действия пользователя
Исследуются учётные записи, журналы событий, подключения носителей и запуск приложений.
Удаление и восстановление данных
Оценивается наличие удалённых файлов, их метаданных и возможность технического восстановления.
Базы данных и 1С
Анализируются журналы, операции, структура базы, изменения записей и права доступа.
Компьютерный инцидент
Сопоставляются логи, данные устройств, сетевые события, переписка и временная шкала.
Что может установить компьютерный эксперт
- какие файлы и программы имеются на носителе;
- когда создавались, изменялись и открывались данные;
- имеются ли следы запуска программы;
- какие внешние носители подключались;
- существуют ли признаки удаления или копирования файлов;
- какие учётные записи и права доступа использовались;
- совпадает ли ПО с эталоном или техническим заданием;
- можно ли восстановить значимые цифровые данные.
Нужно понять, подходят ли материалы?
Опишите ситуацию, вид устройства и вопросы спора. Предварительно определим объекты, срок и стоимость.
Какие объекты передают на экспертизу
Объектами могут быть системные блоки, ноутбуки, серверы, жёсткие диски, SSD, USB-накопители, карты памяти, образы носителей, базы данных, логи, архивы и дистрибутивы. Для смартфона применяется извлечение и исследование мобильных данных, а при сетевом инциденте - компьютерно-сетевая экспертиза.
Как проходит компьютерная экспертиза
- Предварительная оценкаУточняем задачу, состав объектов, состояние техники и вопросы для эксперта.
- Сохранение исходных данныхФиксируем объект, создаём копию накопителя, рассчитываем хеш-суммы и документируем передачу.
- Техническое исследованиеАнализируем файловую систему, метаданные, журналы, программы и другие значимые артефакты.
- Сопоставление событийФормируем временную шкалу и сопоставляем независимые источники.
- Подготовка заключенияОписываем методику, выявленные данные, иллюстрации и выводы по поставленным вопросам.
Какие вопросы поставить перед экспертом
Вопрос должен требовать технического исследования, а не правовой оценки. Например: «Имеются ли на накопителе следы создания и изменения указанного файла?», «Устанавливалась ли на компьютере конкретная программа и каковы даты её запуска?». Больше примеров есть в статье о вопросах компьютному эксперту.
Стоимость компьютерно-технической экспертизы
| Работа | Стоимость |
|---|---|
| Подготовка заключения | от 120 000 руб. |
| Выезд специалиста для осмотра | от 15 000 руб. |
Итоговая цена зависит от числа устройств, объёма данных, состава вопросов, необходимости восстановления и срочности. Стоимость согласовывается до начала работы.
Частые вопросы
Можно ли провести экспертизу по скриншотам?
Скриншоты могут объяснить задачу, но не заменяют исходный носитель. Они не позволяют проверить метаданные, журналы и целостность файлов.
Можно ли исследовать копию диска?
Да, если копия создана технически корректно, содержит все секторы, а её целостность подтверждена хеш-суммами.
Можно ли установить, кто удалил файл?
Эксперт может выявить технические следы удаления и сопоставить их с учётными записями и журналами. Возможность указать конкретного человека зависит от состава данных и схемы доступа.
Проводится ли экспертиза дистанционно?
Это зависит от объекта. Файлы, логи и корректные образы можно передать без выезда. Для физического компьютера или накопителя согласуем безопасную передачу или выезд.
Закажите предварительную оценку
Сообщите, какая техника или данные имеются, что требуется установить и к какой дате нужно заключение.