Стороны спорили, удалялись ли файлы с ноутбука после определённого события: судебная компьютерно-техническая экспертиза проверяла цифровые следы операций с данными. Эксперты работали в лаборатории с 1 ноутбуком, 1 накопителем и материалами дела, без выезда во Владимирскую область. В работе участвовали эксперты по компьютерной технике и цифровой криминалистике.
Для временной шкалы эксперты диагностировали хранилище и реконструировали события по служебным структурам накопителя. Они сканировали файловую систему в R-Studio и R-Saver, разбирали журнал NTFS в NTFS Log File Tracker и события операционной системы в EventLogExplorer. Проверка охватывала каталоги, метаданные и хронологию пользовательских сеансов. Такие задачи возникают в гражданских спорах об удалении файлов и сохранности цифровых данных.
Публикуем предмет исследования, поставленные вопросы и связь с судебным делом. Персональные данные и сведения ограниченного доступа не раскрываются.
Ниже собраны исходные сведения, цель экспертизы и вопросы, на которые требовалось дать обоснованные ответы.
Ноутбук стал предметом спора об удалении файлов после определённого события. Требовалось проверить цифровые следы работы с пользовательскими данными за спорный период. Материалы относились к гражданскому делу во Владимирской области. Состояние служебных структур накопителя определило порядок работы: эксперты обращались к файловой системе напрямую, минуя обычную загрузку ноутбука.
Материалы дела описывали обстоятельства обращения с ноутбуком и ранее выполненные действия с цифровыми данными. Эксперты сопоставляли эти документы с журналами файловой системы и операционной системы.
Спор касался возможного удаления файлов с ноутбука после определённого события. Суду требовалось установить, содержал ли внутренний накопитель сведения об уничтожении пользовательских данных в заданный период. Компьютерно-техническая экспертиза охватывала цифровые следы операций с файлами и историю загрузок операционной системы. Отдельно проверялась временная связь между действиями с данными и событиями, зарегистрированными самим компьютером.
Судебная компьютерно-техническая экспертиза имела единоличную форму производства. Эксперты имели подготовку в области компьютерно-технической экспертизы и цифровой криминалистики. Они работали в лаборатории с представленным ноутбуком и материалами гражданского дела, без выезда во Владимирскую область. При таком формате эксперты исследовали физический носитель отдельно от программной среды ноутбука и сопоставляли цифровые следы с документами.
Эксперты извлекли внутренний накопитель и подключили его через USB-адаптер AGESTAR с блокировкой записи. Такой порядок сохранял исходное состояние данных при подключении к лабораторному компьютеру. Эксперты сканировали разделы, извлекали служебные журналы и готовили их для раздельного анализа. Каждый журнал они анализировали отдельным программным средством. Для спора об удалении файлов эксперты использовали следующие приёмы:
Метаданные файлов не содержали времени удаления, поэтому хронологию проверяли по системным журналам, где компьютер автоматически регистрировал операции и загрузки. Эксперты сопоставляли записи об операциях с файлами, загрузках системы и завершении её работы. Этот приём связывал вопрос об удалении файлов с последовательностью системных событий. Временные отметки оценивали совместно с содержанием соответствующих записей.
Термины цифровых объектов и операций эксперты соотносили с ГОСТ Р 57429—2017 «Судебная компьютерно-техническая экспертиза. Термины и определения». Порядок обращения с цифровым носителем связывали с ГОСТ Р ИСО/МЭК 27037-2014 «Информационная технология. Методы и средства обеспечения безопасности. Руководства по идентификации, сбору, получению и хранению свидетельств, представленных в цифровой форме». Эти источники применялись к терминологии и обращению с накопителем.
Проверка ноутбука средствами цифровой криминалистики касалась спора об удалении пользовательских файлов после определённого события и анализа системных журналов операционной и файловой систем за заданный период.
Формулировки вопросов обобщены: персональные данные и реквизиты дела исключены, содержание поставленных судом задач не изменено.
Изображения помогают увидеть характер объекта и объём фактических материалов, с которыми работали эксперты.
В работе были задействованы компетенции по следующим видам судебных исследований.
В этих публикациях описаны другие объекты, вопросы и обстоятельства проведения экспертиз.
Стороны спорили, кем подписан договор купли-продажи автомобиля: идентификационная экспертиза подписи, записи и рукописного текста проверяла принадлежность подписи.
Заказчик оспаривал качество программной платформы службы экстренных вызовов: судебная компьютерно-техническая экспертиза проверяла её соответствие требованиям и работоспособность.
Участники оспаривали подписи в копии корпоративного документа: почерковедческая экспертиза по копии документа (скану, фото) проверяла их принадлежность предполагаемому исполнителю.
Стороны спорили об исполнителе подписей на копии корпоративного протокола: судебная почерковедческая экспертиза устанавливала их принадлежность.
Расскажите об обстоятельствах и ожидаемом результате. Мы определим вид исследования, подберём профильного эксперта и поможем подготовить вопросы и материалы.