По сохранившимся данным исследуют операции с файлами, установку и запуск приложений, подключение внешних устройств, входы в систему и другие события, которые отражены в доступных источниках. Эксперт сопоставляет файловую систему, журналы, данные приложений и резервные копии. Не каждая операция оставляет след, а не каждый след однозначно объясняет действие: файл мог открыть пользователь или программа автоматически, например служба индексирования.
Вывод связывают с конкретным источником, периодом и техническим идентификатором. Работа под учётной записью не устанавливает сама по себе, кто лично использовал устройство. Для проверки нужны сведения об общем доступе, удалённом управлении, настройках записи событий и возможных автоматических заданиях. Подготовьте описание спорного события и доступные журналы вместе с данными об их получении. Если журнал неполон или нужный период уже перезаписан, эксперт обозначит пределы ответа, а не подменит недостающие данные предположениями.