Методические аспекты изучения жестких дисков

Технико-криминалистическая экспертиза диска имеет очень жесткие требования, в частности:

• Область поиска дополняется реконструированными файлами, незанятыми областями, загрузочными записями и мусорными секторами.
• Но в нее не входят области с системными файлами и прикладным софтом.
• Сам поиск необходимых данных проводится как посредством задания ключевых слов, так и через определение сигнатур, расширений, основных параметров и метаданных.
• Область просмотра может изучаться как посредством ПО, встроенного в программно-аппаратные комплексы, так и посредством программ, имеющихся на конкретных носителях или компьютерах, которые исследуются.
• Оформление итогов поиска подразумевает описание данных, их распечатку либо запись на лазерные диски однократной записи.

Характеристика пользовательских действий

Достичь эту цель можно, если определить, какие операционные системы были установлены на диске, и есть ли там программное обеспечение, которое могло быть применено для производства определенных действий (в том числе работающее без инсталляции). Необходимо определить, какое ПО было раньше удалено.

Оценка свойств программного обеспечения производится не только посредством личного опыта, но также с привлечением руководств и технических описаний, справочной информации. Обязательно следует отразить в отчете то, каков порядок его работы, что происходит при выполнении определенных действий.

Просто технические параметры

Большое внимание на практике необходимо уделять и инженерно-технической характеристике дисков: их идентифицирующим данным, емкости, числу цилиндров, головок, скорости записи и считывания информации, надежности хранения записанных сведений.