Analiza komputerów i nośników danych

Przedmiot analizy informatycznej

Czynności obejmują dane istotne dla pytań zlecenia. Interpretacja zapisów uwzględnia działanie systemu operacyjnego, aplikacji i mechanizmów przechowywania informacji.

• Pliki, dokumenty i dostępne dane systemowe.
• Metadane, ślady aktywności oraz chronologia zdarzeń.
• Spójność danych i dostępne oznaki modyfikacji materiału.
• Dyski, pamięci USB i inne przekazane nośniki danych.

Kopie forensic i integralność danych

W zależności od materiału czynności mogą obejmować wykonanie kopii forensic oraz analizę kopii zamiast nośnika źródłowego. Sumy kontrolne służą weryfikacji integralności danych od chwili ich utrwalenia; same nie potwierdzają prawdziwości treści, autorstwa ani kompletności materiału.

Interpretacja śladów i metadanych

Znaczniki czasu i ślady aktywności są oceniane łącznie z innymi informacjami. Ustawienia systemu, strefa czasowa, sposób kopiowania plików oraz historia użytkowania mogą wpływać na ich interpretację.

Zakres opinii i ograniczenia techniczne

Opracowanie wskazuje materiał źródłowy, zastosowane metody, podstawy ustaleń i odpowiedzi na pytania techniczne. Uwzględnia również brakujące dane, stan nośnika oraz inne okoliczności ograniczające zakres możliwych wniosków.

Informacje wymagane do oceny zlecenia

Należy wskazać rodzaj komputera lub nośnika, jego stan, dostępny materiał i cel analizy. Istotna jest informacja o wcześniej wykonanych kopiach oraz czynnościach przeprowadzonych na urządzeniu.