Компьютерно-техническое исследование накопителей информации

Основными источниками хранения информации на сегодняшний день является накопители информации, такие как флеш-накопители и накопители на жестких магнитных дисках (НЖМД). У данных накопителей способ хранения информации различен,  однако процесс ее исследования весьма схож.

Одним из видов экспертиз, направленным на исследование информации, хранящейся в явном и удаленном виде на накопителях информации, является компьютерно-техническая экспертиза.

При исследовании НЖМД и флеш-накопителей обязательным требованием является использованием методов исследования, исключающих возможность внесения на них какой-либо информации, то есть работа в так называемом режиме «только чтения». Для достижения этих целей используются специальные блокираторы, которые разделяются на аппаратные (специальные устройства, подсоединяемые между исследуемым носителем информации и стендовым компьютером) и программные (специальные приложения, посредством которых вносится изменения в реестр операционной системы, отвечающие за возможность записи информации по USB-порту). Помимо этого рекомендуется сразу после подключения к такого рода блокираторам начать снятие, так называемого, посекторного образа, или клона с исследуемого носителя информации, посредством специализированных программных продуктов. Данная операция необходима для того, чтобы уменьшить время  работы с исследуемым накопителем, сводя шанс его внезапного отказа и выхода из строя к минимуму, а все дальнейшие исследования проводить со снятым посекторным образом или клоном. Стоит отметить, что в случае если в рамках проводимого исследования необходимо провести процесс восстановления удаленной информации, то это необходимо делать с исследуемого накопителя, а не с его образа, естественно используя блокиратор.

Как видно, компьютерная экспертиза, в рамках судебного и несудебного независимого исследования использует все возможности для сохранения накопителей информации и хранимых на них криминалистически важных данных в исходном состоянии, чего требует статья 16 ФЗ №73 «О государственной судебно-экспертной деятельности в Российской Федерации», а именно обеспечения сохранности представленных объектов исследования и материалов дела. Если будет установлено, что при проведении исследования эксперт не обеспечил сохранность объекта исследования, то проведенная им экспертиза может дать недостоверный результат, как и назначенные в дальнейшем повторные экспертизы.

Партнерские статьи